La mayoría de los sistemas de detección de intrusos que conozco son para comunicación IP. Pero supongamos que tengo comunicación en serie, es decir, CAN o RS485. En esta comunicación en serie hay protocolos personalizados que se comunican, de modo que el análisis del tráfico puede ser bastante estático.
¿Alguien sabe de una IDS que se pueda personalizar para este propósito?
No tiene que ser un producto terminado, solo una referencia a un documento o documento estaría bien.
Después de algunas investigaciones, hemos encontrado varias soluciones interesantes, aquí hay tres artículos que me parecieron más relevantes:
Anagrama: un detector de anomalías de contenido resistente al ataque de mímica por Wang et al. Construyen un detector de anomalías de contenido llamado Anagrama. Los anagramas funcionan mediante el análisis de secuencias de bytes usando n-gramas distintos para aprender las firmas de paquetes válidos. Según los autores tiene alta precisión y bajas tasas de falsos positivos. Además, puede funcionar a alta velocidad, por lo que es útil para la detección de intrusos en la red. Dado que se basa en anomalías, tiene una mayor probabilidad de detectar ataques de día cero. Y, debido a que es de autoaprendizaje, no requiere mucha atención del supervisor.
Otro artículo interesante es Detección de intrusión de red basada en carga útil anómala por Wang et al. También es completamente automático y se puede ejecutar sin supervisión. Al igual que con otros IDS basados en anomalías, tienen una fase de entrenamiento en la que el sistema aprende la frecuencia y la desviación estándar de la carga útil. Esta solución también tiene una alta tasa de detección, cercana al 100%, y una tasa de falsos positivos muy baja.
El documento que se encuentra en esta respuesta enlace también ha sido útil.
Ninguna de las soluciones mencionadas anteriormente aborda la comunicación en serie. Sin embargo, al operar en comunicación de nivel de byte, creemos que se puede aplicar una solución similar, por ejemplo: RS485 o CAN.
Lea otras preguntas en las etiquetas ids