IDS - Intrusion Detection System

Vorneweg: Ich bin kein ausgewiesener "Fachmann" für das Thema IDS aber schon mehrfach durch ein IDS "gestörter" Consultant. Und damit meine ich nicht, dass ein IDS bemerkt hätte, dass mein "Fremd"-Notebook an einem Firmen-LAN aufgetaucht wäre.

False Positive mit IDS

Die Vorfälle mit einem IDS bezogen sich eher darauf, dass das IDS irrtümlich erwünschte Kommunikationen "gestört" hat.

Auch wenn ich hier mit ein paar Negativbeispielen starte, so lässt sich die Notwendigkeit einer Überwachung und Reaktion nicht abstreiten. Über den Umfang und die Schärfe muss individuell entschieden werden.

Beispiele waren:

Das Problem bei einem IDS ist aber häufig, dass es nicht einzelne Verbindungen unterbricht, sondern den Netzwerkport oder die MAC-Adresse temporär oder dauerhaft blockt. Das geht natürlich komplett nach hinten los, wenn es sich dabei um einen Exchange Server oder gar die Domain Controller handelt. Ein IDS hat natürlich auch wie ein Virenscanner oder Spamschutz das Problem. dass es sowohl unerkannte Angriffe als auch irrtümlich als Angriff eingestufte Vorgänge geben kann. Beide können nie "0%" sein. Es bleibt also eine Abwägung von Risiken und Nutzen und vor allem einer funktionierendes Benachrichtigungs- und Alarmierungskette.

IDS und Einbrecher

Vielleicht wird die Funktion eines IDS leichter verständlich, wenn wir ein konkretes Beispiel außerhalb der IT wählen. Stellen Sie sich einfach einen "menschlichen" Einbrecher vor, der in ihre Haus oder Gebäude einbrechen will.

Beim Haus oder Objekt kann natürlich einfacher mit "Wahrscheinlichkeiten" gerechnet werden, da sich der Einbrecher auch physikalisch an den Ort geben muss und bei einer Entdeckung auch eher Ergriffen oder zumindest identifiziert bzw. verfolgt werden kann. In der IT sieht das natürlich etwas anders aus. Der Angreifer ist hier fast endlich vervielfältigbar, agiert teils aus der Ferne und bekommt über verschiedene Informationsquellen sogar die Lücken fast frei Haus auf den Tisch. Wer hier also einfach nur darauf hofft, nicht "geprobt" zu werden, agiert nicht nur leichtsinnig schon schon fahrlässig oder gar mit Vorsatz. Es wird sicher der Tag kommen, an dem zu ihrem System eine "Lücke" erreichbar wird, die ausgenutzt werden kann und wird.

Wenn Sie nun sagen, dass ihre Firewall gar keine Verbindungen nach intern zulässt und die internen Systeme alle gut "verwaltet" sind, dann übersehen Sie zum einen die Lücken zwischen der Offenlegung einer Schwachstelle, dem Updates des Herstellers und der Verteilung auf alle Server. Da gehen sehr schnell auch Tage ins Land. Ganz unerkannt bleiben "unerwünschte" und "unerlaubte" Zugriff auf Daten von internen Anwendern, die aber eine Schwachstelle in ihrem Berechtigungskonzept ausnutzen. Fragen Sie mal, wer z.B. das Kennwort ihres Vorstands noch kennt. Das wird zumindest die Chefsekretärin sein. Und wie übt eine Stellvertreterin der Chefsekretärin ihren Auftrag aus ?

Selbst im heimischen Bereich hinter einem NAT-Router (der keine Firewall ist !), sollten Sie das Risiko nicht unterschätzen. Es gab auch schon Fälle, bei denen ein Schadcode auf einem Smartphone per SMTP Spam versendet hat und damit die IP-Adresse der Firma auf einer Blackliste gelandet ist.

Wo ein IDS ansetzen kann...

Ein IDS kann überall ansetzen, wo Daten für die Überwachung von Zugriffen erhalten werden können. Einige Stellen werden durch die Systeme bereit gestellt. Es sind aber auch passive "Proben" möglich, bei denen das System die Datenbewegungen selbst beobachtet.

Wann rechnet sich ein IDS ?

Natürlich bekommen Sie ein IDS nicht kostenfrei ins Haus geliefert. Und die "Kosten" setzen sich beileibe nicht nur aus den Softwarekosten zusammen. Ein IDS muss ähnlich die ein Virenscanner regelmäßig mit neuen Erkennungsmustern ausgestattet werden, die viele Hersteller nur im Abonnement anbieten. Aber wenn ein IDS einen Angriff meldet, dann ist Handeln angesagt und auch dafür ist Know-how und qualifiziertes Personal erforderlich.

