IT-Management in der Praxis Seminar ? WS 2004/05 - am ...

Intrusion Prevention Systeme 71
Abbildung 5: Snort IDScenter Screenshot
3 Intrusion Prevention Systeme
3.1 Wo liegt der Unterschied zwischen Intrusion Detection und Intrusion
Prevention?
Intrusion Detection Systeme bieten keinen Schutz. Sie sind fähig, einen Einbruch zu erkennen
und zu registrieren, aber die Reaktionen finden immer erst nach dem durchgeführten Angriff
statt, die feindlichen Pakete haben unter Umständen bereits ihr Ziel erreicht. Wenn man ein
IDS mit einem Alarmsystem vergleicht, bedeutet das, dass ein Einbruch in einem Haus vom
Alarmsystem erkannt und gemeldet wird, aber die verursachten Schäden sind nicht mehr
rückgängig zu machen. Diesen Mangel versuchen Intrusion Prevention Systeme zu beheben.
Als Intrusion Prevention System kann man ein System bezeichnen, das Anfriffe nicht nur
erkennen, sonder auch aktiv verhindern kann. In diesem Sinn stellt das IPS eine Erweiterung
des IDS dar: ein IPS muss als erstes ein hoch akurates IDS sein. Also, ein IDS erfüllt die
Aufgabe, einen Angriff zu entdecken, möglichst viel Informationen über den Angriff zu sammeln
und Alarm auszulösen. Die Haputanfordernung eines IPS ist Attacken und Endringlinge
zweifelslos zu identifizieren und rechtzeitig geeignete Gegenmassnahemen zu treffen, so dass
mögliche Schäden verhindert werden.
3.2 Architekturen von Intrusion Prevention Systeme
Sowohl Intrusion Detection Systeme als auch Intrusion Prevention Systeme können netzwerk-,
host- oder applikationsbasiert sein:
• Netzwerk Intrusion Prevention System (NIPS)
Seminar – IT-Management in der Praxis