7 beste inbraakpreventiesystemen (IPS) voor 2021

Iedereen wil inbrekers buiten de deur houden. Evenzo, en om vergelijkbare redenen, streven netwerkbeheerders ernaar om indringers buiten de netwerken te houden die ze beheren. Een van de belangrijkste activa van veel van de hedendaagse organisaties zijn hun gegevens. Het is zo belangrijk dat veel mensen met slechte bedoelingen zich tot het uiterste zullen inspannen om die gegevens te stelen. Dat doen ze door een breed scala aan technieken te gebruiken om ongeautoriseerde toegang te krijgen tot netwerken en systemen. Het aantal van dergelijke aanvallen lijkt de laatste tijd exponentieel te zijn toegenomen en als reactie daarop worden systemen opgezet om ze te voorkomen. Die systemen worden Intrusion Prevention Systems of IPS genoemd. Vandaag bekijken we de allerbeste inbraakpreventiesystemen die we konden vinden.

We beginnen met te proberen beter te definiëren wat Intrusion Prevention is. Dit houdt natuurlijk in dat we ook gaan definiëren wat inbraak is. Vervolgens onderzoeken we de verschillende detectiemethoden die doorgaans worden gebruikt en welke herstelacties worden ondernomen bij detectie. Daarna zullen we het kort hebben over passieve inbraakpreventie. Het zijn statische maatregelen die kunnen worden genomen die het aantal inbraakpogingen drastisch kunnen verminderen. Het zal je misschien verbazen dat sommige daarvan niets met computers te maken hebben. Alleen dan, met ons allemaal op dezelfde pagina, zullen we in staat zijn om eindelijk enkele van de beste inbraakpreventiesystemen te beoordelen die we konden vinden.

Inbraakpreventie - waar gaat dit over?

Jaren geleden waren virussen vrijwel de enige zorgen van systeembeheerders. Virussen kwamen op een punt waarop ze zo gewoon waren dat de industrie reageerde door antivirusprogramma's te ontwikkelen. Tegenwoordig zou geen enkele serieuze gebruiker bij zijn volle verstand eraan denken om een ​​computer te gebruiken zonder virusbescherming. Hoewel we niet veel meer over virussen horen, is inbraak - of de ongeautoriseerde toegang tot uw gegevens door kwaadwillende gebruikers - de nieuwe bedreiging. Omdat gegevens vaak het belangrijkste bezit van een organisatie zijn, zijn bedrijfsnetwerken het doelwit geworden van kwaadwillende hackers die zich tot het uiterste zullen inspannen om toegang te krijgen tot gegevens. Net zoals antivirussoftware het antwoord was op de verspreiding van virussen, is Intrusion Prevention Systems het antwoord op indringersaanvallen.

Intrusion Prevention Systems doen in wezen twee dingen. Ten eerste detecteren ze inbraakpogingen en wanneer ze verdachte activiteiten detecteren, gebruiken ze verschillende methoden om deze te stoppen of te blokkeren. Er zijn twee verschillende manieren waarop inbraakpogingen kunnen worden gedetecteerd. Op handtekeningen gebaseerde detectie werkt door netwerkverkeer en gegevens te analyseren en te zoeken naar specifieke patronen die verband houden met inbraakpogingen. Dit is vergelijkbaar met traditionele virusbeschermingssystemen die afhankelijk zijn van virusdefinities. Op handtekeningen gebaseerde inbraakdetectie is afhankelijk van inbraaksignaturen of -patronen. Het belangrijkste nadeel van deze detectiemethode is dat de juiste handtekeningen nodig zijn om in de software te worden geladen. En bij een nieuwe aanvalsmethode duurt het meestal even voordat de aanvalssignaturen worden bijgewerkt. Sommige leveranciers zijn erg snel in het verstrekken van bijgewerkte aanvalssignaturen, terwijl andere veel langzamer zijn. Hoe vaak en hoe snel handtekeningen worden bijgewerkt, is een belangrijke factor om te overwegen bij het kiezen van een leverancier.

