Virus de Hoy, Antivirus de Ayer..
.
Virus Importantes
Info Virus
Enciclopedia de Virus
Historia de los Virus
|
Recientemente
Gartner Group publicó un polémico documento sobre las tendencias actuales en
sistemas de detección de intrusos (http://www3.gartner.com/5_about/press_releases/pr11june2003c.jsp).
El autor afirma que para el año 2005 los sistemas de detección de intrusos
serán obsoletos y habrán sido reemplazados por los nuevos “Sistemas de
Prevención de Intrusos” (IPS por sus siglas en inglés).
Algunos argumentos empleados por Gartner Group en esta predicción tienen sentido, pero las conclusiones han sido fuertemente criticadas por varios especialistas en todo el mundo.
Vayamos por partes, ¿qué es un “Sistema de Prevención de Intrusos” o IPS? Tal como muchos otros conceptos en seguridad informática, el significado depende del contexto y de la persona que lo emplea. Muchos especialistas afirman (y con toda razón) que el término en sí, es demasiado ambiguo, y que estaría contemplando a muchos controles de seguridad informática. En este sentido, un firewall podría ser perfectamente un IPS (indirectamente previene intrusiones).
Sin embargo, el término IPS en el contexto que es empleado por Gartner Group, parece hacer referencia a una combinación de filtro (firewall) con un sistema de detección de intrusos (IDS por sus siglas en inglés). El principal argumento de mercadotecnia para este tipo de sistemas es su supuesta “proactividad”. Otras supuestas ventajas incluyen:
|
|
- Capacidad
de reacción automática ante incidentes - el sistema aplica nuevos
filtros conforme detecta ataques en progreso)
- Mínima
vigilancia - el sistema no requiere tanta dedicación como un IDS
tradicional; esto en consecuencia requeriría menos inversión en recursos
para administrar y operar estos sistemas (en comparación con un IDS).
- Menos
falsas alarmas
Gartner
Group ha analizado desde el punto de vista del mercado la situación y ha
concluido que los sistemas de detección de intrusos no hacen mucho por la
seguridad y han sido un fracaso; por esto recomienda que se utilicen otros
sistemas con enfoque más preventivo: firewalls con capacidades de detección
de eventos de seguridad (IPS).
Es cierto que la mayoría de las instalaciones de sistemas de detección de
intrusos no ha brindado los resultados esperados, pero Gartner Group está
pasando por alto un dato muy importante. Los sistemas de detección de
intrusos no son sistemas autónomos, son herramientas de notificación
para personal de seguridad (generalmente un grupo de respuesta a incidentes).
La mayor parte de los problemas en una instalación de sistemas de detección
de intrusos se debe a una incorrecta configuración de los mismos o a la
asignación de personal inadecuado para respuesta a incidentes, entre este
tipo de problemas destacan los siguientes:
-
Poca o
nula depuración de las alertas que se vigilan (muchas organizaciones
cometen el error de activar todas las alertas del producto de IDS porque
creen que les va a dar mayor seguridad; lo único que esto genera es una
gran cantidad de trabajo de revisión de alertas, que es totalmente
innecesario).
-
Falta de
capacitación del personal (el personal no es capaz de comprender el
significado y el impacto de cada alerta reportada, en consecuencia, no se
toman las medidas apropiadas).
-
Asignación
incorrecta (colocación de IDS en puntos inadecuados, protección de
sistemas que no lo requieren, etc.)
Debemos
aceptar que los sistemas de detección de intrusos no son para todas las
organizaciones, así como no todas las organizaciones pueden beneficiarse de
una PKI. Si una organización no puede o no requiere de personal especialista
para respuesta de incidentes, el contar con sistemas de detección de intrusos
(tal como afirma Gartner Group) no les brindará mayor seguridad.
Pero en aquellas organizaciones donde la seguridad es altamente crítico el
contar con personal de respuesta de incidentes es prácticamente una obligación
(en estos ambientes un sistema de detección de intrusos instalado y
configurado apropiadamente suele ser muy valioso); algunas organizaciones
donde este tipo de sistemas suelen ser más efectivos son:
-
Instituciones
gubernamentales (principalmente aquellas relacionadas con seguridad pública)
-
Instituciones
financieras
-
Empresas
que manejan gran cantidad de información confidencial
Analicemos
ahora la propuesta de Gartner: definitivamente un firewall tradicional no va a
solucionar los problemas de seguridad que resuelve un IDS, simplemente tienen
propósitos distintos y su arquitectura es diferente.
Los IPS, por otro lado, aparecen como una solución ideal que bajará los
costos de las empresas e incrementará la seguridad, pero a Gartner Group le
faltó un análisis técnico más detallado de este tipo de soluciones.
En primer lugar, la capacidad de detección de intrusos no desaparece en un
IPS simplemente se mezcla con otro tipo de controles. Los IDS desde hace
varios años ya interactúan con controles de seguridad distintos como lo son
los firewalls, la diferencia está en el grado de integración: una misma
consola y caja en el caso de los IPS (Gartner Group pareció olvidar que también
existen sistemas de detección de intrusos locales, que vigilan los
eventos dentro de un sistema de cómputo a diferencia de los que revisan
patrones de ataque por la red).
