IDS Nedir?
İngilizce: Intrusion Detection System
Yayın: · Son güncelleme:
IDS Nedir? Kısaca
IDS (Intrusion Detection System), ağ trafiğini ya da bir cihazdaki etkinliği izleyerek saldırı belirtilerini tespit eden ve güvenlik ekibine uyarı üreten saldırı tespit sistemidir. Trafiği kendiliğinden engellemez.
IDS nedir?
IDS, saldırı tespit sistemi anlamına gelen Intrusion Detection System ifadesinin kısaltmasıdır. Görevi, şüpheli etkinliği fark edip uyarı vermektir. Bir hırsız alarmına benzer: Kapıyı kilitlemez, ama biri izinsiz girdiğinde sesi duyurur.
Trafiği durdurmadığı için IDS yanlış alarm verse bile kullanıcıların işini engellemez. Bu da onu, özellikle yeni kurulan sistemlerde riski düşük bir izleme aracı yapar.
Nasıl çalışır?
İki temel tespit yöntemi vardır. İmza tabanlı tespit, bilinen saldırı kalıplarını tanır. Anomali tabanlı tespit ise normal davranışın bir profilini çıkarıp bundan sapmaları işaretler. Örneğin gece 03.00'te bir muhasebe bilgisayarından yüzlerce farklı sunucuya bağlantı denenmesi, imzası olmasa bile anomali olarak görülür.
Konumuna göre de iki tür ayrılır:
| Tür | İzlediği yer |
|---|---|
| NIDS (ağ tabanlı) | Ağdan geçen trafik |
| HIDS (sunucu tabanlı) | Tek bir cihazdaki dosya ve kayıtlar |
Üretilen uyarılar genellikle bir SIEM sistemine gönderilir ve analistler tarafından incelenir.
Nelere dikkat etmeli?
IDS'nin değeri, uyarıların gerçekten incelenmesine bağlıdır. Ayarlanmamış bir sistem günde binlerce yanlış alarm üretebilir ve önemli uyarılar gözden kaçar. Kuralların ağınıza göre ince ayarı yapılmalıdır.
Şifreli trafikte IDS'nin görebildiği bilgi sınırlıdır. Tespit edilen saldırıyı otomatik engellemek istiyorsanız IPS'e bakmanız gerekir. Kısacası IDS ne demek sorusunun cevabı, sistemin "gören ama dokunmayan" bekçisi olmasıdır.
Sıkça Sorulan Sorular
IDS ne demek?
IDS, Intrusion Detection System yani saldırı tespit sistemi demektir. Şüpheli etkinliği tespit edip uyarı üretir ama trafiği kendisi engellemez.
IDS ile IPS arasındaki fark nedir?
IDS tespit edip uyarır, IPS ise tespit ettiği saldırıyı otomatik olarak engeller. IPS trafiğin tam yoluna yerleştirilir, IDS ise genellikle trafiğin bir kopyasını izler.