Intrusion Detection System

Stichpunkte

Allgemein
	das der Erkennung von Angriffen auf ein Computersystem oder Computernetz dient
	Ein Intrusion Detection System (IDS) ist ein Programm
	ergänzen sich eine Firewall und ein IDS und erhöhen so die Sicherheit von Netzwerken
	Richtig eingesetzt
	"Verbergen") 1 Architekturen 1.1 Host-Basierte IDS 1.2 Netzwerk-Basierte IDS 2 Funktionsweise 3 IDS Software 4 Siehe auch 5 Literatur 6 Weblinks [Bearbeiten]
	Man unterscheidet netzwerkbasierte (NIDS) und hostbasierte Intrusion Detection Systeme (HIDS). Inhaltsverzeichnis showTocToggle("Anzeigen"
Architekturen
	Man unterscheidet zwei Arten von IDS Host-Basierte IDS Netzwerk-Basierte IDS [Bearbeiten]
Host-Basierte IDS
	Sie stellen die älteste Art von Intrusion Detection Systemen dar
	Sie wurden ursprünglich vom Militär entwickelt und sollten die Sicherheit von Großrechnern garantieren
	Ein HIDS muss auf jedem zu überwachenden System installiert werden
	Der Begriff "Host" darf allerdings nicht missverstanden werden
	In diesem Kontext ist als Host jedes System gemeint
	auf welchem ein IDS installiert ist
	Ein HIDS muss das Betriebssystem unterstützen
	Es erhält seine Daten aus Log-Dateien
	Kernel-Daten und anderen Systemdaten wie etwa der Registry
	Es schlägt Alarm
	wenn es in den gescannten Daten einen Angriff erkennt. Vorteile: sehr spezifische Aussagen über den Angriff kann ein System umfassend überwachen Nachteile: kann durch einen DoS-Angriff ausgehebelt werden wenn das System außer Gefecht gesetzt wurde
	ist auch das IDS lahm gelegt HIDS muss auf jeden Rechner installiert werden => Lizenz-Kosten [Bearbeiten]
Netzwerk-Basierte IDS
	alle Pakete im Netzwerk mitzulesen
	zu analysieren und verdächtige Aktivitäten zu melden
	NIDS versuchen
	aus dem Netzwerkverkehr Angriffsmuster zu erkennen
	Diese Systeme versuchen außerdem
	muss auch ein Angriff über dieses Protokoll erfolgen
	Da in der heutigen Zeit überwiegend das TCP/IP-Protokoll eingesetzt wird
	Mit nur einem Sensor kann ein ganzes Netzsegment überwacht werden
	Jedoch kann die Datenmenge eines modernen 100 MBit-LANs die Bandbreite des Sensors übersteigen
	Dann müssen Pakete verworfen werden
	was keine lückenlose Überwachung mehr garantiert
	Vorteile: ein Sensor kann ein ganzes Netz überwachen durch Ausschalten eines Zielsystems ist die Funktion des Sensors nicht gefährdet Nachteile: keine lückenlose Überwachung bei Bandbreitenproblemen keine lückenlose Überwachung in geswitchten Netzwerken (nur durch Mirror-Port auf einem Switch) [Bearbeiten]
Funktionsweise
	Grundsätzlich gibt es zwei Verfahren zur Einbruchserkennung: den Vergleich mit bekannten Angriffssignaturen und die sogenannte statistische Analyse
	Die meisten IDS arbeiten mit Filtern und Signaturen
	die spezifische Angriffsmuster beschreiben
	Der Nachteil dieses Vorgehens ist
	dass nur bereits bekannte Angriffe erkannt werden können und durch das Modifizieren bekannter Angriffe ist das System leicht umgehbar
	Andere IDS verwenden heuristische Methoden um auch bisher unbekannte Angriffe zu erkennen
	Ziel ist
	nicht nur bereits bekannte Angriffe
	sondern auch ähnliche Angriffe oder ein Abweichen von einem Normalzustand zu erkennen
	In der Praxis haben signaturbasierte Systeme mit Abstand die größte Verbreitung
	Ein Grund dafür ist
	dass ihr Verhalten leichter voraussehbar ist
	dass sie entweder viele falsche Warnungen (sog. false positives) generieren oder einige Angriffe nicht entdecken (sog. false negatives)
	Ein Hauptproblem beim praktischen Einsatz von IDS ist
	die Verbindung zu unterbrechen oder die übertragenen Daten zu ändern. IPS neuerer Bauart arbeiten oft mit einer Kombination aus Stateful inspection
	oder kurz IPS) in der Lage
	Pattern Matching und Anomalieerkennung
	Datenpakete zu verwerfen
	ist ein Network Intrusion Prevention System (NIPS
	wie ein NIDS
	Anstatt nur einen Alarm auszulösen
	Damit lassen sich Abweichungen von der im RFC-Standard (Request for Comment) festgelegten Protokollspezifikation erkennen und verhindern. [Bearbeiten]
IDS Software
	Auf dem Markt gibt es eine ganze Reihe von kommerziellen Network Intrusion Detection Systemen
	ähnlich Tripwire Prelude (http://www.prelude-ids.org/) - Freies
	... (http://www.forinsect.de/ids/ids-tools.php) Snort [1] (http://www.snort.org/) - Freies
	signaturbasiertes HIDS GFI LANguard System Integrity Monitor (http://www.gfisoftware.de/de/lansim/) - Freies HIDS AFICK (Another File Integrity CHecker) (http://afick.sourceforge.net/) - Freies HIDS [Bearbeiten]
	signaturbasiertes NIDS Winsnort (http://www.winsnort.com/) - Windows-Version von Snort Snort Inline (http://snort-inline.sourceforge.net/) - Freies NIPS Tripwire (http://www.tripwire.org/) - HIDS
	Aber auch freie Software wird angeboten: Snort ist ein kostenloses IDS für Unix/Linux- und Windows-Systeme. Umfangreiche Übersicht über HIDS
	verwendet Prüfsummen um Änderungen am System zu überwachen AIDE (http://www.cs.tut.fi/~rammer/aide.html) Freies HIDS
	NIDS
Siehe auch
	TCP
	Netzwerksicherheit [Bearbeiten]
	UDP
	Internet Protocol
	Firewall
Literatur
	Stephen Northcutt/Judy Novak: IDS: Intrusion Detection System
	Bonn 2001 [Bearbeiten]
Weblinks
	SecurityFocus IDS (http://www.securityfocus.com/ids/) englisch IDS FAQ (http://www.robertgraham.com/pubs/network-intrusion-detection.html) englisch en:Intrusion-detection system fi:Tunkeilijan havaitsemisjärjestelmä ja:侵入検知システム nl:Intrusion detection system pt:Sistema de detecção de intrusos

Dieser Artikel basiert auf dem Artikel Intrusion Detection System aus der freien Enzyklopädie wikipedia und steht unter der GNU Lizenz für freie Dokumentation. In der wikipedia ist eine Liste der Autoren verfügbar.