IPS (Intrusion Prevention System)
IPS (Intrusion Prevention System) ist ein System zur Verhinderung von Eindringungen, das den Netzwerkverkehr in Echtzeit analysiert und verdächtige Aktivitäten, Angriffe und Schadcode automatisch blockiert, bevor sie die geschützte Ressource erreichen.
Inhalt
Was ist ein IPS
IPS (Intrusion Prevention System) ist ein System zur Verhinderung von Eindringungen, das als aktiver Schutzmechanismus arbeitet, der in die Netzwerkinfrastruktur eingebaut ist. Im Gegensatz zu Firewalls, die den Verkehr einfach nach statischen Regeln (auf der Grundlage von IP-Adressen und Ports) durchlassen oder blockieren, analysiert ein IPS den Inhalt von Paketen und das Verhalten von Strömen tiefgehend und entscheidet in Echtzeit: durchlassen, blockieren oder die Übertragungsgeschwindigkeit begrenzen.
In einfachen Worten: Wenn eine Firewall eine Schranke ist, die die Autonummer (IP-Adresse) prüft, dann ist ein IPS ein Inspektor, der den Inhalt des Kofferraums durchsucht, Dokumente und das Verhalten des Fahrers prüft, um sicherzustellen, dass nichts Gefährliches im Auto ist. Das IPS greift aktiv in den Prozess ein, blockiert verdächtige Verbindungen und verhindert die Ausbreitung von Bedrohungen.
IPS wird oft mit IDS (Intrusion Detection System) kombiniert, aber der Hauptunterschied besteht darin, dass ein IPS aktiv in den Prozess eingreift: Es setzt Verbindungen zurück, blockiert IP-Adressen von Angreifern, blockiert bösartige Pakete und benachrichtigt das Informationssicherheits-Monitoringzentrum (SOC). In Unternehmensnetzwerken wird ein IPS an der Netzwerkgrenze (vor dem Rechenzentrum) oder in Segmenten zum Schutz kritischer Server und Datenbanken eingesetzt.
Laut Gartner werden bis 2027 mehr als 80 % der großen Organisationen IPS als Teil ihrer Netzwerksicherheitsstrategie verwenden, was auf das Wachstum komplexer Angriffe auf Anwendungsebene (L7) und die Zunahme des durch Unternehmensnetzwerke fließenden Verkehrs zurückzuführen ist.
Wie ein IPS funktioniert
Ein IPS verwendet mehrere Methoden zur Erkennung und Blockierung von Bedrohungen, die in Echtzeit (inline) arbeiten:
- Signaturanalyse: Vergleich des Verkehrs mit einer Datenbank bekannter Angriffe (ein Analogon zu Antiviren-Signaturen). Wirksam gegen bekannte Bedrohungen, für die bereits Signaturen erstellt wurden, aber nutzlos gegen Zero-Day-Angriffe. Signaturdatenbanken werden regelmäßig aktualisiert (täglich oder wöchentlich).
- Anomalie- (Verhaltens-) Analyse: Das System lernt aus typischem Verkehr (erstellt ein Profil des normalen Verhaltens) und erkennt Abweichungen (z. B. einen starken Anstieg der Anzahl von SYN-Paketen, uncharakteristischen Verkehr auf geschlossenen Ports, anomale Paketgrößen).
- Protokollanalyse: Überprüfung der Übereinstimmung von Netzwerkprotokollen mit Standards (z. B. Erkennung von HTTP-Smuggling, gefälschten DNS-Antworten, Verstößen gegen das TLS-Protokoll).
- Reputationsanalyse: Überprüfung von IP-Adressen und Domains anhand von Reputationsdatenbanken (Threat Intelligence) zur Erkennung von Verbindungen mit bekannten C&C-Servern (Command and Control) oder Botnetzen.
Ein IPS arbeitet mit SIEM-Systemen zusammen und überträgt Ereignisse zur Korrelation und Analyse. IPS-Protokolle werden in Datenspeichersystemen für spätere Untersuchungen von Vorfällen und Forensik gespeichert. Moderne IPS verwenden auch maschinelles Lernen, um neue Angriffsmuster ohne Signaturen zu erkennen.
Haupttypen von IPS
IPS wird nach Installationsort, Betriebsmodus und Schutzniveau klassifiziert:
- Netzwerk-IPS (NIPS): An Schlüsselpunkten des Netzwerks installiert (an der Grenze, zwischen Segmenten, vor dem Rechenzentrum). Sie analysieren den gesamten vorbeifließenden Verkehr auf Netzwerk- und Anwendungsebene. Der häufigste Typ für Unternehmensnetzwerke.
