Taller de Sistemas de detección de intrusiones SNORT - Arquitectura de un IDS

Normalmente la arquitectura de un IDS, a grandes rasgos, está formada:

1. La fuente de recogida de datos. Estas fuentes pueen ser un log, dispositivo de red, o como en el caso de los IDS basados en host, el propio sistema.
    
2. Reglas que contienen los datos y patrones para detectar anomalías de seguridad en el sistema.
    
3. Filtros que comparan los datos snifados de la red o de logs con los patrones almacenados en las reglas.
    
4. Detectores de eventos anormales en el tráfico de red.
    
5. Dispositivo generador de informes y alarmas. En algunos casos con la sofisticación suficiente como para enviar alertas via mail, o SMS.

Esto es a modo general. Ya veremos que cada IDS implementa la arquitectura de manera diferente.

---

Snort, por ejemplo, tiene una arquitectura dividida en tres subsistemas:

1. Decodificador de paquetes
    
2. Motor de detección
    
3. Loggins y alertas
    

Evidentemente, son parte de la arquitectura global de un IDS que hemos comentado líneas más arriba.