Sistema de detección de intrusos (IDS): qué es y tipos

¿Qué es un sistema de detección de intrusos? El IDS en seguridad informática

En seguridad informática, IDS son las siglas en inglés de sistema de detección de intrusos. La guía SP 800-94 del NIST sobre sistemas de detección y prevención de intrusos (en inglés) describe la detección de intrusos como observar lo que ocurre en equipos y redes y analizar esos eventos en busca de señales de posibles incidentes. El glosario del NIST (en inglés) define un IDS como el software que automatiza ese proceso.

Un IDS no detiene un ataque por sí solo. Su trabajo es notar lo que no debería estar pasando, como una ráfaga de inicios de sesión fallidos, una cuenta de administrador nueva o tráfico hacia una dirección conocida como maliciosa, y generar una alerta con evidencia suficiente para que una persona actúe: cuándo pasó, en qué equipo, desde qué dirección y qué regla se activó.

Sistema de detección de intrusos y sistema de prevención de intrusos: IDS frente a IPS

Un sistema de prevención de intrusos (IPS) hace lo mismo que un IDS y además puede actuar: descartar tráfico, bloquear una dirección o cerrar una sesión. El NIST trata a los dos con el nombre IDPS, porque muchos productos pueden funcionar de una u otra forma.

Dónde se ubica: un IDS de red suele observar una copia del tráfico, mientras que un IPS de red está en el camino del tráfico. En un solo equipo, la diferencia es si la herramienta solo informa o también cambia reglas del firewall.
Costo de un error: una falsa alarma de un IDS hace perder tiempo; un bloqueo equivocado de un IPS puede dejar fuera a un cliente, a un socio o a su propio administrador.
Implementación habitual: empiece en modo solo de detección, revise lo que se habría bloqueado y después permita el bloqueo para las reglas en las que confía, con una forma rápida de deshacer bloqueos.

Tipos de sistemas de detección de intrusos: de red y de host

La SP 800-94 agrupa estas tecnologías en cuatro clases: de red, inalámbricas, de análisis del comportamiento de la red y de host. La mayoría de las organizaciones elige entre la primera y la última, o las combina.

Sistema de detección de intrusos de red (NIDS): sensores ubicados en puntos como la conexión a internet inspeccionan paquetes y conexiones de muchos equipos a la vez. No ven el tráfico que nunca pasa por el sensor, y pueden ver que hubo una conexión cifrada, pero no lo que contiene. Suricata y Snort son ejemplos conocidos de código abierto.
Sistema de detección de intrusos de host (HIDS): un agente en cada equipo lee sus registros, cuentas, servicios, archivos y conexiones. Ve lo que realmente pasó en ese equipo, pero hay que instalarlo y mantenerlo funcionando en todos. Wazuh y OSSEC son ejemplos comunes de código abierto.
Inalámbricos y de análisis del comportamiento: los sensores inalámbricos vigilan el Wi-Fi en busca de puntos de acceso falsos; el análisis del comportamiento busca volúmenes de tráfico inusuales o conexiones nuevas.

Detección por firmas frente a detección de anomalías

El NIST describe tres métodos de detección, y la mayoría de las herramientas los combina:

Por firmas: compara la actividad con patrones de ataques conocidos o con listas de direcciones maliciosas conocidas. Es precisa y fácil de explicar, pero no ve nada nuevo ni ligeramente modificado.
Por anomalías: aprende cómo es lo normal y marca lo que se aparta, como un inicio de sesión a las 3 a. m. desde un país nuevo o un servidor que de pronto contacta a cientos de equipos. Puede detectar ataques nuevos, pero genera más falsas alarmas y necesita un punto de partida limpio.
Análisis de protocolos con estado: compara el tráfico con el comportamiento esperado de un protocolo y marca las solicitudes que rompen sus reglas.

Una forma sencilla de detección de anomalías sirve en redes pequeñas: registrar cómo está cada equipo el primer día y luego informar lo que cambia.

