Was ist ein IPS?

Ein Intrusion Prevention System (IPS) ist eine Netzwerksicherheitsmaßnahme, die in der Regel inline am Netzwerkperimeter eingesetzt wird und den Datenverkehr auf böswillige oder anomale Aktivitäten überprüft und diese automatisch blockiert – indem Pakete verworfen, Verbindungen zurückgesetzt oder Quell-IP-Adressen gesperrt werden –, wobei sowohl signaturbasierte als auch anomaliebasierte Erkennungsmethoden zum Einsatz kommen.

Die wichtigsten Erkenntnisse

• IPS blockiert bösartigen Datenverkehr direkt; IDS erkennt ihn lediglich und gibt eine Warnmeldung aus.
• Durch die Kombination aus signaturbasierter und anomaliebasierter Erkennung werden sowohl bekannte als auch neue Angriffe abgewehrt.
• Durch den Einsatz von IPS an jedem Ein- und Ausgang werden Bedrohungen bereits am Perimeter abgewehrt.
• VersaDas IDP-Modul wendet Schwachstellenprofile innerhalb der Zugriffsrichtlinienregeln der NGFW an.
• Vordefinierte Profile decken ein breites Spektrum an Bedrohungen ab; benutzerdefinierte Profile ergänzen diese um Signaturen im Snort-Format.

Auf dieser Seite: Warum das wichtig ist · So funktioniert es · Arten · IPS & Versa · Häufig gestellte Fragen

Warum ist ein IPS wichtig?

Networks Sie sind einem ständigen Strom von Ausnutzungsversuchen gegenüber bekannten und neu bekannt gewordenen Schwachstellen ausgesetzt – Sicherheitslücken, die Angreifer nutzen, um Daten zu stehlen, Malware zu verbreiten oder sich innerhalb des Netzwerks seitlich auszubreiten, sobald sie eingedrungen sind. Eine Firewall, die lediglich Ports und Adressen überprüft, kann dies nicht erkennen: Eine Sitzung kann gemäß den Richtlinien zugelassen sein und dennoch einen Exploit in ihrer Nutzlast enthalten. Ein IPS schließt diese Lücke, indem es den Datenverkehr selbst in Leitungsgeschwindigkeit überprüft und sofort reagiert, sobald es einen Angriff erkennt.

Prävention unterscheidet sich operativ von der Erkennung. Ein IDS kennzeichnet verdächtige Aktivitäten zur späteren Überprüfung; ein IPS, das inline am Perimeter eingesetzt wird, verwirft das Paket, bricht die Verbindung ab oder blockiert die Quelle sofort – ganz ohne menschliches Eingreifen. Der Einsatz von IPS an jedem Ein- und Ausgangspunkt stoppt sowohl bekannte Exploits als auch Zero-Day-Angriffe, während IDS-Sensoren innerhalb der Firewall den Teams weiterhin Einblick in Aktivitäten gewähren, die den Perimeter bereits überschritten haben.

Was ist ein IPS?

Ein IPS ist der Durchsetzungsteil des Systems zur Erkennung und Abwehr von Eindringlingen (Intrusion Detection and Prevention, IDP): Es überprüft den laufenden Datenverkehr anhand von Schwachstellenprofilen und führt bei einer Übereinstimmung eine konfigurierte Maßnahme durch, anstatt den Vorfall lediglich zu protokollieren. Für den Abgleich kommen zwei Techniken zum Einsatz. Bei der signaturbasierten Erkennung wird der Datenverkehr mit einer Datenbank bekannter Angriffsmuster verglichen, die regelmäßig im Rahmen von Sicherheitspaketen aktualisiert wird. Die Anomalieerkennung hingegen ermittelt eine Basislinie für den normalen Datenverkehr und kennzeichnet Abweichungen davon – wodurch Angriffe erkannt werden, für die noch keine Signatur vorliegt.

Technisch gesehen ist ein IPS in die Datenübertragung eingebunden: Der Datenverkehr durchläuft das Gerät, wodurch dieses Pakete vor der Weiterleitung blockieren kann; allerdings wird das Gerät dadurch auch zu einem Single Point of Failure, falls es ausfällt. Ein IDS hingegen analysiert in der Regel eine gespiegelte Kopie des Datenverkehrs von einem Span-Port oder einem Netzwerk-Tap, wobei es lediglich Warnmeldungen ausgibt, anstatt den Datenverkehr zu blockieren.

Arten von IPS

Schwachstellenprofile lassen sich in zwei Kategorien einteilen. Vordefinierte Profile, die vom Sicherheitsforschungsteam von Versagepflegt werden, sind die Standardeinstellung: Allgemeine Profile wie das „ Versa Recommended Profile“ und das schlankere „ Versa Branch Profile“ decken die breiteste Palette an CVSS-bewerteten Bedrohungen ab, ergänzt durch gezielte Profile für Windows, Linux, Mac OS, Malware, industrielle Steuerungsprotokolle und laterale Bewegung nach einer Exploitation. Benutzerdefinierte Profile ermöglichen es einem Administrator, Signaturen im Snort-Format zu importieren oder manuell einzutragen – für Bedrohungen, die in einer Herstellerdatenbank noch nicht erfasst sind.

