Ein Intrusion Detection System beobachtet Vorgänge und alarmiert bei Verdacht, ohne den gesehenen Verkehr selbst zu blockieren.
Es kann einen Host oder ein Netz beobachten, und sein Ergebnis ist ein Hinweis für Menschen oder eine andere Kontrolle, kein verworfenes Paket.
So funktioniert es
Signaturen beschreiben bekannte schlechte Muster, und Anomalieverfahren beschreiben Abweichungen von einer Grundlinie, die die Stelle gelernt hat.
Beide Wege enden dennoch in einem Alarm, den eine analytische Person, ein Ticket oder eine gesonderte Durchsetzungsstelle deuten muss.
Weil der Detektor nicht als Sperre urteilt, erzeugt ein Irrtum eher Rauschen als einen sofortigen Ausfall.
Der Preis dieser Bauweise ist Verzögerung: die verdächtige Sitzung kann schon vorbei sein, wenn ein Mensch den Hinweis liest.
Konkrete Beispiele
- Ein Host Detektor warnt, dass ein seltenes Verwaltungswerkzeug auf einem Laptop startete, der es nie zuvor ausgeführt hat.
- Ein Netzdetektor alarmiert, wenn eine interne Adresse viele Ports in der Serverreihe abfragt, und die Pakete kommen trotzdem an.
- Eine analytische Person schließt einen lauten Alarm über einen Schwachstellenscan, den das Sicherheitsteam selbst in der Nacht zuvor geplant hat.
Schutzmaßnahmen
- Justieren Sie Alarme, bis die Liste klein genug ist, dass ein Mensch die ernsthaften noch am selben Tag lesen kann.
- Halten Sie fest, welcher Detektor den Alarm erzeugt hat und ob er etwas sperren durfte, damit die Bauweise ehrlich bleibt.
- Geben Sie bestätigte Alarme in den Vorfallablauf, statt sie in einer Konsole zu lassen, die niemand besitzt.
- Prüfen Sie Signatur und Grundlinie nach Netzänderungen, damit alte Alarme nicht ein Netz beschreiben, das Sie nicht mehr betreiben.