Firewall - Teil 4
6.4 Intrusion Detection Systems6
Einen weitreichenderen Schutz gegen Angriffe aus dem Internet bieten Intrusion Detection Systeme (IDS). Ein Intrusion Detection System nutzt automatisierte und intelligente Werkzeuge, um Einbruchsversuche in Echtzeit zu entdecken und zu verhindern.
Es existieren zwei unterschiedliche Typen von IDS:
- Systeme, die auf Regeln basieren (Rule-based systems)
Sie verlassen sich auf Bibliotheken und Datenbanken, die Informationen über bekannte Angriffe und Angriffssignaturen enthalten. Erfüllt ein eingehendes Paket ein bestimmtes Kriterium, erkennt das IDS darin einen Angriff und schlägt Alarm. Diese Art von IDS hat einen entscheidenden Nachteil: Es erkennt nur Angriffe, die in ihren Libraries und Datenbanken gespeichert sind. Diese müssen ständig auf den neuesten Stand gebracht werden, um wirkungsvoll zu sein. Außerdem ist entscheidend, wie eng die einzelnen Angriffssignaturen gesetzt werden. Sind diese zu spezifisch, wird ein Angriff als solcher erkannt, ein anderer, der mit dem vorherigen Ähnlichkeiten hat, jedoch nicht.
- Adaptive Systeme (Adaptive systems)
Diese Art von IDS benutzt fortgeschrittenere Techniken, wie z.B. Künstliche Intelligenz, um nicht nur bekannte Angriffe zu erkennen, sondern auch neue. Ihr Nachteil besteht in ihrem hohen Preis, verursacht durch die hohe Komplexität (sie verwenden höhere Mathematik und Statistik) des Systems.
Bei den regelbasierten Systemen gibt es zwei unterschiedliche Ansätze:
- Präventiv
Beim präventiven Ansatz überwacht das IDS den Netzwerkverkehr. Wenn verdächtige Aktivitäten bemerkt werden, beispielsweise eine große Anzahl von ping-Paketen innerhalb kürzester Zeit, schlägt das System Alarm und ergreift entsprechende Maßnahmen.
- Reaktionär
Ein reaktionäres System überwacht die Logdateien des Systems und ergreift bei ungewöhnlichen Aktivitäten Maßnahmen.
Die Unterschiede zwischen den beiden Ansätzen scheinen minimal zu sein. Trotzdem gibt es einen großen Unterschied: Der reaktionäre Ansatz ist im Grunde genommen nahe am normalen Loging anzusiedeln. Das System schlägt Alarm, wenn der Angriff in den Logdateien vermerkt wurde, auch wenn dies schon längere Zeit zurückliegt. Dagegen antwortet das präventive System sofort, wenn ein Angreifer versucht, in das System einzudringen.
Im Folgenden sollen einige Intrusion Detection Tools kurz vorgestellt sowie auf deren Funktion und Konfiguration eingegangen werden.