Op anomalie gebaseerde detectie biedt betere bescherming tegen zero-day-aanvallen, aanvallen die plaatsvinden voordat detectiesignaturen de kans hebben gehad om te worden bijgewerkt. Het proces zoekt naar afwijkingen in plaats van te proberen bekende inbraakpatronen te herkennen. Het zou bijvoorbeeld worden geactiveerd als iemand meerdere keren achter elkaar probeert toegang te krijgen tot een systeem met een verkeerd wachtwoord, een veelvoorkomend teken van een brute force-aanval. Dit is slechts een voorbeeld en er zijn doorgaans honderden verschillende verdachte activiteiten die deze systemen kunnen activeren. Beide detectiemethoden hebben hun voor- en nadelen. De beste tools zijn tools die een combinatie van handtekening- en gedragsanalyse gebruiken voor de beste bescherming.

Het detecteren van inbraakpogingen is een van de eerste stappen om ze te voorkomen. Eenmaal gedetecteerd, werken Intrusion Prevention Systems actief om de gedetecteerde activiteiten te stoppen. Deze systemen kunnen verschillende corrigerende maatregelen nemen. Ze kunnen bijvoorbeeld gebruikersaccounts opschorten of anderszins deactiveren. Een andere typische actie is het blokkeren van het bron-IP-adres van de aanval of het wijzigen van firewallregels. Als de kwaadaardige activiteit afkomstig is van een specifiek proces, kan het preventiesysteem het proces vernietigen. Het starten van een beveiligingsproces is een andere veelvoorkomende reactie en in het ergste geval kunnen hele systemen worden stilgelegd om mogelijke schade te beperken. Een andere belangrijke taak van Intrusion Prevention Systems is het waarschuwen van beheerders, het vastleggen van de gebeurtenis en het melden van verdachte activiteiten.

Passieve inbraakpreventiemaatregelen

Hoewel Intrusion Prevention Systems u kunnen beschermen tegen talloze soorten aanvallen, gaat er niets boven goede, ouderwetse passieve inbraakpreventiemaatregelen. Het verplicht stellen van sterke wachtwoorden is bijvoorbeeld een uitstekende manier om u te beschermen tegen vele inbraken. Een andere eenvoudige beveiligingsmaatregel is het wijzigen van de standaardwachtwoorden van de apparatuur. Hoewel het minder vaak voorkomt in bedrijfsnetwerken - hoewel het niet ongehoord is - heb ik maar al te vaak internetgateways gezien die nog steeds hun standaard beheerderswachtwoord hadden. Over wachtwoorden gesproken, wachtwoordveroudering is een andere concrete stap die kan worden gezet om inbraakpogingen te verminderen. Elk wachtwoord, zelfs het beste, kan uiteindelijk worden gekraakt, als er genoeg tijd wordt gegeven. Wachtwoordveroudering zorgt ervoor dat wachtwoorden worden gewijzigd voordat ze zijn gekraakt.

Er waren slechts voorbeelden van wat er gedaan kon worden om indringers passief te voorkomen. We zouden een hele post kunnen schrijven over welke passieve maatregelen kunnen worden genomen, maar dit is niet ons doel vandaag. Ons doel is om in plaats daarvan enkele van de beste actieve inbraakpreventiesystemen te presenteren.

De beste inbraakpreventiesystemen

Onze lijst bevat een mix van verschillende tools die kunnen worden gebruikt om te beschermen tegen inbraakpogingen. De meeste van de meegeleverde tools zijn echte Intrusion Prevention Systems, maar we hebben ook tools die, hoewel ze niet als zodanig op de markt worden gebracht, kunnen worden gebruikt om inbraak te voorkomen. Onze eerste vermelding is zo'n voorbeeld. Onthoud dat, bovenal, uw keuze van welk hulpmiddel u wilt gebruiken, moet worden geleid door wat uw specifieke behoeften zijn. Laten we dus eens kijken wat elk van onze toptools te bieden heeft.

1. SolarWinds Log & Event Manager (GRATIS PROEF)

SolarWinds is een bekende naam in netwerkbeheer. Het heeft een solide reputatie voor het maken van enkele van de beste hulpprogramma's voor netwerk- en systeembeheer. Het vlaggenschipproduct, de Network Performance Monitor, scoort consequent een van de beste beschikbare tools voor het bewaken van netwerkbandbreedte. SolarWinds staat ook bekend om zijn vele gratis tools, die elk inspelen op een specifieke behoefte van netwerkbeheerders. De Kiwi Syslog Server of de SolarWinds TFTP-server zijn twee uitstekende voorbeelden van deze gratis tools.

