Intrusion Detection
Intrusion Detection & Prevention
Angriffserkennung und -abwehr in Echtzeit – von IDS/IPS-Systemen über Signatur- und Anomalie-Erkennung bis zu SIEM-Integration. Lerne, wie moderne Sicherheitssysteme Netzwerke und Systeme vor Cyberangriffen schützen.
Inhaltsverzeichnis
Schnellübersicht
Auf dieser Seite lernst du alles über Intrusion Detection & Prevention:
- Definition: Was ist Intrusion Detection?
- IDS vs. IPS: Der fundamentale Unterschied
- Erkennungsmethoden: Signatur, Anomalie, Heuristik, Stateful
- IDS-Typen: NIDS, HIDS, NIPS, HIPS
- Tools: Snort, Suricata, Zeek, OSSEC, Wazuh, Fail2ban
- Architektur: Deployment und Integration
- False Positives/Negatives: Herausforderungen
- SIEM Integration: Zentrale Log-Analyse
- Best Practices: Regeln, Tuning, Response
1. Was ist Intrusion Detection?
Definition
Intrusion Detection (Angriffserkennung) bezeichnet die automatisierte Überwachung von Netzwerken, Systemen und Anwendungen, um unautorisierte Zugriffe, Angriffe oder Regelverstöße zu erkennen und zu melden.
IDS-Systeme analysieren Netzwerkverkehr, Systemlogs und Dateiänderungen in Echtzeit oder nachträglich und vergleichen diese mit bekannten Angriffsmustern (Signaturen) oder erstellen Baselines für normales Verhalten (Anomalie-Erkennung).
Intrusion Prevention (IPS) geht einen Schritt weiter: Neben der Erkennung können IPS-Systeme automatisch Gegenmaßnahmen ergreifen, wie das Blockieren von IP-Adressen, das Trennen von Verbindungen oder das Stoppen von Prozessen.
Einfache Analogie
Stell dir ein Überwachungssystem vor:
- IDS = Überwachungskamera + Alarm: Erkennt Einbrüche und schlägt Alarm, handelt aber nicht selbst
- IPS = Sicherheitsdienst: Erkennt Einbrüche und greift aktiv ein (verhindert den Einbruch)
- Firewall = Türschloss: Verhindert grundsätzlich den Zutritt Unbefugter
- SIEM = Sicherheitszentrale: Sammelt alle Alarme und Logs zentral zur Analyse
2. IDS vs. IPS – Der Unterschied
Obwohl IDS und IPS ähnlich funktionieren, gibt es einen entscheidenden Unterschied in ihrer Wirkungsweise:
IDS (Intrusion Detection System)
- Erkennt Angriffe und meldet sie
- Passiv – greift nicht ein
- Out-of-Band Deployment (Spiegelung)
- Keine Performance-Auswirkungen
- Alerts an Admins/SIEM
- Ideal für Monitoring & Forensik
- Keine False-Negative-Blockaden
IPS (Intrusion Prevention System)
- Erkennt UND verhindert Angriffe
- Aktiv – blockiert Traffic
- In-Line Deployment (im Datenpfad)
- Kann Performance beeinflussen
- Automatische Blockierung
- Ideal für aktiven Schutz
- Risiko: False Positives blockieren legitimen Traffic
Praxis-Tipp
Viele moderne Systeme kombinieren IDS und IPS in einem Gerät. Die Empfehlung: IDS zuerst im Monitoring-Modus betreiben, Regeln testen und tunen, dann IPS-Modus aktivieren. So vermeidest du False Positives, die legitimen Traffic blockieren.
3. Erkennungsmethoden
IDS/IPS-Systeme nutzen verschiedene Methoden, um Angriffe zu erkennen. Jede Methode hat ihre Stärken und Schwächen.
Signatur-basiert
Vergleicht Traffic mit bekannten Angriffsmustern (Signaturen). Wie ein Virenscanner für Netzwerkverkehr.
