IDS (Intrusion Detection System, saldırı tespit sistemi) ağ trafiğini izler ve saldırı girişimini fark ettiğinde uyarı üretir. IPS (Intrusion Prevention System, saldırı önleme sistemi) aynı incelemeyi yapar ama uyarmakla kalmaz, zararlı trafiği anında keser. Kısaca: IDS görür ve haber verir, IPS görür ve durdurur.
IDS nedir?
IDS, ağdan geçen trafiğin bir kopyasını inceler. Trafiğin yolunun üzerinde durmaz; bu yüzden ağı yavaşlatmaz ve yanlış bir kararı trafiği kesmez. Karşılığında saldırıyı kendisi durduramaz: uyarı üretir, müdahaleyi bir insan ya da başka bir sistem yapar.
IPS nedir?
IPS trafiğin yolunun üzerinde durur. Her paket IPS’ten geçer; zararlı bulunan paket düşürülür, bağlantı kesilir ya da kaynak adres engellenir. Müdahale anlıktır. Karşılığında kuralların iyi ayarlanması gerekir: yanlış bir kural meşru trafiği de keser.
IDS ile IPS arasındaki fark
| IDS | IPS | |
|---|---|---|
| Ne yapar | Tespit eder, uyarır | Tespit eder, engeller |
| Ağdaki yeri | Trafiğin kopyasını izler | Trafiğin yolu üzerindedir |
| Müdahale | İnsan ya da başka sistem yapar | Kendisi yapar, anında |
| Yanlış alarmın sonucu | Gereksiz bir uyarı | Meşru trafiğin kesilmesi |
Günümüzde ikisi çoğunlukla aynı üründe birlikte çalışır; bu yüzden “IDS/IPS” diye birlikte anılır.
IDS ve IPS saldırıyı nasıl tanır?
- İmza tabanlı tespit: Bilinen saldırıların izleri (imzaları) trafikte aranır. Bilinen tehditlerde hızlı ve isabetlidir; daha önce görülmemiş bir saldırıyı tanımaz.
- Anomali tabanlı tespit: Ağın olağan davranışı öğrenilir, bundan sapmalar işaretlenir. Yeni saldırıları yakalayabilir; yanlış alarm oranı daha yüksektir.
Yerleşimine göre iki tür vardır: ağ tabanlı (NIDS / NIPS) ağın bir noktasından geçen tüm trafiği izler; sunucu tabanlı (HIDS / HIPS) tek bir sunucunun üzerinde çalışır ve o sunucunun kayıtlarını, dosya değişikliklerini izler.
IDS / IPS, firewall ve WAF arasındaki fark
| Neye bakar | Örnek | |
|---|---|---|
| Firewall | Bağlantının adresi ve portu | 22 numaralı porta yalnız ofis adresinden erişilsin |
| IDS / IPS | Ağ trafiğinin içeriği ve davranışı | Port taraması, bilinen bir açığı hedefleyen paket |
| WAF | Web isteğinin (HTTP / HTTPS) içeriği | SQL injection, XSS |
Üçü ayrı katmanları korur ve birlikte kullanılır.
Noma Bilişim olarak IDS / IPS’i nasıl kullanıyoruz?
Noma Bilişim’de IDS ve IPS sistemleri, merkezi güvenlik mimarisinin parçasıdır:
- Ağ trafiğini sürekli izleyen IDS sensörleri
- Gerçek zamanlı IPS kurallarıyla otomatik engelleme
- Kayıt ve SIEM entegrasyonuyla merkezi görünürlük
- Yanlış alarmı azaltmak için özelleştirilmiş kural setleri
Bu katman, VDS sunucularımızın ve veri merkezlerimizin önündeki ağda çalışır. Web uygulamanızın kendisi için WAF ayrıca eklenir.
→ WAF Nedir ve Biz Nasıl Kullanıyoruz?
Sık sorulan sorular
IDS ne demek?
IDS, “Intrusion Detection System” ifadesinin kısaltmasıdır; Türkçesi saldırı tespit sistemidir.
IPS ne demek?
IPS, “Intrusion Prevention System” ifadesinin kısaltmasıdır; Türkçesi saldırı önleme sistemidir.
IPS varsa firewall’a gerek kalır mı?
Kalır. Firewall hangi bağlantıya izin verildiğini belirler; IPS izin verilen bağlantının içinde saldırı olup olmadığına bakar.
IDS mi IPS mi daha iyi?
Birbirinin alternatifi değildir. IPS anında engeller; IDS ise engellenmeyen ama şüpheli olan trafiği görünür kılar. Çoğu kurulumda ikisi birlikte çalışır.