Definieren von Intrusion-Detection-Systemen und Funktionsweise von IDS-Überwachung

Ein Intrusion Detection System (oder IDS) ist eine Form von Software, die rund um die Uhr aktiv bleibt, um bösartige oder ungewöhnliche Aktivitäten innerhalb des Netzwerks zu erkennen. Die Installation eines solchen Produkts kann ein außergewöhnlicher Schritt sein, um Ihr Unternehmen vor Hackern, Eindringlingen und mehr zu schützen.

Ein herkömmliches IDS kann nichts reparieren, was die IT findet. Das ist stattdessen eine Aufgabe für Intrusion Prevention-Systeme . Im Vergleich dazu sendet ein IDS Anomalien an ein anderes Programm (oder an einen Menschen), um sie zu bewerten und zu beheben. 

IDS-Sicherheitsprogramme sind nichts Neues. Die ersten Formulare wurden in den 1980er Jahren entwickelt. Doch mit der Entwicklung der Bedrohungen entwickeln sich auch die Systeme weiter, die vor ihnen schützen. 

Wir gehen der Frage nach, wie ein IDS funktioniert, und erklären, wie man es richtig installiert. Wir erläutern auch einige Risiken und Vorteile, damit Sie feststellen können, ob dies wirklich die Lösung ist, nach der Sie gesucht haben.

Wie funktioniert die Intrusion Detection?

Von allen Unternehmen, die derzeit in den Vereinigten Staaten geöffnet sind, sind 14 Millionen anfällig für einen Hackerangriff. Große Konzerne sind offensichtlich gefährdet. Aber auch kleinere Unternehmen könnten für Diebe und schelmische Programmierer verlockend sein. Ein IDS soll Ihnen helfen, ein Problem frühzeitig zu erkennen, bevor zu viel Schaden angerichtet wird. 

Es gibt zwei Haupttypen von IDS.

• NIDS: Ein Netzwerk-Intrusion-Detection-System überwacht alles, was in ein Gerät im Netzwerk ein- oder ausgeht. 
• HIDS: Ein Host Intrusion Detection System überwacht ein einzelnes Gerät (oder Host) innerhalb des Netzwerks. Die IT-Abteilung scannt ein- und ausgehenden Datenverkehr. 

Wie erkennt ein IDS ein Problem im Traffic Muster? Es stehen zwei Hauptdetektionstypen zur Verfügung. Ihr System kann Probleme basierend auf Folgendem melden:

• Unterschriften. Das IDS vergleicht Bewegungen innerhalb Ihres Systems mit einer umfangreichen Datenbank bekannter Hacking-Techniken. Im Wesentlichen versucht das Programm festzustellen, ob durch das, was gerade auf Ihrem System passiert, in der Vergangenheit jemandem Schaden zugefügt wurde. 
• Anomalien. Das System vergleicht Aktionen, die gerade jetzt passieren, mit dem, was an derselben Stelle in der Vergangenheit passiert ist. Ein plötzlicher Anstieg der Aktivität oder ein steiler Rückgang könnte harmlos genug sein. Die IT kann aber auch ein Zeichen für ein Problem sein. 

Unabhängig davon, welche Art von IDS Sie verwenden und welche Erkennungsart Sie verwenden, befinden sich die Lösungen nicht im IDS. Diese Programme sind nicht in der Lage, den Datenverkehr zu stoppen, Falltüren zu schließen oder Chaos zu beseitigen. 

So wie ein Rauchmelder kein Feuer löschen kann, kann ein IDS einen laufenden Angriff nicht stoppen. Alles, was diese Programme tun können, ist, Sie auf ein Problem aufmerksam zu machen.

Wo sollte ein IDS stehen?

Ihr Netzwerk verfügt über zahlreiche Ein- und Ausgänge. Sie benötigen sie, damit Daten frei ein- und ausgehen können. Aber jede einzelne ist eine Schwachstelle, und wenn Sie viele haben, kann es schwierig sein, den richtigen Ort für die Installation Ihres IDS zu finden. 

Sie können Ihr IDS platzieren:

• Hinter der Firewall. Jedes Unternehmen, unabhängig von Größe oder Konfiguration, sollte über eine Firewall verfügen. Installieren Sie ein IDS direkt hinter Ihrer Firewall, um den in Ihr System eingehenden Datenverkehr genau zu überwachen. 
• Innerhalb Ihrer Firewall. Integrieren Sie die beiden Systeme, um die Überwachung von Angriffen beim Eindringen in das Netzwerk zu gewährleisten. 
• In Ihrem Netzwerk. Stellen Sie mit diesem Ansatz sicher, dass sich ein Angriff auf Ihren Server nicht ausbreitet. 

Analysieren Sie vergangene Angriffe und Ihre aktuellen Risiken, um festzustellen, welche Platzierungswahl für Sie die richtige ist. Mit der Zeit werden Sie möglicherweise feststellen, dass Sie das IDS verschieben müssen, um das höchste Schutzniveau zu erreichen. 

Wie unterscheidet sich ein IDS von anderen Sicherheitsmethoden?

Es gibt zahlreiche Sicherheitssysteme, und obwohl sie oft zusammenarbeiten, ist es nicht immer einfach, sie gedanklich voneinander zu trennen. 

