Kurzfassung
Ein Intrusion-Detection-System (IDS) überwacht den Netzwerk- und Host-Datenverkehr rund um die Uhr und meldet verdächtige Aktivitäten mittels signatur- oder anomaliebasierter Erkennung – es kann Angriffe jedoch nicht eigenständig stoppen. Das Verständnis darüber, wo Sie Ihr IDS platzieren sollten, wie es sich von Firewalls und Intrusion-Prevention-Systemen unterscheidet und welche bekannten Einschränkungen es aufweist (wie Entschlüsselungslücken und eine Überlastung durch False-Positives), ist für den Aufbau einer widerstandsfähigen Sicherheitslage unerlässlich. Aufkommende IDS-Lösungen beginnen, Maschinelles Lernen einzusetzen, um den Verwaltungsaufwand zu reduzieren und die Genauigkeit zu verbessern.
Wie passt ein IDS in Ihre Sicherheitsstrategie?
Im Gegensatz zu einem Intrusion Prevention System (IPS) kann ein herkömmliches IDS Bedrohungen nicht eigenständig blockieren oder beheben. Stattdessen meldet es Anomalien und benachrichtigt Sicherheitsteams oder automatisierte Software, damit diese das Problem untersuchen und beheben.
Die ursprünglich in den 1980er-Jahren entwickelte IDS-Technologie wird parallel zu modernen Cyberbedrohungen kontinuierlich weiterentwickelt. Im Folgenden untersuchen wir die Funktionsweise eines IDS, wichtige Platzierungsstrategien sowie die zentralen Vor- und Nachteile. Dies hilft Ihnen bei der Entscheidung, ob es die richtige Lösung für Ihre Sicherheitslage ist. Wie funktioniert Intrusion Detection?
Von allen derzeit in den USA aktiven Unternehmen sind 14 Millionen anfällig für einen Hackerangriff. Große Unternehmen sind offensichtlich gefährdet. Aber auch kleinere Unternehmen könnten für Dieb:innen und böswillige Programmierer:innen verlockend sein. Ein IDS sollte Ihnen helfen, ein Problem frühzeitig zu erkennen, bevor zu großer Schaden entsteht.
Es gibt zwei Haupttypen von IDS.
- Network Intrusion Detection System (NIDS): Überwacht alles, was in ein Gerät im Netzwerk eingeht oder dieses verlässt.
- Host Intrusion Detection System (HIDS): Überwacht ein einzelnes Gerät (oder einen Host) innerhalb des Netzwerks. Es scannt den eingehenden und ausgehenden Datenverkehr.
Wie erkennt ein IDS ein Problem in Datenverkehrsmustern? Es stehen zwei Haupterkennungsarten zur Verfügung. Ihr System meldet möglicherweise Probleme aufgrund von:
- Signaturen. Das IDS vergleicht Bewegungen innerhalb Ihres Systems mit einer umfangreichen Datenbank bekannter Hacking-Techniken. Im Wesentlichen versucht das Programm festzustellen, ob das, was gerade auf Ihrem System passiert, in der Vergangenheit jemandem geschadet hat.
- Anomalien. Das System vergleicht die aktuell stattfindende Aktion mit dem, was in der Vergangenheit an derselben Stelle passiert ist. Ein plötzlicher Anstieg der Aktivität oder ein rapider Rückgang könnte völlig harmlos sein. Aber es könnte auch ein Anzeichen für ein Problem sein.
Unabhängig davon, welche Art von IDS Sie haben und welchen Erkennungstyp Sie verwenden, befindet sich die Lösung nicht innerhalb des IDS. Diese Programme können weder den Datenverkehr stoppen, Falltüren schließen noch Schäden beheben.
Genau wie ein Rauchmelder kein Feuer löschen kann, kann ein IDS keinen laufenden Angriff stoppen. Alles, was diese Programme tun können, ist, auf ein Problem aufmerksam zu machen.
