CyberGlossary

Seguridad de red

IDS basado en red (NIDS)

También conocido como: NIDS, IDS de red

Definición

Sensor de detección de intrusiones que inspecciona tráfico capturado de un segmento de red para identificar patrones maliciosos y violaciones de política.

Un IDS basado en red (NIDS) recibe una copia espejada o tomada con TAP del tráfico —puertos SPAN, network TAPs, packet brokers o taps virtuales— y la analiza con firmas (reglas Snort/Suricata), decodificadores de protocolo (Zeek) y modelos estadísticos. El NIDS ofrece visibilidad amplia sobre muchos hosts sin software por endpoint, es útil para vigilancia norte-sur y este-oeste y constituye un sensor base para SOC y caza de amenazas. Como TLS cifra gran parte del tráfico actual, el NIDS depende cada vez más de metadatos TLS, huellas JA3/JA4 y analítica de flujos por comportamiento. Su efectividad exige diseño cuidadoso del tap, capacidad de captura, sincronización de relojes e integración con SIEM y NDR.

Ejemplos

  • Suricata en un puerto SPAN alerta basándose en el conjunto de reglas ET CINS para IPs C2 conocidas.
  • Scripts de Zeek detectan tunelado DNS analizando la entropía de las etiquetas de consulta.

Términos relacionados