Nederlands
Menu

Wat is Inbraakdetectiesysteem (IDS)?

Een systeem dat netwerkverkeer of activiteit op eindpunten bewaakt, vermoedelijke aanvallen vindt en beheerders waarschuwt. Er zijn signatuurgebaseerde systemen, die vergelijken met de kenmerken van bekende aanvallen, en anomaliegebaseerde systemen, die zoeken naar afwijkingen van het normale gedrag. Een systeem dat in de route van het verkeer (inline) staat en verkeer dat als aanval wordt beoordeeld ter plekke kan blokkeren, heet een IPS (intrusion prevention system, inbraakpreventiesysteem). Omdat een IPS door vals-positieven ook legitiem verkeer kan tegenhouden, worden de blokkeerregels zorgvuldig afgesteld.

Japanse benaming: 侵入検知システム(IDS)

“Inbraakdetectiesysteem (IDS)” komt voor in 3 oefenvragen uit 1 onderwerpen, bijv. Cyberaanvallen en verdediging in de praktijk.

Vakgebied: Cyberaanvallen en verdediging in de praktijk

Nu oefenen: vragen over Inbraakdetectiesysteem (IDS)

Welke beschrijving van het verschil tussen een IDS (inbraakdetectiesysteem) en een IPS (inbraakpreventiesysteem) is juist?

  1. AEen IDS blokkeert kwaadaardig verkeer automatisch zodra het dat vindt, terwijl een IPS het verkeer alleen registreert voor latere analyse en het niet blokkeert
  2. BEen IDS detecteert vermoedelijke aanvallen en waarschuwt beheerders, terwijl een IPS in de route van het verkeer staat en verkeer blokkeert dat het als kwaadaardig beoordeelt
  3. CZowel een IDS als een IPS is een mechanisme dat programma's die kwetsbaarheden in software verhelpen automatisch naar elk intern apparaat verspreidt en toepast
Antwoord en toelichting tonen

Antwoord: B. Een IDS detecteert vermoedelijke aanvallen en waarschuwt beheerders, terwijl een IPS in de route van het verkeer staat en verkeer blokkeert dat het als kwaadaardig beoordeelt

Een IDS bewaakt netwerkverkeer (of activiteit op eindpunten) en geeft een alert als het een vermoedelijke aanval vindt. Het wordt vaak zo geplaatst dat het een kopie van het verkeer ontvangt en onderzoekt; als het normaal verkeer ten onrechte als aanval beoordeelt, ligt het werk dus niet stil, maar het blokkeren wordt overgelaten aan mensen of andere mechanismen. Een IPS staat in de route van het verkeer (inline) en kan verkeer dat het als aanval beoordeelt ter plekke blokkeren. Daartegenover staat dat vals-positieven legitiem bedrijfsverkeer tegenhouden en dat storingen of vertragingen in de verwerking van het apparaat al het verkeer raken, dus de regels waarmee wordt geblokkeerd, worden zorgvuldig afgesteld.

Welke vergelijking van detectie op basis van signaturen (misbruikdetectie) en detectie op basis van anomalieën als detectiemethoden van een IDS is juist?

  1. ASignatuurgebaseerde detectie zoekt naar overeenkomsten met kenmerken van bekende aanvallen en mist gemakkelijk onbekende aanvallen; anomaliegebaseerde detectie vindt afwijkingen van het normale en kan onbekende aanvallen opmerken, maar geeft meer vals-positieven
  2. BSignatuurgebaseerde detectie detecteert betrouwbaar ook onbekende aanvallen die niet geregistreerd zijn, terwijl anomaliegebaseerde detectie alleen vooraf geregistreerde bekende aanvallen kan detecteren
  3. CAnomaliegebaseerde detectie hoeft de normale toestand niet te leren, kan dus direct na de invoering zonder vals-positieven worden gebruikt, en heeft geen updates van signaturen nodig
Antwoord en toelichting tonen

Antwoord: A. Signatuurgebaseerde detectie zoekt naar overeenkomsten met kenmerken van bekende aanvallen en mist gemakkelijk onbekende aanvallen; anomaliegebaseerde detectie vindt afwijkingen van het normale en kan onbekende aanvallen opmerken, maar geeft meer vals-positieven

Signatuurgebaseerde detectie registreert vooraf de verkeerskenmerken (signaturen) van bekende aanvallen en detecteert wat daarmee overeenkomt. Geregistreerde aanvallen worden nauwkeurig gevonden, maar nieuwe aanvallen of aanvallen met licht gewijzigde kenmerken worden gemakkelijk gemist, en de signaturen moeten voortdurend worden bijgewerkt. Anomaliegebaseerde detectie leert de normale toestand (baseline), zoals de hoeveelheid verkeer, het tijdstip van de dag en de bestemmingen, en detecteert grote afwijkingen daarvan, zodat ze onbekende aanvallen kan opmerken. Anderzijds beoordeelt ze legitiem maar zeldzaam verkeer gemakkelijk als abnormaal, wat het aantal vals-positieven verhoogt; in de praktijk worden beide daarom gecombineerd.

“Inbraakdetectiesysteem (IDS)” in de toelichting

Vragen met “Inbraakdetectiesysteem (IDS)” (3)

  1. Welke beschrijving van het verschil tussen een IDS (inbraakdetectiesysteem) en een IPS (inbraakpreventiesysteem) is juist?
  2. Welke vergelijking van detectie op basis van signaturen (misbruikdetectie) en detectie op basis van anomalieën als detectiemethoden van een IDS is juist?
  3. Een IDS onderzoekt 1 miljoen verbindingen per dag, waarvan er 100 echte aanvallen zijn. Het IDS detecteert 99% van de aanvallen en beoordeelt 0,1% van de verbindingen die geen aanval zijn ten onrechte als aanval. Welke waarde ligt het dichtst bij het aandeel van de door het IDS gegeven alerts dat een echte aanval is?

Verwante termen

Aanval op de toeleveringsketen (supply-chainaanval) Cyber Kill Chain Digitaal forensisch onderzoek EDR (endpoint detection and response) Incidentrespons Indicator of compromise (IoC) Laterale beweging (lateral movement) MITRE ATT&CK Penetratietest SBOM (software bill of materials)

Naar de woordenlijst