Система обнаружения атак (СОА) (англ. Intrusion Detection System, IDS) — программное или аппаратное средство, предназначенное для выявления фактов несанкционированного доступа или компьютерных атак на информационную систему в реальном времени.
Система обнаружения атак (СОА) — это решение для мониторинга сетевого трафика и анализа событий информационной безопасности с целью выявления:
📌 Важно: В российской нормативной документации используется термин СОА (система обнаружения атак), который соответствует международному термину IDS.
| Тип | Описание | Что анализирует |
|---|---|---|
| Сетевые (NIDS)} | Устанавливаются на ключевых участках сети | Сетевой трафик (пакеты) |
| Хостовые (HIDS)} | Устанавливаются на защищаемых серверах и ПК | Системные логи, файлы, процессы, реестр |
| Системные (Hybrid)} | Комбинация сетевой и хостовой | Трафик + события на хостах |
| Метод | Принцип | Плюсы | Минусы |
|---|---|---|---|
| Сигнатурный} | Сравнение с базой известных атак | Высокая точность, мало ложных срабатываний | Не обнаруживает новые (Zero-Day) атаки |
| Аномальный} | Поиск отклонений от нормального поведения | Может находить новые атаки | Много ложных срабатываний |
| Гибридный} | Комбинация сигнатурного и аномального | Баланс точности и полноты обнаружения | Сложнее в настройке |
| Характеристика | IDS (СОА) | IPS (СОВ) |
|---|---|---|
| Расшифровка} | Intrusion Detection System | Intrusion Prevention System |
| Русский термин} | Система обнаружения атак | Система обнаружения и предотвращения атак |
| Режим работы} | Пассивный (только обнаружение) | Активный (блокирование трафика) |
| Реагирование} | Логирование, оповещение | Блокировка соединения, сброс пакетов |
| Размещение} | Вне полосы (через SPAN) | В полосе (inline) |