De 7 beste inbraakpreventiesystemen (IPS) voor 2020
Iedereen wil voorkomen dat inbrekers hun huis binnenkomen. Bovendien, en om vergelijkbare redenen, doen netwerkbeheerders er alles aan om indringers buiten de netwerken te houden die ze beheren. Een van de belangrijkste activa van veel organisaties tegenwoordig zijn hun gegevens. Het is zo belangrijk dat veel kwaadwillenden tot het uiterste gaan om deze gegevens te stelen. Dit doen ze door een breed scala aan technieken te gebruiken om ongeautoriseerde toegang te krijgen tot netwerken en systemen. Het aantal van dergelijke aanvallen lijkt de laatste tijd exponentieel te zijn toegenomen en als reactie daarop worden systemen opgezet om ze te voorkomen. Deze systemen worden Intrusion Prevention Systems of IPS genoemd.Vandaag bekijken we de beste inbraakpreventiesystemen die we konden vinden.
> We gaan beginnen> Dit houdt natuurlijk in dat we ook zullen definiëren wat een inbraak is. Vervolgens zullen we de verschillende veelgebruikte detectiemethoden en corrigerende maatregelen die na detectie worden genomen, onderzoeken. Vervolgens zullen we het kort hebben over passieve inbraakpreventie. Dit zijn statische maatregelen die kunnen worden geïmplementeerd en die het aantal inbraakpogingen aanzienlijk kunnen verminderen. Het zal je misschien verbazen dat sommige ervan niets met computers te maken hebben. Alleen dan, met iedereen op één lijn, kunnen we eindelijk enkele van de beste inbraakpreventiesystemen bespreken die we hebben kunnen vinden.
Inbraakpreventie - wat is het?
Jaren geleden waren virussen vrijwel de enige zorg van systeembeheerders. Virussen bereikten een punt waarop ze zo gewoon waren dat de industrie reageerde door antivirusprogramma's te ontwikkelen. Geen enkele serieuze en verstandige gebruiker zou er vandaag de dag aan denken om een computer te gebruiken zonder virusbescherming. Hoewel we niet veel horen over virussen, indringers of ongeautoriseerde toegang tot uw gegevens door kwaadwillende gebruikers, is dit de nieuwe bedreiging. Omdat gegevens vaak het belangrijkste bezit van een organisatie zijn, zijn bedrijfsnetwerken het doelwit geworden van kwaadwillende hackers die hun best doen om toegang te krijgen tot gegevens.Net zoals antivirussoftware het antwoord was op de verspreiding van virussen, is Intrusion Prevention Systems het antwoord op indringersaanvallen.
In wezen doen inbraakpreventiesystemen twee dingen. Ten eerste detecteren ze inbraakpogingen en wanneer ze verdachte activiteit detecteren, gebruiken ze verschillende methoden om deze te stoppen of te blokkeren. Er zijn twee verschillende manieren om inbraakpogingen te detecteren. Op handtekeningen gebaseerde detectie werkt door gegevens en netwerkverkeer te analyseren en te zoeken naar specifieke patronen die verband houden met inbraakpogingen. Dit is vergelijkbaar met traditionele virusbeschermingssystemen op basis van virusdefinities. Op handtekeningen gebaseerde inbraakdetectie is gebaseerd op handtekeningen of inbraakpatronen. Het belangrijkste nadeel van deze detectiemethode is dat de juiste handtekeningen in de software moeten worden geladen.En wanneer een nieuwe aanvalsmethode wordt gebruikt, duurt het meestal even voordat de aanvalssignaturen worden bijgewerkt. Sommige leveranciers zijn erg snel in het leveren van up-to-date aanvalssignaturen, terwijl andere veel langzamer zijn. De frequentie en snelheid van handtekeningupdates is een belangrijke factor om te overwegen bij het kiezen van een provider.
