Intrusion Detection Basics (IDS/IPS)

စိတ်လျှော့ပါ။ ဒီခန်းကို စာအုပ်လိုမဟုတ်ဘဲ စကားပြောသလိုပဲ၊ နားလည်လွယ်အောင် ရှင်းပါမယ်။

ခဏလေး ဒီလိုပဲ စဉ်းစားကြည့်

IDS (Intrusion Detection System) က network traffic/system log ကို monitor လုပ်ပြီး, suspicious activity ကို detect/alert ပေးတဲ့ system ပါ (block မလုပ်ပါ, alert ပဲ ပေးပါတယ်) — IPS (Intrusion Prevention System) ကတော့ detect ရုံသာမက, suspicious traffic ကို automatic block ပါ ပေးပါတယ်။ Signature-based Detection က known attack pattern (ဥပမာ - specific SQL injection payload) ကို database နဲ့ ကိုက်ညှိပြီး detect တာပါ — Anomaly-based Detection ကတော့ 'ပုံမှန် baseline' ကနေ ကွဲထွက်နေတဲ့ behavior (ဥပမာ - user တစ်ယောက် ညသန်းခေါင် login ဝင်တာ ရုတ်တရက် များလာတယ်) ကို detect တာပါ.

လက်တွေ့ scenario နဲ့ ချိတ်ကြည့်မယ်

Snort (open-source IDS) ကို lab environment မှာ setup လုပ်ပြီး, Basic chapter ကနေ Nmap scan ကို ကိုယ်တိုင် run ကြည့်ရင် — Snort က 'port scan detected' ဆိုတဲ့ alert ကို log ထဲမှာ ချက်ချင်း ပြပေးနိုင်ပါတယ် — 'attacker perspective ကနေ scan လုပ်တာ' နဲ့ 'defender perspective ကနေ detect ဖမ်းတာ' ကို တစ်ပြိုင်နက် observe လို့ရအောင် setup လုပ်ကြည့်ခြင်းက offensive/defensive concept နှစ်ခုလုံးကို ချိတ်ဆက်ပြသနိုင်ပါတယ်.

IDS = suspicious activity ကို detect/alert ပေးသော system (block မလုပ်)
IPS = detect ရုံသာမက, suspicious traffic ကို automatic block ပါ ပေး
Signature-based (known pattern) vs Anomaly-based (baseline ကနေ ကွဲထွက်မှု) detection

အတူတူ ကြည့်မယ်

text

IDS alert example (conceptual):

[**] [1:1000001:1] PORT SCAN DETECTED [**]
[Classification: Attempted Information Leak]
Source IP: 192.168.56.1
Destination IP: 192.168.56.101
Ports scanned: 21,22,80,443,3306 (in under 2 seconds)

This pattern — many ports, very short time window —
is a classic signature the IDS is watching for.

You should see

IDS ရဲ့ port-scan alert log ကို ဖတ်ရှင်းနိုင်မည်။

၅ မိနစ် စမ်းကြည့်

Lab environment ရှိရင် Snort (ဒါမှမဟုတ် documentation review ပဲဖြစ်ဖြစ်) ကို ဖတ်ကြည့်ပါ — Basic chapter ရဲ့ Nmap scan ကို run ကြည့်ပြီး, IDS log ထဲမှာ ဘယ်လို alert ပေါ်လာနိုင်လဲ ခန့်မှန်းရေးကြည့်ပါ။

သတိလေးတစ်ချက်

Signature-based IDS က 'known' attack pattern ကိုသာ detect နိုင်ပါတယ် — zero-day (မသိသေးတဲ့) attack technique တွေကို signature-based detection တစ်ခုတည်းနဲ့ ကာကွယ်လို့ မလုံလောက်ပါ, layered defense (multiple security control ပေါင်းသုံးခြင်း) လိုအပ်ပါတယ်.