Intrusion Detection

KAPITEL 07 · IT-SICHERHEIT

Intrusion Detection & Prevention

Angriffserkennung und -abwehr in Echtzeit – von IDS/IPS-Systemen über Signatur- und Anomalie-Erkennung bis zu SIEM-Integration. Lerne, wie moderne Sicherheitssysteme Netzwerke und Systeme vor Cyberangriffen schützen.

IDS Systeme IPS Systeme Erkennungsmethoden Snort & Suricata SIEM Integration

Inhaltsverzeichnis

Schnellübersicht

Auf dieser Seite lernst du alles über Intrusion Detection & Prevention:

  • Definition: Was ist Intrusion Detection?
  • IDS vs. IPS: Der fundamentale Unterschied
  • Erkennungsmethoden: Signatur, Anomalie, Heuristik, Stateful
  • IDS-Typen: NIDS, HIDS, NIPS, HIPS
  • Tools: Snort, Suricata, Zeek, OSSEC, Wazuh, Fail2ban
  • Architektur: Deployment und Integration
  • False Positives/Negatives: Herausforderungen
  • SIEM Integration: Zentrale Log-Analyse
  • Best Practices: Regeln, Tuning, Response

1. Was ist Intrusion Detection?

Definition

Intrusion Detection (Angriffserkennung) bezeichnet die automatisierte Überwachung von Netzwerken, Systemen und Anwendungen, um unautorisierte Zugriffe, Angriffe oder Regelverstöße zu erkennen und zu melden.

IDS-Systeme analysieren Netzwerkverkehr, Systemlogs und Dateiänderungen in Echtzeit oder nachträglich und vergleichen diese mit bekannten Angriffsmustern (Signaturen) oder erstellen Baselines für normales Verhalten (Anomalie-Erkennung).

Intrusion Prevention (IPS) geht einen Schritt weiter: Neben der Erkennung können IPS-Systeme automatisch Gegenmaßnahmen ergreifen, wie das Blockieren von IP-Adressen, das Trennen von Verbindungen oder das Stoppen von Prozessen.

Einfache Analogie

Stell dir ein Überwachungssystem vor:

  • IDS = Überwachungskamera + Alarm: Erkennt Einbrüche und schlägt Alarm, handelt aber nicht selbst
  • IPS = Sicherheitsdienst: Erkennt Einbrüche und greift aktiv ein (verhindert den Einbruch)
  • Firewall = Türschloss: Verhindert grundsätzlich den Zutritt Unbefugter
  • SIEM = Sicherheitszentrale: Sammelt alle Alarme und Logs zentral zur Analyse

2. IDS vs. IPS – Der Unterschied

Obwohl IDS und IPS ähnlich funktionieren, gibt es einen entscheidenden Unterschied in ihrer Wirkungsweise:

IDS (Intrusion Detection System)

  • Erkennt Angriffe und meldet sie
  • Passiv – greift nicht ein
  • Out-of-Band Deployment (Spiegelung)
  • Keine Performance-Auswirkungen
  • Alerts an Admins/SIEM
  • Ideal für Monitoring & Forensik
  • Keine False-Negative-Blockaden
VS

IPS (Intrusion Prevention System)

  • Erkennt UND verhindert Angriffe
  • Aktiv – blockiert Traffic
  • In-Line Deployment (im Datenpfad)
  • Kann Performance beeinflussen
  • Automatische Blockierung
  • Ideal für aktiven Schutz
  • Risiko: False Positives blockieren legitimen Traffic

Praxis-Tipp

Viele moderne Systeme kombinieren IDS und IPS in einem Gerät. Die Empfehlung: IDS zuerst im Monitoring-Modus betreiben, Regeln testen und tunen, dann IPS-Modus aktivieren. So vermeidest du False Positives, die legitimen Traffic blockieren.

3. Erkennungsmethoden

IDS/IPS-Systeme nutzen verschiedene Methoden, um Angriffe zu erkennen. Jede Methode hat ihre Stärken und Schwächen.