Op afwijkingen gebaseerde detectie biedt betere bescherming tegen zero-day-aanvallen, die zich voordoen voordat detectiehandtekeningen de kans hebben gehad om te updaten. Het proces zoekt naar anomalieën in plaats van te proberen bekende inbraakpatronen te herkennen. Het zou bijvoorbeeld worden geactiveerd als iemand meerdere keren achter elkaar toegang probeerde te krijgen tot een systeem met het verkeerde wachtwoord, een veelvoorkomend teken van een brute force-aanval. Dit is slechts één voorbeeld en er zijn meestal honderden verschillende verdachte activiteiten die deze systemen kunnen activeren. Beide detectiemethoden hebben hun voor- en nadelen. De beste tools zijn tools die een combinatie van handtekening- en gedragsanalyse gebruiken voor de beste bescherming.
Het detecteren van inbraakpogingen is een van de eerste stappen om ze te voorkomen. Eenmaal gedetecteerd, werken inbraakpreventiesystemen actief om gedetecteerde activiteiten te stoppen. Deze systemen kunnen verschillende corrigerende maatregelen nemen. Ze kunnen bijvoorbeeld gebruikersaccounts opschorten of deactiveren. Een andere typische actie is om het bron-IP-adres van de aanval te blokkeren of de firewallregels te wijzigen. Als de kwaadaardige activiteit afkomstig is van een specifiek proces, kan het preventiesysteem het proces stoppen. Het initiëren van een beschermingsproces is een andere veelvoorkomende reactie en in het ergste geval kunnen hele systemen worden stilgelegd om mogelijke schade te beperken.Een andere belangrijke taak van inbraakpreventiesystemen is om beheerders te waarschuwen, de gebeurtenis te registreren en verdachte activiteiten te melden.
Passieve inbraakpreventiemaatregelen
Hoewel inbraakpreventiesystemen u kunnen beschermen tegen vele soorten aanvallen, gaat er niets boven de goede oude passieve inbraakpreventiemaatregelen. Het vereisen van sterke wachtwoorden is bijvoorbeeld een uitstekende manier om te beschermen tegen veel inbraken. Een andere eenvoudige beveiliging is om de standaardwachtwoorden op uw computer te wijzigen. Hoewel het minder voorkomt op bedrijfsnetwerken, hoewel het niet ongehoord is, heb ik te vaak internetgateways gezien die altijd hun standaard beheerderswachtwoord hadden. Als het om wachtwoorden gaat, zijn verouderde wachtwoorden een andere specifieke stap die kan worden genomen om inbraakpogingen te verminderen.Elk wachtwoord, zelfs het beste, kan mogelijk met voldoende tijd worden gekraakt. De leeftijd van de wachtwoorden zorgt ervoor dat de wachtwoorden worden gewijzigd voordat ze worden gehackt.
Er zijn slechts voorbeelden van wat kan worden gedaan om inbraken passief te voorkomen. We zouden een volledig artikel kunnen schrijven over de passieve maatregelen die geïmplementeerd kunnen worden, maar dat is niet ons doel vandaag. In plaats daarvan is ons doel om enkele van de beste actieve inbraakpreventiesystemen te introduceren.
De beste inbraakpreventiesystemen
Onze lijst bevat een combinatie van verschillende tools die kunnen worden gebruikt om te beschermen tegen inbraakpogingen. De meeste van de meegeleverde tools zijn echte inbraakpreventiesystemen, maar we hebben ook tools die, hoewel niet als zodanig op de markt worden gebracht, kunnen worden gebruikt om inbraak te voorkomen. Ons eerste artikel is een voorbeeld. Onthoud dat, bovenal, uw keuze van welk hulpmiddel u wilt gebruiken, moet worden bepaald door uw specifieke behoeften. Laten we dus eens kijken naar wat elk van onze beste tools te bieden heeft.
1. SolarWinds-logboek- en gebeurtenismanager (GRATIS UITPROBEREN)
SolarWinds is een begrip in netwerken. Het heeft een solide reputatie voor het maken van enkele van de beste systeem- en netwerkbeheertools. Het vlaggenschipproduct, Network Performance Monitor, behoort consequent tot de beste beschikbare tools voor het bewaken van netwerkbandbreedte. SolarWinds staat ook bekend om zijn vele gratis tools, die elk inspelen op een specifieke behoefte van netwerkbeheerders. Twee geweldige voorbeelden van deze gratis tools zijn de Kiwi Syslog-server of de SolarWinds TFTP-server.