Laat u niet misleiden door de naam van de SolarWinds Log & Event Manager . Er komt veel meer bij kijken dan op het eerste gezicht lijkt. Sommige van de geavanceerde functies van dit product kwalificeren het als een inbraakdetectie- en preventiesysteem, terwijl andere het in het bereik van Security Information and Event Management (SIEM) plaatsen. De tool biedt bijvoorbeeld realtime gebeurteniscorrelatie en realtime herstel.

• GRATIS PROEF: SolarWinds Log & Event Manager
• Officiële downloadlink: https://www.solarwinds.com/log-event-manager-software/registration

De SolarWinds Log & Event Manager biedt onmiddellijke detectie van verdachte activiteiten (een inbraakdetectiefunctie) en geautomatiseerde reacties (een inbraakpreventiefunctie). Deze tool kan ook worden gebruikt om onderzoek naar beveiligingsgebeurtenissen en forensisch onderzoek uit te voeren. Het kan worden gebruikt voor mitigatie- en nalevingsdoeleinden. De tool beschikt over door audits bewezen rapportage die ook kan worden gebruikt om naleving van verschillende regelgevende kaders zoals HIPAA, PCI-DSS en SOX aan te tonen. De tool heeft ook bewaking van bestandsintegriteit en bewaking van USB-apparaten. Alle geavanceerde functies van de software maken het meer een geïntegreerd beveiligingsplatform dan alleen het log- en gebeurtenisbeheersysteem waarvan de naam u doet vermoeden.

De Intrusion Prevention-functies van de SolarWinds Log & Event Manager werken door acties te implementeren die Active Responses worden genoemd wanneer bedreigingen worden gedetecteerd. Aan specifieke alerts kunnen verschillende reacties worden gekoppeld. Het systeem kan bijvoorbeeld naar firewalltabellen schrijven om de netwerktoegang te blokkeren van een bron-IP-adres waarvan is vastgesteld dat het verdachte activiteiten uitvoert. De tool kan ook gebruikersaccounts opschorten, processen stoppen of starten en systemen afsluiten. U herinnert zich vast dat dit precies de herstelacties zijn die we eerder hebben geïdentificeerd.

De prijzen voor de SolarWinds Log & Event Manager variëren op basis van het aantal bewaakte nodes. Prijzen beginnen bij $ 4.585 voor maximaal 30 bewaakte knooppunten en licenties voor maximaal 2500 knooppunten kunnen worden gekocht, waardoor het product zeer schaalbaar is. Als u het product wilt uitproberen en zelf wilt zien of het geschikt voor u is, is er een gratis, volledige proefversie van 30 dagen beschikbaar .

2. Splunk

Splunk is waarschijnlijk een van de meest populaire inbraakpreventiesystemen. Het is verkrijgbaar in verschillende edities met verschillende functiesets. Splunk Enterprise Security – of Splunk ES , zoals het vaak wordt genoemd – is wat je nodig hebt voor echte Intrusion Prevention. De software bewaakt de gegevens van uw systeem in realtime, op zoek naar kwetsbaarheden en tekenen van abnormale activiteit.

Beveiligingsrespons is een van de sterke punten van het product en wat het tot een Intrusion Prevention-systeem maakt. Het maakt gebruik van wat de leverancier het Adaptive Response Framework (ARF) noemt. Het kan worden geïntegreerd met apparatuur van meer dan 55 beveiligingsleveranciers en kan geautomatiseerd reageren, waardoor handmatige taken worden versneld. Deze combinatie als geautomatiseerd saneren en handmatig ingrijpen geeft u de meeste kans om snel de overhand te krijgen. De tool heeft een eenvoudige en overzichtelijke gebruikersinterface, wat zorgt voor een winnende oplossing. Andere interessante beveiligingsfuncties zijn de functie "Notables" die door de gebruiker aanpasbare waarschuwingen toont en de "Asset Investigator" voor het markeren van kwaadaardige activiteiten en het voorkomen van verdere problemen.

