http://it-forensik.fiw.hs-wismar.de/api.php?action=feedcontributions&feedformat=atom&user=St180942 2026-10-31T13:40:57Z Benutzerbeiträge MediaWiki 1.43.11 http://it-forensik.fiw.hs-wismar.de/index.php?title=IPS_-_Intrusion_Prevention_System&diff=1663 2021-02-17T13:59:59Z

<p>St180942: /* Funktion */</p> <hr /> <div><br /> Ebenso wie [https://it-forensik.fiw.hs-wismar.de/index.php/IDS_-_Intrusion_Detection_System Intrusion-Detection-Systeme (IDS)] überwacht und analysiert ein Intrusion-Prevention-System (IPS) den Netzwerkverkehr. Das IDS liefert lediglich Informationen zu entdeckten Sicherheitsproblemen oder Angriffen. Darüber hinaus kann das IPS allerdings automatische Maßnahmen auf Grundlage von Regeln ergreifen und beispielsweise ein als schädlich eingestuftes Paket verwerfen und den zukünftigen Netzwerkverkehr dieser IP-Adresse oder einen Port sperren. Somit kann man Intrusion-Prevention-Systeme als erweiterte Intrusion-Detection-Systeme bezeichnen.<br /> <br /> <br /> == Funktion ==<br /> <br /> Das IPS befindet sich üblicherweise direkt hinter einer Firewall und überwacht aktiv das Netzwerk. <br /> Folgende Erkennungsmethoden werden hierbei eingesetzt:<br /> <br /> * Signaturbasierte Erkennung: Zuvor definierte Angriffssignaturen bekannter Netzwerkbedrohungen werden überprüft<br /> * Anomalienbasierte Erkennung: Auffälliges, von der Norm abweichendes Verhalten wird überprüft<br /> * Richtlinienbasierte Erkennung: Zuvor erstellte Sicherheitsrichtlinien werden überprüft<br /> <br /> Hinzu kommen heuristische Methoden, um bisher unentdeckte Angriffe aufzuspüren. Diese nutzen Verfahren der künstlichen Intelligenz und sind teilweise selbstlernend.<br /> <br /> Bei einer erkannten Bedrohung können automatisierte Maßnahmen ergriffen werden:<br /> <br /> * verdächtige Pakete verwerfen<br /> * Netzwerkverkehr von einer bestimmten Quelle oder zu einem bestimmten Ziel blockieren<br /> * Netzwerkverbindung unterbrechen oder zurücksetzen<br /> * Meldung an den Administrator<br /> * Firewalls neu konfigurieren<br /> * Nutzdaten neu packen<br /> * infizierte Anhänge entfernen<br /> * etc.<br /> <br /> == Arten ==<br /> <br /> === Host-based IPS (HIPS) ===<br /> Hierbei wird das IPS auf einem Host installiert, auf welchem alle empfangenen sowie gesendeten Daten analysiert werden. Zudem werden von dem System bereitgestellte Daten (z.B. [https://it-forensik.fiw.hs-wismar.de/index.php/Log-File Logs]) ebenfalls überprüft. Bei Feststellung eines Angriffs kann das HIPS in den Datenverkehr eingreifen oder auch einzelne Anwendungen blockieren.<br /> <br /> === Network-based IPS (NIPS) ===<br /> Als eigenständiges Gerät oder in eine Firewall integriert überwacht das NIPS direkt den Netzverkehr und kann somit alle am Netzwerk angeschlossen Systeme vor Netzwerkangriffen schützen. <br /> Das NIPS kann nochmals unterschieden werden in Content-based IPS (CBIPS), Protocol-Analysis IPS (PAIPS) und das Rate-based IPS (RBIPS).<br /> Je nach Leistungsfähigkeit analysiert es die übertragenen Daten auf <br /> Protokoll- oder Anwendungsebene. Zudem können diese Datenmengen auf Abweichungen zu üblichen Datenmengen zwischen bestimmten Quellen und Zielen überprüft werden.<br /> <br /> Darüber hinaus gibt es noch weitere Arten von Intrusion-Prevention-Systemen (Network-Behaviour-Analysis, Wireless-Intrusion-Prevention-System, etc.), wobei HIPS und NIPS die wohl wichtigsten darstellen.