Qué vigila un sistema de detección de intrusos de host en Windows y Linux

En Windows, los registros de eventos de Seguridad y de Sistema guardan casi todo lo importante. La lista de eventos para supervisar de Microsoft es una buena referencia y aclara que algunos eventos solo se registran si configura la directiva de auditoría correspondiente. Vigile:

Ráfagas de inicios de sesión fallidos (evento 4625) e inicios de sesión correctos desde direcciones nuevas (4624).
Cuentas de usuario nuevas (4720) y miembros agregados a grupos locales como Administradores (4732).
Servicios nuevos (4697, o 7045 en el registro de Sistema) y tareas programadas nuevas (4698).
Un registro de Seguridad borrado (1102), una forma común de ocultar rastros.
Detecciones de Microsoft Defender y la desactivación de Defender.

La detección de intrusos en Linux sigue las mismas ideas con otras fuentes: el registro de autenticación o el diario del sistema, el subsistema de auditoría y el sistema de archivos. Vigile:

Intentos de adivinar contraseñas por SSH e inicios de sesión desde direcciones nunca vistas.
Fallos de sudo y su, usuarios nuevos y cambios en los grupos de administradores o en el archivo sudoers.
Tareas nuevas de cron y at, temporizadores y unidades de servicio.
Cambios en authorized_keys, una forma común de conservar el acceso, según documenta MITRE ATT&CK (en inglés).
Módulos del kernel cargados después del arranque y puertos de escucha nuevos.

Señuelos y honeytokens: alertas que vale la pena leer

El glosario del NIST (en inglés) describe un honeypot como un sistema o recurso diseñado para atraer a los atacantes. Un honeytoken es la versión pequeña: una credencial, un archivo, una cuenta o un puerto de red falsos que ninguna persona ni programa legítimo tiene motivo para tocar. Como el trabajo normal nunca los toca, una alerta de un señuelo casi siempre merece atención inmediata.

Nombres de cuenta señuelo: nombres que las herramientas para adivinar contraseñas prueban primero, como admin o test, y que no son cuentas reales del equipo.
Archivos cebo: archivos de credenciales creíbles con contraseñas inventadas, vigilados por si alguien los abre, los cambia o los borra.
Puertos señuelo: puertos en los que no escucha nada real, así que cualquier conexión es sospechosa.

Nunca ponga secretos reales en un señuelo, excluya las herramientas de copia de seguridad e indexación que leen todos los archivos y anote dónde están los señuelos para que su propio personal no los active. Herramientas de host como LurkerLock incluyen los tres tipos.

Fatiga de alertas y ajuste del IDS

Un IDS sin ajustar puede enterrar los ataques reales bajo miles de alertas inofensivas, hasta que la gente deja de leerlas. La guía del NIST insiste en ajustar la detección para mejorar su precisión, y ese ajuste nunca termina. Pasos prácticos:

Empiece con una línea base, para que lo que ya existía en cada equipo no se informe como nuevo.
Use las reglas de bloqueo en modo solo de detección o de simulacro hasta que confíe en ellas.
Dirija las alertas según su gravedad: las alertas críticas llegan al teléfono de inmediato; las leves van a un resumen diario.
Silencie la actividad legítima conocida con un motivo por escrito y una fecha de vencimiento, no con una excepción general permanente.
Revise cada semana las reglas más ruidosas y corríjalas o retírelas.
Guarde los registros el tiempo suficiente para investigar, en un lugar donde un atacante que entró a un equipo no pueda borrarlos. Las buenas prácticas de registro de eventos (en inglés) que el centro de ciberseguridad de Australia publicó con CISA y otros socios explican qué recopilar y cómo protegerlo.

Cada alerta debe tener un responsable y un siguiente paso. Si nadie actuaría ante ella, no debería despertar a nadie.