Ich kann hier weder eine Marktübersicht noch Preise nennen, da IDS nicht mein primärer Tätigkeitsbereich ist. Aber um beim Beispiel Haus zu bleiben: Es ist billiger die Fenster einbruchhemmend zu machen, Türen mit "guten" Schließvorrichtungen zu versehen und dann noch eine Alarmanlage zu verbauen, also "nur" einen Wachschutz zu organisieren.

Ich möchte damit ausdrücken, dass es wie bei der Hochverfügbarkeit nicht sinnvoll ist, die "teuerste" Komponente zuerst zu kaufen. Beim Bereich "Hochverfügbarkeit" (Siehe Verfügbarkeit) gib es auch eine einfache Pyramide.

  1. Single Server = keine Hochverfügbarkeit
    Aber einfach zu Sichern und im Bedarfsfall zu restaurieren. Keine automatische "Reparatur" und Downtime während des Recover aber auch im Tagesbetrieb bei Updates/Patches
  2. Single Server mit Komponentenredundanz und Monitoring
    Verbessert die Verfügbarkeit durch Protokollierung von Fehlern und Möglichkeit einer proaktiven Reaktion. Wenn also eine Festplatte im RAID ausfällt, dann können Sie die problemlos tauschen, ehe die nächste ausfällt. Viele "Probleme" kündigen sich frühzeitig an. Und selbst wenn der Server ausgefallen ist, kann ein Blick in das Log wertvolle Hinweise für die schnelle Wiederherstellung geben.
  3. Hochverfügbarkeit durch Systemredundanz
    Ob sie hier nun einen "Cluster" bauen oder die virtuelle Maschine auf anderen Hosts automatisch starten können sind Detailfragen. Maßgeblich ist, dass ein "Cluster-System" erst mal einen Zuwachs bezüglich der Anschaffungskosten, Betriebskosten und Know-how-Bedarf bedeutet, der dem Nutzen entgegen gesetzt werden muss

Und sie können mir glauben, dass der Schritt von einem "gelegentlich betrachteten" System zu einem "geplant überwachten" System bezüglich Kosten und Komplexität kleiner ist aber die Verfügbarkeit stark erhöht. Der Schritt zum Cluster ist ungleich teurer aber in gewissen Fällen natürlich dennoch gerechtfertigt.

Beim Einsatz eines IDS ist es vergleichbar. Wer seine Server gar nicht bezüglich Angriffen überwacht und auch sonst das Thema Benutzerverwaltung, Rechtekonzept, Kontosperrrichtlinien etc. schlecht umgesetzt hat, sollte vom IDS erst mal Abstand nehmen, bis diese Punkte zufriedenstellend erfüllt sind.

Auf der anderen Seite hat sich ein IDS natürlich sofort bezahlt gemacht, wenn es tatsächlich einen Einbruchsversuch nicht nur erkannt, sondern auch abgewehrt hat und die "Kosten" für die betroffenen Daten höher sind als die Kosten des IDS.

Was ein IDS nicht ersetzt

Sie können davon ausgehen, dass Firmen mit sensiblen Daten (Banken, Versicherungen, Forschung) entsprechend sensibilisiert für den Schutz ihrer Daten sind und auch entsprechende Budgets bereitstellen. Hier kann man nur hoffen, dass die richtigen Lösungen und Produkte den erwarteten Schutz auch liefern. Diese Firmen werden aber sicher nicht diese HTML-Seite zum Thema IDS als "Referenz" für ihre weiteren Schritte nehmen.

Schaue ich mir aber den Mittelstand oder klassische kleine Firmen an, dann erwarte ich hier keine großen Aktivitäten bezüglich IDS. Sicher habe auch solche Firmen einen Schutzbedarf und sind lohnendes Ziel für Angreifer. Trotzdem empfehle ich hier erst einmal, das diese Firmen ihre Hausaufgaben machen. Allzu oft sehe ich, dass ..

Das sind nur ein paar Beispiele, die sie vorab abarbeiten sollten. Was hilft ihnen ein Wachschutz, der gerade auf der anderen Seite des Gebäude nachschaut, wenn ihre Fenster und Türen nicht verschließbar sind.

Wer über ein IDS nachdenkt, sollte es nicht als "Ersatz" für die vorgenannten und einige andere Voraussetzungen ansehen, sondern als Erweiterung einer bestehenden gesunden Konfiguration.

Weitere Links

Keywords:IDS Intrustion Detection Adminkonzept