Arquitectura de un sistema de detección de intrusos

Prácticamente todos los sistemas de detección de intrusos tienen ciertas partes bien definidas que pasamos a comentar seguidamente:

• Fuentes de recogida de datos de aplicaciones. Punto de recogida de datos para análisis actual o posterior que bien puede ser una red, el sistema o elementos que residen en el propio sistema.

• Reglas. Estas reglas en muchos casos son las que caracterizan las violaciones que pueden ser cometidas y contra las que se contrastan los datos obtenidos en el punto anterior.

• Filtro. Esta parte se encarga de contrastar las reglas contra los datos obtenidos.

• Detectores de anomalías. En los casos de análisis por anomalías son aquellos que detectan eventos extraños en el sistema o los recursos monitorizados.

• Generador de informes o alarmas. Una vez que se han procesado los datos contra las reglas por el filtro y si existe alguna situación que haga creer que se ha vulnerado o intentado vulnerar la seguridad del sistema, esta parte del detector de intrusos informa al administrador de este hecho ( mediante correo, mensajes a móviles, avisos acústicos, etc...).

En la figura 1 podemos ver gráficamente como se puede diseccionar la arquitectura de un sistema de detección de intrusos.

Figura: Arquitectura de un sistema de detección de intrusos