Was ist Intrusion Detection System (IDS)?

Antwort: B. Ein IDS erkennt Verdachtsfälle und benachrichtigt den Administrator, während ein IPS im Kommunikationsweg sitzt und als unzulässig eingestufte Verbindungen blockiert

Ein IDS überwacht den Netzwerkverkehr (oder das Verhalten von Endgeräten) und gibt eine Warnung aus, wenn es einen Angriffsverdacht findet. Es wird oft so eingesetzt, dass es eine Kopie des Verkehrs erhält und untersucht; stuft es normalen Verkehr fälschlich als Angriff ein, steht der Betrieb nicht still, das Blockieren überlässt es aber Menschen oder anderen Mechanismen. Ein IPS sitzt mitten im Kommunikationsweg (inline) und kann als Angriff eingestufte Verbindungen sofort blockieren. Dafür stoppt es bei Fehlalarmen auch normalen Geschäftsverkehr, und Ausfälle oder Verzögerungen des Geräts wirken sich auf den gesamten Verkehr aus; deshalb wird sorgfältig abgestimmt, nach welchen Regeln blockiert wird.

Antwort: A. Die signaturbasierte Erkennung erkennt Übereinstimmungen mit Merkmalen bekannter Angriffe und übersieht daher leicht unbekannte Angriffe; die anomaliebasierte erkennt Abweichungen vom Normalzustand und bemerkt so auch unbekannte Angriffe, erzeugt aber viele Fehlalarme

Bei der signaturbasierten Erkennung werden Merkmale des Verkehrs bekannter Angriffe (Signaturen) vorab registriert, und Übereinstimmungen werden erkannt. Registrierte Angriffe werden zuverlässig gefunden, neue oder leicht abgewandelte Angriffe aber leicht übersehen, und die Signaturen müssen ständig aktualisiert werden. Die anomaliebasierte Erkennung lernt den Normalzustand (Baseline) wie Verkehrsmenge, Tageszeit und Verbindungsziele und erkennt starke Abweichungen davon, sodass sie unbekannte Angriffe bemerken kann. Andererseits stuft sie normalen, aber seltenen Verkehr leicht als anomal ein und erzeugt mehr Fehlalarme; in der Praxis werden daher beide kombiniert.