HIDS: cosa vuol dire
Un HIDS (Host-based Intrusion Detection System) è un sistema di rilevamento delle intrusioni installato sul singolo computer o server, che ne analizza log, file e configurazioni per riconoscere segni di attacco o di uso improprio.
In breve
Un sistema di rilevamento delle intrusioni (IDS) può osservare il traffico di rete oppure la singola macchina. Nel primo caso si parla di NIDS (network-based), nel secondo di HIDS (host-based). L'HIDS vede ciò che la rete non mostra: chi ha fatto accesso al server, quale file di sistema è cambiato, quale servizio è stato aggiunto. Un IDS segnala; se blocca anche, si parla di IPS (Intrusion Prevention System).
Come funziona
Un agente sull'host svolge di solito più controlli insieme:
- analisi dei log del sistema operativo e delle applicazioni, con regole che riconoscono eventi sospetti (accessi falliti ripetuti, nuove utenze, servizi avviati);
- monitoraggio dell'integrità dei file e, su Windows, delle chiavi di registro;
- controlli di configurazione, confrontati con regole di hardening;
- ricerca di rootkit e di anomalie nei processi.
Gli eventi vengono inviati a una console centrale, spesso un SIEM, dove si correlano con quelli delle altre macchine e generano allarmi.
Perché è importante
Molti attacchi si vedono solo sull'host: un attaccante che usa credenziali valide genera traffico di rete del tutto normale, ma lascia tracce nei log di accesso e nelle modifiche al sistema. L'HIDS è anche uno strumento di conformità: la registrazione degli accessi, il controllo dell'integrità e la conservazione dei log sono richiesti da norme come ISO/IEC 27001 e PCI DSS.
Rispetto a un EDR, l'HIDS si concentra su log, file e configurazioni ed è orientato al rilevamento; l'EDR registra il comportamento dei processi in modo più dettagliato e integra azioni di risposta. Le due tecnologie si sovrappongono in parte e spesso convivono.
Esempio
Sul server web aziendale l'HIDS registra tre eventi in dieci minuti: un nuovo utente locale creato, l'aggiunta dello stesso utente al gruppo degli amministratori, la modifica di un file di configurazione del servizio SSH. Nessun programma malevolo è coinvolto, e il traffico di rete non ha nulla di strano. La correlazione dei tre eventi fa partire un allarme critico, e chi lo riceve scopre che una password di servizio debole era stata indovinata la notte prima.
Il seguito è prevedibile: password sostituita, utente rimosso, configurazione ripristinata e una regola che segnala ogni nuova utenza amministrativa sui server, così la prossima volta l'allarme arriva al primo evento.
Termini collegati
Dove lo trovi in Dottor Box
Il Cyber Agent comprende un servizio HIDS con alert, il monitoraggio dell'integrità dei file, lo storico delle modifiche al registro di sistema e i controlli di configurazione. Gli eventi critici arrivano per email con il titolo tradotto in italiano.
Cyber Agent
L'agente sugli endpoint: eventi di sicurezza, integrità dei file e avvisi in italiano.
Scopri di più VedereSIEM e XDR gestito
Log centralizzati, correlazione degli eventi e risposta sugli endpoint, con analisti che filtrano il rumore.
Scopri di più VedereAsset Management
L'inventario IT unificato di dispositivi e software, con la mappa a grafo della rete.
Scopri di più