¿Qué es un sistema de detección de intrusos (IDS)? Tipos

Un sistema de detección de intrusos (IDS, intrusion detection system) es una herramienta de seguridad que vigila el tráfico de red o la actividad de un equipo en busca de señales de ataque o de infracciones de políticas y genera una alerta cuando las encuentra. Detecta e informa; no bloquea: eso es trabajo de un sistema de prevención de intrusos (IPS). Los dos tipos principales son el de red (NIDS) y el de host (HIDS). En el fondo es una alarma antirrobo para tus sistemas: te avisa de que algo va mal para que tu equipo pueda responder. Lo que no es (y esto confunde a la gente constantemente) es una cerradura que detiene al intruso.

¿Dudas entre un IDS, un IPS y la detección y respuesta de red (NDR)? Prueba el selector de IDS, IPS y NDR.

HIDS vs NIDS en resumen: un IDS de host (HIDS) se ejecuta en una máquina y vigila sus logs, la integridad de sus archivos, sus procesos y su configuración, así que ve la actividad local y el tráfico ya descifrado, pero solo en ese equipo. Un IDS de red (NIDS) vigila el tráfico de un segmento de red desde un puerto span o un tap, así que ve muchos equipos a la vez, pero no el interior del tráfico cifrado ni nada que no cruce la red. La mayoría de las organizaciones usan los dos: NIDS para la amplitud y HIDS para la profundidad en los sistemas críticos. Abajo tienes el detalle.

Detección, no prevención

Un IDS estándar es pasivo. Observa, analiza y alerta, pero no bloquea el tráfico que señala. Ese papel activo de bloqueo corresponde a un sistema de prevención de intrusos (IPS), que es básicamente un IDS colocado en línea, directamente en el camino del tráfico, para que además de detectar pueda descartar paquetes, reiniciar conexiones o bloquear un origen.

La diferencia es de ubicación y de consecuencias. Un IDS vigila una copia del tráfico fuera de banda, así que una alerta equivocada solo te cuesta una investigación. Un IPS está en el camino real, así que un falso positivo puede cortar tráfico legítimo y el propio dispositivo se convierte en un posible cuello de botella o punto de fallo. Ese equilibrio es justo la razón por la que muchas organizaciones aplican la detección con confianza sobre un conjunto amplio de reglas, pero activan la prevención activa solo para las reglas de alta confianza. Muchos productos modernos son IDS/IPS combinados y pueden hacer una cosa u otra por regla.

NIDS frente a HIDS: dónde vigila

Los despliegues de IDS se dividen según dónde miran.

• IDS de red (NIDS). Inspecciona el tráfico que circula por un segmento de red, normalmente alimentado por un puerto span (de réplica) o un tap de red. Su fuerza es la amplitud: desde un solo punto de observación puede ver la actividad de muchos equipos a la vez (escaneos de puertos, movimiento lateral, balizas de mando y control). Sus límites son que, en general, no puede ver el interior del tráfico cifrado ni observar nada que no cruce la red, como una acción local en una sola máquina.
• IDS de host (HIDS). Se ejecuta en un sistema concreto y vigila ese equipo directamente: sus logs, la integridad de sus archivos, los procesos en ejecución, los cambios en el registro o la configuración y la actividad local. Su fuerza es la profundidad: ve cosas que un sensor de red no puede, incluida la actividad una vez descifrado el tráfico y los cambios puramente locales. Su límite es el alcance: solo protege el equipo en el que se ejecuta, así que se despliega en los sistemas que más importan.

Los dos son complementarios, no rivales. El NIDS te da amplitud en la red; el HIDS te da profundidad en los servidores y endpoints críticos. Un programa serio usa los dos, lo que en sí mismo es una aplicación de la defensa en profundidad: sensores que se solapan para que el hueco de un punto de observación lo cubra otro.

Firmas frente a anomalías: cómo decide

Los productos IDS también se diferencian en cómo deciden que algo es sospechoso.

• La detección por firmas compara la actividad observada con una base de datos de patrones de ataque conocidos, igual que el antivirus por firmas. Es precisa y silenciosa ante las amenazas conocidas, pero ciega ante cualquier cosa nueva o disfrazada: no existe firma para un ataque que nadie ha catalogado todavía.
• La detección por anomalías construye una línea base del comportamiento normal y señala las desviaciones significativas. Puede atrapar ataques nuevos o desconocidos que no tienen firma, pero genera más falsos positivos, porque «inusual» no es lo mismo que «malicioso». Un proceso de negocio nuevo puede parecer exactamente un ataque para un modelo que nunca lo ha visto.

Ninguno basta por sí solo, así que los despliegues maduros los combinan: firmas para lo malicioso conocido y detección de anomalías como red para lo desconocido.

Dónde se coloca un IDS y por qué las alertas van a un SIEM

Un NIDS se coloca en los puntos de paso obligado de la red (el perímetro, entre segmentos internos, delante de las zonas sensibles) para que vea el tráfico que importa. Un HIDS se despliega en los equipos de alto valor. Pero un IDS por sí solo produce un flujo de alertas individuales con poco contexto, y ese flujo puede ser abrumador.

Por eso las alertas de un IDS casi siempre se envían a un SIEM (sistema de gestión de información y eventos de seguridad). El SIEM recoge las alertas junto con los logs de autenticación, la telemetría de los endpoints, los logs del firewall y la inteligencia de amenazas, y los correlaciona. Un paquete sospechoso aislado cobra sentido cuando el SIEM lo vincula con un inicio de sesión fallido y luego correcto y con un proceso inusual en el mismo equipo. El triaje, la priorización y la investigación ocurren en el SIEM y en el equipo que lo rodea; el IDS simplemente aporta una entrada valiosa. Pensar por qué rutas de red pasaría un atacante (y, por tanto, dónde se ganan el sueldo los sensores) es el tipo de razonamiento que un modelo de amenazas concreta, y un IDS es uno de los controles de detección que la función Detect del NIST Cybersecurity Framework espera que tengas.

Los límites que conviene recordar

Un IDS es una capa de detección, no una defensa autónoma. No detiene ataques por sí solo (eso es el IPS), solo es tan bueno como su ajuste (un IDS ruidoso y sin ajustar enseña a los analistas a ignorarlo) y sus alertas solo son tan útiles como las personas y el proceso que hay detrás. Una alerta que nadie lee no es detección. Presupuesta el ajuste y la capacidad de respuesta, no solo el sensor.

Preguntas frecuentes

¿Qué es un IDS? Un sistema que vigila el tráfico de red o la actividad de un equipo en busca de comportamientos maliciosos o infracciones de políticas y genera alertas; detecta e informa, pero no bloquea.

¿En qué se diferencia un IDS de un IPS? Un IDS es pasivo y fuera de banda, y solo alerta; un IPS está en línea y puede bloquear, descartar o reiniciar activamente el tráfico malicioso, con el riesgo de cortar tráfico legítimo ante un falso positivo.

¿Qué diferencia hay entre NIDS y HIDS? El NIDS vigila el tráfico de red de muchos equipos; el HIDS se ejecuta en un solo equipo y vigila sus logs, archivos y procesos. El NIDS da amplitud; el HIDS, profundidad.

¿Detección por firmas o por anomalías? Las firmas detectan con precisión patrones de ataque conocidos pero no ven lo nuevo; la detección por anomalías señala desviaciones de lo normal y puede atrapar ataques nuevos, pero produce más falsos positivos.

¿Cómo trabaja un IDS con un SIEM? El IDS produce alertas; el SIEM las recoge y las correlaciona con otros logs para que los analistas hagan el triaje y la investigación con contexto.