IDS: firmas que reconocen el ataque

Un IDS no «entiende» el tráfico: compara lo que pasa con firmas, descripciones de la forma de un ataque conocido. Una firma de barrido dice «muchas conexiones nuevas en poco tiempo»; una de inyección web dice «una comilla donde debería ir un dato». Reconocer un ataque es tener escrita su forma. En Salitre, las firmas del IDS son las que convierten tráfico en alertas con nombre.

Detectar con un IDS es enseñarle de antemano qué forma tiene lo que buscas. Sin firma, el patrón pasa sin que nadie lo nombre.

El enemigo del que detecta no es la falta de alertas: es el exceso. Una firma que salta con «cualquier paquete» inunda al analista de avisos inútiles, y la alerta de verdad se pierde entre cientos que no lo son. Una firma demasiado amplia es, en la práctica, como no tener ninguna: nadie puede mirar lo que no para de sonar. En Salitre, una de las firmas está así de abierta y ahoga el panel.

Demasiadas alertas es lo mismo que ninguna. La detección buena no es la que avisa más, es la que avisa bien.

Afinar una firma es estrecharla hasta que describa solo el ataque y no el tráfico normal. Una firma de barrido bien hecha distingue muchas conexiones nuevas de golpe de un día ajetreado normal; una de inyección busca la comilla en el parámetro, no cualquier carácter. El trabajo es recortar hasta que la firma cace la señal y calle con el ruido. En Salitre, la firma demasiado abierta se arregla estrechándola a su patrón real.

Afinar no es apagar la firma: es darle la forma justa. Ni tan ancha que grite con todo, ni tan estrecha que se le escape el ataque de verdad.

La firma mal afinada no se adivina: se ve en la lista de firmas del IDS. Abre el laboratorio, revisa las firmas del IDS de Salitre y baja hasta el código de sala al pie.