Los sistemas de prevención de intrusiones presentan también una serie de
desventajas y generan serios cuestionamientos sobre su efectividad, algunos de
ellos se listan a continuación:
-
No
existen tecnologías nuevas; fuera de una mayor integración entre
controles de diferentes tipos, los IPS utilizan las mismas tecnologías
que los IDS para la detección de eventos de seguridad (patrones,
funciones estadísticas, algoritmos de inteligencia artificial, etc.)
-
La
concentración de elementos de seguridad en un solo punto genera los
llamados “puntos únicos de fallo”
-
La
concentración de controles en una misma caja (IPS) genera la pérdida de
detección pasiva que se podía tener con un IDS (un IDS configurado de
manera pasiva no tendría ningún impacto sobre la red, además, no podría
ser atacado directamente y su detección sería sumamente difícil por
parte de un atacante)
-
El
compartir recursos puede traer problemas; cuando se combina un IDS con un
Firewall, un equipo con el doble de capacidad de procesamiento no es lo
mismo que 2 equipos con la mitad de capacidad de procesamiento (ambos
utilizan un mismo procesador, así como las mismas entradas y salidas de
datos; esto genera cuellos de botella si la carga de trabajo es excesiva).
Hoy en día muchos IDS tienen problemas de desempeño (incluso aquellos
que están bien configurados) debido al volumen de datos que tienen que
analizar, ¿Cómo solucionarán los IPS este problema? ¿terminarán
separando nuevamente cada tipo de control en una caja individual?
-
La
capacidad reactiva de un IPS puede generar fácilmente situaciones de
negación de servicio. Si no confiamos en la tecnología de los IDS
(sabemos que tiene problemas), si sabemos que los IPS no utilizan nuevas
tecnologías y sabemos que son más reactivos ¿cómo esperamos que estas
herramientas detengan eficazmente ataques mientras permiten actividades
legítimas?
El
problema de la efectividad es serio y se puede demostrar fácilmente que esta
efectividad de en los IPS no
depende de su tecnología, sino del medio ambiente.
Hoy en día Internet trabaja todavía sobre protocolos que carecen de características
de autenticación, no repudiación y huellas de auditoria: prácticamente todo
se puede falsificar. El caso de los sistemas operativos no es muy distinto, el
uso de sistemas operativos que incorporan modelos de seguridad robustos (TCSEC
nivel B o superior, o algún equivalente) es muy bajo.
Supongamos que nuestro IPS es un sistema perfecto, al grado de que alguien se
tomó la molestia de demostrar formalmente su correcto desempeño (por lo
tanto, nuestro sistema IPS ideal siempre bloquearía los ataques y nunca
filtraría tráfico ni eventos legítimos). El problema es que el IPS no
controla el ambiente; si la entrada de datos que procesa este sistema es
incorrecta desde el punto de vista del contexto, la salida (reacción) del
sistema será por definición incorrecta (será sólo correcta para el IDS,
dentro de su contexto).
Por ejemplo, si un atacante falsifica el origen de un patrón de ataque, de
manera que parezca que proviene de un cliente de nuestra organización, este
sistema probablemente lo bloqueará (aún cuando el patrón de detección del
ataque sea correcto).
Para que el IPS pueda evitar este tipo de complicaciones, necesitaría
comprender la estructura de la organización, su proceso de negocio, la
infraestructura tecnológica utilizada y mucho más; en realidad necesitaría
comprender todo el medio ambiente, algo que un ser humano puede hacer
relativamente bien (aunque obviamente no al mayor nivel de detalle).
Inclusive los genios de la Inteligencia artificial hace tiempo concluyeron que
estos sistemas (que emularían por completo el comportamiento del cerebro
humano) están muy lejos de nuestro alcance y se han limitado a resolver pequeños
problemas bien acotados (aquí es donde han demostrado su efectividad).
Al final de cuentas regresamos a lo mismo: hay actividades que requieren la
presencia de un ser humano altamente capacitado, nos guste o no nos guste y
diga lo que diga el mercado. ¿Acaso usted se imagina a un IPS llamando por
teléfono al administrador de una red en China, para solicitar mayor información
sobre un incidente de seguridad que, presuntamente, se originó desde ahí?
En conclusión podemos decir que las tecnologías de detección de intrusos sí necesitan mejorar, sin embargo, los expertos consideran que estos esfuerzos
deben enfocarse en buscar una mejor capacidad de correlación de eventos,
involucrando capacidades de minería de datos e integración de información
de otros controles de seguridad (firewalls, antivirus, aplicaciones criptográficas,
sistemas de cómputo, etcétera). La idea de que podemos crear sistemas
altamente complejos que identifiquen ataques y los bloqueen, de manera
eficiente, efectiva y autónoma, simplemente no es viable en este momento
(aunque ciertamente es muy atractiva).
Mi predicción es que para el 2005, el sistema que predominará para detección
de intrusos será, en esencia, un gran minero de datos y éste será a su vez
la nueva definición de IPS.
D. Omar Herrara
e-mail: oherrara@prodigy.net.mx
Área de
seguridad del Banco de México
|
