Was ist ein IDS?

Ein Intrusion Detection System (IDS) ist eine Netzwerksicherheitsmaßnahme, die eine Kopie des Netzwerkverkehrs – die in der Regel vom Mirror-Port eines Switches, eines Hubs oder eines Netzwerk-Taps stammt – auf Anzeichen von Schwachstellen sowie auf unangemessene oder ungewöhnliche Aktivitäten überprüft und bei einem Treffer einen Alarm auslöst, ohne den Datenverkehr selbst zu beeinflussen.

Die wichtigsten Erkenntnisse

• Ein IDS erkennt Bedrohungen und gibt entsprechende Warnmeldungen aus; es blockiert sie nicht wie ein IPS.
• Wird passiv über einen Mirror-Port, einen Netzwerk-Tap oder einen Hub eingesetzt – niemals inline.
• Durch die Kombination aus signaturbasierter und anomaliebasierter Erkennung werden sowohl bekannte als auch neue Angriffe abgewehrt.
• Ein ausgefallener IDS-Sensor führt niemals dazu, dass der Produktionsdatenverkehr unterbrochen wird.
• VersaDas IDP-Modul des Systems vereint IDS-Transparenz und IPS-Durchsetzung in einem Durchgang.

Auf dieser Seite: Warum das wichtig ist · So funktioniert es · Arten · IDS & Versa · Häufig gestellte Fragen

Warum ist ein IDS wichtig?

Eine Firewall entscheidet anhand von Port, Adresse und Anwendung, welche Sitzungen zugelassen werden – sie sagt nichts darüber aus, was sich in einer zugelassenen Sitzung befindet. Ein Angreifer, der einen Exploit in scheinbar legitimen Datenverkehr einbindet, kommt ungehinderte durch, sofern die Nutzlast nicht überprüft wird. Ein IDS schließt diese Lücke: Es überwacht eine Kopie des Datenverkehrs und markiert Aktivitäten, die einem bekannten Angriffsmuster entsprechen oder vom Normalzustand abweichen.

Da ein IDS eine gespiegelte Kopie überprüft, anstatt inline zu arbeiten, wird es niemals zu einem Ausfallpunkt – wenn der Sensor ausfällt, fließt der Datenverkehr weiter. Diese Vorgehensweise macht auch eine interne Platzierung sinnvoll: Sensoren innerhalb der Firewall und an kritischen Knoten decken Aktivitäten auf, die den Perimeter bereits überschritten haben – genau dort, wo laterale Bewegungen erstmals sichtbar werden. Ein IDS gibt jedoch lediglich Warnmeldungen aus; um den Datenverkehr zu stoppen, ist weiterhin eine gepaarte Inline-Kontrolle wie beispielsweise ein IPS erforderlich.

Was ist ein IDS?

Ein IDS ist der Erkennungsteil eines Systems zur Erkennung und Abwehr von Eindringlingen (IDP): Es überprüft den Datenverkehr und gibt bei einer Übereinstimmung eine Warnmeldung aus, anstatt selbst Maßnahmen zu ergreifen. Es wird in der Regel an den Mirror-Port eines Switches, an einen Hub oder an einen Netzwerk-Tap angeschlossen; seltener wird es inline eingesetzt, wodurch sein Vorteil der Ausfallsicherheit verloren geht.

Zwei Verfahren dienen dem Abgleich. Bei der signaturbasierten Erkennung wird der Datenverkehr mit einer Datenbank bekannter Angriffsmuster abgeglichen. Die Anomalieerkennung hingegen ermittelt eine Basislinie für den normalen Datenverkehr und markiert Abweichungen davon, wodurch neue Angriffe erkannt werden, für die es noch keine Signatur gibt. Warnmeldungen verwenden ein Standardvokabular: Ein „True Positive“ ist ein korrekt gemeldeter echter Angriff, ein „False Positive“ ist harmloser Datenverkehr, der fälschlicherweise gemeldet wurde, und ein „False Negative“ bleibt unentdeckt – wobei jede Meldung anhand ihrer CVE- (Sicherheitslücke-ID) und CVSS- (Schweregrad-)Bewertung bewertet wird.

Arten von IDS

Der Einsatzbereich ist die Hauptachse. Ein netzwerkbasiertes IDS (NIDS) überwacht ein gesamtes Segment von einem einzigen Punkt aus – einem gespiegelten Port, einem Hub oder einem Tap – und beobachtet jede Sitzung, die dieses Segment durchläuft. Ein hostbasiertes IDS (HIDS) läuft hingegen als Agent auf einem einzelnen Endpunkt und überwacht dessen Systemaufrufe, Protokolle und Änderungen der Dateiintegrität – eine Tiefe, die ein segmentweites NIDS nicht bieten kann. Unternehmen setzen in der Regel beide Lösungen gemeinsam ein.

