IDS ile IPS arasındaki fark nedir?
Cevap
| Özellik | IDS (Intrusion Detection System) | IPS (Intrusion Prevention System) |
|---|---|---|
| Görev | Tespit eder ve alarm üretir | Tespit eder ve engeller |
| Yerleşim | Out-of-band: SPAN/mirror port veya TAP ile kopya trafik | Inline: trafik cihazın içinden geçer |
| Gecikme | Etkisi yok | Ek gecikme olur |
| Cihaz arızası | Trafik etkilenmez | Fail-open / fail-closed seçimi gerekir |
| False positive etkisi | Gereksiz alarm | Meşru trafik kesilir |
Tespit yöntemleri
- Signature-based: Bilinen saldırı imzaları (ör. Snort/Suricata kuralları). Hızlı ve az false positive, ama sıfır gün saldırılarını yakalayamaz.
- Anomaly-based: Normal davranışın baseline'ı çıkarılır; sapmalar işaretlenir. Bilinmeyen saldırıları yakalayabilir ama false positive oranı yüksektir.
- Policy/stateful protocol analysis: Protokolün RFC'ye uygun kullanılıp kullanılmadığı.
Yerleşim türleri
- NIDS/NIPS: Ağ seviyesinde, segment trafiğini izler.
- HIDS/HIPS: Host üzerinde ajan (OSSEC, Wazuh); log ve dosya bütünlüğünü izler.
Örnek Snort/Suricata kuralı:
alert tcp any any -> $HOME_NET 22 (msg:"SSH brute force"; flags:S; threshold:type both, track by_src, count 10, seconds 60; sid:1000001;)Günümüzde IPS genelde ayrı bir cihaz değil, NGFW'nin bir modülü olarak çalışır. Şifreli trafikte etkili olabilmesi için TLS inspection gerekir.
İlgili Ağ Güvenliği soruları
- DMZ nedir ve tipik bir DMZ mimarisi nasıl tasarlanır?
- 802.1X ve port security nedir? Switch portlarına yetkisiz cihaz bağlanması nasıl engellenir?
- DDoS saldırı türleri nelerdir ve nasıl önlem alınır?
- IPsec VPN ile SSL VPN arasındaki farklar nelerdir? IPsec tünel kurulumu hangi aşamalardan oluşur?
- Cisco'da standart ve extended ACL arasındaki fark nedir? Nereye uygulanmalıdır?
- Stateful ve stateless firewall arasındaki fark nedir?
Bu konuda başka bir soru biliyor musun?
Mülakatta karşılaştığın soruları ekle, onaylandıktan sonra yayına alınsın.