Intrusion Detection

Eindringungserkennung

Das IDS ("Intrusion Detection System") ist ein Gerät oder eine Softwareanwendung, die das Netzwerk überwacht und analysiert. Die Sicherheitssysteme wie Firewalls, Antivirensoftware und Benutzersteuerung können durch ein Intrusion Detection System (IDS) erweitert werden. mw-headline" id="Architekturen">Architekturen"mw-editsection-bracket">[Editieren | | | Quellcode bearbeiten]> Das Intrusion Detection-System ist ein System zur Detektion von Attacken, die gegen ein Rechnersystem oder ein Computernetzwerk richten. Der IDS kann eine Brandmauer vervollständigen oder auf dem zu kontrollierenden Rechnersystem ausgeführt werden, wodurch die Netzwerksicherheit erhöht wird.

Detektierte Attacken werden in der Regel in Log-Dateien gesammelt und an den Anwender oder Verwalter gemeldet; hier wird der Ausdruck Intrusion Protection Systems (IPS) definiert, der ein automatisiertes und aktives Abwehrsystem ist. Auf jedem zu kontrollierenden Rechner muss ein HIDS eingerichtet sein. Systemintegritätsprüfer " sind ein Subtyp von HIDS, der Checksummen verwendet, um festzustellen, ob Änderungen am Gesamtsystem wurden.

Umfassende Überwachung eines Systems. Bei deaktiviertem IDS ist auch das IDS deaktiviert. Die NIDS versucht, alle Datenpakete im Netz zu erfassen und zu untersuchen und missbräuchliche Aktionen zu berichten. Nachteilig ist, dass nur die bekannten Attacken entdeckt werden können. Das Intrusion Detection Systems prüft und bearbeitet bei der Pattern-Erkennung die erfassten Informationen und gleicht sie mit den Unterschriften aus der Pattern-Datenbank ab.

Trifft ein Ereignis auf eines der Patterns zu, wird ein "Intrusion Alert" ausgelöscht. Die anderen IDS nutzen Heuristiken, um unerkannte Attacken zu detektieren. Dabei geht es nicht nur darum, bereits bekannt gewordene Attacken, sondern auch gleichartige Attacken oder eine Abweichung von einem normalen Zustand zu detektieren. Eines der Hauptprobleme bei der Anwendung von IDS ist, dass sie entweder viele Fehlwarnungen erzeugen (False Positive) oder einige Attacken nicht detektieren (False Negative).

Statt nur einen Alarmauslöser wie ein IDS zu betätigen, kann ein Intrusion-Prevention-System ( "IPS") die gesendeten Pakete löschen, die Verbindungen trennen oder verändern. Auf diese Weise können Sie eine Abweichung von der im RFC-Standard (Request for Comment) definierten Protokoll-Spezifikation feststellen und vermeiden. Auch in anderen Gebieten, wie dem Telefonanlagenschutz durch intelligentes, signaturbasiertes Intrusion Detection, werden Anstrengungen für solche Systeme sichtbar.

Ein Intrusion Detection- oder Intrusion Prevention-System ist in der Regel ein aktives Bauteil und kann daher als Ziel für Angriffe verwendet werden. Intrusion Detection- oder Intrusion Prevention-Systeme, die in ein Netz inline - also ohne gebundene IP-Stacks und IP-Adressen - integriert werden können und als transparente Layer-2-Netzwerkkomponenten funktionieren, sind von dieser Gefährdung nur teilweise berührt.

Anders als bei Intrusion Prevention Systemen werden Attacken nur entdeckt, aber nicht unterdrückt. Der Honigtopf (Köder) ist ein Rechner in einem Netz, der Hackern die Möglichkeit bieten soll, ihn zu attackieren. Sie dienen nur dazu, die Attacken auf einen abgelegenen Teil des Netzwerks zu richten, indem sie absichtlich Sicherheitslücken offen halten. Daraus lassen sich dann Abwehrstrategien für den Rest des Netzwerks ableiten.

Allerdings hat das Prinzip des Honigtopfes einen Nachteil: Ein Honigtopf kann als Einstiegspunkt für weitere Attacken auf das Netz fungieren.

Kryptografische Unterschriften können die Beschädigung von Konfigurationsdateien und die Übertragung über das Netz erkennen. TIGER [6] ist eine POSIX-kompatible Sicherheitssoftware, die das Gerät immer wieder mit einem primitiven Zustand abgleicht. Zugriff am 6. MÃ?rz 2018.