Konzepte zu IDS und IPS

Network Security Monitoring (NSM) bezeichnet das Erfassen, Analysieren und Bearbeiten von Netzwerkverkehr, um Eindringversuche zu erkennen. Zwei grundlegende Werkzeuge sind IDS und IPS.

Beide untersuchen Pakete auf Anzeichen eines Angriffs, unterscheiden sich aber in einem entscheidenden Punkt: Ein IDS überwacht und alarmiert, während ein IPS überwacht und blockiert. Diese Unterscheidung bestimmt, wie und wo Sie die beiden Systeme einsetzen.

Ein Intrusion Detection System untersucht passiv eine Kopie des Netzwerkverkehrs. Wenn der Verkehr einer Signatur oder Anomalie entspricht, löst es einen Alert für eine Untersuchung durch Analysten aus. Es verändert oder stoppt den Verkehr nicht.

Da es out-of-band arbeitet, kann ein IDS legitime Datenströme weder verlangsamen noch unterbrechen, und sein Ausfall legt das Netzwerk nicht lahm. Der Nachteil: Es erkennt erst im Nachhinein, sodass das bösartige Paket sein Ziel bereits erreicht hat.

Ein Intrusion Prevention System befindet sich inline, direkt im Datenpfad. Wenn es bösartigen Verkehr erkennt, kann es in Echtzeit das Paket verwerfen, die Verbindung zurücksetzen oder die Quelle blockieren und den Angriff stoppen, bevor er sein Ziel erreicht.

Der Preis für diese Möglichkeit: Ein IPS kann zum Engpass und zu einem Single Point of Failure werden. Ein Falsch-Positiv erzeugt nicht nur Rauschen, sondern blockiert legitimen Geschäftsverkehr.

Die Bereitstellungstopologie ist der entscheidende Unterschied.

• IDS (out-of-band) erhält eine gespiegelte Kopie über einen SPAN-Port oder Network TAP. Es sieht den Verkehr, kann aber nicht in den laufenden Datenstrom eingreifen.
• IPS (inline) leitet den Verkehr selbst weiter. Jedes Paket durchläuft das System, sodass es Pass-/Drop-Entscheidungen treffen kann.

Viele Engines (Snort, Suricata) können in beiden Modi betrieben werden. Der Unterschied besteht darin, ob Sie sie in den Datenpfad einsetzen oder mit einem TAP verbinden.

Um ein IDS zu versorgen, kopieren Sie den Verkehr dorthin.

• Ein SPAN-/Mirror-Port wird auf einem Switch so konfiguriert, dass er den Verkehr an einen Monitor-Port dupliziert. Das ist kostengünstig, kann aber unter Last Frames verlieren und fehlerhafte Pakete möglicherweise nicht erfassen.
• Ein Network TAP ist ein Hardwaregerät, das den Verkehr physisch ohne Paketverlust kopiert. Für Verbindungen mit hohem Durchsatz ist es zuverlässiger.

Für ein Inline-IPS verwenden Sie keinen TAP; das Gerät wird direkt zwischen zwei Segmenten verkabelt.

Ein Inline-IPS muss entscheiden, was bei einem Absturz oder bei Überlastung geschieht.

• Fail-Open — der Verkehr fließt weiter, wobei die Verfügbarkeit Vorrang vor der Sicherheit hat.
• Fail-Closed — der Verkehr wird blockiert, wobei die Sicherheit Vorrang vor der Verfügbarkeit hat.

Dies ist eine Entscheidung über Geschäftsrisiken. Die zentrale Verbindung einer Bank kann auf Fail-Open eingestellt werden, damit sie online bleibt; ein Segment zum Schutz besonders wichtiger Daten kann auf Fail-Closed eingestellt werden. Ein out-of-band betriebenes IDS hat dieses Problem nicht, da sein Ausfall den Produktionsverkehr nie beeinträchtigt.

IDS und IPS erkennen Bedrohungen mit denselben grundlegenden Verfahren:

• Signaturbasiert — bekannte schädliche Muster abgleichen. Präzise bei bekannten Bedrohungen, aber blind für neuartige.
• Anomaliebasiert — Abweichungen von einer erlernten Baseline melden. Erkennt Unbekanntes, erzeugt aber mehr Rauschen.
• Protokollanalyse — Verstöße gegen das erwartete Verhalten eines Protokolls erkennen.