Reaktionsmaßnahmen bilden eine zweite Achse, die pro Regel konfigurierbar ist: nur warnen, das Paket verwerfen, die Sitzung beenden, ablehnen oder auf Client- oder Serverseite zurücksetzen – dabei lässt sich die Durchsetzung von der Beobachtung bis hin zur vollständigen Blockierung anpassen, je nachdem, wie das Vertrauen in eine Signatur wächst, wobei Ausnahmen für bekanntermaßen unbedenklichen Datenverkehr möglich sind.

IPS & Versa

VersaDie IDP-Funktion ist Teil des Unified Threat Management von VOS. Sie wird als Schwachstellenprofil konfiguriert und innerhalb einer NGFW-Zugriffsrichtlinienregel angewendet, sodass die IPS-Durchsetzung zusammen mit der Firewall-Funktion und der Anwendungsidentifizierung in einem Durchgang erfolgt. Administratoren gehen in der Regel von einem vordefinierten Profil aus – dem empfohlenen Profil „ Versa “ (mindestens 16 GB RAM) oder dem ressourcenschonenderen „ Versa Branch Profile“ (8 GB RAM) für kleinere Standorte – und können darüber Übersteuerungs- oder benutzerdefinierte Snort-Signaturprofile legen. Siehe „Konfiguration der Intrusion Detection und Prevention (NGFW) “ oder das klassische Konfigurationshandbuch.

Nach der Bereitstellung überwacht „ Versa Director“ den Status der Signaturzusammenstellung, und „ Versa Analytics“ stellt blockierte Bedrohungen, IDP-Protokolle und Paketaufzeichnungen zur Untersuchung bereit.

Häufig gestellte Fragen

Was ist der Unterschied zwischen einem IDS und einem IPS?

Ein IDS überwacht eine Kopie des Datenverkehrs – von einem Mirror-Port oder einem Netzwerk-Tap – und meldet verdächtige Aktivitäten, ohne den Datenfluss zu beeinflussen. Ein IPS wird inline eingesetzt und blockiert dieselben Aktivitäten automatisch: Es verwirft Pakete, bricht Verbindungen ab oder blockiert die Quelle in Echtzeit.

Wo sollte ein IPS im Netzwerk platziert werden?

IPS-Maßnahmen sollten an jedem Ein- und Ausgangspunkt des Unternehmens eingesetzt werden, um Bedrohungen zu stoppen, bevor sie überhaupt in das Netzwerk gelangen oder es verlassen. IDS-Sensoren innerhalb der Firewall und an kritischen internen Knotenpunkten bieten zusätzliche Transparenz über Aktivitäten, die den Perimeter bereits überschritten haben.

Was ist der Unterschied zwischen signaturbasierter und anomaliebasierter Erkennung?

Bei der signaturbasierten Erkennung wird der Datenverkehr mit einer Datenbank bekannter Angriffsmuster abgeglichen, die regelmäßig über Sicherheitspakete aktualisiert wird. Die Anomalieerkennung hingegen ermittelt zunächst eine Basislinie für den normalen Datenverkehr und kennzeichnet Abweichungen davon. Auf diese Weise lassen sich neue Angriffe – einschließlich Zero-Day-Angriffe – erkennen, für die es noch keine Signatur gibt.

Kann ein IPS Zero-Day-Angriffe abwehren?

Teilweise. Die anomaliabasierte Erkennung kann Zero-Day-Exploits aufdecken, indem sie Datenverkehr identifiziert, der von einer erlernten Basislinie abweicht – auch ohne entsprechende Signatur. Die signaturbasierte Erkennung kann einen Zero-Day erst dann erkennen, wenn eine entsprechende Signatur vorliegt. Aus diesem Grund werden in den meisten Implementierungen beide Techniken gemeinsam eingesetzt.

Ersetzt ein IPS eine Firewall?

Nein. Eine Firewall steuert anhand von Zonen, Adressen und Anwendungen, welche Sitzungen zugelassen werden; ein IPS überprüft die Nutzdaten zugelassener Sitzungen auf Exploits und Anomalien. In der Architektur von „ Versa“ ist das IPS ein Schwachstellenprofil, das im Rahmen einer NGFW-Richtlinie angewendet wird und die Firewall ergänzt, anstatt sie zu ersetzen.

Mehr zu IPS

Wenn Sie mehr erfahren möchten, finden Sie hier Quellen, denen wir vertrauen.

Verwandte Begriffe

Wenn Sie sich gerade über IPS informieren, sollten Sie sich als Nächstes diese Artikel ansehen.