<br /> <br /> == Vorteile ==<br /> <br /> * Wahrscheinlichkeit von Sicherheitsvorfällen wird verringert<br /> * dynamischer Schutz vor Bedrohungen<br /> * Administratoren werden bei verdächtigen Aktivitäten automatisch benachrichtigt<br /> * Ausnutzen von [https://it-forensik.fiw.hs-wismar.de/index.php/Zero-Day-Exploit Zero-Day-Exploits], [https://it-forensik.fiw.hs-wismar.de/index.php/DoS_%26_DDoS DDoS-Attacken] oder [https://it-forensik.fiw.hs-wismar.de/index.php/Brute_Force Brute-Force-Angriffe] können abgeschwächt bzw. verringert werden<br /> * Weniger manuelle Eingriffe von Administratoren durch die Automatisierung notwendig<br /> * Spezifischer eingehender Netzwerkverkehr kann erlaubt/verboten werden<br /> <br /> == Nachteile ==<br /> <br /> * False-Positive: Unter Umständen kann ein IPS bestimmte Pakete blockieren, obwohl diese (nach Überprüfung) nicht schädlich sind &lt;br&gt;→ Dieses führt dann aber dazu, dass Anwender einen Dienst nicht wie benötigt nutzen können<br /> * Kann das Gesamtsystem bei ungenügender Netzwerkbandbreite sowie Netzwerkkapazität verlangsamen<br /> * Wenn mehrere IPS betrieben werden, müssen die Daten jedes einzelne durchlaufen, bis sie zum Endanwender gelangen → Verlangsamung<br /> * Unter Umständen sehr kostenintensiv<br /> <br /> == Quellen ==<br /> # [https://www.security-insider.de/was-ist-ein-intrusion-prevention-system-ips-a-612859/ Security-Insider]<br /> # [https://www.computerweekly.com/de/definition/Intrusion-Prevention ComputerWeekly]<br /> # [https://web.archive.org/web/20160706220335/https:/www.oeffentliche-it.de/trendsonar Kompetenzzentrum Öffentliche IT]<br /> # Hübscher, Heinrich/Petersen, Hans-Joachim/Rathgeber, Carsten/Richter, Klaus/Scharf, Dirk Dr., IT-Handbuch, 6. Aufl., 2009</div>

St180942 http://it-forensik.fiw.hs-wismar.de/index.php?title=IPS_-_Intrusion_Prevention_System&diff=1594 2021-02-05T12:38:22Z

<p>St180942: /* Host-based IPS (HIPS) */</p> <hr /> <div><br /> Ebenso wie [https://it-forensik.fiw.hs-wismar.de/index.php/IDS_-_Intrusion_Detection_System Intrusion-Detection-Systeme (IDS)] überwacht und analysiert ein Intrusion-Prevention-System (IPS) den Netzwerkverkehr. Das IDS liefert lediglich Informationen zu entdeckten Sicherheitsproblemen oder Angriffen. Darüber hinaus kann das IPS allerdings automatische Maßnahmen auf Grundlage von Regeln ergreifen und beispielsweise ein als schädlich eingestuftes Paket verwerfen und den zukünftigen Netzwerkverkehr dieser IP-Adresse oder einen Port sperren. Somit kann man Intrusion-Prevention-Systeme als erweiterte Intrusion-Detection-Systeme bezeichnen.<br /> <br /> <br /> == Funktion ==<br /> <br /> Das IPS befindet sich üblicherweise direkt hinter einer Firewall und überwacht aktiv das Netzwerk. <br /> Folgende Erkennungsmethoden werden hierbei eingesetzt:<br /> <br /> * Signaturbasierte Erkennung: Zuvor definierte Angriffssignaturen bekannter Netzwerkbedrohungen werden überprüft<br /> * Anomalienbasierte Erkennung: Auffälliges, von der Norm abweichendes Verhalten wird überprüft<br /> * Richtlinienbasierte Erkennung: Zuvor erstellte Sicherheitsrichtlinien werden überprüft<br /> <br /> Hinzu kommen heuristische Methoden, um bisher unentdeckte Angriffe aufzuspüren. Diese nutzen Verfahren der künstlichen Intelligenz und sind teilweise selbstlernend.<br /> <br /> Bei einer erkannter Bedrohung können automatisierte Maßnahmen ergriffen werden:<br /> <br /> * verdächtige Pakete verwerfen<br /> * Netzwerkverkehr von einer bestimmten Quelle oder zu einem bestimmten Ziel blockieren<br /> * Netzwerkverbindung unterbrechen oder zurücksetzen<br /> * Meldung an den Administrator<br /> * Firewalls neu konfigurieren<br /> * Nutzdaten neu packen<br /> * infizierte Anhänge entfernen<br /> * etc.<br /> <br /> == Arten ==<br /> <br /> === Host-based IPS (HIPS) ===<br /> Hierbei wird das IPS auf einem Host installiert, auf welchem alle empfangenen sowie gesendeten Daten analysiert werden. Zudem werden von dem System bereitgestellte Daten (z.B. [https://it-forensik.fiw.hs-wismar.de/index.php/Log-File Logs]) ebenfalls überprüft. Bei Feststellung eines Angriffs kann das HIPS in den Datenverkehr eingreifen oder auch einzelne Anwendungen blockieren.