- Sehr hohe Genauigkeit bei bekannten Angriffen
- Wenig False Positives
- Schnelle Erkennung
- Einfache Regeln
Anomalie-basiert
Erstellt eine Baseline des normalen Verhaltens und meldet Abweichungen. Nutzt Machine Learning.
- Erkennt Zero-Day-Angriffe
- Erkennt unbekannte Angriffsmuster
- Adaptiv und lernfähig
- Ideal für Insider-Bedrohungen
Heuristik-basiert
Nutzt allgemeine Regeln und Heuristiken, um verdächtiges Verhalten zu erkennen (z.B. Port-Scans).
- Erkennt Angriffsmuster
- Port-Scan-Erkennung
- Brute-Force-Erkennung
- Kombination mehrerer Indikatoren
Stateful Protocol Analysis
Überwacht den Zustand von Protokoll-Verbindungen und erkennt Abweichungen vom Standard.
- Erkennt Protokoll-Verletzungen
- HTTP-, FTP-, SMTP-Analyse
- State-Tracking über Verbindungen
- Erkennt Protocol-Level-Exploits
| Methode | Zero-Day | False Positives | Performance | Konfiguration | Best für |
|---|---|---|---|---|---|
| Signatur | Niedrig | Hoch | Einfach | Bekannte Angriffe | |
| Anomalie | Hoch | Mittel | Komplex | Unbekannte Angriffe | |
| Heuristik | Teilweise | Mittel | Mittel | Mittel | Angriffsmuster |
| Stateful | Teilweise | Niedrig | Niedrig | Komplex | Protokoll-Exploits |
4. IDS/IPS-Typen
IDS/IPS-Systeme werden nach ihrem Überwachungsbereich klassifiziert:
NIDS (Network-based IDS)
Überwacht den gesamten Netzwerkverkehr an strategischen Punkten. Analysiert Pakete auf Netzwerk-Ebene.
Deployment: An Switches (Port-Mirroring), Router, Firewall
HIDS (Host-based IDS)
Überwacht einzelne Systeme – Logs, Dateiänderungen, Prozesse, Systemaufrufe. Erkennt Angriffe auf Host-Ebene.
Deployment: Agent auf jedem zu überwachenden System
NIPS (Network-based IPS)
Wie NIDS, aber im Inline-Modus. Kann verdächtigen Traffic aktiv blockieren und Verbindungen trennen.
Deployment: Im Datenpfad zwischen Netzwerkkomponenten
HIPS (Host-based IPS)
Wie HIDS, aber kann Angriffe auf Host-Ebene aktiv verhindern – Prozesse stoppen, Dateien sperren.
Deployment: Agent mit aktiven Schutzfunktionen
NIDS vs. HIDS – Wann was?
- NIDS: Gut für Netzwerkweite Angriffe (DDoS, Port-Scans, Malware-Verbreitung)
- HIDS: Gut für gezielte Angriffe auf einzelne Systeme, Insider-Bedrohungen, Compliance
- Best Practice: Kombination beider Systeme für Defense-in-Depth
- Beispiel: NIDS erkennt Netzwerkangriffe, HIDS erkennt manipulierte Systemdateien
5. Wichtige IDS/IPS-Tools
Es gibt viele Open-Source und kommerzielle IDS/IPS-Tools. Hier die wichtigsten im Überblick:
Snort
Das weltweit am häufigsten eingesetzte Open-Source IDS. Entwickelt von Sourcefire (heute Cisco).
- Signatur- & Anomalie-basiert
- Echtzeit-Paketanalyse
- Riesige Regel-Community
- IDS, IPS & Packet-Sniffer-Modus
- Cisco Talos Intelligence Rules
Suricata
Moderne Alternative zu Snort mit Multi-Threading und besserer Performance bei hohem Traffic.
- Multi-Threaded (bessere Performance)
- Snort-kompatible Regeln
- File-ID & File-Extraction
- Lua-Scripting für Custom Rules
- Emerging Threats Rules
Zeek (Bro)
Ursprünglich Bro genannt. Fokus auf Netzwerk-Forensik und Traffic-Analyse statt Signatur-Matching.