Wo sollte ein IDS platziert werden?
Ihr Netzwerk hat viele Ein- und Ausgänge. Sie benötigen sie, damit Daten ungehindert ein- und ausgehen können. Aber jede davon ist eine Schwachstelle, und wenn Sie viele haben, kann es schwierig sein, den richtigen Ort für die Installation Ihres IDS zu finden.
IDS können Sie platzieren:
- Hinter der Firewall. Jedes Unternehmen, unabhängig von Größe oder Konfiguration, sollte über eine Firewall verfügen. Installieren Sie ein IDS direkt hinter Ihrer Firewall, um den in Ihr System eingehenden Datenverkehr genau zu überwachen.
- Innerhalb Ihrer Firewall. Integrieren Sie die beiden Systeme, um die Überwachung von Angriffen beim Eindringen in das Netzwerk zu gewährleisten.
- In Ihrem Netzwerk. Stellen Sie mit diesem Ansatz sicher, dass sich ein Angriff innerhalb Ihres Servers nicht ausbreitet.
Analysieren Sie vergangene Angriffe sowie Ihre aktuellen Risiken, um zu bestimmen, welche Platzierungsoption für Sie die richtige ist. Mit der Zeit stellen Sie möglicherweise fest, dass Sie das IDS für das höchste Schutzniveau verschieben müssen.
Wie unterscheidet sich ein IDS von anderen Sicherheitsmethoden?
Es gibt eine Vielzahl von Sicherheitssystemen, und obwohl sie oft zusammenarbeiten, ist es nicht immer einfach, sie gedanklich auseinanderzuhalten.
Ein IDS unterscheidet sich von:
| System | Erkennt Probleme | Stoppt/verhindert Probleme | Benachrichtigt | Notizen |
|---|---|---|---|---|
| Firewall | Nein | Ja (nach Regeln) | Nein | Regeln legen fest, wer Zugang erhält und was dort geschehen soll. Eine Firewall befolgt einfach die Regeln, die Sie definieren. |
| Intrusion Detection System (IDS) | Ja | Nein | Ja | Sendet Anomalien an ein anderes Programm oder eine Person, um diese zu bewerten und zu beheben. Kann den Datenverkehr nicht stoppen, Falltüren schließen oder Unordnung beseitigen. |
| Intrusion-prevention-System (IPS) | Ja | Ja | Ja | Findet Probleme und löst sie zugleich. Sie erhalten möglicherweise weiterhin eine Warnung, wenn ein Problem auftritt, aber die Lösung wird bereits umgesetzt. |
| Intrusion-Detection- und Prevention-System (IDPS) | Ja | Ja | Ja | Identifiziert Probleme, meldet diese und arbeitet daran, deren erneutes Auftreten zu verhindern. Kann Schwachstellen in Plänen aufzeigen, die anfällig für Angriffe machen. |
Sicherheitsprogramme bringen viele Akronyme mit sich, und es ist leicht, diese zu verwechseln. Aber im Allgemeinen sollten Sie ein IDS als nützliches Tool betrachten, das Sie mit Ihrem eigenen Fachwissen kombinieren, um Ihr Unternehmen zu schützen. Betrachten Sie die anderen Produkte als Werkzeuge, die Ihnen die Arbeit ein wenig erleichtern können.
Was sind die Vor- und Nachteile eines IDS?
Hacker sind äußerst aktiv. Allein im Dezember 2020 fanden 14 bekannte Hackerangriffe statt. In nur einem Fall forderten Hacker 1 Mio. USD in Bitcoin.
Ohne angemessene Abwehrmaßnahmen ist ein solcher Angriff wahrscheinlich. Und wenn Sie den Datenverkehr nicht überwachen, kann der Angriff Monate oder sogar Jahre andauern. Je länger sich ein Angreifer in Ihrem System aufhält, desto höher ist das Risiko katastrophaler Schäden.
Was sind die bekannten Einschränkungen eines IDS?
Aber selbst wenn ein IDS im Einsatz ist, kann ein Hacker sich durch Ihr ausgeklügeltes Schutzweb bewegen:
- Maskierung. Proxyserver machen es sehr einfach, die Quelle eines Angriffs zu verbergen.
- Freigabe. Hacker können die Arbeit auf viele Geräte und Benutzer verteilen. Es ist schwieriger, den Schaden auf einen Blick zu erkennen.
- Aufteilung. Ein Hacker kann Pakete fragmentieren, um einer Erkennung zu entgehen.
Ihr IDS kann auch bekannten Einschränkungen unterliegen, wie:
- Veraltete Software. Wenn das IDS Ihren Datenverkehr mit früheren Angriffen vergleicht, die Monate oder Jahre alt sind, übersehen Sie möglicherweise Signale neuerer Versionen.
- Entschlüsselungsprobleme. Die meisten Systeme können verschlüsselte Pakete nicht auswerten.
- Schlechte Praktiken. Mehr als die Hälfte aller angegriffenen kleinen und mittelständischen Unternehmen schließen innerhalb von sechs Monaten ihre Türen. Sie entwickeln keine nächsten Schritte, die ihnen als Orientierung dienen, wenn ein Angriff im Gange ist. Ohne diese Regeln erkennen sie zwar, dass sie vor einem Problem stehen, haben aber keine Ahnung, wie sie es lösen können.
- Mangel an Personalressourcen. Jemand muss verfügbar sein, um jede Warnung zu überprüfen, einschließlich Fehlalarme. Ein IDS erzeugt Unmengen an Daten, und ein Mensch muss jedes einzelne Element überprüfen.
Welche Vorteile bietet ein IDS?
Dennoch können es sich Unternehmen angesichts von Hackerangriffen, die alle 39 Sekunden erfolgen, nicht leisten, die Vorteile zu ignorieren und sich ausschließlich auf die Risiken zu konzentrieren. Ein IDS liefert eine Vielzahl wertvoller Daten, die Sie zum Schutz Ihres Unternehmens nutzen können. Wenn Sie es nicht nutzen, öffnen Sie Hackern Tür und Tor.
Wie sieht die Zukunft von IDS aus?
Unternehmen erkennen die Einschränkungen eines Standard-IDS. Einige reagieren darauf, indem sie größere und bessere Produkte für ihre Kund:innen entwickeln.
Wie entwickelt sich die IDS-Technologie weiter?
In ein oder zwei Jahren könnten neue IDS-Lösungen einen geringeren Verwaltungsaufwand erfordern. Sie setzen möglicherweise auf Machine-Learning, um das Risiko von falschpositiven Ergebnissen zu verringern, sodass die Mitarbeiter jeden Tag weniger überprüfen müssen. Und Anbieter können diese gleichzeitig aktualisieren, sodass das System stets Zugriff auf aktuelle Informationen zu neuen Herausforderungen hat.
Erfahren Sie mehr über den Unterschied zwischen IDS und IPS.
Häufig gestellte Fragen
Kann ein Intrusion Detection System (IDS) einen Cyberangriff eigenständig stoppen?
Nr. Ein Intrusion-Detection-System (IDS) ist lediglich ein Überwachungs- und Alarmierungstool – es kann weder den Datenverkehr stoppen noch Schwachstellen schließen oder Schäden beheben. Wie ein Rauchmelder, der ein Feuer meldet, es aber nicht löschen kann, benachrichtigt ein IDS einen Menschen oder ein anderes System, um Maßnahmen zu ergreifen. Für Funktionen zur automatisierten Reaktion sollten Unternehmen ein Eindringungspräventionssystem (IPS) oder ein System zur Erkennung und Verhinderung von Eindringlingen (IDPS) in Betracht ziehen.
Was ist der Unterschied zwischen signaturbasierter und anomaliebasierter Erkennung bei einem Intrusion Detection System (IDS)?
Die signaturbasierte Erkennung vergleicht aktuelle Netzwerkaktivitäten mit einer Datenbank bekannter Angriffsmuster und markiert alles, was einer zuvor dokumentierten Bedrohung entspricht. Die anomaliebasierte Erkennung legt stattdessen eine Baseline für normales Verhalten fest und warnt, wenn die Aktivität signifikant abweicht – wie etwa bei plötzlichen Spitzen oder Einbrüchen im Datenverkehr –, wodurch neuartige Bedrohungen erkannt werden können, die noch in keiner Signaturdatenbank enthalten sind.
Wo ist der beste Ort, um ein Intrusion Detection System (IDS) in einem Netzwerk zu installieren?
Die Platzierung hängt von Ihrem spezifischen Risikoprofil und Ihrer bisherigen Angriffshistorie ab. Zu den gängigen Optionen gehören hinter der Firewall (um eingehenden Datenverkehr genau zu überwachen), innerhalb der Firewall (um Angriffe beim Eindringen abzufangen) oder direkt im Netzwerk (um eine interne Ausbreitung zu verhindern). Die Auswertung Ihrer historischen Angriffsdaten und aktuellen Schwachstellen ist die beste Methode, um die richtige Platzierung zu bestimmen – und möglicherweise müssen Sie diese im Laufe der Zeit anpassen.
Was sind die Hauptbeschränkungen eines Intrusion Detection Systems (IDS)?
Zu den wesentlichen Einschränkungen gehören veraltete Signaturdatenbanken, die neuere Angriffsvarianten möglicherweise übersehen, die fehlende Möglichkeit, verschlüsselte Pakete zu überprüfen, und die Generierung großer Mengen an Warnmeldungen (einschließlich falsch-positiver Ergebnisse), die eine manuelle Überprüfung erfordern. Darüber hinaus können Organisationen ohne einen festgelegten Incident-Response-Plan einen Angriff zwar erkennen, haben aber keine klare Vorgehensweise, um darauf zu reagieren.
Wie umgehen Hacker Intrusion Detection Systeme (IDS)?
Angreifer:innen nutzen verschiedene Techniken, um die Erkennung durch ein Intrusion-Detection-System (IDS) zu umgehen: die Weiterleitung von Datenverkehr über Proxy-Server, um den Ursprung des Angriffs zu verschleiern, die Verteilung bösartiger Aktivitäten auf viele Geräte, um das Muster zu verbergen, und die Fragmentierung von Datenpaketen, um Erkennungsregeln zu umgehen. Diese Umgehungsmethoden verdeutlichen, warum ein IDS eine Ebene einer umfassenderen mehrstufigen Sicherheitsstrategie sein sollte.
Wie wird sich die Technologie für Intrusion-Detection-Systeme (IDS) voraussichtlich entwickeln?
Es wird erwartet, dass aufkommende Lösungen für Intrusion-Detection-Systeme (I.D.S.) maschinelles Lernen integrieren, um Fehlalarme zu reduzieren und den administrativen Aufwand für Sicherheitsteams zu verringern. Anbieter gehen zudem zu simultanen Echtzeit-Updates über, damit Systeme stets Zugriff auf die aktuellste Bedrohungsintelligenz haben – dies behebt eine der derzeit größten Einschränkungen der signaturbasierten Erkennung.
Referenzen
14 Mio. US-Unternehmen sind dem Risiko einer Hacker-Bedrohung ausgesetzt. (Juli 2017). CNBC.
Warum jedes Unternehmen eine Firewall benötigt. (November 2018). Phoenix Business Journal.
Bedeutende Cybervorfälle. Center for Strategic and International Studies.
60 % der Unternehmen scheitern innerhalb von 6 Monaten daran (es ist nicht das, was Sie denken). (Mai 2017). Inc.
Hacker:innen greifen alle 39 Sekunden an. (Februar 2017). Sicherheit.