<br /> <br /> === Network-based IPS (NIPS) ===<br /> Als eigenständiges Gerät oder in eine Firewall integriert überwacht das NIPS direkt den Netzverkehr und kann somit alle am Netzwerk angeschlossen Systeme vor Netzwerkangriffen schützen. <br /> Das NIPS kann nochmals unterschieden werden in Content-based IPS (CBIPS), Protocol-Analysis IPS (PAIPS) und das Rate-based IPS (RBIPS).<br /> Je nach Leistungsfähigkeit analysiert es die übertragenen Daten auf <br /> Protokoll- oder Anwendungsebene. Zudem können diese Datenmengen auf Abweichungen zu üblichen Datenmengen zwischen bestimmten Quellen und Zielen überprüft werden.<br /> <br /> Darüber hinaus gibt es noch weitere Arten von Intrusion-Prevention-Systemen (Network-Behaviour-Analysis, Wireless-Intrusion-Prevention-System, etc.), wobei HIPS und NIPS die wohl wichtigsten darstellen.<br /> <br /> == Vorteile ==<br /> <br /> * Wahrscheinlichkeit von Sicherheitsvorfällen wird verringert<br /> * dynamischer Schutz vor Bedrohungen<br /> * Administratoren werden bei verdächtigen Aktivitäten automatisch benachrichtigt<br /> * Ausnutzen von [https://it-forensik.fiw.hs-wismar.de/index.php/Zero-Day-Exploit Zero-Day-Exploits], [https://it-forensik.fiw.hs-wismar.de/index.php/DoS_%26_DDoS DDoS-Attacken] oder [https://it-forensik.fiw.hs-wismar.de/index.php/Brute_Force Brute-Force-Angriffe] können abgeschwächt bzw. verringert werden<br /> * Weniger manuelle Eingriffe von Administratoren durch die Automatisierung notwendig<br /> * Spezifischer eingehender Netzwerkverkehr kann erlaubt/verboten werden<br /> <br /> == Nachteile ==<br /> <br /> * False-Positive: Unter Umständen kann ein IPS bestimmte Pakete blockieren, obwohl diese (nach Überprüfung) nicht schädlich sind &lt;br&gt;→ Dieses führt dann aber dazu, dass Anwender einen Dienst nicht wie benötigt nutzen können<br /> * Kann das Gesamtsystem bei ungenügender Netzwerkbandbreite sowie Netzwerkkapazität verlangsamen<br /> * Wenn mehrere IPS betrieben werden, müssen die Daten jedes einzelne durchlaufen, bis sie zum Endanwender gelangen → Verlangsamung<br /> * Unter Umständen sehr kostenintensiv<br /> <br /> == Quellen ==<br /> # [https://www.security-insider.de/was-ist-ein-intrusion-prevention-system-ips-a-612859/ Security-Insider]<br /> # [https://www.computerweekly.com/de/definition/Intrusion-Prevention ComputerWeekly]<br /> # [https://web.archive.org/web/20160706220335/https:/www.oeffentliche-it.de/trendsonar Kompetenzzentrum Öffentliche IT]<br /> # Hübscher, Heinrich/Petersen, Hans-Joachim/Rathgeber, Carsten/Richter, Klaus/Scharf, Dirk Dr., IT-Handbuch, 6. Aufl., 2009</div>

St180942 http://it-forensik.fiw.hs-wismar.de/index.php?title=IPS_-_Intrusion_Prevention_System&diff=1593 2021-02-05T12:36:48Z

<p>St180942: /* Vorteile */</p> <hr /> <div><br /> Ebenso wie [https://it-forensik.fiw.hs-wismar.de/index.php/IDS_-_Intrusion_Detection_System Intrusion-Detection-Systeme (IDS)] überwacht und analysiert ein Intrusion-Prevention-System (IPS) den Netzwerkverkehr. Das IDS liefert lediglich Informationen zu entdeckten Sicherheitsproblemen oder Angriffen. Darüber hinaus kann das IPS allerdings automatische Maßnahmen auf Grundlage von Regeln ergreifen und beispielsweise ein als schädlich eingestuftes Paket verwerfen und den zukünftigen Netzwerkverkehr dieser IP-Adresse oder einen Port sperren. Somit kann man Intrusion-Prevention-Systeme als erweiterte Intrusion-Detection-Systeme bezeichnen.