- Host-IPS (HIPS): Auf einzelnen Servern oder Arbeitsplätzen installiert. Sie analysieren Aktivitäten auf Betriebssystemebene (Systemaufrufe, Prozessstart, Änderungen in der Registrierung). Häufig mit Antivirensoftware und EDR-Lösungen integriert.
- Wireless-IPS (WIPS): Schützen Wi-Fi-Netze vor unbefugten Zugangspunkten (Rogue AP) und Angriffen auf 802.11-Protokolle (z. B. Deauthentifizierung).
- Netzwerk-Verhaltensanalyse (NBA): Analysiert Netzwerkverkehr zur Erkennung von Anomalien im Verhalten.
In Russland wird die Wahl von IPS-Lösungen oft durch die Anforderungen des 187-FZ und die Notwendigkeit der Verwendung von Geräten aus dem Register der inländischen Software bestimmt. Inländische IPS-Lösungen (z. B. UserGate, Positive Technologies) sind von FSTEC zertifiziert und können in staatlichen Informationssystemen verwendet werden.
Warum ein IPS benötigt wird und wie es schützt
Ein IPS bietet Schutz vor einer breiten Palette von Bedrohungen, die von klassischen Firewalls nicht gestoppt werden können:
- Netzwerkangriffe: Blockierung von Portscans, DoS-Angriffen, Paketfragmentierung, IP-Spoofing.
- Malware: Erkennung und Blockierung von Verkehr von Botnetzen, C&C-Servern sowie Versuchen, bösartige Dateien herunterzuladen (z. B. Exploits).
- Exploits und Schwachstellen: Verhinderung der Nutzung von Schwachstellen in Protokollen und Anwendungen (z. B. EternalBlue, Heartbleed, Shellshock). Das IPS blockiert Exploit-Versuche, bevor sie einen anfälligen Server erreichen.
- Angriffe auf Anwendungsebene (L7): Blockierung von SQL-Injection, XSS, Befehlsinjection im HTTP-Verkehr.
Ein IPS hilft auch bei der Untersuchung von Vorfällen, indem es detaillierte Protokolle und Informationen über blockierte Angriffe bereitstellt, was für die Bedrohungsanalyse und die Verbesserung von Sicherheitsrichtlinien nützlich ist.
IPS im Cybersicherheits-Ökosystem
Ein IPS ist keine isolierte Lösung und Teil eines umfassenden Informationsschutzsystems. Für maximale Effektivität wird das IPS mit anderen Werkzeugen integriert:
- Next-Generation-Firewalls (NGFW): IPS ist oft Teil einer NGFW und bietet Schutz auf Anwendungsebene zusätzlich zur herkömmlichen Filterung.
- SIEM-Systeme: Das IPS überträgt Ereignisse und Protokolle an SIEM zur zentralen Korrelation mit anderen Quellen.
- EDR/XDR: Das IPS schützt auf Netzwerkebene und EDR auf der Ebene der Endgeräte. Zusammen erzeugen sie einen abgestuften Schutz, der alle möglichen Angriffsvektoren abdeckt.
- SOAR: Die Integration mit SOAR ermöglicht es, die Reaktion auf IPS-Ereignisse zu automatisieren (z. B. automatische Blockierung einer IP-Adresse in der Firewall).
Die Implementierung eines IPS als Teil eines umfassenden Sicherheitssystems erfordert eine professionelle Planung. Die Dienstleistung Planung und Kurse Schulung helfen, das System korrekt zu konfigurieren und in die bestehende Infrastruktur zu integrieren.
Häufig gestellte Fragen
Wie unterscheidet sich IPS von IDS (Intrusion Detection System)?
IDS erkennt nur Angriffe und benachrichtigt den Administrator, blockiert aber den Verkehr nicht. Es ist ein passives Überwachungswerkzeug. IPS greift aktiv ein: Es setzt Verbindungen zurück, blockiert IP-Adressen und verhindert die Ausbreitung von Bedrohungen in Echtzeit. IPS ist eine Weiterentwicklung von IDS, die proaktiven Schutz bietet. Beide Systeme werden häufig in SIEM für die zentrale Verwaltung und Ereignisanalyse integriert.
Wie schützt IPS vor Zero-Day-Angriffen (0-Day)?
