Was ist IDS/IPS?

Intrusion Detection and Prevention (IDS/IPS) vereint zwei Funktionen der Netzwerksicherheit, die den Datenverkehr auf bekannte Angriffssignaturen und anomales Verhalten überprüfen. Ein Intrusion Detection System (IDS) kennzeichnet einen Treffer zur Überprüfung; ein Intrusion Prevention System (IPS) reagiert sofort darauf – indem es Pakete verwirft, Sitzungen zurücksetzt oder die Quelle blockiert, bevor ein Angriff erfolgreich ist.

Die wichtigsten Erkenntnisse

• IDS erkennt Bedrohungen und gibt entsprechende Warnmeldungen aus; IPS erkennt und blockiert sie direkt.
• Die signaturbasierte Erkennung identifiziert bekannte Angriffe; die Anomalieerkennung weist auf neue Angriffe hin.
• Gemeinsame Terminologie – CVE, CVSS, Konfidenz – bewertet jede Signaturübereinstimmung.
• Versa VOS wird über einen einzigen Mechanismus für Schwachstellenprofile in der NGFW-Richtlinie angewendet.
• Eine einzige Aktion – „Alert“ vs. „Drop/Reject/Reset“ – schaltet vom IDS-Modus in den IPS-Modus um.

Auf dieser Seite: Warum das wichtig ist · So funktioniert es · Arten · IDS/IPS & Versa · Häufig gestellte Fragen

Warum sind IDS/IPS wichtig?

Eine Firewall entscheidet anhand von Port, Adresse und Anwendung, welche Sitzungen zugelassen werden, sagt jedoch nichts darüber aus, welche Daten eine zugelassene Sitzung transportiert. Angreifer nutzen diese Lücke aus, indem sie Exploits und Malware in Sitzungen einbinden, die eine Firewall niemals blockieren würde. IDS/IPS schließt diese Lücke, indem es die Nutzdaten überprüft, sie mit bekannten Angriffsmustern und einem Referenzwert für normales Verhalten vergleicht und bei einer Übereinstimmung eine Warnung ausgibt oder den Vorgang direkt unterbindet.

Die Kombination von Erkennung und Prävention ist wichtig, da beide Bereiche die jeweiligen Schwachstellen des jeweils anderen ausgleichen. Die Erkennung allein – ein IDS, das eine gespiegelte Kopie des Datenverkehrs überwacht – birgt zwar nie das Risiko, zu einem Ausfallpunkt zu werden, kann jedoch einen bereits laufenden Angriff nicht stoppen. Die Prävention allein – ein inline geschaltetes IPS – blockiert zwar sofort, doch ein Ausfall des Sensors kann den gesamten Datenverkehrspfad lahmlegen. Der Einsatz beider Komponenten, abgestimmt nach Konfidenz und CVSS-Schweregrad, ermöglicht es Teams, Bedrohungen mit hoher Konfidenz automatisch zu blockieren und unsichere Treffer an Analysten weiterzuleiten.

Was ist IDS/IPS?

IDS/IPS ist die Sammelbezeichnung für Intrusion Detection und Prevention (IDP): eine Funktion, die den Netzwerkverkehr auf Schwachstellen und ungewöhnliche Aktivitäten überprüft und diese anschließend meldet (IDS) oder blockiert (IPS). Dabei kommen zwei Verfahren zum Einsatz: Bei der signaturbasierten Erkennung wird der Datenverkehr mit einer Datenbank bekannter Angriffsmuster abgeglichen; bei der Anomalieerkennung wird der normale Datenverkehr als Referenzwert festgelegt und Abweichungen werden markiert, wodurch auch Angriffe erkannt werden, für die es noch keine Signatur gibt.

Jedes Abgleichergebnis wird anhand einer einheitlichen Terminologie bewertet: Ein „True Positive“ ist ein tatsächlich vorhandener Angriff, der korrekt erkannt wurde, ein „False Positive“ ist harmloser Datenverkehr, der fälschlicherweise als Angriff markiert wurde, und ein „False Negative“ ist ein Angriff, der unentdeckt bleibt. Jeder Befund wird einem CVE (seiner öffentlichen Kennung) und einem CVSS-Wert (seiner Schwere) zugeordnet, und jede Signatur verfügt über eine Konfidenzbewertung, die angibt, wie zuverlässig sie Angriffe von Störsignalen unterscheiden kann.

Arten von IDS/IPS

Zwei Ansätze beschreiben, wie IDS/IPS eingesetzt wird. Bei der signaturbasierten Erkennung wird der Datenverkehr mit einer Datenbank bekannter Angriffsmuster abgeglichen – dies ist präzise bei katalogisierten Bedrohungen, lässt jedoch keine Erkennung zu, solange noch keine Signatur vorliegt. Bei der anomaliebasierten Erkennung wird hingegen der normale Datenverkehr als Referenzwert festgelegt und statistische Abweichungen werden markiert, wodurch Zero-Day-Angriffe und bisher unbekannte Angriffe erkannt werden, allerdings auf Kosten einer höheren Anzahl von Fehlalarmen. In den meisten Implementierungen werden beide Ansätze gemeinsam eingesetzt.