Ob das Ergebnis einen Alert (IDS) oder eine Blockierung (IPS) auslöst, ist unabhängig von der Erkennungsmethode.

Falsch-Positive sind bei beiden Systemen relevant, aber die Folgen unterscheiden sich erheblich.

• Bei einem IDS kostet ein Falsch-Positiv Zeit von Analysten.
• Bei einem IPS blockiert ein Falsch-Positiv echten Verkehr und kann einen Ausfall verursachen.

Deshalb stellen Teams eine neue Regel oft zunächst im IDS-/Alert-Modus bereit, tunen sie, bis die Falsch-Positiv-Rate akzeptabel ist, und aktivieren erst danach die Inline-Blockierung.

Beide Systeme sind durch Verschlüsselung eingeschränkt. Ohne Entschlüsselung können sie die Nutzdaten von TLS-verschlüsseltem Verkehr nicht untersuchen. Mögliche Gegenmaßnahmen sind:

• TLS-Inspektion / Entschlüsselungs-Proxys am Netzwerkrand
• Untersuchung von Metadaten: JA3/JA3S-Fingerprints, Zertifikatsfelder, SNI, Zeitverhalten
• Entschlüsselung an den Endpunkten und stattdessen Überwachung dort

Ein immer größerer Anteil des Verkehrs ist verschlüsselt. Deshalb stützt sich modernes NSM stark auf Metadaten und Verhaltenssignale, nicht allein auf Nutzdatensignaturen.

Intrusion Detection lässt sich auch danach unterscheiden, wo sich der Sensor befindet:

• NIDS (netzwerkbasiert) untersucht den Verkehr im Datenstrom; Snort und Suricata sind NIDS. Sie bieten breite Sichtbarkeit, sind aber gegenüber verschlüsselten Nutzdaten und Aktivitäten auf dem Host blind.
• HIDS (hostbasiert) läuft auf dem Endpunkt und überwacht Dateiintegrität, Logs und Prozessverhalten; OSSEC und Wazuh sind Beispiele.

Sie ergänzen sich: NIDS erkennt laterale Bewegungen zwischen Hosts, HIDS sieht, was innerhalb eines einzelnen Hosts geschieht, selbst wenn der Verkehr verschlüsselt ist. Ausgereifte Programme setzen beide ein.

In der Praxis verwenden Sie beide, in mehreren Schutzschichten.

• IPS inline am Perimeter und um kritische Segmente herum, um bekannte Angriffe mit hoher Erkennungssicherheit automatisch zu blockieren.
• IDS zum Abgreifen des internen Verkehrs für breite Sichtbarkeit, Threat Hunting und Erkennungen, die für eine automatische Blockierung zu riskant sind.

NSM kombiniert diese außerdem mit vollständiger Paketerfassung und Flow-Datensätzen (NetFlow), damit Analysten untersuchen können, was die automatisierten Systeme melden.

Bestätigen Sie, dass Sie die beiden Systeme unterscheiden können.

IDS und IPS sind zwei Ausprägungen der Netzwerküberwachung:

• IDS = out-of-band, erkennt und alarmiert, keine Auswirkungen auf den Datenstrom
• IPS = inline, erkennt und blockiert in Echtzeit, kann den Verkehr unterbrechen
• Versorgen Sie ein IDS über SPAN-Ports oder TAPs; schalten Sie ein IPS inline in den Datenpfad
• Für ein Inline-IPS ist eine Entscheidung zwischen Fail-Open und Fail-Closed erforderlich
• Beide verwenden die Signatur-, Anomalie- und Protokollerkennung
• Beim IPS verursachen Falsch-Positive Ausfälle; tunen Sie deshalb zuerst im Alert-Modus
• Verschlüsselung schränkt die Untersuchung von Nutzdaten ein; stützen Sie sich auf Metadaten
• Setzen Sie beide schichtweise für Prävention und breite Sichtbarkeit ein

Als Nächstes: Schreiben der Signaturregeln, die diese Engines ausführen.