Ein IPS, Intrusion Prevention System, ist eine Kontrolle im Netzwerkpfad, die schädlichen Verkehr nicht nur erkennt, sondern unterbindet.
Es gehört zur Schicht, die Angriffe stoppt, während sie noch unterwegs sind, und nicht erst im Nachhinein berichtet.
Die Grundlagen von IPS verstehen
Die Grundlagen von IPS zu verstehen heißt, Erkennung und Durchsetzung zusammen zu sehen: Ohne verlässliche Erkennung wird legitimer Verkehr blockiert, ohne Durchsetzung bleibt es bei einem Alarm.
Beide Seiten müssen zur Kritikalität der Strecke passen.
Signaturbasierte Erkennung
Signaturbasierte Erkennung vergleicht den Verkehr mit Beschreibungen bekannter Angriffe und kann einen Treffer sofort verwerfen.
Sie ist nachvollziehbar, weil der Grund der Sperre eine benannte Signatur ist, und sie braucht laufend neue Beschreibungen.
Anomalie-basierte Erkennung
Anomalie-basierte Erkennung bewertet, ob ein Ablauf vom erwarteten Verhalten eines Protokolls oder eines Systems abweicht, und kann auch dann sperren, wenn keine Signatur existiert.
Die Schwelle entscheidet, ob seltene, aber erlaubte Vorgänge mitgetroffen werden.
Arten von Intrusion Prevention Systemen
Arten von Intrusion Prevention Systemen richten sich nach dem Medium, das sie schützen.
Ein System für kabelgebundene Netze und eines für Funk lösen unterschiedliche Missbrauchsfälle und werden oft nebeneinander betrieben.
Netzwerkbasiertes IPS (NIPS)
Ein netzwerkbasiertes IPS, kurz NIPS, prüft den Verkehr zwischen Netzsegmenten inline und beendet Verbindungen, die ein Angriffsmuster tragen.
Es sieht nur, was diese Strecke durchläuft, und es wird bei Ausfall selbst zur Unterbrechung des Pfads.
Drahtloses IPS (WIPS)
Ein drahtloses IPS, kurz WIPS, sucht im Funk nach fremden oder nachgeahmten Zugriffspunkten und nach Clients, die sich mit ihnen verbinden.
Es schützt die Funkzone, die ein kabelgebundenes IPS am Rand des Rechenzentrums nicht sieht.
Die Bedeutung von IPS für die Cybersicherheit
Die Bedeutung von IPS für die Cybersicherheit liegt darin, bekannte Angriffe im Flug zu stoppen und Richtlinien der Organisation am Netz durchzusetzen.
Es verkürzt die Zeit, in der ein erkanntes Muster noch Wirkung entfalten kann.
Schutz vor bekannten und unbekannten Bedrohungen
Schutz vor bekannten und unbekannten Bedrohungen entsteht aus dem Zusammenspiel von Signaturen für beschriebene Angriffe und Verhaltensregeln für Abweichungen.
Unbekannt heißt hier nicht unsichtbar: Was sich völlig im erlaubten Verhalten verbirgt, erkennt auch ein IPS nicht allein.
Durchsetzung von Sicherheitsrichtlinien
Die Durchsetzung von Sicherheitsrichtlinien übersetzt Vorgaben, etwa das Verbot bestimmter Protokolle oder Befehle, in eine technische Sperre auf der Strecke.
Damit gilt die Richtlinie nicht nur im Dokument, sondern an der Stelle, an der der Verkehr sie verletzen würde.
Fazit
Ein IPS stoppt schädlichen Verkehr anhand von Signaturen und Abweichungen und setzt Netzregeln unmittelbar durch.
Es bleibt wirksam, wenn die Erkennung gepflegt wird und die Strecke einen Ausfall des IPS verkraftet oder umgeht.