Ein Intrusion-Detection-System (IDS) überwacht den Netzwerkverkehr und die Aktivitäten von Hosts auf Anzeichen eines Angriffs. Es alarmiert, sobald etwas Auffälliges passiert. Es blockiert den Datenverkehr nicht. Das ist der Unterschied zu einem Intrusion-Prevention-System (IPS), das in den Netzwerkverkehr integriert ist und Datenverkehr blockieren kann. Ein IDS arbeitet passiv. Es beobachtet, analysiert und meldet die Daten. Der Analyst entscheidet dann über die weiteren Maßnahmen.

Die Erkennungsmethoden variieren. Signaturbasierte Systeme gleichen bekannte Angriffsmuster ab. Sie erkennen bereits bekannte Angriffe und übersehen alles Neue. Anomaliebasierte Systeme erstellen eine Basislinie des normalen Verhaltens und kennzeichnen Abweichungen. Sie erkennen neuartige Angriffe, generieren aber mehr Fehlalarme. Die meisten Implementierungen nutzen beide Ansätze. Netzwerkbasierte Intrusion-Detection-Systeme (IDS) überwachen den Datenverkehr an strategischen Punkten. Hostbasierte IDS überwachen Prozesse, Dateiänderungen und Systemaufrufe auf einzelnen Rechnern. Die schiere Menge an Warnmeldungen ist ein ständiges Problem. Ein schlecht konfiguriertes IDS überflutet Analysten mit Warnmeldungen. Sie verlieren die Aufmerksamkeit. Wichtige Warnmeldungen werden übersehen. Die Konfiguration ist keine einmalige Aufgabe. Netzwerke verändern sich. Neue Anwendungen entstehen. Die Basislinie verschiebt sich. Ein IDS, das letztes Jahr noch optimal konfiguriert war, kann heute nutzlos sein.

IDS-Typen

• Netzwerkbasiert – überwacht den Datenverkehr an Netzwerkanschlüssen
• Hostbasiert – überwacht die Aktivität auf einzelnen Geräten
• Signaturbasiert – entspricht bekannten Angriffsmustern
• Anomaliebasiert – kennzeichnet Abweichungen vom normalen Verhalten

Ein IDS ist ein Rauchmelder. Er löscht das Feuer nicht. Er zeigt an, dass ein Feuer ausgebrochen ist.