Definition NIDS | Network Intrusion Detection System Was ist ein NIDS?

Anbieter zum Thema

Moxa Europe GmbH

TXOne Networks

Arctic Wolf Networks Germany GmbH

Ein NIDS (Network Intrusion Detection System) ist eine Sicherheitstechnologie und eine Sicherheitslösung, die bösartige Aktivitäten und sicherheitsrelevante Anomalien im Netzwerk erkennt und Administratoren alarmiert. Der Datenverkehr wird in Echtzeit analysiert und nach verdächtigen Mustern untersucht. Je nach Implementierung bestehen die Systeme aus verschiedenen Komponenten wie aus verteilten Sensoren und Analyse- und Managementservern.

NIDS ist das Akronym für Network Intrusion Detection System. Es handelt sich um eine Sicherheitstechnologie und Sicherheitslösung. Sie überwacht Netzwerke, indem sie den Datenverkehr hinsichtlich bösartiger Aktivitäten und sicherheitsrelevanter Anomalien in Echtzeit analysiert. Werden Angriffe oder Sicherheitsereignisse wie Malware-Signaturen, DoS-Attacken, unerlaubte Zugriffsversuche, unbekannter Netzwerkverkehr oder Port Scanning erkannt, alarmiert das NIDS einen definierten Empfängerkreis wie Netzwerkadministratoren oder Sicherheitsexperten. Das Network Intrusion Detection System zählt wie das Host-basierte IDS (HIDS) zur Klasse der Intrusion Detection Systeme. Es verhält sich hinsichtlich der Gefahrenabwehr eher passiv. Für eine aktive Bekämpfung von Sicherheitsereignissen und Angriffen wird es häufig in Kombination mit einem Intrusion Prevention System (IPS) betrieben. (N)IDS und IPS sind wichtige Komponenten für den Schutz von Netzwerken und IT-Systemen. Sie erlauben ein schnelles Reagieren auf Sicherheitsereignisse, noch bevor Daten kompromittiert oder andere größere Schäden angerichtet werden können.

Abgrenzung verschiedener Arten von Intrusion Detection Systemen

Der Begriff "Intrusion Detection System" lässt sich mit "Einbruchmeldesystem" oder "Einbrucher­kennungssystem" ins Deutsche übersetzen. Das System erkennt und meldet Angriffe, die gegen Netzwerke oder Rechnersysteme gerichtet sind. Es gibt verschiedene Arten von IDS. Neben dem Network Intrusion Detection System werden auch Host-basierte IDS (HIDS) oder hybride IDS zum Schutz von IT-Umgebungen eingesetzt. Während das NIDS netzwerkbasiert arbeitet und Angriffe durch Analyse des Netzwerkverkehrs erkennt, sind HIDS direkt auf einem zu überwachenden Rechner oder Server installiert. Das HIDS bezieht seine Informationen vom Host selbst und überwacht den Rechner, indem es Daten wie Logging-Dateien, Systemdaten oder Registrierungsdatenbanken überwacht. Hybride IDS verbinden NIDS und HIDS zu einem kombinierten System zur Angriffserkennung. Solche hybriden Systeme setzen sowohl netz- als auch hostbasierte Sensortypen ein und bieten einen umfassenderen Schutz als Einzelsysteme.

Prinzipieller Aufbau und Funktionsweise eines NIDS

Je nach Hersteller, Implementierung und technischer Realisierung können sich Aufbau und Funktionsweise der Network Intrusion Detection Systeme unterscheiden. Prinzipiell besteht ein NIDS aus mehreren Komponenten. Sensoren sind an strategischen Punkten des Netzwerks (in bestimmten LAN-Segmenten oder in einer DMZ) installiert und überwachen den ein- und ausgehenden Verkehr. Die Sensoren sind mit einem zentralen Managementserver verbunden. Über Clients, die mit dem Managementserver verbundenen sind, lassen sich Alarmmeldungen empfangen, Informationen des NIDS abrufen oder Einstellungen vornehmen und Sensoren verwalten.

Die Angriffserkennung selbst kann je nach System auf verschiedene Arten stattfinden. Es gibt NIDS, die signaturbasiert, verhaltensbasiert oder anomaliebasiert und mit Kombinationen dieser Erkennungsarten arbeiten. Bei einem signaturbasiert arbeitenden NIDS müssen die zu erkennenden Angriffsmuster im Vorfeld bekannt sein. Neue, bisher noch unbekannte Angriffsarten lassen sich beispielsweise mit anomalie- und verhaltensbasiert arbeitenden Systemen erkennen. Sie erstellen mit Verfahren wie Künstlicher Intelligenz und Maschinellem Lernen ein Modell des normalen Netzwerkverhaltens und gleichen das gemessene Verhalten kontinuierlich mit diesem Modell ab, um Abweichungen festzustellen.

Erkennt ein NIDS ein sicherheitsrelevantes Ereignis, erzeugt es einen Alarm mit Informationen wie Art des Angriffs, Quelle und Ziel, Zeit des Angriffs und andere. In einem kombinierten IDS/IPS lassen sich die Alarme an das IPS übergeben, das dann selbständig und unmittelbar mit einer aktiven Angriffsabwehr, beispielsweise durch Blockieren bestimmter IP-Absenderadressen, beginnt.

(ID:49671116)