Signatur-basiert

Pattern Matching

Vergleicht Traffic mit bekannten Angriffsmustern (Signaturen). Wie ein Virenscanner für Netzwerkverkehr.

  • Sehr hohe Genauigkeit bei bekannten Angriffen
  • Wenig False Positives
  • Schnelle Erkennung
  • Einfache Regeln
Vorteile Geringe False-Positive-Rate, bewährte Methode
Nachteile Erkennt keine Zero-Day-Angriffe, benötigt ständige Updates

Anomalie-basiert

Behavioral Analysis

Erstellt eine Baseline des normalen Verhaltens und meldet Abweichungen. Nutzt Machine Learning.

  • Erkennt Zero-Day-Angriffe
  • Erkennt unbekannte Angriffsmuster
  • Adaptiv und lernfähig
  • Ideal für Insider-Bedrohungen
Vorteile Zero-Day-Erkennung, adaptiv
Nachteile Hohe False-Positive-Rate, aufwändige Konfiguration

Heuristik-basiert

Rule-Based Analysis

Nutzt allgemeine Regeln und Heuristiken, um verdächtiges Verhalten zu erkennen (z.B. Port-Scans).

  • Erkennt Angriffsmuster
  • Port-Scan-Erkennung
  • Brute-Force-Erkennung
  • Kombination mehrerer Indikatoren
Vorteile Flexibel, erkennt Angriffsklassen
Nachteile Komplex zu konfigurieren, False Positives

Stateful Protocol Analysis

Protocol Deviation Detection

Überwacht den Zustand von Protokoll-Verbindungen und erkennt Abweichungen vom Standard.

  • Erkennt Protokoll-Verletzungen
  • HTTP-, FTP-, SMTP-Analyse
  • State-Tracking über Verbindungen
  • Erkennt Protocol-Level-Exploits
Vorteile Tiefgehende Protokoll-Analyse
Nachteile Ressourcenintensiv, komplex
Methode Zero-Day False Positives Performance Konfiguration Best für
Signatur Niedrig Hoch Einfach Bekannte Angriffe
Anomalie Hoch Mittel Komplex Unbekannte Angriffe
Heuristik Teilweise Mittel Mittel Mittel Angriffsmuster
Stateful Teilweise Niedrig Niedrig Komplex Protokoll-Exploits

4. IDS/IPS-Typen

IDS/IPS-Systeme werden nach ihrem Überwachungsbereich klassifiziert:

NIDS (Network-based IDS)

Netzwerkbasierte Angriffserkennung

Überwacht den gesamten Netzwerkverkehr an strategischen Punkten. Analysiert Pakete auf Netzwerk-Ebene.

Überwachungsbereich: Gesamtes Netzwerk-Segment
Deployment: An Switches (Port-Mirroring), Router, Firewall

HIDS (Host-based IDS)

Hostbasierte Angriffserkennung

Überwacht einzelne Systeme – Logs, Dateiänderungen, Prozesse, Systemaufrufe. Erkennt Angriffe auf Host-Ebene.

Überwachungsbereich: Einzelner Host (Server, PC)
Deployment: Agent auf jedem zu überwachenden System

NIPS (Network-based IPS)

Netzwerkbasierte Angriffsverhinderung

Wie NIDS, aber im Inline-Modus. Kann verdächtigen Traffic aktiv blockieren und Verbindungen trennen.

Überwachungsbereich: Netzwerk-Traffic (Inline)
Deployment: Im Datenpfad zwischen Netzwerkkomponenten

HIPS (Host-based IPS)

Hostbasierte Angriffsverhinderung

Wie HIDS, aber kann Angriffe auf Host-Ebene aktiv verhindern – Prozesse stoppen, Dateien sperren.

Überwachungsbereich: Einzelner Host (aktiv)
Deployment: Agent mit aktiven Schutzfunktionen

NIDS vs. HIDS – Wann was?