- Netzwerk-Forensik spezialisiert
- Erzeugt strukturierte Logs
- Policy-basierte Analyse
- Ideal für Threat Hunting
- Entwickelt am ICSI Berkeley
OSSEC
Führendes Open-Source HIDS. Überwacht Logs, Datei-Integrität, Registry und Windows-Events.
- Log-Analyse & Korrelation
- File Integrity Monitoring (FIM)
- Rootkit-Detection
- Real-time Alerting
- Multi-Platform (Linux, Windows, macOS)
Wazuh
Moderne Weiterentwicklung von OSSEC. Kombiniert HIDS, SIEM und XDR in einer Plattform.
- OSSEC-Fork mit Erweiterungen
- Integriertes SIEM (Elastic Stack)
- Cloud-Security (AWS, Azure, GCP)
- Compliance (PCI-DSS, HIPAA, GDPR)
- Moderne Web-UI
Fail2ban
Leichtgewichtiger Schutz gegen Brute-Force-Angriffe. Analysiert Logs und bannt IPs automatisch.
- Brute-Force-Erkennung
- Automatische IP-Banns
- SSH, Apache, FTP, etc.
- Integration mit iptables/nftables
- Sehr einfach zu konfigurieren
| Tool | Typ | Erkennung | Performance | Learning Curve | Best für |
|---|---|---|---|---|---|
| Snort | NIDS/NIPS | Signatur, Anomalie | Single-Thread | Mittel | Klassische IDS/IPS |
| Suricata | NIDS/NIPS | Signatur, Multi-Thread | Multi-Thread | Mittel | High-Traffic-Netzwerke |
| Zeek | NSA | Policy, Forensik | Mittel | Hoch | Threat Hunting, Forensik |
| OSSEC | HIDS | Log, FIM, Rootkit | Leicht | Mittel | Host-Überwachung |
| Wazuh | XDR/SIEM | Umfassend | Ressourcenintensiv | Mittel | Enterprise-Security |
| Fail2ban | HIPS | Brute-Force | Sehr leicht | Niedrig | Einfacher Brute-Force-Schutz |
6. IDS/IPS-Architektur
Typische IDS/IPS-Deployment-Architektur in einem Unternehmensnetzwerk:
Typische IDS/IPS-Architektur
Internet
Externer Traffic
Edge Firewall
Perimeter-Schutz
NIPS (Inline)
Angriffsverhinderung
DMZ
Public Server
NIDS (Mirror)
DMZ-Überwachung
Internal Switch
Port-Mirroring
NIDS
Interne Überwachung
HIDS Agents
Host-Überwachung
SIEM
Zentrale Log-Analyse
SOC Team
Security Operations
Deployment-Strategien
- Inline (IPS): Im Datenpfad – kann Traffic blockieren, beeinflusst Performance
- Passive (IDS): Via Port-Mirroring (SPAN) – kein Einfluss auf Traffic
- TAP (Test Access Point): Hardware-basierte Spiegelung – zuverlässiger als SPAN
- Hybrid: IDS an kritischen Punkten, IPS am Perimeter
7. Snort-Regeln – Beispiele
Snort-Regeln definieren, welcher Traffic als verdächtig gilt. Hier einige Beispiele:
Einfache Snort-Regeln
Fail2ban Konfiguration
Snort-Regel-Syntax
Eine Snort-Regel besteht aus zwei Teilen:
- Regel-Header: Aktion, Protokoll, Quell-/Ziel-IP, Ports, Richtung
- Regel-Optionen: Meldung, Content-Matching, SID, Revision, Threshold
8. False Positives & False Negatives
Die größte Herausforderung bei IDS/IPS-Systemen ist die Balance zwischen False Positives und False Negatives:
False Positive
Definition: Das System meldet einen Angriff, aber es ist kein echter Angriff (legitimer Traffic).
• Admin-Tool löst IDS-Alert aus
• Normaler Traffic wird als SQL-Injection erkannt
• Penetration-Test wird als echter Angriff gewertet
Folgen: Alert Fatigue, verschwendete Ressourcen, blockierter legitimer Traffic (bei IPS)
False Negative
Definition: Das System erkennt einen echten Angriff nicht (kein Alert).
• Zero-Day-Exploit (keine Signatur vorhanden)
• Verschlüsselter Traffic (HTTPS)
• Langsame, verteilte Angriffe (Low & Slow)
Folgen: Erfolgreicher Angriff, Datenverlust, Compliance-Verletzungen
Umgang mit False Positives/Negatives
- Tuning: Regeln regelmäßig anpassen und verfeinern
- Whitelisting: Bekannte legitime Quellen/Tools ausschließen
- Thresholding: Alerts nur bei wiederholtem Auftreten
- Multi-Layer: Kombination mehrerer Erkennungsmethoden
- Monitoring: Regelmäßige Überprüfung der Alert-Qualität
- Training: SOC-Team für Alert-Triage schulen
9. SIEM-Integration
IDS/IPS-Alerts werden typischerweise in ein SIEM (Security Information and Event Management) System integriert:
SIEM – Zentrale Security-Analyse
Log-Aggregation
Sammelt Logs von IDS, Firewall, Servern, Anwendungen zentral
Korrelation
Erkennt Zusammenhänge zwischen verschiedenen Events
Alerting
Generiert priorisierte Alerts für SOC-Teams
Dashboards
Visualisiert Security-Metriken und Trends
Compliance
Unterstützt Audit-Anforderungen (ISO 27001, GDPR)
Forensik
Langzeit-Archivierung für Incident-Untersuchungen
Beliebte SIEM-Systeme
Kostenloses SIEM/XDR basierend auf Elastic Stack. Ideal für KMUs und Einsteiger.
- Open Source & kostenlos
- Integrierte IDS-Regeln
- Cloud-Integration (AWS, Azure)
- Compliance-Dashboards
Marktführer im SIEM-Bereich. Sehr mächtig, aber teuer. Enterprise-Standard.
- Sehr mächtige Analyse
- Machine Learning Integration
- Umfangreiche App-Ökosystem
- Hohe Kosten
Open-Source SIEM basierend auf Elasticsearch, Logstash, Kibana. Sehr flexibel.
- Open Source (ELK Stack)
- Sehr flexibel und skalierbar
- Gute Community
- Technisches Know-how nötig
10. Best Practices für IDS/IPS
Die wichtigsten Empfehlungen für den effektiven Betrieb von IDS/IPS-Systemen:
Regel-Management
- Regelmäßig Regel-Updates einspielen
- Custom Rules für spezifische Anforderungen
- Regeln dokumentieren und versionieren
- Nicht benötigte Regeln deaktivieren
- Regel-Qualität regelmäßig überprüfen
Tuning & Optimierung
- False Positives systematisch reduzieren
- Whitelists für bekannte Quellen
- Thresholds anpassen
- Performance-Monitoring
- Regelmäßige Reviews durchführen
Logging & Monitoring
- Zentrale Log-Sammlung (SIEM)
- Log-Retention mindestens 6 Monate
- Alert-Priorisierung implementieren
- 24/7 SOC-Betrieb (oder On-Call)
- Regelmäßige Alert-Reviews
Incident Response
- Klare Eskalationsprozesse
- Playbooks für häufige Incidents
- Automatisierte Response (SOAR)
- Communication-Pläne
- Post-Incident Reviews
Testing & Validation
- Regelmäßige Penetration-Tests
- Red Team Exercises
- IDS/IPS-Effektivität testen
- Breach & Attack Simulation (BAS)
- Tabletop Exercises
Updates & Wartung
- Regelmäßige Software-Updates
- Signatur-Updates täglich
- Patch-Management-Prozess
- Change-Management
- Backup vor Änderungen
Defense-in-Depth mit IDS/IPS
IDS/IPS ist nur eine Schicht einer umfassenden Security-Strategie. Effektiver Schutz erfordert:
- Firewall: Perimeter-Schutz, Port-Filterung
- IDS/IPS: Angriffserkennung und -verhinderung
- WAF: Web Application Firewall für Web-Apps
- Endpoint Protection: Antivirus, EDR auf Endgeräten
- SIEM: Zentrale Log-Analyse und Korrelation
- Network Segmentation: DMZ, VLANs, Micro-Segmentation
- Zero Trust: "Never trust, always verify"
11. Alert-Level & Priorisierung
Nicht alle Alerts sind gleich wichtig. Eine klare Priorisierung hilft dem SOC-Team, sich auf die kritischsten Bedrohungen zu konzentrieren:
| Level | Badge | Beschreibung | Beispiel | Reaktion |
|---|---|---|---|---|
| Critical | CRITICAL | Aktiver Angriff, Datenverlust droht | Ransomware, Datenexfiltration | Sofortige Reaktion, Incident Response |
| High | HIGH | Schwerer Angriff, erfolgreiche Kompromittierung | SQL-Injection erfolgreich, Brute-Force erfolgreich | Priorisierte Untersuchung innerhalb 1h |
| Medium | MEDIUM | Verdächtige Aktivität, möglicher Angriff | Port-Scan, ungewöhnlicher Traffic | Untersuchung innerhalb 4h |
| Low | LOW | Informationelle Meldung, geringes Risiko | ICMP Ping, DNS-Query | Monitoring, Batch-Review |
| Info | INFO | Normale Aktivität, kein Sicherheitsvorfall | Successful Login, File-Access | Logging, keine Aktion |
12. FAQ – Häufige Fragen
Häufige Fragen zu IDS/IPS
Ja, absolut! Firewall und IDS/IPS ergänzen sich:
- Firewall: Filtert Traffic basierend auf IP, Port, Protokoll (statisch)
- IDS/IPS: Analysiert Traffic-Inhalt auf Angriffe (dynamisch)
Eine Firewall kann keinen SQL-Injection-Angriff erkennen, wenn er über Port 443 (HTTPS) kommt. Ein IDS/IPS schon!
IDS (Intrusion Detection System):
- Erkennt und meldet Angriffe
- Passiv – greift nicht ein
- Out-of-Band Deployment
IPS (Intrusion Prevention System):
- Erkennt UND verhindert Angriffe
- Aktiv – blockiert Traffic
- Inline Deployment
Standardmäßig: Nein. IDS sieht nur verschlüsselte Daten. Lösungen:
- SSL/TLS Inspection: Firewall oder Proxy entschlüsselt Traffic
- Endpoint-Agenten: HIDS sieht unverschlüsselte Daten vor/nach Verschlüsselung
- JA3/JA3S Fingerprints: Erkennt Malware an TLS-Handshake-Mustern
- Metadaten-Analyse: Verbindungszeiten, -größen, -häufigkeiten
Hinweis: SSL-Inspection ist rechtlich und ethisch komplex (DSGVO, Betriebsrat).
Das hängt von der Umgebung ab, aber als Richtwert:
- Ideal: < 5% False-Positive-Rate
- Akzeptabel: 5-15% (mit gutem Tuning)
- Problematisch: > 15% (Alert Fatigue)
Alert Fatigue: Wenn zu viele False Positives kommen, ignorieren Admins irgendwann auch echte Alerts. Das ist gefährlich!
Snort:
- Älter, etablierter, größere Community
- Single-Threaded (Performance-Limit)
- Cisco Talos Rules (kommerziell)
- Ideal für: Kleine bis mittlere Netzwerke
Suricata:
- Modern, Multi-Threaded
- Bessere Performance bei hohem Traffic
- Snort-kompatible Regeln
- Ideal für: Große Netzwerke, High-Traffic
Empfehlung: Für die meisten Fälle Suricata – bessere Performance, moderner, kompatibel mit Snort-Regeln.
