it-themen:grundlagen:netzwerkdienste:ids_ips
Unterschiede
Hier werden die Unterschiede zwischen zwei Versionen angezeigt.
| Beide Seiten der vorigen RevisionVorhergehende ÜberarbeitungNächste Überarbeitung | Vorhergehende Überarbeitung | ||
| it-themen:grundlagen:netzwerkdienste:ids_ips [03.12.2025 16:41] – [2. Anomaliebasiert (modern)] lars | it-themen:grundlagen:netzwerkdienste:ids_ips [03.12.2025 16:50] (aktuell) – [Zusammenfassung] lars | ||
|---|---|---|---|
| Zeile 90: | Zeile 90: | ||
| * TAP | * TAP | ||
| - | <code> | + | <a2s> |
| Traffic → Switch → (Kopie) → IDS | Traffic → Switch → (Kopie) → IDS | ||
| - | </code> | + | </a2s> |
| ==== IPS inline (aktiv) ==== | ==== IPS inline (aktiv) ==== | ||
| Zeile 98: | Zeile 98: | ||
| Der Traffic muss **durch** das IPS hindurch. | Der Traffic muss **durch** das IPS hindurch. | ||
| - | <code> | + | <a2s> |
| Traffic → IPS → Ziel | Traffic → IPS → Ziel | ||
| - | </code> | + | </a2s> |
| ===== Ports & Protokolle ====== | ===== Ports & Protokolle ====== | ||
| - | IDS/IPS arbeiten typischerweise auf Layer 3/ | + | IDS/IPS arbeiten typischerweise auf Layer 3/4/7:Â |
| - | * TCP, UDP, ICMP Â | + | * TCP, UDP, ICMPÂ |
| - | * HTTP, DNS, TLS, FTP, SMB usw. | + | * HTTP, DNS, TLS, FTP, SMB usw. |
| ===== Suricata – moderne, multithreaded Engine ====== | ===== Suricata – moderne, multithreaded Engine ====== | ||
| Merkmale: | Merkmale: | ||
| - | * sehr hohe Performance | + | * sehr hohe Performance |
| - | * Multi-Core-fähig | + | * Multi-Core-fähig |
| - | * versteht viele Protokolle tiefgehend | + | * versteht viele Protokolle tiefgehend |
| - | * Output als `eve.json` | + | * Output als `eve.json`Â |
| - | * UnterstĂĽtzt IDS & IPS | + | * UnterstĂĽtzt IDS & IPS |
| Typische Dateien: | Typische Dateien: | ||
| < | < | ||
| - | / | + | Â |
| - | / | + | / |
| + | / | ||
| + | Â | ||
| </ | </ | ||
| Zeile 131: | Zeile 134: | ||
| ===== Eve.json Beispiel (Suricata) ====== | ===== Eve.json Beispiel (Suricata) ====== | ||
| - | < | + | < |
| - | {Â | + | Â |
| - | " | + | {Â |
| - | " | + | |
| - | " | + | |
| - | " | + | |
| - | " | + | |
| - | }, | + | |
| - | " | + | |
| - | " | + | |
| - | } | + | |
| + | }Â | ||
| + | Â | ||
| </ | </ | ||
| Zeile 154: | Zeile 160: | ||
| Gängige Rule-Sets: | Gängige Rule-Sets: | ||
| - | * Emerging Threats (ET Open & ET Pro) Â | + | * Emerging Threats (ET Open & ET Pro)Â |
| - | * Snort Community Rules  | + | * Snort Community Rules |
| - | * Abuse.ch Feeds  | + | * Abuse.ch Feeds |
| - | * ThreatFox | + | * ThreatFox |
| - | * Spamhaus | + | * Spamhaus |
| - | * Suricata TLS Fingerprints | + | * Suricata TLS Fingerprints |
| Eintrag in Suricata: | Eintrag in Suricata: | ||
| < | < | ||
| - | rule-files: | + | Â |
| - | - emerging-threats.rules | + | rule-files: |
| - | - local.rules | + | |
| + | | ||
| + | Â | ||
| </ | </ | ||
| Zeile 173: | Zeile 182: | ||
| IDS/IPS hängen stark ab von: | IDS/IPS hängen stark ab von: | ||
| - | * CPU-Kernen | + | * CPU-Kernen |
| - | * Netzwerkkarten (Offloading deaktivieren!) | + | * Netzwerkkarten (Offloading deaktivieren!)Â |