  • NIDS: Gut für Netzwerkweite Angriffe (DDoS, Port-Scans, Malware-Verbreitung)
  • HIDS: Gut für gezielte Angriffe auf einzelne Systeme, Insider-Bedrohungen, Compliance
  • Best Practice: Kombination beider Systeme für Defense-in-Depth
  • Beispiel: NIDS erkennt Netzwerkangriffe, HIDS erkennt manipulierte Systemdateien

5. Wichtige IDS/IPS-Tools

Es gibt viele Open-Source und kommerzielle IDS/IPS-Tools. Hier die wichtigsten im Überblick:

Snort

NIDS/NIPS · Der Klassiker

Das weltweit am häufigsten eingesetzte Open-Source IDS. Entwickelt von Sourcefire (heute Cisco).

  • Signatur- & Anomalie-basiert
  • Echtzeit-Paketanalyse
  • Riesige Regel-Community
  • IDS, IPS & Packet-Sniffer-Modus
  • Cisco Talos Intelligence Rules
GPLv2 · Open Source

Suricata

NIDS/NIPS · Multi-Threaded

Moderne Alternative zu Snort mit Multi-Threading und besserer Performance bei hohem Traffic.

  • Multi-Threaded (bessere Performance)
  • Snort-kompatible Regeln
  • File-ID & File-Extraction
  • Lua-Scripting für Custom Rules
  • Emerging Threats Rules
GPLv2 · Open Source

Zeek (Bro)

NSA · Network Analysis Framework

Ursprünglich Bro genannt. Fokus auf Netzwerk-Forensik und Traffic-Analyse statt Signatur-Matching.

  • Netzwerk-Forensik spezialisiert
  • Erzeugt strukturierte Logs
  • Policy-basierte Analyse
  • Ideal für Threat Hunting
  • Entwickelt am ICSI Berkeley
BSD · Open Source

OSSEC

HIDS · Host-basiert

Führendes Open-Source HIDS. Überwacht Logs, Datei-Integrität, Registry und Windows-Events.

  • Log-Analyse & Korrelation
  • File Integrity Monitoring (FIM)
  • Rootkit-Detection
  • Real-time Alerting
  • Multi-Platform (Linux, Windows, macOS)
GPLv2 · Open Source

Wazuh

XDR/SIEM · OSSEC-Fork

Moderne Weiterentwicklung von OSSEC. Kombiniert HIDS, SIEM und XDR in einer Plattform.

  • OSSEC-Fork mit Erweiterungen
  • Integriertes SIEM (Elastic Stack)
  • Cloud-Security (AWS, Azure, GCP)
  • Compliance (PCI-DSS, HIPAA, GDPR)
  • Moderne Web-UI
GPLv2 · Open Source

Fail2ban

HIPS · Brute-Force-Schutz

Leichtgewichtiger Schutz gegen Brute-Force-Angriffe. Analysiert Logs und bannt IPs automatisch.

  • Brute-Force-Erkennung
  • Automatische IP-Banns
  • SSH, Apache, FTP, etc.
  • Integration mit iptables/nftables
  • Sehr einfach zu konfigurieren
GPL · Open Source
Tool Typ Erkennung Performance Learning Curve Best für
Snort NIDS/NIPS Signatur, Anomalie Single-Thread Mittel Klassische IDS/IPS
Suricata NIDS/NIPS Signatur, Multi-Thread Multi-Thread Mittel High-Traffic-Netzwerke
Zeek NSA Policy, Forensik Mittel Hoch Threat Hunting, Forensik
OSSEC HIDS Log, FIM, Rootkit Leicht Mittel Host-Überwachung
Wazuh XDR/SIEM Umfassend Ressourcenintensiv Mittel Enterprise-Security
Fail2ban HIPS Brute-Force Sehr leicht Niedrig Einfacher Brute-Force-Schutz

6. IDS/IPS-Architektur

Typische IDS/IPS-Deployment-Architektur in einem Unternehmensnetzwerk:

Typische IDS/IPS-Architektur

Internet

Externer Traffic

Edge Firewall

Perimeter-Schutz

NIPS (Inline)

Angriffsverhinderung

DMZ

Public Server

NIDS (Mirror)

DMZ-Überwachung

Internal Switch

Port-Mirroring

NIDS

Interne Überwachung

HIDS Agents

Host-Überwachung

SIEM

Zentrale Log-Analyse

SOC Team

Security Operations

Deployment-Strategien

  • Inline (IPS): Im Datenpfad – kann Traffic blockieren, beeinflusst Performance
  • Passive (IDS): Via Port-Mirroring (SPAN) – kein Einfluss auf Traffic
  • TAP (Test Access Point): Hardware-basierte Spiegelung – zuverlässiger als SPAN
  • Hybrid: IDS an kritischen Punkten, IPS am Perimeter

7. Snort-Regeln – Beispiele

Snort-Regeln definieren, welcher Traffic als verdächtig gilt. Hier einige Beispiele:

Einfache Snort-Regeln

SNORT # ICMP Ping erkennen (Alert bei jedem Ping) alert icmp $EXTERNAL_NET any -> $HOME_NET any (msg:"ICMP Ping detected"; itype:8; sid:1000001; rev:1;) # SSH Brute-Force erkennen (mehr als 5 Versuche in 60s) alert tcp $EXTERNAL_NET any -> $HOME_NET 22 (msg:"SSH Brute-Force attempt"; flow:to_server,established; content:"SSH"; depth:4; threshold:type both,track by_src,count 5,seconds 60; sid:1000002; rev:1;) # SQL Injection erkennen alert tcp $EXTERNAL_NET any -> $HOME_NET $HTTP_PORTS (msg:"SQL Injection attempt"; content:"' OR '1'='1"; nocase; sid:1000003; rev:1;) # Port Scan erkennen (mehrere Ports in kurzer Zeit) alert tcp $EXTERNAL_NET any -> $HOME_NET any (msg:"Potential Port Scan"; flags:S; threshold:type both,track by_src,count 20,seconds 10; sid:1000004; rev:1;)

Fail2ban Konfiguration

INI # /etc/fail2ban/jail.local [sshd] enabled = true port = ssh filter = sshd logpath = /var/log/auth.log maxretry = 5 bantime = 3600 findtime = 600 [apache-auth] enabled = true port = http,https filter = apache-auth logpath = /var/log/apache2/error.log maxretry = 6

Snort-Regel-Syntax

Eine Snort-Regel besteht aus zwei Teilen:

  1. Regel-Header: Aktion, Protokoll, Quell-/Ziel-IP, Ports, Richtung
  2. Regel-Optionen: Meldung, Content-Matching, SID, Revision, Threshold
SYNTAX Aktion Protokoll Quelle Port -> Ziel Port (Optionen) # Aktionen: alert, log, pass, activate, dynamic, drop, reject, sdrop

8. False Positives & False Negatives

Die größte Herausforderung bei IDS/IPS-Systemen ist die Balance zwischen False Positives und False Negatives:

False Positive

Definition: Das System meldet einen Angriff, aber es ist kein echter Angriff (legitimer Traffic).

Beispiel:
• Admin-Tool löst IDS-Alert aus
• Normaler Traffic wird als SQL-Injection erkannt
• Penetration-Test wird als echter Angriff gewertet

Folgen: Alert Fatigue, verschwendete Ressourcen, blockierter legitimer Traffic (bei IPS)

False Negative

Definition: Das System erkennt einen echten Angriff nicht (kein Alert).

Beispiel:
• Zero-Day-Exploit (keine Signatur vorhanden)
• Verschlüsselter Traffic (HTTPS)
• Langsame, verteilte Angriffe (Low & Slow)

Folgen: Erfolgreicher Angriff, Datenverlust, Compliance-Verletzungen

Umgang mit False Positives/Negatives

  • Tuning: Regeln regelmäßig anpassen und verfeinern
  • Whitelisting: Bekannte legitime Quellen/Tools ausschließen
  • Thresholding: Alerts nur bei wiederholtem Auftreten
  • Multi-Layer: Kombination mehrerer Erkennungsmethoden
  • Monitoring: Regelmäßige Überprüfung der Alert-Qualität
  • Training: SOC-Team für Alert-Triage schulen

9. SIEM-Integration

IDS/IPS-Alerts werden typischerweise in ein SIEM (Security Information and Event Management) System integriert:

SIEM – Zentrale Security-Analyse

Log-Aggregation

Sammelt Logs von IDS, Firewall, Servern, Anwendungen zentral

Korrelation

Erkennt Zusammenhänge zwischen verschiedenen Events

Alerting

Generiert priorisierte Alerts für SOC-Teams

Dashboards

Visualisiert Security-Metriken und Trends

Compliance

Unterstützt Audit-Anforderungen (ISO 27001, GDPR)

Forensik

Langzeit-Archivierung für Incident-Untersuchungen

Beliebte SIEM-Systeme

Wazuh (Open Source)

Kostenloses SIEM/XDR basierend auf Elastic Stack. Ideal für KMUs und Einsteiger.

  • Open Source & kostenlos
  • Integrierte IDS-Regeln
  • Cloud-Integration (AWS, Azure)
  • Compliance-Dashboards
Splunk (Kommerziell)

Marktführer im SIEM-Bereich. Sehr mächtig, aber teuer. Enterprise-Standard.

  • Sehr mächtige Analyse
  • Machine Learning Integration
  • Umfangreiche App-Ökosystem
  • Hohe Kosten
Elastic SIEM (ELK)

Open-Source SIEM basierend auf Elasticsearch, Logstash, Kibana. Sehr flexibel.

  • Open Source (ELK Stack)
  • Sehr flexibel und skalierbar
  • Gute Community
  • Technisches Know-how nötig

10. Best Practices für IDS/IPS

Die wichtigsten Empfehlungen für den effektiven Betrieb von IDS/IPS-Systemen:

Regel-Management

  • Regelmäßig Regel-Updates einspielen
  • Custom Rules für spezifische Anforderungen
  • Regeln dokumentieren und versionieren
  • Nicht benötigte Regeln deaktivieren
  • Regel-Qualität regelmäßig überprüfen

Tuning & Optimierung

  • False Positives systematisch reduzieren
  • Whitelists für bekannte Quellen
  • Thresholds anpassen
  • Performance-Monitoring
  • Regelmäßige Reviews durchführen

Logging & Monitoring

  • Zentrale Log-Sammlung (SIEM)
  • Log-Retention mindestens 6 Monate
  • Alert-Priorisierung implementieren
  • 24/7 SOC-Betrieb (oder On-Call)
  • Regelmäßige Alert-Reviews

Incident Response

  • Klare Eskalationsprozesse
  • Playbooks für häufige Incidents
  • Automatisierte Response (SOAR)
  • Communication-Pläne
  • Post-Incident Reviews

Testing & Validation

  • Regelmäßige Penetration-Tests
  • Red Team Exercises
  • IDS/IPS-Effektivität testen
  • Breach & Attack Simulation (BAS)
  • Tabletop Exercises

Updates & Wartung

  • Regelmäßige Software-Updates
  • Signatur-Updates täglich
  • Patch-Management-Prozess
  • Change-Management
  • Backup vor Änderungen

Defense-in-Depth mit IDS/IPS

IDS/IPS ist nur eine Schicht einer umfassenden Security-Strategie. Effektiver Schutz erfordert:

  • Firewall: Perimeter-Schutz, Port-Filterung
  • IDS/IPS: Angriffserkennung und -verhinderung
  • WAF: Web Application Firewall für Web-Apps
  • Endpoint Protection: Antivirus, EDR auf Endgeräten
  • SIEM: Zentrale Log-Analyse und Korrelation
  • Network Segmentation: DMZ, VLANs, Micro-Segmentation
  • Zero Trust: "Never trust, always verify"

11. Alert-Level & Priorisierung

Nicht alle Alerts sind gleich wichtig. Eine klare Priorisierung hilft dem SOC-Team, sich auf die kritischsten Bedrohungen zu konzentrieren:

