IDS vs. IPS
Eine Firewall kontrolliert, was ins Netz darf. Aber was, wenn ein Angreifer bereits durch die Firewall gekommen ist – weil er Port 443 nutzt, der für HTTPS geöffnet sein muss? Hier kommen IDS (Intrusion Detection System) und IPS (Intrusion Prevention System) ins Spiel. Sie analysieren den Netzwerkverkehr auf Anzeichen von Angriffen und können – im Fall des IPS – aktiv eingreifen.
Der Unterschied zwischen beiden ist im Kern ein Architekturunschied: Das IDS ist ein passiver Beobachter, das IPS ein aktiver Eingreifer. Das IDS sitzt „neben" dem Datenstrom (out-of-band), erhält eine Kopie des Traffics über einen Netzwerk-Tap oder Port-Mirror und schlägt Alarm, ohne den Verkehr zu unterbrechen. Das IPS ist dagegen direkt in den Datenpfad eingebunden (inline) und kann Pakete in Echtzeit blockieren.
1) Positionierung im Netzwerk
Wo IDS und IPS im Netzwerk platziert werden, bestimmt, was sie sehen und wie effektiv sie eingreifen können. Die typische Platzierung ist direkt hinter der äußeren Firewall oder vor dem internen Netz – aber auch für die Überwachung interner Segmente werden IDS-Sensoren eingesetzt.
2) Erkennungsmethoden
Wie erkennt ein IDS/IPS überhaupt einen Angriff? Es gibt drei grundlegend verschiedene Ansätze, die in der Praxis kombiniert werden. Jeder hat eigene Stärken und charakteristische Schwächen.
3) IDS vs. IPS in der Praxis
4) Angriffserkennung Schritt für Schritt
Die folgende Animation zeigt, wie ein IPS einen klassischen Port-Scan erkennt und darauf reagiert – von der Erkennung der ersten verdächtigen Pakete über die Signaturkorrelation bis zum automatischen Block.
Zusammenfassung
IDS erkennt Angriffe passiv (out-of-band) und alarmiert; IPS greift aktiv inline ein und kann blocken. Erkennungsmethoden: Signaturbasiert (bekannte Muster, wenig False Positives), Anomaliebasiert (Abweichung vom Normalverhalten, erkennt Zero-Days, aber mehr False Positives), Hybrid (Kombination). Moderne NGFWs integrieren IPS direkt. IDS-Alarme fließen typischerweise in ein SIEM für Wirksamkeitsprüfung und Incident Response.