Intrusion Detection System의 약자로, 네트워크 통신이나 단말의 움직임을 감시하여 공격의 의심을 발견하고 관리자에게 경고하는 구조. 알려진 공격의 특징과 대조하는 시그니처형과, 평소 상태로부터의 벗어남을 찾아내는 어노멀리형이 있다. 통신 경로의 중간(인라인)에 놓여 공격으로 판단한 통신을 그 자리에서 차단할 수 있는 것은 IPS(Intrusion Prevention System, 침입 방지 시스템)라고 불린다. IPS는 오탐으로 정상 통신까지 멈출 우려가 있으므로 차단 규칙을 신중하게 조정한다.
일본어 명칭: 侵入検知システム(IDS)
침입 탐지 시스템(IDS)은(는) 사이버 공격과 방어의 실무 등 1개 분야의 연습 문제 3개에 나와요.
분야: 사이버 공격과 방어의 실무
정답: B. IDS는 부정의 의심을 탐지하여 관리자에게 알리고, IPS는 통신 경로의 중간에 놓여 부정으로 판단한 통신을 차단한다
IDS는 네트워크를 흐르는 통신(또는 단말의 움직임)을 감시하고, 공격의 의심을 발견하면 경고를 냅니다. 통신의 사본을 받아 조사하는 형태로 배치되는 경우가 많아, 정상 통신을 공격으로 잘못 판단해도 업무는 멈추지 않지만, 차단은 사람이나 다른 구조에 맡깁니다. IPS는 통신 경로의 중간(인라인)에 놓여, 공격으로 판단한 통신을 그 자리에서 차단할 수 있습니다. 그 대신 오탐이 있으면 정상적인 업무 통신까지 멈춰 버리고, 장비의 고장이나 처리 지연이 통신 전체에 영향을 주므로, 어떤 규칙으로 차단할지를 신중하게 조정합니다.
정답: A. 시그니처형은 알려진 공격의 특징과의 일치로 탐지하므로 미지의 공격을 놓치기 쉽고, 어노멀리형은 평소와의 차이로 탐지하므로 미지의 공격도 알아챌 수 있지만 오탐이 많다
시그니처형은 알려진 공격 통신의 특징(시그니처)을 미리 등록해 두고, 일치하는 것을 탐지합니다. 등록된 공격은 정확하게 찾아낼 수 있지만, 새로운 공격이나 특징을 조금 바꾼 공격은 놓치기 쉬우며, 시그니처를 항상 갱신할 필요가 있습니다. 어노멀리형은 통신량이나 시간대, 접속 대상 등 평소의 상태(베이스라인)를 학습하고 거기서 크게 벗어난 것을 탐지하므로, 미지의 공격을 알아챌 가능성이 있습니다. 한편 정상이지만 드문 통신을 이상으로 판단하기 쉬워 오탐이 늘어나므로, 실제로는 두 가지를 조합하여 사용합니다.
IDS는 네트워크를 흐르는 통신(또는 단말의 움직임)을 감시하고, 공격의 의심을 발견하면 경고를 냅니다.
IDS(침입 탐지 시스템)와 IPS(침입 방지 시스템)의 차이에 대한 설명으로 올바른 것은?공급망 공격(Supply Chain Attack) 디지털 포렌식(Digital Forensics) 보안 관제 센터(Security Operations Center) 사이버 킬 체인(Cyber Kill Chain) 인시던트 대응 제로 트러스트 측면 이동(Lateral Movement) 침투 테스트(Penetration Testing) EDR(엔드포인트 탐지 및 대응) IoC(침해 지표)