Avaliando o desempenho dos sistemas de detecção de intrusão Snort e Suricata em ataques de negação de serviço

Intrusion Detection Systems (IDS) are signature-based software tools that provide mechanisms for the detection and analysis of network intrusions. Intrusion Detection is the process of monitoring events occurring in a network and analyzing them to detect signals of intrusion, defined as attempts to compromise the confidentiality, integrity, and availability of the network. Using an experimental scenario and traffic collections in an Institution of higher education in Brazil, we evaluated the performance of Snort and Suricata Intrusion Detection Systems for the detection of Denial of Distributed Services attacks (Slowloris, LOIC-UDP and LOIC-HTTP). Our study found that Suricata does not generate an appropriate number of alerts to draw attention of the network manager about the Slowloris attack, while Snort does. For LOIC-UDP and LOIC-HTTP both IDSs are able to detect the attack efficiently. It was also analyzed the CPU and memory consumption of the target machine where the IDS operated during the attacks, being verified the exhaustion of the memory resources during certain attacks. Finally, the analysis of offline traffic reveals that the Institution of Higher Education during the analyzed period, was under DDoS attacks.Coordenação de Aperfeiçoamento de Pessoal de Nível Superior - CAPESOs Sistemas de Detecção de Intrusão são ferramentas de software baseadas em assinaturas que provêm mecanismos para a detecção e análise de intrusões em redes. Detecção de Intrusão é o processo de monitoramento de eventos que ocorrem em uma rede e a análise destes para detectar sinais de intrusão, definidos como tentativas de comprometer a confidencialidade, integridade e disponibilidade da rede. Utilizando um cenário experimental e coletas de tráfego em uma Instituição de Ensino Superior no Brasil, avaliamos o desempenho dos Sistemas de Detecção de Intrusão Snort e Suricata para a detecção de ataques de Negação de Serviços Distribuídos (Slowloris, LOIC-UDP e LOIC-HTTP). Nosso estudo descobriu que o Suricata não gera um número adequado de alertas para chamar a atenção do gerente de rede sobre o ataque Slowloris, enquanto Snort o faz. Para os ataques LOIC-UDP e LOIC-HTTP, os referidos sistemas efetuam a detectação dos ataques de forma eficiente. Foi também analisado o consumo de CPU e memória da máquina-alvo onde operaram os IDS durante os ataques, verificando-se o mostram o esgotamento dos recursos de memória durante determinados ataques. Finalmente, a análise de tráfego off-line revela que a Instituição de Ensino Superior durante o periodo analisado, estava sob ataques DDoS