Un IDS (Intrusion Detection System, sistema de detección de intrusos) vigila el tráfico de la red o la actividad de un equipo y avisa cuando ve algo que parece un ataque. Un IPS (Intrusion Prevention System) hace lo mismo, pero además bloquea lo que detecta.
El IDS es como una alarma que suena cuando alguien rompe una ventana; el IPS es la alarma que además cierra la reja automáticamente.
En términos técnicos
| Clasificación | Opciones |
|---|---|
| Dónde vigila | NIDS/NIPS: el tráfico de un segmento de red. HIDS: un equipo concreto (archivos, procesos, bitácoras) |
| Cómo detecta | Por firmas: compara con patrones de ataques conocidos. Por anomalías: aprende lo normal y alerta lo que se sale de ello |
| Cómo se conecta | IDS: recibe una copia del tráfico (puerto espejo/SPAN o TAP). IPS: va en línea, el tráfico pasa por él |
- Herramientas libres: Suricata y Snort (firmas, IDS/IPS), Zeek (análisis de tráfico y registros detallados), Wazuh (HIDS).
- Muchos firewalls de nueva generación incluyen un IPS.
¿Dónde lo vas a encontrar?
En el borde de la red de empresas y universidades, en los firewalls de nueva generación, en los centros de datos, en los equipos de monitoreo de un SOC y en los laboratorios de ciberseguridad.