De prijsinformatie van Splunk Enterprise Security is niet direct beschikbaar. U moet contact opnemen met Splunk's sales om een ​​gedetailleerde offerte te krijgen. Dit is een geweldig product waarvoor een gratis proefversie beschikbaar is.

3. Sagan

Sagan is in feite een gratis inbraakdetectiesysteem. De tool met scriptuitvoeringsmogelijkheden kan deze echter in de categorie Intrusion Prevention Systems plaatsen. Sagan detecteert inbraakpogingen door het monitoren van logbestanden. Je kunt Sagan ook combineren met Snort, die de uitvoer naar Sagan kan sturen, waardoor de tool een aantal netwerkgebaseerde inbraakdetectiemogelijkheden krijgt. In feite kan Sagan input ontvangen van vele andere tools zoals Bro of Suricata, waarbij de mogelijkheden van verschillende tools worden gecombineerd voor de best mogelijke bescherming.

Er zit echter een nadeel aan de scriptuitvoeringsmogelijkheden van Sagan . U moet de herstelscripts schrijven. Hoewel deze tool misschien niet het beste wordt gebruikt als uw enige verdediging tegen inbraak, kan het een belangrijk onderdeel zijn van een systeem dat verschillende tools bevat door gebeurtenissen uit verschillende bronnen te correleren, waardoor u het beste van vele producten krijgt.

Hoewel Sagan alleen op Linux, Unix en Mac OS kan worden geïnstalleerd, kan het verbinding maken met Windows-systemen om hun evenementen te krijgen. Andere interessante functies van Sagan zijn onder meer het volgen van IP-adreslocaties en gedistribueerde verwerking.

4. OSSEC

Open Source Security , of OSSEC , is een van de toonaangevende open-source hostgebaseerde inbraakdetectiesystemen. We nemen het om twee redenen op in onze lijst. De populariteit is zo groot dat we het moesten opnemen, vooral gezien het feit dat je met de tool acties kunt specificeren die automatisch worden uitgevoerd wanneer specifieke waarschuwingen worden geactiveerd, waardoor het een aantal mogelijkheden voor Intrusion Prevention krijgt. OSSEC is eigendom van Trend Micro, een van de toonaangevende namen op het gebied van IT-beveiliging en maker van een van de beste virusbeschermingssuites.

Wanneer geïnstalleerd op Unix-achtige besturingssystemen, richt de detectie-engine van de software zich voornamelijk op log- en configuratiebestanden. Het maakt controlesommen van belangrijke bestanden en verifieert ze periodiek, waarschuwt u of activeert een corrigerende actie wanneer er iets vreemds gebeurt. Het zal ook elke abnormale poging om root-toegang te krijgen controleren en waarschuwen. Op Windows houdt het systeem ook een oogje in het zeil voor ongeoorloofde registerwijzigingen, aangezien deze het verklikkersignaal kunnen zijn van kwaadwillende activiteit. Elke detectie activeert een waarschuwing die wordt weergegeven op de gecentraliseerde console, terwijl meldingen ook per e-mail worden verzonden.

OSSEC is een host-gebaseerd inbraakbeveiligingssysteem. Als zodanig moet het worden geïnstalleerd op elke computer die u wilt beschermen. Een gecentraliseerde console consolideert echter informatie van elke beveiligde computer voor eenvoudiger beheer. De OSSEC- console draait alleen op Unix-achtige besturingssystemen, maar er is een agent beschikbaar om Windows-hosts te beschermen. Als alternatief kunnen andere tools zoals Kibana of Graylog worden gebruikt als frontend van de tool.

5. Open WIPS-NG

We waren er niet zo zeker van of we Open WIPS NG op onze lijst moesten zetten . Meer hierover in een oogwenk. Het haalde het vooral omdat het een van de weinige producten is die specifiek gericht zijn op draadloze netwerken. WIPS openen NG– waar WIPS staat voor Wireless Intrusion Prevention System – is een open source-tool die uit drie hoofdcomponenten bestaat. Ten eerste is er de sensor. Dit is een dom proces dat eenvoudig draadloos verkeer vastlegt en naar de server stuurt voor analyse. Zoals je waarschijnlijk al geraden hebt, is het volgende onderdeel de server. Het verzamelt gegevens van alle sensoren, analyseert de verzamelde gegevens en reageert op aanvallen. Dit onderdeel vormt het hart van het systeem. Last but not least is de interfacecomponent de GUI die u gebruikt om de server te beheren en informatie weer te geven over bedreigingen die op uw draadloze netwerk zijn gevonden.

