1-0 Instalando o Firewall Aker - Data - Aker Security Solutions

12-7 Sistema de Detecção de Intrusão (IDS)
O que é um sistema de detecção de intrusão (IDS) ?
Os sistemas de detecção de intrusão têm a habilidade de identificar uma tentativa de
acesso à um sistema ou rede que não esteja de acordo com a política de segurança
existente na organização. Esta identificação é calculada utilizando-se reconhecimento de
padrões de comportamento e dados que são identificados em pacotes ou informações de
sistema, que podem corresponder à ataques ou tentativas de invasão a uma rede.
As ferramentas de IDS são soluções de software ou hardware dedicadas à tarefa de
identificar e responder automaticamente a atividades que sejam consideradas suspeitas
(normalmente são padrões conhecidos de ataques ou ações previamente definidas e
configuradas como não autorizadas). As ferramentas IDS reconhecem atividades que
não estejam dentro dos seus parâmetros como normais e podem ser programadas para
então reconfigurar o firewall dinamicamente (bloqueando possíveis ataques em tempo
real), enviar alertas para o administrador, gravar um arquivo de log e até mesmo
terminar a conexão.
Como funciona o suporte a agentes IDS no Firewall Aker ?
O agente de detecção de intrusão atua direta e dinamicamente no Firewall Aker
adicionando regras de bloqueio quando algum dos parâmetros definidos como normais
não estejam sendo cumpridos. Por exemplo, suponhamos que o agente monitorando um
servidor web esteja configurado para não permitir um número maior que 20 conexões
de uma mesma máquina da Internet. Caso este padrão for violado, o agente cadastra
dinamicamente uma regra no firewall bloqueando o acesso da máquina de onde estão
sendo originadas as conexões. Esta regra pode ser válida por um período de tempo, após
o qual ela é automaticamente eliminada, ou indefinidamente, sendo eliminada apenas
quando da reinicialização do firewall.
O Firewall Aker possui um plugin específico para os produtos Real Secure , NFR ,
Dragon TM e Snort possibilitando sua integração imediata e transparente para o
administrador. Neste caso, o administrador deve instalar o plugin na máquina onde o
agente IDS está instalado e logo após configurá-lo para acrescentar regras de bloqueio
no firewall. No firewall, deve-se configurar o suporte para agentes IDS, como explicado
no tópico a seguir. É possível a utilização de outros agentes IDS, porém sua integração
deve ser feita mediante a criação de scripts. Neste caso, deve-se verificar o tópico que
descreve a interface texto, logo abaixo.
TM
TM
As regras de bloqueio do IDS somente serão removidas após expirar seu tempo de
duração, por ação do administrador ou reinicialização do Firewall Aker. Nos últimos
dois casos, todas as regras temporárias serão removidas (ou seja, não é possível eliminar
uma regra específica após esta ter sido acrescentada).
12-8 Configurando o suporte para o agente de detecção de
intrusão
Para ter acesso à janela de Detecção de Intrusão basta: