IDS / IPS

Wie funktionieren IDS und IPS?

Ein Intrusion Detection System (IDS) beobachtet den Netzwerkverkehr und meldet verdächtige Muster, etwa bekannte Angriffsmuster oder ungewöhnliches Verhalten. Es erkennt, greift aber selbst nicht ein.

Ein Intrusion Prevention System (IPS) geht einen Schritt weiter: Es sitzt direkt im Datenstrom und blockiert erkannten Schadverkehr aktiv. Beide ergänzen die Firewall am Übergang ins Netz, indem sie den durchgelassenen Verkehr genauer prüfen.

IDS vs. IPS

Der Unterschied liegt in der Reaktion. Ein IDS warnt, ein IPS handelt.

• IDS: erkennt und alarmiert, greift nicht in den Verkehr ein.
• IPS: erkennt und blockiert verdächtigen Verkehr sofort.

Ein IDS lässt sich neben dem Verkehr betreiben und stört den Betrieb nicht, erfordert aber jemanden, der auf Meldungen reagiert. Ein IPS schützt automatisch, kann bei Fehlalarmen aber legitimen Verkehr blockieren.

Worauf sollte man bei IDS/IPS achten?

Beide Systeme leben von aktuellen Erkennungsregeln und einer sauberen Abstimmung. Veraltete Signaturen übersehen neue Angriffe, zu strenge Regeln erzeugen Fehlalarme.

Wichtig ist außerdem, dass die Meldungen jemand auswertet, sonst verpufft der Nutzen. In der Praxis werden IDS/IPS oft an ein SIEM oder ein SOC angebunden, das die Ereignisse zentral bewertet.