Level Badge Beschreibung Beispiel Reaktion
Critical CRITICAL Aktiver Angriff, Datenverlust droht Ransomware, Datenexfiltration Sofortige Reaktion, Incident Response
High HIGH Schwerer Angriff, erfolgreiche Kompromittierung SQL-Injection erfolgreich, Brute-Force erfolgreich Priorisierte Untersuchung innerhalb 1h
Medium MEDIUM Verdächtige Aktivität, möglicher Angriff Port-Scan, ungewöhnlicher Traffic Untersuchung innerhalb 4h
Low LOW Informationelle Meldung, geringes Risiko ICMP Ping, DNS-Query Monitoring, Batch-Review
Info INFO Normale Aktivität, kein Sicherheitsvorfall Successful Login, File-Access Logging, keine Aktion

12. FAQ – Häufige Fragen

Häufige Fragen zu IDS/IPS

Brauche ich ein IDS, wenn ich bereits eine Firewall habe?

Ja, absolut! Firewall und IDS/IPS ergänzen sich:

  • Firewall: Filtert Traffic basierend auf IP, Port, Protokoll (statisch)
  • IDS/IPS: Analysiert Traffic-Inhalt auf Angriffe (dynamisch)

Eine Firewall kann keinen SQL-Injection-Angriff erkennen, wenn er über Port 443 (HTTPS) kommt. Ein IDS/IPS schon!

Was ist der Unterschied zwischen IDS und IPS?

IDS (Intrusion Detection System):

  • Erkennt und meldet Angriffe
  • Passiv – greift nicht ein
  • Out-of-Band Deployment

IPS (Intrusion Prevention System):

  • Erkennt UND verhindert Angriffe
  • Aktiv – blockiert Traffic
  • Inline Deployment
Kann IDS verschlüsselten Traffic (HTTPS) analysieren?

Standardmäßig: Nein. IDS sieht nur verschlüsselte Daten. Lösungen:

  • SSL/TLS Inspection: Firewall oder Proxy entschlüsselt Traffic
  • Endpoint-Agenten: HIDS sieht unverschlüsselte Daten vor/nach Verschlüsselung
  • JA3/JA3S Fingerprints: Erkennt Malware an TLS-Handshake-Mustern
  • Metadaten-Analyse: Verbindungszeiten, -größen, -häufigkeiten

Hinweis: SSL-Inspection ist rechtlich und ethisch komplex (DSGVO, Betriebsrat).

Wie viele False Positives sind akzeptabel?

Das hängt von der Umgebung ab, aber als Richtwert:

  • Ideal: < 5% False-Positive-Rate
  • Akzeptabel: 5-15% (mit gutem Tuning)
  • Problematisch: > 15% (Alert Fatigue)

Alert Fatigue: Wenn zu viele False Positives kommen, ignorieren Admins irgendwann auch echte Alerts. Das ist gefährlich!

Snort vs. Suricata – Was soll ich nutzen?

Snort:

  • Älter, etablierter, größere Community
  • Single-Threaded (Performance-Limit)
  • Cisco Talos Rules (kommerziell)
  • Ideal für: Kleine bis mittlere Netzwerke

Suricata:

  • Modern, Multi-Threaded
  • Bessere Performance bei hohem Traffic
  • Snort-kompatible Regeln
  • Ideal für: Große Netzwerke, High-Traffic

Empfehlung: Für die meisten Fälle Suricata – bessere Performance, moderner, kompatibel mit Snort-Regeln.

Wie oft sollte ich IDS/IPS-Regeln aktualisieren?

Signatur-Updates:

  • Täglich: Neue Signaturen für bekannte Bedrohungen
  • Automatisch: Auto-Update wo möglich aktivieren

Custom Rules:

  • Bei neuen Bedrohungen: Sofort anpassen
  • Bei False Positives: Innerhalb von 24h tunen
  • Regelmäßige Reviews: Monatlich alle Regeln überprüfen
Was ist ein SOC und brauche ich eines?

