Telematica

Trabajo de Investigación
IPS


Marzo del 2011

Contenido
IPS 1
IPS Definición 3
Funcionamiento 3
Detección Basada en Firmas: 4
Detección Basada en Políticas: 4
Detección Basada en Anomalías: 4
Detección Honey Pot (Jarra de Miel): 5
IPS vs IDS 6
Visión general del mercado 7
Mercado Definición / Descripción 8
Tamaño del mercado IPS / el crecimiento continúa 8
CiscoSystems 8
DeepNines Technologies 10
Enterasys Networks 11
IBM 12
Juniper Networks 13
McAfee 13
NitroSecurity 14
Radware 14
Sourcefire 15
StillSecure 15
TippingPoint 16
Top Layer Networks 17
Sobre el Cuadrante Mágico de Gartner 18
Los cuadrantes 18
Cuadrante Mágico de Gartner 19
Anexo 1 21
Anexo 2 22

IPS Definición

Un Sistema de Prevención de Intrusos (IPS) esun dispositivo que ejerce el control de acceso en una red informática para proteger a los sistemas computacionales de ataques y abusos. La tecnología de Prevención de Intrusos es considerada por algunos como una extensión de los Sistemas de Detección de Intrusos (IDS), pero en realidad es otro tipo de control de acceso, más cercano a las tecnologías cortafuegos.

Los IPS fueron inventados deforma independiente por Jed Haile y Vern Paxon para resolver ambigüedades en el monitoreo pasivo de redes de computadoras, al situar sistemas de detecciones en la vía del tráfico. Los IPS presentan una mejora importante sobre las tecnologías de cortafuegos tradicionales, al tomar decisiones de control de acceso basados en los contenidos del tráfico, en lugar de direcciones IP o puertos. Tiempodespués, algunos IPS fueron comercializados por la empresa One Secure, la cual fue finalmente adquirida por NetScreen Technologies, que a su vez fue adquirida por Juniper Networks en 2004. Dado que los IPS fueron extensiones literales de los sistemas IDS, continúan en relación.

También es importante destacar que los IPS pueden actuar al nivel de equipo, para combatir actividades potencialmentemaliciosas.

Funcionamiento

Un Sistema de Prevención de Intrusos, al igual que un Sistema de Detección de Intrusos, funciona por medio de módulos, pero la diferencia es que este último alerta al administrador ante la detección de un posible intruso (usuario que activó algún Sensor), mientras que un Sistema de Prevención de Intrusos establece políticas de seguridad para proteger el equipo o la red deun ataque; se podría decir que un IPS protege al equipo proactivamente y un IDS lo protege reactivamente.

Los IPS se categorizan en la forma que detectan el tráfico malicioso:
• Detección Basada en Firmas
• Detección Basada en Políticas
• Detección Basada en Anomalías
• Detección Honey Pot (Jarra de Miel)

Detección Basada en Firmas:
Una firma tiene la capacidad de reconocer unadeterminada cadena de bytes en cierto contexto, y entonces lanza un alerta. Por ejemplo, los ataques contra los servidores Web generalmente toman la forma de URLs. Por lo tanto se puede buscar utilizando un cierto patrón de cadenas que pueda identificar ataques al servidor Web. Sin embargo, como este tipo de detección funciona parecido a un Antivirus, el Administrador debe verificar que las firmas esténconstantemente actualizadas.

Detección Basada en Políticas:
En este tipo de detección, el IPS requiere que se declaren muy específicamente las políticas de seguridad. Por ejemplo, determinar que hosts pueden tener comunicación con determinadas redes. El IPS reconoce el tráfico fuera del perfil permitido y lo descarta.

Detección Basada en Anomalías:
Este tipo de detección tiende a generarmuchos falsos positivos, ya que es sumamente difícil determinar y medir una condición ‘normal’. En este tipo de detección tenemos dos opciones:
1. Detección Estadística de Anormalidades: El IPS analiza el tráfico de red por un determinado periodo de tiempo y crea una línea base de comparación. Cuando el tráfico varía demasiado con respecto a la línea base de comportamiento, se genera una...