Intrusion Detection / Prevention System (IDS / IPS)

Ein IDS ist wie eine Alarmanlage, die anschlägt, wenn sie ein bekanntes Einbruchsmuster erkennt. Ein IPS ist dieselbe Anlage, die zusätzlich die Tür verriegelt. Ihre Stärke ist die schnelle Reaktion auf Bekanntes — ihre Schwäche ist alles, wofür es noch kein Muster gibt.

IDS/IPS prüfen Netzwerkverkehr gegen Signaturen bekannter Angriffe. Beim IDS führt ein Treffer zu einer Meldung, beim IPS zusätzlich zum Blockieren. Weil sie auf bekannte Muster angewiesen sind, übersehen sie neuartige oder gezielte Angriffe, die keiner Signatur entsprechen.

IDS/IPS sind etablierte Bausteine der Netzwerksicherheit, besonders zur Abwehr bekannter Bedrohungen. Die Grenze ist die Signaturabhängigkeit: Was nicht in der Signaturdatenbank steht, wird nicht erkannt. Verhaltensbasierte Ansätze wie NDR ergänzen IDS/IPS, weil sie Auffälligkeiten auch ohne vorherige Signatur erkennen.