IDS va IPS — Tarmoqni himoya qiluvchi ikki tizim orasidagi farq

Uyingizda kamera bor — u o'g'rini ko'radi va sizga xabar beradi, lekin uni to'xtatmaydi. Endi tasavvur qiling, eshikda qo'riqchi turibdi — u o'g'rini ko'rgan zahoti eshikni yopadi.

Birinchisi — IDS, ikkinchisi — IPS.

IDS nima?

IDS (Intrusion Detection System) — tarmoqdagi trafikni kuzatib, shubhali harakatni aniqlaydi va xabar beradi. U passiv tizim — trafik yo'lida emas, yonida turadi. Ya'ni trafikni to'xtatib qololmaydi, faqat "bu shubhali" deb signal beradi.

IPS nima?

IPS (Intrusion Prevention System) — xuddi shu narsani aniqlaydi, lekin bir qadam oldinga o'tadi: hujumni ko'radi va darhol ulanishni uzadi — log yozish bilan birga.

Katta farq shu yerda: IDS faqat ko'radi, IPS esa harakat qiladi.

Ikkalasini solishtirsak

IDS	IPS
Aniqlaydi, xabar beradi	Aniqlaydi va bloklaydi
Passiv — trafik yonida	Aktiv — trafik ichida (inline)
Tizimga ta'siri kam	Kechikish (latency) qo'shishi mumkin
False positive — faqat ogohlantirish	False positive — legit trafik bloklanishi
Monitoring va audit uchun ideal	Real-time himoya uchun ideal
Snort (sniffer mode), Zeek	Snort (inline), Suricata, Cisco Firepower

Qaysi birini tanlash kerak?

Bu savol noto'g'ri — ikkalasi birga ishlaydi. Lekin resurs cheklangan bo'lsa, quyidagicha qaror qabul qiling:

Faqat monitoring kerak bo'lsa — IDS yetarli. Audit, compliance, log tahlili uchun.
Avtomatik himoya kerak bo'lsa — IPS. Hujum bo'lganda odam tezda javob bera olmaydigan muhitlarda.
Production muhit — ikkalasi birga. IDS chuqur tahlil uchun, IPS darhol bloklash uchun.
False positive ko'p bo'lsa — avval IDS rejimida ishga tushing, qoidalarni sozlang, keyin IPS ga o'ting.

Real arxitektura

Ko'p kompaniyalar shu sxemadan foydalanadi: Internet ↓ Firewall ← birinchi himoya qatlami ↓ IPS (inline) ← ma'lum hujumlarni darhol bloklaydi ↓ DMZ / Server ↓ HIDS ← server ichidagi g'ayrioddiy harakatlarni kuzatadi ↓ SIEM ← IDS + IPS + boshqa loglarni birlashtiradi, tahlil qiladi

Ko'p uchraydigan xatolar

IDS ni o'rnatib, loglarni o'qimaslik. IDS faqat signal beradi — uni ko'radigan va tahlil qiladigan odam yoki SIEM bo'lmasa, bekor pul sarflagan bo'lasiz.
IPS ni sozlamasdan yoqish. Default qoidalar bilan IPS ko'pincha legit trafikni ham bloklaydi. Avval IDS rejimida ishlating, false positive larni kamaytiring, keyin IPS ga o'ting.
Shifrlangan trafikni tekshirmaslik. HTTPS trafik IDS/IPS dan "ko'r" o'tadi. SSL inspection o'rnatilmagan bo'lsa, hujumchi faqat HTTPS ishlatib o'tib ketadi.
Faqat perimetrni himoya qilish. Tashqi hujumdan saqlanib, ichki tarmoqni unutish — lateral movement hujumlariga yo'l ochib beradi. HIDS ham kerak.

Xulosa: IDS ko'radi, IPS to'xtatadi — ikkalasi bir-birini to'ldiradi. Eng yaxshi arxitektura: chegarada IPS, ichkarida IDS va HIDS, hammasini SIEM bilan birlashtirish.

Yuklanmoqda...

IDS va IPS — Tarmoqni himoya qiluvchi ikki tizim orasidagi farq

Comments (0)