Intrusion Detection System (IDS) คืออะไร?
ระบบตรวจจับการบุกรุก ตรวจสอบ Network/System หากิจกรรมผิดปกติหรือฝ่าฝืนนโยบาย แจ้งเตือน (Alert) ไปยัง SIEM/SOC
Intrusion Prevention System (IPS) คืออะไร?
IDS ที่สามารถ บล็อก/ป้องกัน การโจมตีได้อัตโนมัติ (Inline Mode)
Open Source IDS/IPS ยอดนิยม
| Tool | ประเภท | จุดเด่น |
|---|---|---|
| Snort | NIDS/NIPS | Rule-based (Snort Rules), มาตรฐานอุตสาหกรรม, Cisco/Talos Maintain |
| Suricata | NIDS/NIPS/NSM | Multi-threaded, PCAP, Eve JSON, Lua Scripting, Protocol Parsing หนัก |
| Zeek (Bro) | NSM | Deep Packet Analysis, Application Layer Logging, Scripting Framework |
Honeypot / Honeynet / Padded Cell
- Honeypot: Decoy System ล่อดึง Attacker เรียนรู้ TTPs
- Honeynet: Network ของ Honeypots หลายตัว จัดการโดย Honeywall
- Padded Cell: Hardened Honeypot ยากกว่าในการ Compromise ใช้ร่วม IDS
ทำไมใช้ Open Source IDS/IPS?
- ค่าใช้จ่ายต่ำ (Free License)
- Custom Rules เองได้ (Snort/Suricata Rules)
- Community Rules Updates (Emerging Threats, Talos)
- Integrate กับ SIEM (ELK, Splunk, Graylog)
Snort ยังใช้อยู่ไหม?
ใช่ ใช้กันกว้างขวางโลก แม้ Cisco จะย้าย Community Rules ไปเป็น Subscription แต่ยังมี Free Rules และ Snort 3 (Open Source)
Suricata ใช้ทำอะไร?
IDS, IPS, NSM (Network Security Monitoring) เหมาะสำหรับ High-throughput Networks, Cloud, Industrial Control Systems