Dónde encaja un IDS junto a firewalls, EDR y parches

Un IDS es una capa, y cada una de las demás responde a otra pregunta:

Los firewalls deciden qué tráfico se permite. Un IDS le dice lo que ocurre dentro de lo que se permitió.
La detección y respuesta en endpoints (EDR) registra actividad detallada en los equipos y puede aislar un equipo o detener un proceso. Se superpone con la detección de host; algunas organizaciones usan ambas y otras usan un HIDS donde no tienen EDR.
El antivirus analiza archivos en busca de malware conocido. Un IDS vigila el comportamiento a su alrededor, incluso que alguien desactive el antivirus.
Los parches cierran los huecos que usan los atacantes. El catálogo de vulnerabilidades explotadas conocidas de CISA (en inglés) ayuda a decidir qué parchear primero.
El inicio de sesión con varios factores y las copias de seguridad limitan lo que puede hacer una contraseña robada y el daño que causa una intrusión.

Para una organización pequeña, un comienzo razonable es la detección de host en los equipos más importantes, registros guardados fuera de esos equipos, parches a tiempo e inicio de sesión con varios factores. Un IDS le avisa que algo salió mal; no hace segura una red por sí solo.

Dónde encaja LurkerLock

LurkerLock es seguridad de host para equipos Windows y servidores Linux, en acceso anticipado (Early access). Un sensor en cada equipo vigila muchos de los eventos anteriores: inicios de sesión e intentos de adivinar contraseñas, cuentas, servicios y tareas programadas nuevos, un registro de auditoría borrado, detecciones de Microsoft Defender, tareas de cron, claves autorizadas de SSH, módulos del kernel y puertos de escucha nuevos. Compara las conexiones salientes con listas públicas de amenazas y con su propia lista, y coloca nombres de cuenta señuelo, archivos cebo y puertos señuelo.

Los sensores informan a un LurkerLock Server que usted mismo aloja, con una consola web, o un solo equipo puede usar el sensor sin servidor. El bloqueo está apagado hasta que usted lo habilita, y entonces empieza como simulacro que solo registra lo que bloquearía. Cuando actúa, bloquea direcciones individuales y nunca bloquea las direcciones del propio equipo, su lista de permitidos ni sus direcciones de administración.

Cada hallazgo, bloqueo y decisión queda registrado en el equipo y en su servidor. No hay telemetría, servidor de licencias ni búsqueda de actualizaciones.

No analiza archivos en busca de malware por sí mismo; en Windows informa lo que detecta Microsoft Defender. Los hallazgos pueden incluir nombres de cuenta, direcciones y líneas de comandos, así que avise a los usuarios que sus equipos están supervisados cuando sus normas o las leyes laborales lo exijan. Conozca cómo funciona LurkerLock (en inglés).

Preguntas frecuentes

¿Qué significa IDS en seguridad informática?

IDS significa sistema de detección de intrusos (por sus siglas en inglés): software que vigila el tráfico de red o la actividad de los equipos en busca de señales de ataque y avisa a una persona.

¿Cuál es la diferencia entre un sistema de detección de intrusos y uno de prevención de intrusos?

Un IDS detecta y avisa. Un IPS también puede actuar, por ejemplo descartando tráfico o bloqueando una dirección. Muchos productos hacen las dos cosas, y muchos equipos usan primero la prevención en modo solo de detección.

¿Cuáles son los principales tipos de sistemas de detección de intrusos?

El NIST menciona cuatro: de red, inalámbricos, de análisis del comportamiento de la red y de host. Los de red y los de host son los más comunes, y a menudo se usan juntos.

¿Necesito un sistema de detección de intrusos de host si ya tengo firewall?

Un firewall decide qué tráfico se permite; no le avisa si apareció una cuenta de administrador nueva o si alguien borró un registro de auditoría. Un IDS de host cubre lo que pasa en el equipo después de que se permite una conexión, incluidos los inicios de sesión con contraseñas robadas.

¿Qué debe vigilar primero la detección de intrusos en Linux?

Empiece por los fallos de inicio de sesión por SSH, los inicios correctos desde direcciones nuevas, el uso de sudo, las cuentas de usuario nuevas, los cambios en authorized_keys y en cron, y los puertos de escucha nuevos. Cubren formas comunes en que los atacantes entran y se quedan.

Guías relacionadas

Conozca el producto completo

Consulte funciones, acceso actual y límites

¿Qué es un sistema de detección de intrusos (IDS)? Tipos, IDS frente a IPS y qué vigilar