Auditoría y detección de intrusiones

En un entorno seguro, es necesario supervisar de forma activa si hay intrusiones y ataques. Sería contraproducente instalar sistemas seguros y luego no realizar ninguna auditoría pensando que no se será objeto de ataque alguno.

Hay varios motivos por los que la supervisión y la auditoría de las intrusiones son muy importantes. Entre ellos se incluyen los siguientes:

Cualquier entorno informático en funcionamiento puede estar expuesto a un ataque. Por muy alta que sea la seguridad, siempre existe el riesgo de que se produzca un ataque.
Los ataques que tienen éxito suelen ir precedidos de otros que no lo han tenido. Si no supervisa los ataques, no podrá detectar otros antes de que consigan el objetivo.
Si un ataque logra su objetivo, cuanto antes lo detecte, más fácil le resultará reducir los daños.
Para recuperarse de un ataque, es necesario conocer los daños que ha causado.
La auditoría y la detección de intrusiones le ayudan a determinar el responsable del ataque.
La combinación de auditoría y detección de intrusiones permite establecer una correlación entre la información para identificar los modelos de ataque.
Una revisión periódica de los registros de seguridad ayuda a identificar problemas de configuración de seguridad desconocidos, como permisos incorrectos o una configuración de bloqueo de cuentas poco estricta.
Una vez detectado un ataque, la auditoría permite determinar los recursos de la red que han resultado afectados.
En este capítulo se demuestra cómo una auditoría del entorno le ofrece las mejores opciones para ubicar y controlar un ataque, y se analiza software de supervisión de intrusiones (incluido el uso de sistemas de detección de intrusiones) diseñado específicamente para detectar comportamientos que indican que se está produciendo un ataque.