Ein Intrusion Detection System ist ein System, das den Verkehr oder die Vorgänge auf einem Rechner auf Angriffe hin beobachtet und meldet. Abgekürzt wird es IDS.
- Intrusion Detection System
Ein System, das den Verkehr oder die Vorgänge auf einem Rechner auf Angriffe hin beobachtet.
Beispiel: „Das Intrusion Detection System meldete den Verbindungsversuch zu einer bekannten Steueradresse.“Auch: IDS. Die Variante, die zusätzlich eingreift und eine Verbindung abbricht, heißt Intrusion Prevention System oder IPS.
Abgrenzung zur Firewall: Die entscheidet nach festen Regeln, was durchgelassen wird. Das IDS sieht sich an, was durchgeht, und sucht darin nach Mustern.
Die beiden Arten der Erkennung in einem IDS
Nach Mustern und nach Abweichung. Die erste vergleicht den Verkehr mit Merkmalen bekannter Angriffe; sie ist zuverlässig und findet nichts, was noch niemand beschrieben hat. Die zweite lernt den Normalzustand und schlägt bei Abweichungen an; sie findet auch Neues und erzeugt dafür Fehlalarme, siehe False Positive. Ernst zu nehmende Systeme benutzen beides nebeneinander.
Wo ein Intrusion Detection System steht
Im Netz oder auf dem einzelnen Rechner. Ein Netz-IDS hängt an einer Stelle, durch die der Verkehr ohnehin läuft, und sieht alles, was dort vorbeikommt; verschlüsselten Verkehr sieht es allerdings nur von außen. Ein Rechner-IDS läuft auf dem System selbst, beobachtet Dateien, Prozesse und Anmeldungen und erkennt dadurch auch das, was verschlüsselt hereinkam. Beides hat blinde Flecken, und zwar verschiedene.
Worin der Unterschied zum IPS liegt
In einem einzigen Punkt: Das IDS meldet, das IPS greift ein. Technisch ist es dasselbe Werkzeug, nur anders eingehängt; das IPS sitzt im Weg und kann eine Verbindung abbrechen. Der Unterschied ist trotzdem erheblich, denn ein Fehlalarm beim IDS kostet Aufmerksamkeit und beim IPS den Zugang eines echten Kunden. Deshalb laufen IPS-Regeln in der Praxis oft monatelang zuerst im Meldebetrieb.
Was ein IDS nicht leistet
Es ersetzt niemanden. Ein System, das meldet, braucht jemanden, der die Meldung liest und einordnet; ohne das ist es eine Alarmanlage ohne Wachdienst, genau wie ein ungepflegtes SIEM. Dazu kommt, dass die Erkennung dem Angriff hinterherläuft: Wer gezielt vorgeht, prüft vorher, welche Muster anschlagen. Für kleinere Häuser ist deshalb die Reihenfolge wichtiger als das Werkzeug: erst aktualisieren und härten, dann beobachten.