Sistemas de detección de intrusos (redes)

La detección de ataques e intrusiones parte de la idea que un atacante es capaz de violar nuestra política de seguridad, atacando parcial o totalmente los recursos de una red, con el objetivo final de obtener un acceso con privilegios de administrador.
Los mecanismos para la detección de ataques e intrusiones tratan de encontrar y reportar la actividad maliciosa en la red, pudiendo llegar a reaccionar adecuadamente ante un ataque. En la mayoría de los casos es deseable poder identificar el ataque exacto que se está produciendo, de forma que sea posible detener el ataque y recuperarse del mismo. En otras situaciones, sólo será posible detectar e informar de la actividad sospechosa que se ha encontrado, ante la imposibilidad de conocer lo que ha sucedido realmente.
Generalmente, la detección de ataques trabajará con la premisa de que nos encontramos en la peor de las situaciones, suponiendo que el atacante ha obtenido un acceso al sistema y que es capaz de utilizar o modificar sus recursos.
Los elementos más destacables dentro de la categoría de mecanismos para la detección de ataques e intrusiones son los sistemas de detección de intrusos*.
A continuación introduciremos dos definiciones básicas en el campo de la detección de intrusos con el objetivo de clarificar términos comunes que se utilizarán más adelante.
Una intrusión es una secuencia de acciones realizadas por un usuario o proceso deshonesto, con el objetivo final de provocar un acceso no autorizado sobre un equipo o un sistema al completo. La intrusión consistirá en la secuencia de pasos realizados por el atacante que viola una determinada política de seguridad. La existencia de una política de seguridad, en la que se contemplan una serie de acciones deshonestas que hay que prevenir, es un requisito clave para la intrusión. Es decir, la violación sólo se podrá detectar cuando las acciones observadas puedan ser comparadas con el conjunto de reglas definidas en la política de seguridad.