IDS / IPS

Entstehung und Beteiligte

Intrusion Detection geht auf Forschung der 1980er-Jahre zurück. James P. Anderson beschrieb 1980 ein Sicherheitsüberwachungsmodell; Dorothy Denning veröffentlichte 1987 ein grundlegendes Intrusion-Detection-Modell. Netzwerk-IDS und IPS entstanden später mit wachsenden Internetangriffen.

Welches Problem sollte gelöst werden?

Firewalls können erlaubte Verbindungen nicht vollständig beurteilen. Betreiber brauchten Systeme, die verdächtige Muster, bekannte Exploits oder ungewöhnliches Verhalten innerhalb zulässigen Verkehrs erkennen.

Technische Hürden und Lösungen

Signaturen übersehen neue Angriffe, Anomalieerkennung erzeugt Fehlalarme. Verschlüsselung nimmt Netzwerksonden die Sicht. Ein IPS muss zudem in Echtzeit entscheiden, ohne legitimen Verkehr unnötig zu blockieren oder selbst zum Engpass zu werden.

Standardisierung und Einordnung

IT-Sicherheit ist kein einzelnes Produkt, sondern ein Zusammenspiel aus Kryptografie, Identitäten, Protokollen, Segmentierung, Überwachung und menschlichem Verhalten. Viele Verfahren entstanden als Reaktion auf konkrete Missbräuche. Jede Schutztechnik besitzt Grenzen: Sie kann falsch konfiguriert, umgangen oder durch gestohlene Zugangsdaten entwertet werden. Historische Entwicklung erklärt deshalb, warum heutige Systeme mehrere Schutzschichten kombinieren.

Technik im praktischen Betrieb

Eine Schutztechnik ist erst wirksam, wenn Ereignisse ausgewertet, Ausnahmen begrenzt und Wiederherstellungswege getestet werden. Sicherheitsprodukte erzeugen sonst lediglich weitere Konfiguration. Besonders wichtig sind eindeutige Verantwortlichkeiten, ein aktuelles Inventar und Protokolle mit korrekter Zeit. Regeln sollten auf einem dokumentierten Datenfluss beruhen und regelmäßig auf veraltete Freigaben geprüft werden. Bei einem Vorfall müssen Zugangsdaten, Schlüssel, Sitzungen und betroffene Systeme als zusammenhängende Vertrauenskette betrachtet werden.

Warum das Thema heute noch relevant ist

Angriffe verändern sich, die Grundmuster bleiben: Identitäten werden getäuscht, Eingaben missbraucht, Vertrauen falsch vergeben und knappe Ressourcen überlastet. Historische Vorfälle sind deshalb mehr als Anekdoten; sie zeigen, welche Annahmen gescheitert sind. Gute Sicherheitsarchitektur baut nicht auf einem perfekten Filter auf, sondern auf begrenzten Rechten, überprüfbaren Protokollen, schneller Erkennung und der Fähigkeit, Systeme und Schlüssel nach einem Vorfall kontrolliert zu erneuern.

Daten und Meilensteine

• IDS alarmiert, IPS kann Verkehr aktiv blockieren.
• Host-basierte und netzwerkbasierte Sensoren besitzen unterschiedliche Sicht.
• Snort wurde 1998 von Martin Roesch veröffentlicht.
• False Positives und False Negatives lassen sich nie vollständig vermeiden.

IDS vs. IPS

Ein Intrusion Detection System (IDS) analysiert passiv den Netzwerkverkehr oder Systemereignisse auf Angriffsmuster und alarmiert bei Verdacht – es greift aber nicht aktiv ein. Ein Intrusion Prevention System (IPS) arbeitet inline und kann erkannte Angriffe in Echtzeit blockieren.

IDS ist wie ein Sicherheitskameramann, der Vorfälle meldet. IPS ist der aktive Wachmann, der eingreift. In der Praxis sind moderne NGFW-Systeme meist IPS, da sie im Traffic-Pfad sitzen.

Erkennungsmethoden

• Signatur-basiert: Abgleich gegen eine Datenbank bekannter Angriffsmuster (wie Virenscanner). Schnell, präzise für bekannte Angriffe. Blind für neue (Zero-Day) Angriffe.
• Anomalie-basiert: Lernt "normales" Verhalten und alarmiert bei Abweichungen. Erkennt unbekannte Angriffe, aber hohe False-Positive-Rate.
• Policy-basiert: Definierte Verhaltensregeln (z.B. kein FTP von bestimmten Hosts). Einfach, präzise für bekannte Policies.
• Hybrid: Kombination aus allen Methoden für maximale Erkennungsrate bei minimalen False Positives.

NIDS vs. HIDS

Network-based IDS (NIDS) überwacht den Netzwerktraffic – typisch an einem gespiegelten Port (Mirror/SPAN Port). Es sieht den gesamten Netzwerkverkehr, aber nicht, was innerhalb verschlüsselter Streams passiert.

Host-based IDS (HIDS) läuft direkt auf dem zu schützenden System und überwacht Systemaufrufe, Dateiintegrität und Log-Events. Es kann verschlüsselten Traffic nach der Entschlüsselung analysieren, aber nur auf diesem einen Host.