IDS (Intrusion Detection System, deutsch „Angriffserkennungssystem") und IPS (Intrusion Prevention System, „Angriffsverhinderungssystem") überwachen Netzwerke und Server auf ungewöhnliche oder bösartige Aktivitäten. Der Unterschied: Ein IDS erkennt Angriffe und meldet sie, ein IPS erkennt und blockt sie direkt. Zusammen bilden sie eine wichtige zweite Verteidigungslinie hinter der Firewall.
IDS vs. IPS: der Unterschied
Angriff kommt an:
1. Firewall: prüft grob nach Regeln (Ports, Protokolle)
2. IDS: beobachtet den Verkehr, erkennt Angriffsmuster → Alarm an Admin
3. IPS: erkennt Angriffsmuster → blockt den Verkehr sofort- IDS (passiv): Prüft Kopien des Datenverkehrs, meldet Auffälligkeiten an ein Monitoring-System oder an Admins. Der Angriff läuft aber weiter, bis jemand handelt.
- IPS (aktiv): Sitzt direkt im Datenpfad und kann verdächtige Pakete verwerfen, Verbindungen beenden oder Quellen sperren — in Echtzeit, ohne menschliches Eingreifen.
Wie IDS/IPS Angriffe erkennen
- Signaturbasiert: Vergleicht den Verkehr mit bekannten Angriffsmustern (Signaturen), ähnlich wie ein Virenscanner. Sehr genau bei bekannten Angriffen, blind bei neuen Varianten.
- Anomaliebasiert: Lernt den normalen Verkehr und meldet Abweichungen (z. B. plötzlich viele Verbindungen von einer IP). Erkennt auch neue Angriffe, erzeugt aber mehr Fehlalarme.
Netzwerk- oder Host-basiert
- NIDS/NIPS (netzwerkbasiert): Beobachtet den gesamten Verkehr eines Netzwerkabschnitts — unabhängig vom Betriebssystem der beteiligten Geräte.
- HIDS/HIPS (hostbasiert): Läuft direkt auf einem einzelnen Server und prüft dort Logs, Dateisystem und Prozesse. Erkennt z. B. veränderte Systemdateien oder Malware, die ein Netzwerk-IDS nicht sieht.
Bekannte Werkzeuge
- Suricata und Snort: Open-Source-IDS/IPS, arbeiten regelbasiert und sehr verbreitet.
- Zeek (früher Bro): Netzwerk-Analyse-Framework, erzeugt detaillierte Protokolle über Verbindungen.
- fail2ban: Einfacher Host-Schutz, sperrt IPs nach wiederholten Fehlversuchen (z. B. bei Brute-Force-Angriffen auf SSH).
- Viele moderne Firewalls (Next-Generation Firewall, WAF) enthalten bereits IDS/IPS-Funktionen.
Praxis-Tipps
- IDS/IPS ersetzen keine Firewall — sie ergänzen sie. Die Firewall regelt, wer darf; IDS/IPS prüfen, was tatsächlich passiert.
- Ein IPS muss sorgfältig konfiguriert werden: Zu aggressive Regeln blockieren auch legitimen Verkehr (Fehlalarme).
- Die Alarme nur in ein Monitoring-System leiten, das beantwortet wird — ein IDS, das niemand liest, nützt nichts.
- Gerade bei Remote-Zugriffen ergänzt ein VPN mit starker Authentifizierung die technische Überwachung sinnvoll.
- Wer ein Zero-Trust-Modell umsetzt, profitiert doppelt: Jede Verbindung wird geprüft, IDS/IPS liefern dafür die nötige Sichtbarkeit.
Verwandte Grundlagen: Firewall, WAF, Monitoring, Pakete, Ports, Malware, Zero Trust, VPN.