De belangrijkste reden waarom we aarzelden om Open WIPS NG op onze lijst op te nemen, is dat, hoe goed het ook is, niet iedereen de ontwikkelaar van het product leuk vindt. Het is van dezelfde ontwikkelaar als Aircrack NG, een draadloze pakketsniffer en wachtwoordkraker die deel uitmaakt van de toolkit van elke wifi-hacker. Dit opent het debat over de ethiek van de ontwikkelaar en het maakt sommige gebruikers op hun hoede. Aan de andere kant kan de achtergrond van de ontwikkelaar worden gezien als een bewijs van zijn diepgaande kennis van wifi-beveiliging.

6. Fail2Ban

Fail2Ban is een relatief populair gratis host-inbraakdetectiesysteem met inbraakpreventiefuncties. De software werkt door systeemlogbestanden te controleren op verdachte gebeurtenissen zoals mislukte inlogpogingen of exploits. Wanneer het systeem iets verdachts detecteert, reageert het door automatisch de lokale firewallregels bij te werken om het bron-IP-adres van het kwaadaardige gedrag te blokkeren. Dit houdt natuurlijk in dat er een firewallproces op de lokale computer draait. Dit is het belangrijkste nadeel van de tool. Elke andere willekeurige actie, zoals het uitvoeren van een corrigerend script of het verzenden van e-mailmeldingen, kan echter worden geconfigureerd.

Fail2Ban wordt geleverd met verschillende vooraf gebouwde detectietriggers, filters genaamd, die enkele van de meest voorkomende services dekken, zoals Apache, Courrier, SSH, FTP, Postfix en nog veel meer. Zoals we al zeiden, worden herstelacties uitgevoerd door de firewalltabellen van de host te wijzigen. Fail2Ban ondersteunt Netfilter, IPtables of de hosts.deny-tabel van TCP Wrapper. Elk filter kan aan één of meerdere acties worden gekoppeld. Samen worden filters en acties een jail genoemd.

7. Bro Netwerkbeveiligingsmonitor

De Bro Network Security Monitor is een ander gratis netwerkinbraakdetectiesysteem met IPS-achtige functionaliteit. Het werkt in twee fasen, het logt eerst het verkeer en analyseert het vervolgens. Deze tool werkt op meerdere lagen tot aan de applicatielaag, wat zorgt voor een betere detectie van gesplitste inbraakpogingen. De analysemodule van het product bestaat uit twee elementen. Het eerste element wordt de Event Engine genoemd en het doel ervan is het volgen van triggering-gebeurtenissen zoals TCP-verbindingen of HTTP-verzoeken. De gebeurtenissen worden vervolgens geanalyseerd door Policy Scripts, het tweede element. De taak van de beleidsscripts is om te beslissen of een alarm wordt geactiveerd, een actie wordt gestart of de gebeurtenis wordt genegeerd. Het is de mogelijkheid om een ​​actie te starten die de Bro Network Security Monitor zijn IPS-functionaliteit geeft.

De Bro Network Security Monitor heeft enkele beperkingen. Het zal alleen HTTP-, DNS- en FTP-activiteit volgen en het zal ook SNMP-verkeer controleren. Dit is echter een goede zaak, omdat SNMP ondanks de ernstige beveiligingsfouten vaak wordt gebruikt voor netwerkbewaking. SNMP heeft nauwelijks ingebouwde beveiliging en maakt gebruik van niet-versleuteld verkeer. En aangezien het protocol kan worden gebruikt om configuraties te wijzigen, kan het gemakkelijk worden misbruikt door kwaadwillende gebruikers. Het product houdt ook wijzigingen in de apparaatconfiguratie en SNMP-traps in de gaten. Het kan op Unix, Linux en OS X worden geïnstalleerd, maar het is niet beschikbaar voor Windows, wat misschien wel het grootste nadeel is. Anders is dit een zeer interessante tool die het proberen waard is.