Hur Effektiv är IDS Snort och EDR Wazuh för ransomware detektion i småföretag? En experimentell studie i ett virtuellt nätverk

Ransomwareattacker utgör idag ett av de allvarligaste cybersäkerhetshoten mot små och medelstora företag. Dessa organisationer saknar ofta resurser för avancerade säkerhetslösningar. Detta arbete undersöker hur effektivt Snort som är ett nätverksbaserat intrångsdetekteringssystem (IDS), och Wazuh som är ett endpont detection and response verktyg (EDR), fungerar för att upptäcka olika steg i en ransomwareattackkedja i en resurssvag företagsmiljö. Studien genomfördes som en experimentell jämförande analys i en kontrollerad virtuell miljö som efterliknar ett litet företagsnätverk. Flera realistiska attackscenarier testades, inklusive rekognoering, intrångsförsök och ransomwareliknande beteenden. Varje attack analyserades med avseende på om den kunde upptäckas av Snort, Wazuh eller en kombination av båda verktygen, samt hur resultaten påverkades av standard respektive förstärkta konfigurationer. Resultaten visar att Snort effektivt upptäcker tidiga nätverksbaserade attacker såsom TCP och UDP skanningar, även med grundläggande konfiguration. Däremot uppvisade både Snort och Wazuh begränsad förmåga att upptäcka senare steg i ransomwareattackkedjan, såsom brute force försök, payload leverans och simulerad ransomwareexekvering. Kombinationen av verktygen gav ingen tydlig förbättring av detektionsförmågan i den undersökta miljön, men ökade komplexiteten. Arbetet bidrar med en praktiskt orienterad analys av vad små och medelstora företag realistiskt kan förvänta sig av fria IDS och EDR lösningar utan omfattande konfigurationsarbete.