Signatur-Updates:
- Täglich: Neue Signaturen für bekannte Bedrohungen
- Automatisch: Auto-Update wo möglich aktivieren
Custom Rules:
- Bei neuen Bedrohungen: Sofort anpassen
- Bei False Positives: Innerhalb von 24h tunen
- Regelmäßige Reviews: Monatlich alle Regeln überprüfen
SOC = Security Operations Center. Ein Team, das 24/7 Security-Monitoring betreibt.
- Enterprise SOC: Großes Team, eigene Infrastruktur
- Managed SOC (MDR): Externer Dienstleister
- Virtual SOC: Kleinere Teams, On-Call
Brauche ich ein SOC?
- Ja: Wenn du IDS/IPS betreibst und Alerts ernst nehmen willst
- Alternative: Managed Detection & Response (MDR) für KMUs
Selbst betreiben (On-Premise):
- Volle Kontrolle über Daten und Konfiguration
- Benötigt internes Know-how (Linux, Networking, Security)
- Initiale Einrichtung und laufendes Tuning
- Ideal für: Unternehmen mit IT-Team
Dienstleister (Managed IDS/IPS):
- Kein eigenes Know-how nötig
- 24/7 Monitoring inklusive
- Monatliche Kosten (ca. 500-5000 €/Monat)
- Ideal für: KMUs ohne Security-Team
Zusammenfassung
Die wichtigsten Punkte
- IDS: Erkennt und meldet Angriffe (passiv)
- IPS: Erkennt und verhindert Angriffe (aktiv)
- Erkennungsmethoden: Signatur, Anomalie, Heuristik, Stateful Protocol Analysis
- IDS-Typen: NIDS (Netzwerk), HIDS (Host), NIPS (Netzwerk-IPS), HIPS (Host-IPS)
- Tools: Snort, Suricata, Zeek, OSSEC, Wazuh, Fail2ban
- Architektur: Inline (IPS) vs. Passive (IDS), TAP/SPAN-Mirroring
- False Positives/Negatives: Balance finden, regelmäßig tunen
- SIEM-Integration: Zentrale Log-Analyse und Korrelation
- Best Practices: Regel-Updates, Tuning, Testing, Incident Response
- Alert-Priorisierung: Critical, High, Medium, Low, Info
- Defense-in-Depth: IDS/IPS ist nur eine Schicht der Security
- SOC: Security Operations Center für 24/7 Monitoring
Nächste Schritte
Bereit, IDS/IPS in deiner Umgebung einzusetzen? Hier ein empfohlener Weg:
- Tool wählen: Suricata (NIDS) + Wazuh (HIDS/SIEM) als Open-Source-Stack
- Deployment planen: NIPS am Perimeter, NIDS intern, HIDS auf kritischen Servern
- IDS-Modus starten: Erst im Monitoring-Modus betreiben
- Regeln tunen: False Positives reduzieren, Whitelists erstellen
- IPS aktivieren: Nach erfolgreichem Tuning IPS-Modus einschalten
- SIEM integrieren: Alle Alerts zentral sammeln und korrelieren
- SOC-Prozesse: Incident-Response-Playbooks erstellen
- Regelmäßige Tests: Penetration-Tests, Red Team Exercises
Weiterführende Themen
CIA-Triade, Bedrohungen, Sicherheitskonzepte und Risk Management.
Zu SicherheitsgrundlagenVerschlüsselung, Hashing, digitale Signaturen, PKI und TLS/SSL.
Zur KryptographieFirewalls, VPN, IDS/IPS, Network Segmentation und Zero Trust.
Zur NetzwerksicherheitEthisches Hacking, Vulnerability Assessment, Pentest-Methodik.
Zum Penetration TestingMalware-Typen, Analyse-Methoden, Sandbox, Reverse Engineering.
Zur Malware-AnalyseDSGVO, ISO 27001, BSI-Grundschutz, IT-Sicherheitsgesetze.
Zur Compliance