Ein Intrusion Detection System (IDS) überwacht Netzwerkverkehr oder Aktivitäten auf Hosts auf Anzeichen von Angriffen und Richtlinienverstößen und alarmiert das Sicherheitsteam.
Wie ein IDS funktioniert
Es gibt zwei Haupttypen:
- Netzwerk-IDS (NIDS) analysiert Kopien des Datenverkehrs von einem Switch-Port oder Netzwerk-TAP. Bekannte Open-Source-Beispiele sind Snort (1998 veröffentlicht), Suricata und Zeek.
- Host-IDS (HIDS) läuft auf Servern und Arbeitsplätzen und überwacht Logs, Dateiintegrität und Systemaufrufe – etwa OSSEC oder Wazuh.
Zu den Erkennungsmethoden gehören Signaturen – Regeln für bekannte Exploits, Malware-Verkehr und Indicators of Compromise – sowie Anomalieerkennung, die normales Verhalten lernt und Abweichungen meldet. Signaturen sind präzise, übersehen aber neue Angriffe; Anomalieerkennung findet Unbekanntes, erzeugt jedoch mehr Fehlalarme.
IDS vs. IPS
Ein IDS beobachtet und alarmiert nur. Ein Intrusion Prevention System (IPS) sitzt inline im Datenstrom und kann bösartigen Verkehr automatisch blockieren. Viele Produkte, darunter Next-Generation-Firewalls, vereinen beide Funktionen und lassen pro Regel den Erkennungs- oder Blockiermodus wählen.
Warum ein IDS wichtig ist
Ein IDS schafft Sichtbarkeit darüber, was durchs Netz läuft: Ausnutzungsversuche gegen Server, Command-and-Control-Verkehr, laterale Bewegung und Datenabfluss. Alarme gehen meist an ein SIEM und werden im SOC ausgewertet. Netzwerkerkennung bleibt auch mit Endpunktschutz wertvoll, weil viele Geräte – Drucker, IoT, Appliances – keine Sicherheitsagenten ausführen können.
Best Practices
- Sensoren nicht nur am Internetübergang, sondern auch in wichtigen internen Segmenten platzieren.
- Regelsätze aktuell halten und zur Lärmminderung feinjustieren.
- TLS dort entschlüsseln oder prüfen, wo es erlaubt ist – der meiste Verkehr ist verschlüsselt.
- IDS-Alarme mit Endpunkt- und Logdaten korrelieren.
