Sistema de Detecção de Intrusão (IDS): Dispositivo de Segurança para Monitoramento Baseado em Assinaturas

O dispositivo que monitora tráfego de rede para atividades ilegais baseadas em assinaturas de ataques conhecidos é um Sistema de Detecção de Intrusão (IDS).

Como IDS Funciona

1. Captura de Tráfego: Network tap, porta SPAN, ou implantação inline
2. Correspondência de Assinatura: Compara pacotes/streams contra banco de dados de padrões de ataque conhecidos (regras Snort, Emerging Threats, feeds de vendors)
3. Geração de Alerta: Em correspondência → log, notifica (SIEM, e-mail, SNMP), opcionalmente bloqueia (se IPS)

Dois Modelos de Implantação

Tipo	Baseado em Host (HIDS)	Baseado em Rede (NIDS)
Escopo	Host único (servidor, workstation)	Segmento de rede / LAN inteira
Visibilidade	Processo, arquivo, log, syscall	Nível de pacote/fluxo
Exemplos	OSSEC, Wazuh, Tripwire, Auditd	Snort, Suricata, Zeek, Cisco FirePOWER
Tráfego Criptografado	Vê descriptografado (visão do host)	Cego sem inspeção TLS

IDS vs. IPS

• IDS: Detecta + Alerta (passivo). "Viu algo, disse algo"
• IPS (Sistema de Prevenção de Intrusão): Detecta + Bloqueia (inline). "Viu algo, parou algo"
• Modernos: Frequentemente combinados como IDS/IPS ou NIPS (Network IPS)

Limitações

• Apenas assinatura: Perde ataques zero-day/desconhecidos
• Falsos Positivos: Tráfego legítimo corresponde a assinatura → fadiga de alertas
• Evasão: Fragmentação, criptografia, polimorfismo burlam assinaturas
• Sem Prevenção (IDS): Alerta após o fato

Evolução Moderna

NDR (Network Detection & Response) / XDR: Adiciona analytics comportamental, detecção de anomalia ML, threat hunting, resposta automatizada — indo além de correspondência pura de assinatura.

• Como Identificar Anúncio Aluguel Falso Online: 12 Bandeiras Vermelhas e Passos Verificação
• BullGuard Internet Security: Recursos de Proteção Abrangentes