Intrusion Detection System (IDS) & Intrusion Prevention System (IPS): Angriffe im Netzwerk erkennen und stoppen

Wie sich IDS und IPS in ihrer Reaktion auf erkannte Angriffe unterscheiden

Im Folgenden erfahren Sie, wie ein IDS verdächtigen Netzwerkverkehr erkennt und meldet. Zudem zeigen wir, wie ein IPS zusätzlich aktiv eingreift, um erkannte Angriffe direkt zu blockieren.

Was ist ein Intrusion Detection System & Intrusion Prevention System?

Ein Intrusion Detection System (IDS) überwacht Netzwerkverkehr auf verdächtige Muster und meldet erkannte Auffälligkeiten, ohne selbst aktiv einzugreifen. Ein Intrusion Prevention System (IPS) geht einen Schritt weiter und blockiert erkannte Angriffe automatisiert in Echtzeit.

Erkennungsmethoden von IDS/IPS-Systemen

IDS/IPS-Systeme nutzen unterschiedliche Erkennungsansätze: signaturbasierte Erkennung vergleicht Datenverkehr mit bekannten Angriffsmustern, während anomaliebasierte Erkennung Abweichungen vom normalen Netzwerkverhalten identifiziert, auch ohne bekannte Signatur.

Der zentrale Unterschied: Erkennung versus aktive Blockierung

Während ein IDS lediglich alarmiert und die eigentliche Reaktion menschlichen Analysten überlässt, kann ein IPS verdächtigen Datenverkehr direkt und automatisiert blockieren, bevor dieser sein Ziel erreicht. Dieser Geschwindigkeitsvorteil birgt jedoch auch das Risiko, dass fälschlicherweise als Angriff eingestufter, legitimer Datenverkehr blockiert wird.

Positionierung im Netzwerk und Zusammenspiel mit Firewalls

IDS/IPS-Systeme werden häufig direkt in Kombination mit Firewalls oder als integrierter Bestandteil einer Next-Gen Firewall eingesetzt. Während die Firewall grundsätzlich entscheidet, welcher Datenverkehr überhaupt zulässig ist, prüfen IDS/IPS-Systeme den zugelassenen Datenverkehr zusätzlich auf konkrete Angriffsmuster.

Für IDS/IPS-Anbieter lohnt sich eine transparente Kommunikation der Fehlalarmquote, da diese Kennzahl für Einkäufer ein wichtiges, oft entscheidendes Vergleichskriterium zwischen konkurrierenden Lösungen darstellt.

Die Vorteile von IDS/IPS kommunizieren – mit summ-it

IDS/IPS-Anbieter, deren Lösungen eine besonders niedrige Fehlalarmquote erreichen, sollten diese Kennzahl aktiv und transparent im Marketing kommunizieren.

summ-it hilft dabei, solche technischen Qualitätsmerkmale überzeugend im direkten Anbietervergleich zu positionieren.

Kostenloses Erstgespräch vereinbaren

FAQ: Intrusion Detection System (IDS) / Intrusion Prevention System (IPS)

Was ist der Hauptunterschied zwischen Intrusion Detection System (IDS) / Intrusion Prevention System (IPS)?

Ein IDS erkennt und meldet verdächtigen Netzwerkverkehr, greift jedoch nicht aktiv ein. Ein IPS hingegen kann erkannte Angriffe automatisiert und in Echtzeit blockieren, bevor sie ihr Ziel erreichen.

Welches Risiko birgt der Einsatz eines IPS?

Da ein IPS automatisiert eingreift, kann es bei fehlerhafter Erkennung auch legitimen Datenverkehr blockieren, was zu Betriebsstörungen führen kann. Eine sorgfältige Konfiguration und regelmäßige Anpassung der Erkennungsregeln reduziert dieses Risiko.

Was bedeutet signaturbasierte Erkennung bei IDS/IPS?

Signaturbasierte Erkennung vergleicht beobachteten Datenverkehr mit einer Datenbank bekannter Angriffsmuster. Sie erkennt zuverlässig bereits bekannte Angriffe, jedoch nicht neuartige, bislang unbekannte Angriffstechniken.

Wird IDS/IPS heute noch als eigenständiges System eingesetzt?

Häufig ist IDS/IPS-Funktionalität heute in umfassendere Next-Gen-Firewall-Lösungen integriert, eigenständige IDS/IPS-Systeme kommen aber weiterhin, insbesondere in speziellen Netzwerksegmenten, ergänzend zum Einsatz.

Kann ein IPS verschlüsselten Datenverkehr prüfen?

Moderne IPS-Lösungen können verschlüsselten Datenverkehr unter bestimmten Voraussetzungen kontrolliert entschlüsseln und prüfen, was jedoch zusätzliche Rechenleistung erfordert und sorgfältig konfiguriert werden muss.

Wo im Netzwerk werden IDS/IPS-Systeme typischerweise platziert?

Häufig werden sie an zentralen Netzwerkübergängen positioniert, etwa zwischen internem Netzwerk und Internet, sowie an besonders sensiblen internen Netzwerksegmenten, um gezielt kritischen Datenverkehr zu überwachen.

Autor: Jochen Maier

Jochen Maier, Geschäftsführer

Jochen Maier ist Gründer & Geschäftsführer von summ-it und einer der wenigen Agentur-Inhaber, der selbst jahrelang auf Kundenseite erfolgreich war. Als ehemaliger CMO eines internationalen Softwareunternehmens weiß er aus eigener Erfahrung, wie frustrierend es sein kann, wenn Agenturen große Versprechen machen, aber nicht liefern. Mit seinem ausgeprägten Informatik-Hintergrund versteht er die fachlichen und technischen Herausforderungen seiner Kunden aus dem IT- und Software-Umfeld.

Sein Motto: „Wir können nicht alles, aber was wir machen, machen wir richtig gut.“ Diese Klarheit ist ihm wichtiger als jeder Marketing-Sprech – denn am Ende zählt nur, was wirklich funktioniert.