La ciberseguridad comprende los procesos y herramientas utilizadas para proteger la confidencialidad, integridad y disponibilidad de los recursos y bienes en el ciberespacio. Las herramientas utilizadas para proteger a los usuarios y dispositivos incluyen los sistemas de detección de intrusiones (IDS, por sus siglas en inglés) [1], la autenticación de usuarios, la encriptación de datos, los cortafuegos y los antivirus. Los IDS detectan tráfico de red malicioso, comportamientos anómalos e intentos de intrusión en los sistemas informáticos. Los IDS automatizan la detección de amenazas, alertando a los administradores de seguridad sobre amenazas conocidas o potenciales. Existen dos tipos diferentes de IDS según el lugar donde se implemente la detección de intrusiones, como se muestra en la Figura 1. Más concretamente, los IDS basados en host (HIDS, por sus siglas en inglés) [2] monitorizan los hosts para detectar actividades maliciosas, como la modificación de archivos del sistema o cambios en la configuración. Por otro lado, los IDS basados en red (NIDS, por sus siglas en inglés) [3] se localizan en nodos de la red, como routers o gateways, para detectar anomalías en el tráfico de red.

Específicamente, los HIDS monitorizan datos, como tráfico de la red y registros del sistema para determinar si el sistema ha sido comprometido. Este enfoque se basa en que los hosts monitoreen los dispositivos y detecten el uso indebido de los recursos disponibles.

Típicamente, los HIDS tienen agentes instalados en los hosts que monitorean la actividad y envían los datos a servidores de gestión, como se muestra en la Figura 2. Los HIDS también pueden utilizar dispositivos especiales para ejecutar el agente de software directamente y monitorear el tráfico. De alguna manera, estos dispositivos pueden considerarse una forma de NIDS diseñados para proteger elementos específicos.

Sus principales funcionalidades incluyen análisis de registros, verificación de integridad, monitoreo del registro de Windows, detección de rootkits, también conocidos como encubridores, alertas en tiempo real y respuesta activa.

El propósito de los NIDS es proporcionar alertas e informes en tiempo real sobre actividades maliciosas, incluidas páginas web maliciosas, ataques de acceso ilícito a webs o ataques de hombre-en-el-medio (man-in-the-middle), mejorando así la seguridad en la red. Los IDS se despliegan en la red con el objetivo principal de proteger toda la infraestructura contra intrusiones, incluyendo todos los dispositivos conectados. Los IDS monitorizan constantemente el tráfico en la red para detectar posibles amenazas.

Estos componentes trabajan en conjunto para garantizar la continua monitorización y detección de amenazas efectiva, desempeñando un papel fundamental en el mantenimiento de la seguridad de la red. Un ejemplo de NIDS se muestra en la Figura 3.

Los NIDS operan basándose en reglas preconfiguradas que les permiten funcionar automáticamente y sin supervisión. Es importante destacar que su efectividad depende de la regularidad con la que se actualicen sus bases de datos de amenazas conocidas. Ejemplos populares de NIDS son: Snort [8], Suricata [9] y Zeek [10]. Una comparación de estas herramientas de código abierto se proporciona en la Tabla 1.

Snort aplica estas reglas para identificar paquetes que coincidan con los criterios y alerta a los usuarios en consecuencia. Snort puede realizar análisis de tráfico en tiempo real, registro de paquetes en redes de Protocolo de Internet (IP), análisis de protocolos, y búsqueda y comparación de contenido.

Snort puede utilizarse para registrar tráfico no deseado como un sistema pasivo y mostrar registros de paquetes en un formato legible, haciéndolo apto tanto para conexiones domésticas DSL como para redes corporativas.

Suricata toma medidas sobre eventos e intenta bloquear el tráfico malicioso, mientras permite una inspección profunda de paquetes y monitorización de seguridad. Suricata puede implementarse en un host de puerta de enlace (gateway) para escanear todo el tráfico entrante y saliente de otros sistemas o ejecutarse localmente.

Zeek proporciona una plataforma integral para el análisis del tráfico de red que va más allá de la simple detección basada en firmas.