IDS 침입 탐지 시스템

IDS는 네트워크나 호스트의 활동을 관찰해 침입이 의심되는 행위를 탐지하고 알리는 시스템입니다.

알려진 패턴 또는 정상 활동과의 차이를 바탕으로 경고를 만들 수 있습니다. 센서가 볼 수 있는 위치와 데이터 범위가 탐지 결과를 좌우합니다.

서버 구간의 통신을 관찰해 알려진 공격 요청과 비정상 흐름을 관제 시스템에 알리는 경우입니다.

네트워크 기반과 호스트 기반은 관찰 대상이 다릅니다. 시그니처 기반과 이상 탐지 방식은 판단 방법이 다르며 IPS는 통신을 직접 막는 역할을 가질 수 있습니다.

탐지 경고는 곧 침해 확정을 뜻하지 않습니다. 암호화로 보이지 않는 부분, 오탐과 누락을 고려하고 담당자의 확인 및 대응 절차로 이어야 합니다.

이 절의 용어: Signature-based detection / 시그니처 기반 탐지

시그니처 기반 탐지는 알려진 공격이나 악성 활동의 패턴과 관찰 내용을 비교하는 방식입니다. 명확한 패턴에 유용하지만 새로운 형태나 우회된 표현은 놓칠 수 있습니다. 규칙 갱신과 오탐 및 실제 관측 가능한 자료를 함께 관리해야 합니다.

이 절의 용어: Anomaly-based detection / 이상 기반 탐지

이상 기반 탐지는 정상 활동으로 정한 기준과 다른 관찰을 찾아 경고하는 방식입니다. 알려진 공격과 정확히 같은 모양이 아니어도 탐지할 수 있지만 정상 업무 변화도 이상으로 보일 수 있습니다. 학습 범위와 기준 갱신 및 확인 절차가 중요합니다.