IDS คืออะไร?
IDS (Intrusion Detection System) = ระบบตรวจจับการบุกครั้ง/การโจมตีเครือข่าย เป็นซอฟต์แวร์หรือฮาร์ดแวร์ที่เฝ้าระวังトラฟฟิกเครือข่ายและแจ้งเตือนเมื่อพบกิจกรรมผิดปกติหรือลายเซ็นการโจมตีที่รู้จัก
ประเภทของ IDS
| ประเภท | ชื่อเต็ม | ตำแหน่งติดตั้ง | ขอบเขตการตรวจจับ |
|---|---|---|---|
| NIDS | Network-based IDS | จุดรวมทราฟฟิก (Switch SPAN/TAP) | ทั้งเครือข่าย (Network-wide) |
| HIDS | Host-based IDS | บน Host/Server/Endpoint | เฉพาะ Host นั้น (File integrity, Logs, Processes) |
| PIDS | Perimeter IDS | ขอบเขตเครือข่าย (DMZ, Gateway) | Traffic เข้า-ออกองค์กร |
| VM-based IDS | Virtual Machine IDS | ใน VM / Cloud | Traffic ระหว่าง VM |
วิธีการตรวจจับ (Detection Methods)
- Signature-based (Misuse Detection): จับคู่กับฐานข้อมูลลายเซ็นการโจมตีที่รู้จัก (เร็ว, แม่นยำสำหรับ Known Threats, ไม่จับ Zero-day)
- Anomaly-based (Behavioral Detection): เรียนรู้พฤติกรรมปกติ แล้วแจ้งเตือนเมื่อเบี่ยงเบน (จับ Zero-day ได้, แต่ False Positive สูง)
- Hybrid: รวมทั้งสองวิธี
IDS vs IPS (Intrusion Prevention System)
| คุณสมบัติ | IDS | IPS |
|---|---|---|
| ฟังก์ชันหลัก | Detect & Alert (ตรวจจับและแจ้งเตือน) | Detect & Prevent (ตรวจจับและป้องกัน/บล็อก) |
| ตำแหน่งใน Network | Out-of-band (SPAN/TAP) - ไม่อยู่ใน Data Path | In-line - อยู่ใน Data Path ตรงๆ |
| ผลกระทบต่อ Latency | ไม่มี (Passive) | มีเล็กน้อย (Active Inspection) |
| False Positive Impact | แจ้งเตือนผิด = Noise | บล็อกผิด = Service Disruption |
| Response | Manual/Automated (ผ่าน SOC) | Automatic Block/Reset/Quarantine |
ตัวอย่าง IDS/IPS ที่นิยม
- Open Source: Snort, Suricata, Zeek (Bro), Security Onion
- Commercial: Cisco FirePOWER (Snort-based), Palo Alto Networks, FortiGate IPS, Check Point IPS, Trend Micro TippingPoint
- Cloud/Managed: AWS GuardDuty, Azure IDS/IPS, Google Cloud IDS
ข้อดีของ IDS
- ไม่กระทบประสิทธิภาพเครือข่าย (Passive)
- เห็นภาพรวม Threat Landscape
- ช่วย Forensics และ Incident Response
- Pivot ไป Threat Hunting ได้
- Compliance Requirement (PCI-DSS, HIPAA ต้องการ IDS)
ข้อจำกัด
- False Positives / False Negatives
- ไม่บล็อกการโจมตีได้เอง (ต้องมี IPS หรือ Manual Response)
- Encrypted Traffic (TLS 1.3) ยากต่อการ Inspect
- ต้อง Tuning และ Maintain Signature Database ตลอดเวลา
สรุป
IDS = ระบบตรวจจับการบุกครั้ง (Passive Monitoring + Alert) แบ่งเป็น NIDS (Network) และ HIDS (Host) ใช้ Signature/Anomaly/Hybrid Detection ทำงานร่วมกับ IPS (Active Blocking) และ SIEM เพื่อการป้องกันที่สมบูรณ์