Laat jezelf niet bij naam misleiden SolarWinds Log & Event Manager . Er is veel meer dan wat we zien. Sommige van de geavanceerde functies van dit product kwalificeren het als een inbraakdetectie- en preventiesysteem, terwijl andere het in het SIEM-bereik (Security Information and Event Management) plaatsen. De tool biedt bijvoorbeeld realtime gebeurteniscorrelatie en realtime correctie.
>> GRATIS UITPROBEREN: SolarWinds Log & Event Manager
Le SolarWinds-logboek- en gebeurtenismanager heeft onmiddellijke detectie van verdachte activiteiten (functie voor inbraakdetectie) en geautomatiseerde reacties (functie voor inbraakpreventie). Deze tool kan ook worden gebruikt om forensische en beveiligingsgebeurtenissen te onderzoeken. Het kan worden gebruikt voor mitigatie- en nalevingsdoeleinden. De tool bevat gecontroleerde rapporten die ook kunnen worden gebruikt om naleving van verschillende regelgevende kaders zoals HIPAA, PCI-DSS en SOX aan te tonen. De tool heeft ook bewaking van bestandsintegriteit en bewaking van USB-apparaten.Alle geavanceerde functies van de software maken het tot een geïntegreerd beveiligingsplatform in plaats van het gebeurtenis- en logbeheersysteem, zoals de naam doet vermoeden.
De inbraakpreventiefuncties van: SolarWinds Log & Event Manager werken door acties te implementeren die actieve reacties worden genoemd wanneer bedreigingen worden gedetecteerd. Aan specifieke alerts kunnen verschillende reacties worden gekoppeld. Het systeem kan bijvoorbeeld naar firewalltabellen schrijven om netwerktoegang te blokkeren vanaf een bron-IP-adres waarvan is vastgesteld dat het verdachte activiteiten uitvoert. De tool kan ook gebruikersaccounts opschorten, processen stoppen of starten en systemen afsluiten. U zult zich herinneren dat dit precies de corrigerende maatregelen zijn die we eerder hebben geïdentificeerd.
De prijs van SolarWinds Log & Event Manager varieert afhankelijk van het aantal knooppunten dat wordt bewaakt. Prijzen beginnen bij $ 4 voor maximaal 585 bewaakte nodes en licenties voor maximaal 30 nodes kunnen worden gekocht, waardoor het product zeer schaalbaar is. Als u het product wilt proberen en zelf wilt zien of het geschikt voor u is, Een poging gratis volledige 30 dagen beschikbaar .
2. Splunk
Splunk is waarschijnlijk een van de meest populaire inbraakpreventiesystemen. Het komt in verschillende edities met verschillende sets functies. Splunk Enterprise-beveiliging, ou Splunk ES , zoals het vaak wordt genoemd, is wat u nodig heeft voor echte inbraakpreventie. De software bewaakt uw systeemgegevens in realtime, op zoek naar kwetsbaarheden en tekenen van abnormale activiteit.
> De> Gebruikt wat de provider het Adaptive Response Framework (ARF) noemt. Het kan worden geïntegreerd met de teams van meer dan 55 beveiligingsproviders en kan een geautomatiseerde reactie uitvoeren, waardoor handmatige taken worden versneld. Deze combinatie van geautomatiseerde sanitatie en handmatige interventie kan u de beste kans geven om snel de overhand te krijgen. De tool heeft een eenvoudige en schone gebruikersinterface, waardoor het een winnende oplossing is. Andere geweldige beveiligingsfuncties zijn de "Opmerkelijke" functie die door de gebruiker aanpasbare waarschuwingen weergeeft en "Asset Investigator" om kwaadaardige activiteiten te melden en verdere problemen te voorkomen.
de prijsinformatie Splunk Enterprise-beveiliging zijn niet beschikbaar. Voor een gedetailleerde offerte dient u contact op te nemen met Splunk sales. Dit is een geweldig product waarvoor een gratis proefversie beschikbaar is.
