IDS / IPS nedir?
IDS (Intrusion Detection System, saldırı tespit sistemi) ağ veya sunucu trafiğini izleyerek şüpheli etkinliği algılar ve uyarı üretir. IPS (Intrusion Prevention System, saldırı önleme sistemi) ise aynı tespiti yapıp saldırıyı gerçek zamanlı olarak engeller.
Aralarındaki temel fark konumdur: IDS genellikle trafiği yan taraftan dinler ve yalnızca bildirir; IPS trafiğin üzerinden geçer ve gerektiğinde paketi düşürür.
Nasıl çalışır?
Bu sistemler iki ana yöntemle tespit yapar. İmza tabanlı yöntem, bilinen saldırı kalıplarını içeren kurallarla trafiği eşleştirir. Anomali tabanlı yöntem ise normal davranışı öğrenir ve bundan sapmaları işaretler. İmza tabanlı çözümler bilinen saldırılarda isabetlidir; anomali tabanlılar yeni saldırıları yakalayabilir ama daha fazla yanlış alarm üretir.
Konumlarına göre de ikiye ayrılırlar: ağ tabanlı (NIDS/NIPS) ve sunucu tabanlı (HIDS/HIPS). Sunucu tabanlı olanlar dosya bütünlüğünü, günlükleri ve sistem çağrılarını izler.
Sunucu ve hosting ortamında
Açık kaynak dünyasında ağ tabanlı çözümler olarak Suricata ve Snort sık kullanılır. Sunucu tabanlı izleme için OSSEC/Wazuh ve benzeri araçlar dosya değişikliklerini, oturum açma denemelerini ve kural ihlallerini yakalayabilir. Fail2ban gibi araçlar ise günlükleri okuyarak basit bir sunucu tabanlı önleme işlevi görür.
Paylaşımlı hostingte bu katman genellikle sağlayıcının altyapısında bulunur. VPS ve özel sunucuda ise yöneticiye ait bir sorumluluktur. Uyarıların merkezi bir günlük sistemine akması, olayların ilişkilendirilmesini sağlar.
Nasıl uygulanır?
- Önce IDS (izleme) modunda başlayıp trafiği tanıyın, sonra seçilmiş kurallar için engellemeye geçin
- Kural setlerini düzenli güncelleyin
- Gereksiz kuralları kapatarak yanlış alarmları azaltın
- Uyarıları e-posta veya merkezi günlükle ilgili kişilere ulaştırın
- Şifreli trafiğin görünürlüğünü (TLS sonlandırma noktasını) planlayın
- Alarmları rutin olarak gözden geçirip kuralları ayarlayın
Sık yapılan hatalar
- Hemen engelleme moduna geçip meşru trafiği kesmek
- Alarm yorgunluğuna yol açacak kadar çok sayıda uyarıyı açık bırakmak
- Kural güncellemelerini ihmal etmek
- Şifreli trafikte hiçbir şey görülmediğini fark etmemek
Sık sorulan sorular
IDS ile IPS arasındaki fark nedir?
IDS şüpheli etkinliği tespit edip uyarı verir, IPS ise tespit ettiği saldırıyı otomatik olarak engeller. IPS trafiğin yolu üzerinde çalıştığı için yanlış alarm riskine daha duyarlıdır.
IDS/IPS güvenlik duvarının yerine geçer mi?
Hayır. Güvenlik duvarı port ve adrese göre erişimi sınırlar. IDS/IPS ise izin verilen trafiğin içinde bile saldırı kalıplarını arar; ikisi birbirini tamamlar.
Hangi IDS/IPS araçları yaygındır?
Ağ tarafında Suricata ve Snort, sunucu tarafında ise OSSEC ve Wazuh gibi açık kaynak araçlar yaygın olarak kullanılır. Seçim ihtiyaca ve altyapıya göre yapılmalıdır.
İlgili terimler
- Let’s EncryptÜcretsiz ve otomatik TLS sertifikası veren sertifika otoritesi.
- ModSecurityApache, nginx ve LiteSpeed ile çalışan açık kaynaklı WAF motoru.
- Olay müdahale (incident response)Bir güvenlik ihlalini tespit etme, sınırlama, ortadan kaldırma ve ondan öğrenme sürecini yöneten planlı yaklaşım.
- Saldırı yüzeyiBir sistemin saldırganın erişebileceği tüm noktalarının toplamı.
- Sandbox (kum havuzu)Bir programı sistemin geri kalanından yalıtılmış ortamda çalıştırma yöntemi.
- Sertleştirme (hardening)Bir sistemin gereksiz özelliklerini kapatıp güvenli yapılandırmaya getirilmesi.