Kurz erklärt
Ein Intrusion Detection System überwacht den Netzwerkverkehr und meldet verdächtige Aktivitäten. Es erkennt Angriffe, greift aber selbst nicht ein.
Ein Intrusion Detection System überwacht den Netzwerkverkehr und meldet verdächtige Aktivitäten. Es erkennt Angriffe, greift aber selbst nicht ein.
Ein Intrusion Detection System (IDS) überwacht den Netzwerkverkehr oder einzelne Systeme und meldet verdächtige Aktivitäten. Es erkennt mögliche Angriffe, greift aber selbst nicht ein.
Zur Erkennung nutzt es zwei Ansätze: den Abgleich mit bekannten Angriffsmustern (signaturbasiert) und das Auffinden von Abweichungen vom Normalzustand (anomaliebasiert). Beide Ergebnisse landen als Alarm bei den Verantwortlichen.
Der entscheidende Unterschied liegt im Handeln. Ein IDS meldet nur, ein IPS blockiert aktiv.
Ein IDS arbeitet meist beobachtend neben dem Verkehr, ein IPS sitzt direkt im Datenstrom. Beide ergänzen sich je nach Schutzbedarf.
Ein IDS erzeugt Alarme, doch ohne Auswertung bleiben diese folgenlos. Eine Flut unbewerteter Meldungen nützt niemandem.
Deshalb gehört ein IDS in einen größeren Zusammenhang: Seine Meldungen fließen in ein SIEM und werden idealerweise von einem SOC bewertet, das auf echte Vorfälle reagiert.
FAQ
Kurz und konkret beantwortet.
Signaturbasiert heißt, das IDS erkennt Angriffe anhand bekannter Muster, ähnlich einem Virenscanner. Anomaliebasiert bedeutet, es lernt den Normalzustand und schlägt bei Abweichungen Alarm. Signaturen erkennen Bekanntes zuverlässig, die Anomalie-Erkennung findet auch Neues, erzeugt aber mehr Fehlalarme.
Nein. Eine Firewall entscheidet, welcher Verkehr überhaupt erlaubt ist, und blockiert den Rest. Ein IDS beobachtet den durchgelassenen Verkehr und meldet Auffälligkeiten. Beide arbeiten auf unterschiedlichen Ebenen und ergänzen sich: Die Firewall filtert, das IDS überwacht das, was durchkommt.
Ein Fehlalarm (False Positive) ist eine Meldung über harmlosen Verkehr, der fälschlich als Angriff eingestuft wird. Zu viele Fehlalarme führen dazu, dass echte Warnungen übersehen werden. Deshalb müssen die Erkennungsregeln laufend angepasst und Alarme von Fachleuten bewertet werden.
Verwandte Begriffe
Noch Fragen?
Ob IT-Sicherheit oder ein anderes Thema — wir schauen uns Ihre Situation an und sagen Ihnen ehrlich, was sinnvoll ist.
Kontakt aufnehmenKostenlose Erstberatung
Unverbindlich und ohne Fachchinesisch. Wählen Sie den Weg, der Ihnen am liebsten ist.
4,7 ★ GoogleAntwort in unter 4 Stundenpersönlich seit 2002
Rückruf anfordern
Innerhalb von 4 Stunden — kostenlos und unverbindlich.
Wir melden uns innerhalb von 4 Stunden bei Ihnen.