Die Platzierung ist eine zweite Achse. Ein IDS am Perimeter erfasst den ein- und ausgehenden Datenverkehr des Unternehmens; Sensoren innerhalb der Firewall und an kritischen Knotenpunkten bieten zusätzliche Einblicke in Aktivitäten, die diese bereits passiert haben – beispielsweise Erkundungsversuche und Datenverkehr von kompromittierten Hosts, die bei einer reinen Perimeterüberwachung übersehen würden. Ausgereifte Implementierungen kombinieren beide Platzierungen.

IDS & Versa

Versa bietet IDS als Teil des IDP-Moduls (Intrusion Detection and Prevention) von VOS an, das zu den UTM-Funktionen (Unified Threat Management) von „ Secure SD-WAN “ gehört. Anstelle separater IDS- und IPS-Appliances implementiert „ Versa “ beide Funktionen über einen einzigen Mechanismus für Schwachstellenprofile innerhalb einer NGFW-Richtlinienregel: Die konfigurierte Aktion legt das Verhalten fest – „Alert“ allein verhält sich wie ein IDS; „Drop“, „Reject“ oder „Reset“ dienen der IPS-Durchsetzung.

Administratoren gehen in der Regel von einem vordefinierten Profil aus – dem „ Versa Recommended Profile“ (16 GB RAM) für eine umfassende Abdeckung oder dem schlankeren „ Versa Branch Profile“ (8 GB RAM) für Filialen mit begrenzten Ressourcen –, das über Sicherheitspakete (SPacks) aktualisiert wird, und fügen dann benutzerdefinierte Signaturen im Snort-Format hinzu. Director verfolgt die Zusammenstellung der Signaturen; Analytics zeigt Bedrohungen und IDP-Protokolle an. Informationen zum Arbeitsablauf finden Sie unter „Konfigurieren der Intrusion Detection and Prevention (NGFW)“ oder im klassischen Leitfaden.

Häufig gestellte Fragen

Was ist der Unterschied zwischen einem IDS und einem IPS?

Ein IDS überwacht eine Kopie des Datenverkehrs – von einem Mirror-Port, einem Hub oder einem Tap – und meldet verdächtige Aktivitäten, ohne den Datenfluss zu beeinflussen. Ein IPS wird inline eingesetzt und blockiert diese automatisch: indem es Pakete verwirft, Verbindungen zurücksetzt oder die Quelle blockiert.

Wo wird ein IDS in einem Netzwerk eingesetzt?

Meistens erfolgt dies über den Mirror-Port eines Switches, über den Anschluss an einen Hub oder über einen Netzwerk-Tap, wodurch eine Kopie des Datenverkehrs empfangen wird, ohne dass das Gerät im Weiterleitungspfad liegt. Häufig werden Sensoren auch innerhalb der Firewall und an kritischen Knotenpunkten eingesetzt.

Blockiert ein IDS bösartigen Datenverkehr?

Nein. Ein IDS dient ausschließlich der Erkennung – es überprüft den Datenverkehr und gibt eine Warnung aus, wenn eine Übereinstimmung mit einer Signatur festgestellt wird oder der Datenverkehr von der Basislinie des normalen Datenverkehrs abweicht, wirft jedoch niemals ein Paket verworfen oder eine Verbindung zurückgesetzt. Eine Blockierung erfordert die Reaktion eines Analysten oder eine gekoppelte Inline-Kontrolle wie beispielsweise ein IPS.

Kann ein IDS einen Netzwerkausfall verursachen, wenn der Sensor ausfällt?

Nein, das ist beabsichtigt. Da ein IDS eine gespiegelte Kopie des Datenverkehrs analysiert, anstatt direkt in den Datenfluss eingebunden zu sein, bleibt der Produktionspfad unbeeinträchtigt, falls der Sensor ausfällt. Bei einer switchbasierten Bereitstellung wird in der Regel eine Keepalive-Sitzung zwischen Switch und Gerät aufrechterhalten, um diesem Ausfall vorzubeugen.

Was bedeuten CVE und CVSS in einer IDS-Warnmeldung?

CVE (Common Vulnerabilities and Exposures) ist ein Verzeichnis öffentlich bekannter Sicherheitslücken, denen eine IDS-Signatur zugeordnet ist. CVSS (Common Vulnerability Scoring System) bewertet den Schweregrad dieser Sicherheitslücken. Analysten nutzen beide Systeme gemeinsam, um zu entscheiden, welche Warnmeldungen zuerst untersucht werden müssen und welche warten können.

Mehr zum Thema IDS

Wenn Sie mehr erfahren möchten, finden Sie hier Quellen, denen wir vertrauen.

Verwandte Begriffe

Wenn Sie sich gerade über IDS informieren, sollten Sie sich als Nächstes diese Artikel ansehen.