| - | * RAM (Signaturdatenbank) | + | * RAM (Signaturdatenbank)Â |
| - | * Traffic-Volumen | + | * Traffic-Volumen |
| - | * Regelmenge | + | * Regelmenge |
| ===== Statistiken & Monitoring ====== | ===== Statistiken & Monitoring ====== | ||
| Zeile 183: | Zeile 192: | ||
| Typische Metriken: | Typische Metriken: | ||
| - | * Alerts pro Minute | + | * Alerts pro Minute |
| - | * Top Source IPs  | + | * Top Source IPs |
| - | * Top Destinations | + | * Top Destinations |
| - | * Protokollverteilung | + | * Protokollverteilung |
| - | * TLS-Client-Fingerprints | + | * TLS-Client-Fingerprints |
| * DNS-Anomalien | * DNS-Anomalien | ||
| Zeile 194: | Zeile 203: | ||
| ===== Einsatzgebiete von IDS/IPS ====== | ===== Einsatzgebiete von IDS/IPS ====== | ||
| - | * Unternehmensnetzwerke | + | * Unternehmensnetzwerke |
| - | * Firewalls (OPNsense: Suricata integriert) | + | * Firewalls (OPNsense: Suricata integriert)Â |
| - | * Heimnetzwerke (pfSense/ | + | * Heimnetzwerke (pfSense/ |
| - | * SOC/ Blue Team  | + | * SOC/ Blue Team |
| - | * Zero Trust Architekturen | + | * Zero Trust Architekturen |
| - | * Netzwerkforensik | + | * Netzwerkforensik |
| ===== Vorteile von IDS ====== | ===== Vorteile von IDS ====== | ||
| - | * erkennt Angriffe | + | * erkennt Angriffe |
| - | * erkennt C2-Kommunikation | + | * erkennt C2-Kommunikation |
| - | * erkennt Probing/ | + | * erkennt Probing/ |
| - | * liefert forensische Beweise | + | * liefert forensische Beweise |
| - | * keine Netzwerkunterbrechung | + | * keine Netzwerkunterbrechung |
| ===== Vorteile von IPS ====== | ===== Vorteile von IPS ====== | ||
| - | * blockiert Angriffe aktiv  | + | * blockiert Angriffe aktiv |
| - | * schützt Systeme automatisch | + | * schützt Systeme automatisch |
| - | * im Inline-Modus sehr wirksam | + | * im Inline-Modus sehr wirksam |
| ===== Nachteile ====== | ===== Nachteile ====== | ||
| IDS: | IDS: | ||
| - | * erkennt nur → blockiert nicht  | + | * erkennt nur → blockiert nicht |
| - | * sehr viele Logdaten | + | * sehr viele Logdaten |
| IPS: | IPS: | ||
| - | * kann legitimen Traffic blockieren | + | * kann legitimen Traffic blockieren |
| - | * Konfiguration muss sehr sauber sein | + | * Konfiguration muss sehr sauber sein |
| ===== Zusammenfassung ====== | ===== Zusammenfassung ====== | ||
| - | * IDS → erkennt Angriffe | + | * IDS → erkennt Angriffe |
| - | * IPS → blockiert Angriffe | + | * IPS → blockiert Angriffe |
| - | * Suricata & Snort sind die wichtigsten Tools  | + | * Suricata & Snort sind die wichtigsten Tools |
| - | * Signatur- und Anomalieerkennung | + | * Signatur- und Anomalieerkennung |
| - | * zentral in Security-Strategien | + | * zentral in Security-Strategien |
| - | * integriert in Firewalls wie OPNsense | + | * integriert in Firewalls wie OPNsense |
| - | * liefert Alerts via eve.json, Logs, Dashboards | + | * liefert Alerts via eve.json, Logs, Dashboards |
it-themen/grundlagen/netzwerkdienste/ids_ips.1764776480.txt.gz · Zuletzt geändert: von lars