🎯 IDS คืออะไร?
IDS (Intrusion Detection System) = ระบบตรวจจับการบุกรุก — ซอฟต์แวร์/ฮาร์ดแวร์ที่ตรวจสอบการจราจรเครือข่าย/ระบบ เพื่อหา กิจกรรมน่าสงสัย/การโจมตี และ แจ้งเตือน (Alert) — ไม่บล็อก/ไม่ป้องกัน เอง
⚔️ IDS vs IPS: ต่างกันที่ไหน?
| คุณสมบัติ | IDS (Detection) | IPS (Prevention) |
|---|---|---|
| ฟังก์ชันหลัก | ตรวจจับ + แจ้งเตือน | ตรวจจับ + บล็อก/ป้องกัน ทันที |
| ตำแหน่งติดตั้ง | Out-of-band (Tap/SPAN Port) — ไม่อยู่ในנתיבข้อมูล | In-line (อยู่ในנתיבข้อมูล) — ทุกแพ็กผ่าน |
| ผลกระทบต่อ Network | ไม่มี (Passive) | มี Latency, จุดล้มเหลวเดี่ยว (Single Point of Failure) |
| False Positive | แจ้งเตือนเยอะ → Alert Fatigue | บล็อก Traffic ปกติได้ (Business Impact) |
| โหมดทำงาน | Monitor/Alert Only | Block/Drop/Reset/Quarantine |
🔍 IDS ทำงานอย่างไร?
2 วิธีตรวจจับหลัก:
- Signature-based (Misuse Detection): จับคู่ Signature/Pattern ของโจมตีที่รู้จัก (เช่น Snort Rules, Suricata Rules) — จับได้แม่น แต่มองไม่เห็น Zero-day
- Anomaly-based (Behavioral Detection): เรียนรู้ "พฤติกรรมปกติ" (Baseline) → แจ้งเตือนเวลาผิดปกติ — จับ Zero-day ได้ แต่มี False Positive สูง
แบบผสม (Hybrid):
ปัจจุบันส่วนใหญ่ใช้ Hybrid — Signature + Anomaly + Machine Learning
📦 ประเภทของ IDS (3 ประเภทหลัก)
| ประเภท | ย่อ | ตำแหน่ง/ขอบเขต | ตัวอย่าง |
|---|---|---|---|
| Network-based IDS | NIDS | จุดกลางเครือข่าย (Core Switch, DMZ, Internet Edge) — ดู Traffic ทั้งหมด | Snort, Suricata, Zeek, Cisco Secure IDS |
| Host-based IDS | HIDS | บน Host/Server/Endpoint — ดู Logs, File Integrity, System Calls, Registry | OSSEC/Wazuh, Tripwire, AIDE, Sysmon |
| Hybrid / Application-based | APM/WAAP | ระดับแอปพลิเคชัน (API, Web App, Database) | ModSecurity, AppDynamics, Datadog APM |
🛠️ ตัวอย่าง IDS Tools (Open Source & Commercial)
- Snort / Suricata — NIDS มาตรฐานอุตสาหกรรม (Rule-based)
- Zeek (Bro) — Network Traffic Analysis, Protocol Analysis
- Wazuh (OSSEC Fork) — HIDS + SIEM + Vulnerability Detection
- Security Onion — Distro พร้อม Snort/Suricata/Zeek/Wazuh/Elastic
- Cisco Secure IDS/IPS (FirePOWER)
- Palo Alto Networks / FortiGate / Check Point — Integrated IPS/IDS
🔄 IDS + IPS ทำงานร่วมกันอย่างไร?
- IDS (Passive) ตรวจจับ → ส่ง Alert ไป SIEM/SOAR
- SOAR/Analyst วิเคราะห์ → สั่ง IPS/Firewall บล็อก IP/Rule
- หรือ: IDS + IPS แยกตัว — IDS ดูภาพรวม IPS บล็อกจุดสำคัญ
📋 หน้าที่ของ IDS
- ตรวจสอบช่องโหว่ระบบ (Vulnerability Assessment)
- ตรวจสอบความสมบูรณ์ไฟล์ (File Integrity Monitoring - FIM)
- วิเคราะห์รูปแบบโจมตี (Attack Pattern Analysis)
- สแกนภัยคุกคามใหม่จากอินเทอร์เน็ต (Threat Intelligence Feeds)
- ตรวจสอบ Firewall Logs, System Logs, Application Logs
- แจ้งเตือน SOC Team / SIEM
✅ ข้อดีของ NIDS (Network-based IDS)
- ไม่ส่งผลต่อประสิทธิภาพเครือข่าย (Out-of-band)
- มองเห็น Traffic ทั้งเครือข่าย (Holistic View)
- ไม่เป็น Single Point of Failure
- Deploy ได้ง่าย (SPAN Port / TAP)
⚠️ ข้อจำกัด
- Encrypted Traffic (TLS 1.3) — มองไม่เห็น Payload (ต้อง SSL Decryption)
- False Positive สูง → ต้อง Tuning Rules ตลอดเวลา
- ไม่ป้องกันได้ — ต้องควบคู่ IPS/Firewall/EDR
- High Volume Traffic ต้อง Hardware/Resource แรง
💡 สรุป
IDS = ตรวจจับ + แจ้งเตือน (Passive)
IPS = ตรวจจับ + บล็อก (Active, In-line)
องค์กรสมัยใหม่ใช้ IDS + IPS + SIEM + SOAR + EDR ร่วมกัน (Defense in Depth) และขยับไปสู่ NDR (Network Detection & Response) ที่ใช้ ML/AI วิเคราะห์พฤติกรรม