Ein IDS unterscheidet sich von:

• Eine Firewall. Soll jemand in das Netzwerk eintreten? Eine Firewall beantwortet diese Frage. Regeln legen fest, wer hereinkommen darf und was dort passieren soll. Eine Firewall macht Sie nicht auf ein Problem aufmerksam, wie dies bei einem IDS der Fall ist. Stattdessen befolgt eine Firewall einfach die von Ihnen definierten Regeln. 
• Ein IPS. Ein Intrusion Prevention System (IPS) findet Probleme und löst sie. Ein solches System ist etwas ausgefeilter als ein IDS. Es kann sein, dass Sie immer noch eine IPS-Warnung erhalten, wenn ein Problem auftritt, aber Sie wissen, dass die Lösung bereits im Spiel ist. Mit einem IDS haben Sie keine solchen Zusicherungen. 
• Ein IDPS. Intrusion Detection and Prevention-Systeme (IDPS) identifizieren Probleme, melden sie und arbeiten daran, zu verhindern, dass sie sich wiederholen. Ein solches System könnte auf Fehler in Ihren Plänen hinweisen, die Sie anfällig für Angriffe machen. Ein Standard-IDS erfordert, dass Sie die Detektivarbeit leisten, um die Ursache eines Problems aufzudecken. 

Sicherheitsprogramme sind mit zahlreichen Abkürzungen versehen und es kann leicht passieren, dass man sie verwechselt. Betrachten Sie ein IDS im Allgemeinen als ein nützliches Tool, das Sie mit Ihrem eigenen Verstand kombinieren, um Ihr Unternehmen zu schützen. Betrachten Sie die anderen Produkte als Werkzeuge, die Ihnen die Arbeit ein wenig erleichtern können.

IDS Vor- und Nachteile

Hacker sind sehr produktiv. Allein im Dezember 2020 fanden 14 bekannte Hacks statt. In nur einem Fall forderten Hacker 1 Million US-Dollar in Bitcoin.

Ohne geeignete Abwehrmaßnahmen ist ein solcher Angriff wahrscheinlich. Und wenn Sie den Datenverkehr nicht überwachen, kann der Angriff Monate oder sogar Jahre dauern. Je länger der Eindringling in Ihrem System bleibt, desto größer ist das Risiko eines katastrophalen Schadens. 

Aber selbst mit einem installierten IDS kann ein Hacker Ihren komplexen webbasierten Schutz auf folgende Weise durchbrechen:

• Maskierung. Proxy-Server machen es sehr einfach, die Quelle eines Angriffs zu verbergen. 
• Teilend. Hacker können die Arbeit auf viele Geräte und Benutzer verteilen. Es ist schwieriger, den Schaden auf einen Blick zu erkennen. 
• Spaltung. Ein Hacker kann Pakete fragmentieren, um nicht entdeckt zu werden. 

Ihr IDS kann auch bekannten Einschränkungen unterliegen, wie z. B.:

• Veraltete Software. Wenn das IDS Ihren Datenverkehr mit früheren Angriffen vergleicht, die Monate oder Jahre alt sind, können Sie Signale neuerer Versionen übersehen. 
• Probleme bei der Entschlüsselung. Die meisten Systeme können verschlüsselte Pakete nicht bewerten. 
• Schlechte Praktiken. Mehr als die Hälfte aller angegriffenen kleinen und mittleren Unternehmen schließen innerhalb von sechs Monaten ihre Türen. Sie entwickeln keine nächsten Schritte, die ihnen im Falle eines Angriffs als Orientierung dienen. Ohne diese Regeln erkennen sie zwar, dass sie vor einem Problem stehen, haben aber keine Ahnung, wie sie es lösen können. 
• Mangel an personellen Ressourcen. Jemand muss verfügbar sein, um jede Warnung zu überprüfen, einschließlich falsch positiver Ergebnisse. Ein IDS produziert Unmengen von Daten, und ein Mensch muss sich jedes Stück ansehen. 

Trotzdem können es sich Unternehmen nicht leisten, die Vorteile zu ignorieren und sich ausschließlich auf die Risiken zu konzentrieren, da alle 39 Sekunden Hacks kommen. Ein IDS liefert eine Vielzahl wertvoller Daten, die Sie zum Schutz Ihres Unternehmens nutzen können. Wenn Sie keine IT nutzen, öffnen Sie Hackern Tür und Tor.

Die Zukunft von IDS 

Unternehmen sind sich der Grenzen eines Standard-IDS bewusst. Einige reagieren darauf, indem sie größere und bessere Produkte für ihre Kunden bauen. 

In ein oder zwei Jahren könnten neue IDS-Lösungen mit einem geringeren Verwaltungsaufwand verbunden sein. Sie können sich auf maschinelles Lernen verlassen, um das Risiko von Fehlalarmen zu senken, sodass die Mitarbeiter jeden Tag weniger zu untersuchen haben. Und die Lieferanten können sie gleichzeitig aktualisieren, so dass das System immer Zugriff auf aktuelle Informationen über neue Sicherheitsabfragen hat.

Erfahren Sie mehr über den Unterschied zwischen IDS und IPS.

Referenzen

14 Millionen US-Unternehmen sind durch Hacker gefährdet. (Juli 2017). CNBC. 

Warum jedes Unternehmen eine Firewall benötigt. (November 2018). Phoenix Business Journal. 

Signifikante Cybervorfälle. Zentrum für strategische und internationale Studien. 

60 Prozent der Unternehmen scheitern innerhalb von 6 Monaten aus diesem Grund (es ist nicht das, was Sie denken). (Mai 2017). Einschl. 

Hacker greifen alle 39 Sekunden an. (Februar 2017). Sicherheit.