3. Sagan
Sagan is in wezen een gratis inbraakdetectiesysteem. De tool met scriptmogelijkheden kan deze echter in de categorie Intrusion Prevention Systems plaatsen. Sagan detecteert inbraakpogingen door logbestanden te controleren. Combineren kan ook Sagan met Snort, die zijn output kan sturen naar sagan, waardoor de tool netwerkgebaseerde inbraakdetectiemogelijkheden biedt. In feite, Sagan kan informatie ontvangen van vele andere tools zoals Bro of Suricata, waarbij de mogelijkheden van verschillende tools worden gecombineerd voor de best mogelijke bescherming.
> echter , er zit een val in scriptmogelijkheden door Sagan . U moet de herstelscripts schrijven. Hoewel deze tool misschien niet het beste wordt gebruikt als uw enige verdediging tegen inbraak, kan het een belangrijk onderdeel zijn van een systeem dat meerdere tools integreert door gebeurtenissen uit verschillende bronnen te correleren, waardoor u het beste van vele producten krijgt.
terwijl Sagan kan alleen worden geïnstalleerd op Linux, Unix en Mac OS, het kan verbinding maken met Windows-systemen om zijn evenementen te krijgen. Andere coole functies van Sagan zijn onder meer het volgen van IP-adreslocaties en gedistribueerde verwerking.
4. OSSEC
Open source-beveiliging of OSSEC , is een van de toonaangevende open source hostgebaseerde inbraakdetectiesystemen. We nemen het om twee redenen op in onze lijst. De populariteit is zo groot dat we het moesten opnemen, vooral omdat de tool het mogelijk maakt om acties te specificeren die automatisch worden uitgevoerd wanneer specifieke waarschuwingen worden geactiveerd, waardoor het inbraakpreventiemogelijkheden krijgt. OSSEC is eigendom van Trend Micro, een van de toonaangevende namen op het gebied van computerbeveiliging en de maker van een van de beste virusbeschermingssuites.
> Wanneer> Maakt controlesommen van belangrijke bestanden en controleert deze periodiek, waarschuwt u of activeert corrigerende maatregelen wanneer er iets vreemds gebeurt. Het zal ook eventuele abnormale pogingen om root-toegang te verkrijgen controleren en waarschuwen. In Windows zoekt het systeem ook naar ongeoorloofde registerwijzigingen, omdat deze een veelbetekenend teken kunnen zijn van kwaadwillende activiteit. Elke detectie activeert een waarschuwing die wordt weergegeven op de gecentraliseerde console, terwijl de meldingen ook via e-mail worden verzonden.
OSSEC is een host-gebaseerd inbraakbeveiligingssysteem. Als zodanig moet het worden geïnstalleerd op elke computer die u wilt beschermen. Een gecentraliseerde console consolideert echter informatie van elke beveiligde computer voor eenvoudig beheer. La console OSSEC werkt alleen op Unix-achtige besturingssystemen, maar er is een agent beschikbaar om Windows-hosts te beschermen. Als alternatief kunnen andere tools zoals Kibana of Graylog als interface met de tool worden gebruikt.
5. Open WIPS-NG Open
We wisten niet zeker of we moesten opnemen WIPS openen NG in onze lijst. Daarover straks meer. Het deed dit vooral omdat het een van de weinige producten is die specifiek gericht zijn op draadloze netwerken. WIPS openen NG –Waar WIPS staat voor Wireless Intrusion Prevention System– is een open source-tool die bestaat uit drie hoofdcomponenten. Allereerst is er de sensor. Het is een dwaas proces dat alleen draadloos verkeer vastlegt en naar de server stuurt voor analyse. Zoals je waarschijnlijk al geraden hebt, is het volgende onderdeel de server. Consolideer data van alle sensoren, analyseer verzamelde data en reageer op aanvallen.Dit onderdeel vormt het hart van het systeem. Ten slotte is er de interface-component, de grafische interface die u gebruikt om de server te beheren en informatie weer te geven over bedreigingen die op uw draadloze netwerk zijn gedetecteerd.