SOC = Security Operations Center. Ein Team, das 24/7 Security-Monitoring betreibt.

  • Enterprise SOC: Großes Team, eigene Infrastruktur
  • Managed SOC (MDR): Externer Dienstleister
  • Virtual SOC: Kleinere Teams, On-Call

Brauche ich ein SOC?

  • Ja: Wenn du IDS/IPS betreibst und Alerts ernst nehmen willst
  • Alternative: Managed Detection & Response (MDR) für KMUs
Kann ich IDS/IPS selbst betreiben oder sollte ich einen Dienstleister nutzen?

Selbst betreiben (On-Premise):

  • Volle Kontrolle über Daten und Konfiguration
  • Benötigt internes Know-how (Linux, Networking, Security)
  • Initiale Einrichtung und laufendes Tuning
  • Ideal für: Unternehmen mit IT-Team

Dienstleister (Managed IDS/IPS):

  • Kein eigenes Know-how nötig
  • 24/7 Monitoring inklusive
  • Monatliche Kosten (ca. 500-5000 €/Monat)
  • Ideal für: KMUs ohne Security-Team

Zusammenfassung

Die wichtigsten Punkte

  • IDS: Erkennt und meldet Angriffe (passiv)
  • IPS: Erkennt und verhindert Angriffe (aktiv)
  • Erkennungsmethoden: Signatur, Anomalie, Heuristik, Stateful Protocol Analysis
  • IDS-Typen: NIDS (Netzwerk), HIDS (Host), NIPS (Netzwerk-IPS), HIPS (Host-IPS)
  • Tools: Snort, Suricata, Zeek, OSSEC, Wazuh, Fail2ban
  • Architektur: Inline (IPS) vs. Passive (IDS), TAP/SPAN-Mirroring
  • False Positives/Negatives: Balance finden, regelmäßig tunen
  • SIEM-Integration: Zentrale Log-Analyse und Korrelation
  • Best Practices: Regel-Updates, Tuning, Testing, Incident Response
  • Alert-Priorisierung: Critical, High, Medium, Low, Info
  • Defense-in-Depth: IDS/IPS ist nur eine Schicht der Security
  • SOC: Security Operations Center für 24/7 Monitoring

Nächste Schritte

Bereit, IDS/IPS in deiner Umgebung einzusetzen? Hier ein empfohlener Weg:

  1. Tool wählen: Suricata (NIDS) + Wazuh (HIDS/SIEM) als Open-Source-Stack
  2. Deployment planen: NIPS am Perimeter, NIDS intern, HIDS auf kritischen Servern
  3. IDS-Modus starten: Erst im Monitoring-Modus betreiben
  4. Regeln tunen: False Positives reduzieren, Whitelists erstellen
  5. IPS aktivieren: Nach erfolgreichem Tuning IPS-Modus einschalten
  6. SIEM integrieren: Alle Alerts zentral sammeln und korrelieren
  7. SOC-Prozesse: Incident-Response-Playbooks erstellen
  8. Regelmäßige Tests: Penetration-Tests, Red Team Exercises

Weiterführende Themen

Sicherheitsgrundlagen

CIA-Triade, Bedrohungen, Sicherheitskonzepte und Risk Management.

Zu Sicherheitsgrundlagen
Kryptographie

Verschlüsselung, Hashing, digitale Signaturen, PKI und TLS/SSL.

Zur Kryptographie
Netzwerksicherheit

Firewalls, VPN, IDS/IPS, Network Segmentation und Zero Trust.

Zur Netzwerksicherheit
Penetration Testing

Ethisches Hacking, Vulnerability Assessment, Pentest-Methodik.

Zum Penetration Testing
Malware-Analyse

Malware-Typen, Analyse-Methoden, Sandbox, Reverse Engineering.

Zur Malware-Analyse
Compliance

DSGVO, ISO 27001, BSI-Grundschutz, IT-Sicherheitsgesetze.

Zur Compliance