IDS — Intrusion Detection System

O IDS (Sistema de Detecção de Intrusão) é descrito pelas fontes como uma ferramenta essencial na estratégia de segurança em profundidade, atuando como um mecanismo de monitoramento passivo projetado para identificar atividades maliciosas ou suspeitas que possam comprometer a integridade, confidencialidade e disponibilidade de uma rede.

1. Postura Passiva vs. Ativa (IDS vs. IPS)

A principal distinção entre os sistemas reside na forma de resposta:

• IDS (Detecção): Funciona em modo passivo. Ele automatiza o processo de detecção, monitorando o tráfego ou as atividades do sistema, registrando violações em arquivos de log e disparando alertas para o administrador, mas não toma ações automáticas para interromper o ataque.
• IPS (Prevenção): É a parte ativa. Ele recebe os alertas do IDS e tem a capacidade de impedir ou bloquear incidentes, como encerrar sessões de usuários ou reprogramar o firewall em tempo real.

A postura passiva do IDS é vantajosa quando o custo de um falso positivo é alto (ex.: bloquear uma transação financeira legítima), mas tem o custo de não impedir o ataque em tempo real — apenas notifica.

2. Classificação quanto ao Posicionamento

As fontes classificam os IDS em duas categorias principais, que podem ser combinadas em sistemas híbridos:

NIDS (Network-Based IDS)

Analisa o fluxo de dados em pontos estratégicos da rede (DMZs, antes/depois de firewalls, em uplinks de core switch), capturando pacotes em modo promíscuo.

• Posicionamento: Via SPAN / port mirror em switches gerenciados, ou TAP (Test Access Point) passivo em links de fibra/cobre.
• Vantagens: Não consome recursos nos hosts, visibilidade total do tráfego, baixo impacto operacional em upgrades de SO.
• Limitações: Incapaz de analisar tráfego criptografado (TLS, IPSec, VPN) sem descriptografia intermediária; queda de desempenho em redes com alto volume (10/40/100 Gbps); cego em ambientes muito segmentados (microssegmentação East-West).

HIDS (Host-Based IDS)

Instalado em máquinas específicas (servidores críticos), foca na análise de acessos a arquivos, alterações de privilégios, logs do sistema operacional, integridade de binários e chamadas de sistema.

• Vantagem crucial: Pode inspecionar tráfego criptografado, pois analisa os dados após a descriptografia pelo host.
• Limitações: Consome CPU/RAM em cada host protegido; gestão de agentes em milhares de máquinas; visibilidade restrita ao host.

Comparativo NIDS vs. HIDS

3. Metodologias de Detecção

Para identificar uma intrusão, o IDS utiliza diferentes abordagens técnicas:

Detecção por Assinatura

Compara o tráfego com um banco de dados de ataques conhecidos (assinaturas). É eficaz contra ameaças já catalogadas, mas inútil contra ataques inéditos (zero-day). Equivale a um antivírus de rede. As assinaturas podem ser simples (string em payload) ou complexas (regras com offsets, byte_test, pcre).

# Exemplo de regra Snort para detecção de SQL Injection
alert tcp $EXTERNAL_NET any -> $HOME_NET 80 (
  msg:"SQL Injection - UNION SELECT";
  content:"UNION"; nocase;
  content:"SELECT"; nocase; distance:0; within:50;
  sid:1000001; rev:1; )

Detecção por Anomalia

Utiliza inteligência computacional (ML, estatística, heurística) para aprender o comportamento normal da rede. Qualquer variação significativa fora desse perfil é marcada como anomalia. Embora detecte ataques novos, o desafio é definir o que é "normal", correndo o risco de gerar muitos falsos positivos. Abordagens modernas usam UEBA (User and Entity Behavior Analytics) e modelos de autoencoder.

Baseada em Especificação

Método híbrido que utiliza regras pré-configuradas sobre o funcionamento esperado do sistema (estado de protocolos, sequências de pacotes, transições de estado válidas) para reduzir alertas falsos. Implementado por ferramentas como o Zeek (antigo Bro), que modela o estado de FTP/HTTP/DNS como máquinas de estados.

4. Ferramentas Comuns

5. Posicionamento e Arquitetura de Sensor

O NIDS é tipicamente posicionado em:

1. Logo após o firewall de perímetro — detecta ataques que escapam às ACLs.
2. Na DMZ — monitora tentativas de exploração em servidores expostos.
3. No core interno — detecta movimentação lateral (East-West traffic).
4. Antes do NAT — vê os IPs originais (pós-NAT, perde-se informação).

A coleta de eventos é feita via SPAN/port-mirror (não intrusivo, mas sujeito a oversubscription em switches de backbone) ou TAP físico (mais caro, mas sem perda de pacotes). Em ambientes modernos com virtualização, usam-se virtual taps ( VMware vDS port mirror, nftables queue).

6. Alertas, SIEM e Resposta

Os alertas do IDS são emitidos em formatos como:

• Syslog (RFC 5424) para SIEMs centralizados (Splunk, Elastic, QRadar).
• IDMEF (RFC 4765) — formato padronizado raramente usado hoje.
• CEF (Common Event Format, Micro Focus) — amplamente suportado.

A integração com SIEM permite correlacionar alertas de IDS com logs de firewall, autenticação (AD) e endpoint (EDR), reduzindo drasticamente os falsos positivos e permitindo construir a kill chain de um ataque.

7. Desafios e Evolução

O uso de IDS enfrenta desafios constantes:

• Falsos positivos: eventos legítimos marcados como ataques (ex.: tráfego de pentest autorizado). Excesso cansa a equipe do SOC e gera "alert fatigue".
• Falsos negativos: ataques reais ignorados pelo sistema. Particularmente perigoso em ataques APT (Advanced Persistent Threat) que evadem assinaturas.
• Tráfego cifrado: com TLS 1.3 e ECH (Encrypted Client Hello), o NIDS perde visibilidade. Solução: SSL break via forward proxy (com ressalvas legais/privacy).

Historicamente, o conceito surgiu na década de 80 com projetos como o IDES (Intrusion Detection Expert System, SRI, 1985) e o NSM (Lawrence Livermore), que serviram de base para sistemas modernos. Hoje, ferramentas avançadas como o IDS Suricata oferecem alta escalabilidade através de mecanismos multithread, permitindo a análise de tráfego de até 10 Gigabit e a identificação automática de protocolos na camada de aplicação. A evolução mais recente é o conceito de NDR (Network Detection and Response), que combina NIDS + ML + resposta automatizada.

8. Resumo Técnico

9. Conclusão

O IDS é o "sistema de alarme" da rede corporativa: não impede invasões por si só, mas fornece a visibilidade essencial para que a equipe de segurança identifique e responda a incidentes. Sua eficácia depende da qualidade das assinaturas, da calibração do modelo de anomalia e — sobretudo — da integração com SIEM e processos de resposta a incidentes. Em arquiteturas modernas Zero Trust, o IDS tende a ser complementado (ou substituído) por NDR com ML e por observabilidade nativa do service mesh.