De belangrijkste reden waarom we aarzelen voordat we opnemen: WIPS openen NG in onze lijst is dat, hoe goed het ook is, niet iedereen de ontwikkelaar van het product leuk vindt. Het komt van dezelfde ontwikkelaar als Aircrack NG, een draadloze pakkettracker en wachtwoordkraker die deel uitmaakt van de toolkit van elke wifi-hacker. Dit opent het debat over de ethiek van ontwikkelaars en maakt sommige gebruikers op hun hoede. Aan de andere kant kan de ervaring van de ontwikkelaar worden beschouwd als een bewijs van hun uitgebreide kennis van wifi-beveiliging.
6. Fail2Ban
Fail2Ban is een relatief populair gratis inbraakdetectiesysteem met inbraakpreventiefuncties. De software werkt door systeemlogbestanden te controleren op verdachte gebeurtenissen zoals mislukte inlogpogingen of zoekacties naar exploits. Wanneer het systeem iets verdachts detecteert, reageert het door automatisch de lokale firewallregels bij te werken om het bron-IP-adres van het kwaadaardige gedrag te blokkeren. Dit houdt natuurlijk in dat er een firewallproces op de lokale computer draait. Dit is het belangrijkste nadeel van de tool.Elke andere willekeurige actie kan echter worden geconfigureerd, zoals het uitvoeren van een fixscript of het verzenden van e-mailmeldingen.
> Fail2Ban > Zoals we zeiden, acties van correctie worden bereikt door de firewalltabellen van de host te wijzigen. Fail2Ban ondersteunt Netfilter, IPtables of de tabel TCP-wrapper hosts.deny. Elk filter kan worden gekoppeld aan een of meer acties. Samen worden de filters en acties gevangenis genoemd.
7. Bro Netwerkbeveiligingsmonitor
Le Bro Monitor Netwerkveiligheid is een ander gratis netwerkinbraakdetectiesysteem met IPS-achtige functionaliteit. Het werkt in twee fasen, eerst registreert het het verkeer en vervolgens analyseert het het. Deze tool werkt in meerdere lagen tot aan de applicatielaag, wat een betere detectie van gesplitste inbraakpogingen betekent. De productanalysemodule bestaat uit twee elementen. Het eerste element wordt de gebeurtenis-engine genoemd en het doel ervan is om triggergebeurtenissen zoals TCP-verbindingen of HTTP-verzoeken te volgen. De gebeurtenissen worden vervolgens geanalyseerd door beleidsscripts, het tweede element. De taak van beleidsscripts is om te beslissen of er alarm wordt geslagen, een actie wordt ondernomen of de gebeurtenis wordt genegeerd.Het is de mogelijkheid om een actie te lanceren die de Bro Netwerkbeveiligingsmonitor zijn IPS-functionaliteit.
> De> Bro Netwerkbeveiligingsmonitor heeft bepaalde beperkingen. Het houdt alleen HTTP-, DNS- en FTP-activiteiten bij en bewaakt ook SNMP-verkeer. Dit is echter een goede zaak, omdat SNMP vaak wordt gebruikt om het netwerk te bewaken, ondanks de ernstige beveiligingslekken. SNMP heeft weinig ingebouwde beveiliging en gebruikt niet-versleuteld verkeer. En aangezien het protocol kan worden gebruikt om instellingen te wijzigen, kan het gemakkelijk worden misbruikt door kwaadwillende gebruikers. Het product bewaakt ook wijzigingen in de apparaatconfiguratie en SNMP-traps. Het kan op Unix, Linux en OS X worden geïnstalleerd, maar het is niet beschikbaar voor Windows, wat misschien wel het grootste nadeel is.Anders is het een erg coole tool die het proberen waard is.