Die zweite Achse ist der Reaktionsmodus: Im reinen Erkennungsmodus (IDS) wird eine gespiegelte Kopie des Datenverkehrs überprüft und es werden lediglich Warnmeldungen ausgegeben, wobei der Sensor nicht in den Weiterleitungspfad eingebunden ist, sodass ein Sensorausfall den Produktionsdatenverkehr niemals unterbricht; im Präventionsmodus (IPS) wird der Datenverkehr inline überwacht und eine Übereinstimmung sofort blockiert – indem das Paket verworfen, die Sitzung zurückgesetzt oder die Verbindung abgelehnt wird –, was jedoch zur Folge hat, dass der Sensor Teil des Datenverkehrspfads selbst wird.

IDS/IPS & Versa

Versa VOS bietet IDS/IPS als Funktion zur Erkennung und Abwehr von Eindringlingen (Intrusion Detection and Prevention, IDP) im Rahmen seiner Unified Threat Management-Dienste an, die sowohl für „ Secure SD-WAN “- als auch für NGFW-Bereitstellungen verfügbar sind. Anstelle separater Appliances implementiert „ Versa “ beide Funktionen über einen einzigen Mechanismus für Schwachstellenprofile innerhalb einer NGFW-Zugriffsrichtlinienregel: Die konfigurierte Aktion legt das Verhalten fest – „Alert“ allein verhält sich wie ein IDS, während „Drop“, „Reject“ oder „Reset“ als IPS-Durchsetzung fungieren.

Administratoren beginnen in der Regel mit einem vordefinierten Profil – dem „ Versa Recommended Profile“, das Schwachstellen der CVSS-Stufen 6 bis 10 aus einem Zeitraum von zehn Jahren abdeckt, oder dem schlankeren „ Versa Branch Profile“ für Zweigstellen mit begrenzten Ressourcen –, das über SPacks aktualisiert wird, und fügen dann benutzerdefinierte Signaturen im Snort-Format hinzu. Director verfolgt die Zusammenstellung der Signaturen; Analytics macht Bedrohungen und IDP-Protokolle sichtbar. Siehe „Konfigurieren der Einbruchserkennung und -prävention“ oder „Konfigurieren der Einbruchserkennung und -prävention (NGFW)“.

Häufig gestellte Fragen

Wofür steht die Abkürzung IDS/IPS?

IDS/IPS steht für „Intrusion Detection System“ und „Intrusion Prevention System“ – zusammen werden sie als „Intrusion Detection and Prevention“ (IDP) bezeichnet. Der IDS-Teil überprüft den Datenverkehr und gibt bei Übereinstimmung mit einer Signatur eine Warnmeldung aus; der IPS-Teil überprüft den Datenverkehr und blockiert eine entsprechende Bedrohung automatisch, ohne dass ein Analyst eingreifen muss.

Was ist der Unterschied zwischen IDS und IPS?

Ein IDS überwacht eine Kopie des Datenverkehrs – von einem Mirror-Port oder einem Netzwerk-Tap – und meldet verdächtige Aktivitäten, ohne den Datenfluss zu beeinflussen. Ein IPS wird inline eingesetzt und blockiert dieselben Aktivitäten automatisch: Es verwirft Pakete, bricht Verbindungen ab oder blockiert die Quelle.

Was ist der Unterschied zwischen signaturbasierter und anomaliebasierter Erkennung?

Bei der signaturbasierten Erkennung wird der Datenverkehr mit einer Datenbank bekannter Angriffsmuster abgeglichen, die regelmäßig über Pakete wie die SPacks von Versaaktualisiert wird. Bei der Anomalieerkennung wird der normale Datenverkehr als Referenzwert festgelegt und Abweichungen davon werden markiert, sodass neue Angriffe – einschließlich Zero-Day-Angriffe – erkannt werden können, für die es noch keine Signatur gibt.

Was bedeuten CVE, CVSS und „Confidence“ in einer IDS/IPS-Warnmeldung?

CVE ist die öffentliche Kennung für eine bekannte Sicherheitslücke; CVSS bewertet den Schweregrad dieser Sicherheitslücke auf einer Skala von 0 bis 10. Der Konfidenzwert gibt an, wie zuverlässig eine Signatur einen echten Angriff von harmlosem Datenverkehr unterscheiden kann – höhere Werte reduzieren Fehlalarme, führen jedoch dazu, dass Grenzfälle übersehen werden.

Wie setzt „ Versa “ IDS/IPS um?

Versa VOS nutzt IDS/IPS als Schwachstellenprofil innerhalb einer NGFW-Zugriffsrichtlinienregel und führt dies zusammen mit der Firewall-Funktion und der Anwendungserkennung in einem Durchgang aus. Die konfigurierte Aktion – Warnung oder Blockieren, Zurückweisen oder Zurücksetzen – bestimmt, ob eine bestimmte Regel der Erkennung oder der Prävention dient.

Mehr zum Thema IDS/IPS

Wenn Sie mehr erfahren möchten, finden Sie hier Quellen, denen wir vertrauen.

Verwandte Begriffe

Wenn Sie sich gerade über IDS/IPS informieren, sollten Sie sich als Nächstes diese Artikel ansehen.