Ein IPS verwendet Verhaltensanalyse und maschinelles Lernen, um Zero-Day-Angriffe zu erkennen. Das System erstellt ein Grundprofil des normalen Verkehrs und erkennt Anomalien (z. B. nicht standardmäßige Paketsequenzen, ungewöhnliche Anfragegrößen, für ein bestimmtes Protokoll uncharakteristische Daten). Moderne IPS verwenden auch Reputationsanalyse und Threat Intelligence, um neue Angriffsmuster ohne Signaturen zu erkennen.
Kann ein IPS mit einem Antivirenprogramm zusammenarbeiten?
Ja, IPS und Antivirus ergänzen sich und schaffen einen abgestuften Schutz. Das Antivirenprogramm schützt auf der Ebene des Dateisystems und analysiert Dateien und Prozesse auf Endgeräten. Das IPS schützt auf Netzwerkebene und blockiert bösartigen Verkehr, bevor er das Gerät erreicht. Zusammen decken sie verschiedene Angriffsvektoren ab und bieten einen umfassenden Schutz.
Welche russischen IPS-Lösungen gibt es auf dem Markt?
Der russische Markt bietet IPS-Lösungen inländischer Anbieter: UserGate, PT Network Security (Positive Technologies), Kaspersky, Continent IPS (Kod Bezopasnosti). Die meisten von ihnen sind in das Register der inländischen Software aufgenommen und von FSTEC zertifiziert, was ihre Verwendung in staatlichen Systemen und an KII-Objekten ermöglicht.
Wo ist es besser, ein IPS einzusetzen — an der Netzwerkgrenze oder in Segmenten?
Es wird ein kombinierter Ansatz empfohlen: an der Netzwerkgrenze (vor dem Rechenzentrum) zum Schutz vor externen Angriffen und in Segmenten (zwischen Abteilungen, zwischen Serverzonen) zur Kontrolle des internen Verkehrs und zur Verhinderung der lateralen Bewegung von Angreifern. Dadurch entsteht ein abgestufter Schutz (Defense in Depth). Die korrekte Architektur wird im Rahmen der Dienstleistung Planung von Sicherheitssystemen entwickelt.
Wie beeinflusst ein IPS die Netzwerkleistung und Latenz?
Moderne IPS-Lösungen arbeiten im Inline-Modus (der gesamte Verkehr fließt durch sie) und können zusätzliche Verzögerungen von bis zu 1-2 ms erzeugen, was für Benutzer normalerweise nicht wahrnehmbar ist. Die Leistung hängt von der Leistungsfähigkeit der Geräte (Prozessor, Speicher) und dem Volumen des analysierten Verkehrs ab. Für Hochlastnetzwerke werden Hardware-IPS-Beschleuniger oder eine verteilte Architektur mit Lastverteilung empfohlen, was in der Phase der Planung diskutiert wird.
Wie hilft ein IPS bei der Untersuchung von Vorfällen?
Ein IPS speichert detaillierte Protokolle aller Ereignisse: blockierte Pakete, IP-Adressen von Angreifern, Angriffsarten, Zeitstempel sowie vollständige oder teilweise Verkehrsdumps (bei entsprechender Konfiguration). Diese Daten werden an SIEM übertragen und in Datenspeichersystemen (DSS) für forensische Analysen gespeichert. Bei der Untersuchung eines Vorfalls können Analysten die Chronologie des Angriffs rekonstruieren, Eindringvektoren identifizieren und verstehen, welche Systeme gefährdet waren.
Weitere Begriffe in «Informationssicherheit»
War diese Information hilfreich?
IPS (Intrusion Prevention System)
IPS (Intrusion Prevention System) ist ein System zur Verhinderung von Eindringungen, das den Netzwerkverkehr in Echtzeit analysiert und verdächtige Aktivitäten, Angriffe und Schadcode automatisch blockiert, bevor sie die geschützte Ressource erreichen.
Alle Kategorien
Planung und Entwicklung von Informationssystemen
Planung und Entwicklung automatisierter Informationssysteme.
Schulung
Installation, Inbetriebnahme und Wartung von Ingenieursystemen, Schulung in kryptografischen Werkzeugen.
Kontrolle und IT-Management
Einheitliches Schutzsystem in geografisch verteilten Rechenzentren.
Schützen Sie Ihr Netzwerk noch heute
Hinterlassen Sie eine Anfrage — unsere Spezialisten für Informationssicherheit helfen Ihnen, ips (intrusion prevention system) auszuwählen, zu konfigurieren und in Ihre Infrastruktur zu integrieren. Wir schützen Ihre Daten vor Bedrohungen.