Qué ve un IDS y qué hace un IPS

IDS significa sistema de detección de intrusiones y IPS, sistema de prevención. El motor de reglas puede ser el mismo en los dos casos; lo que cambia es dónde se conecta. Un IDS recibe una copia del tráfico —por un puerto espejo de un conmutador, o por una derivación pasiva que los instala en el cable—, y el tráfico original sigue su camino sin pasar por él. Un IPS se pone en línea: todo el tráfico lo atraviesa y, por eso, puede descartar un paquete antes de que llegue a su destino.

De ahí salen las consecuencias. El IDS no añade retardo ni puede cortar la red si falla, pero cuando avisa la petición ya llegó: solo puede decir que la vio. El IPS puede impedirla, y a cambio un falso positivo suyo es tráfico legítimo bloqueado, no una alerta de más en la cola. Es la razón de que casi todo el mundo empiece por alertar y solo después se atreva a bloquear.

La consola de este laboratorio lista los tres sensores de Molinos del Sinú con su modo, su ubicación y la forma en que capturan el tráfico. Leer esa columna es lo primero que se hace en un puesto nuevo, porque dice qué puede y qué no puede hacer cada alerta que llegue de cada sensor.

Ejecuta SELECT * FROM sensores y busca el sensor que está en línea. Es el único de los tres cuyas reglas pueden bloquear algo.

Un sensor puede decidir que algo merece una alerta de dos maneras. Con firmas compara el tráfico con patrones descritos de antemano —una cadena en una petición, un conjunto de banderas, un número de conexiones en un intervalo—, y acierta casi siempre en lo que describe. Con anomalías compara con una línea base de lo normal y avisa de lo que se aparta, aunque nadie lo hubiera descrito.

Cada método falla donde el otro acierta. La firma deja pasar la variante nueva que ninguna regla describe. La anomalía ve lo nuevo, pero da ruido el día que lo normal cambia —un cierre de mes, una migración— hasta que la línea base se reajusta. Lo que las dos comparten es que dicen «esto se parece a»: ninguna dice «esto es un ataque».

Un sensor en línea no bloquea con todas sus reglas. Una regla pasa de avisar a descartar solo cuando la casa confía en ella: lleva tiempo disparando sin falsos positivos y se sabe qué tráfico legítimo la podría rozar. Por eso el sensor que bloquea suele tener muchas menos reglas que los de detección, y la mayoría de las que tiene siguen siendo solo de aviso.

La tabla reglas_por_accion cuenta las reglas de cada sensor por acción: alert avisa, drop descarta y pass deja pasar sin inspeccionar. Un número alto de drop no es un mérito: es una cantidad de decisiones que nadie revisa antes de que se ejecuten.

Los sensores también fallan: se llenan de tráfico, se reinician, pierden un cable. Qué pasa con la red entonces depende de dónde estén. El que mira una copia deja un hueco en la vista del SOC, pero la red sigue funcionando. El que está en línea tiene que elegir de antemano entre dos males: cortar el enlace y proteger a costa del servicio, o dejar pasar sin inspeccionar y mantener el servicio a costa de la protección.

Lee la última columna de sensores para ver qué eligió Molinos del Sinú para el sensor en línea, y qué se pierde con los otros dos.