<br /> <br /> <br /> == Funktion ==<br /> <br /> Das IPS befindet sich üblicherweise direkt hinter einer Firewall und überwacht aktiv das Netzwerk. <br /> Folgende Erkennungsmethoden werden hierbei eingesetzt:<br /> <br /> * Signaturbasierte Erkennung: Zuvor definierte Angriffssignaturen bekannter Netzwerkbedrohungen werden überprüft<br /> * Anomalienbasierte Erkennung: Auffälliges, von der Norm abweichendes Verhalten wird überprüft<br /> * Richtlinienbasierte Erkennung: Zuvor erstellte Sicherheitsrichtlinien werden überprüft<br /> <br /> Hinzu kommen heuristische Methoden, um bisher unentdeckte Angriffe aufzuspüren. Diese nutzen Verfahren der künstlichen Intelligenz und sind teilweise selbstlernend.<br /> <br /> Bei einer erkannter Bedrohung können automatisierte Maßnahmen ergriffen werden:<br /> <br /> * verdächtige Pakete verwerfen<br /> * Netzwerkverkehr von einer bestimmten Quelle oder zu einem bestimmten Ziel blockieren<br /> * Netzwerkverbindung unterbrechen oder zurücksetzen<br /> * Meldung an den Administrator<br /> * Firewalls neu konfigurieren<br /> * Nutzdaten neu packen<br /> * infizierte Anhänge entfernen<br /> * etc.<br /> <br /> == Arten ==<br /> <br /> === Host-based IPS (HIPS) ===<br /> Hierbei wird das IPS auf einem Host installiert, auf welchem alle empfangenen sowie gesendeten Daten analysiert werden. Zudem werden von dem System bereitgestellte Daten (z.B. Logs) ebenfalls überprüft. Bei Feststellung eines Angriffs kann das HIPS in den Datenverkehr eingreifen oder auch einzelne Anwendungen blockieren.<br /> <br /> === Network-based IPS (NIPS) ===<br /> Als eigenständiges Gerät oder in eine Firewall integriert überwacht das NIPS direkt den Netzverkehr und kann somit alle am Netzwerk angeschlossen Systeme vor Netzwerkangriffen schützen. <br /> Das NIPS kann nochmals unterschieden werden in Content-based IPS (CBIPS), Protocol-Analysis IPS (PAIPS) und das Rate-based IPS (RBIPS).<br /> Je nach Leistungsfähigkeit analysiert es die übertragenen Daten auf <br /> Protokoll- oder Anwendungsebene. Zudem können diese Datenmengen auf Abweichungen zu üblichen Datenmengen zwischen bestimmten Quellen und Zielen überprüft werden.<br /> <br /> Darüber hinaus gibt es noch weitere Arten von Intrusion-Prevention-Systemen (Network-Behaviour-Analysis, Wireless-Intrusion-Prevention-System, etc.), wobei HIPS und NIPS die wohl wichtigsten darstellen.<br /> <br /> == Vorteile ==<br /> <br /> * Wahrscheinlichkeit von Sicherheitsvorfällen wird verringert<br /> * dynamischer Schutz vor Bedrohungen<br /> * Administratoren werden bei verdächtigen Aktivitäten automatisch benachrichtigt<br /> * Ausnutzen von [https://it-forensik.fiw.hs-wismar.de/index.php/Zero-Day-Exploit Zero-Day-Exploits], [https://it-forensik.fiw.hs-wismar.de/index.php/DoS_%26_DDoS DDoS-Attacken] oder [https://it-forensik.fiw.hs-wismar.de/index.php/Brute_Force Brute-Force-Angriffe] können abgeschwächt bzw. verringert werden<br /> * Weniger manuelle Eingriffe von Administratoren durch die Automatisierung notwendig<br /> * Spezifischer eingehender Netzwerkverkehr kann erlaubt/verboten werden<br /> <br /> == Nachteile ==<br /> <br /> * False-Positive: Unter Umständen kann ein IPS bestimmte Pakete blockieren, obwohl diese (nach Überprüfung) nicht schädlich sind &lt;br&gt;→ Dieses führt dann aber dazu, dass Anwender einen Dienst nicht wie benötigt nutzen können<br /> * Kann das Gesamtsystem bei ungenügender Netzwerkbandbreite sowie Netzwerkkapazität verlangsamen<br /> * Wenn mehrere IPS betrieben werden, müssen die Daten jedes einzelne durchlaufen, bis sie zum Endanwender gelangen → Verlangsamung<br /> * Unter Umständen sehr kostenintensiv<br /> <br /> == Quellen ==<br /> # [https://www.security-insider.de/was-ist-ein-intrusion-prevention-system-ips-a-612859/ Security-Insider]<br /> # [https://www.computerweekly.com/de/definition/Intrusion-Prevention ComputerWeekly]<br /> # [https://web.archive.org/web/20160706220335/https:/www.oeffentliche-it.de/trendsonar Kompetenzzentrum Öffentliche IT]<br /> # Hübscher, Heinrich/Petersen, Hans-Joachim/Rathgeber, Carsten/Richter, Klaus/Scharf, Dirk Dr., IT-Handbuch, 6. Aufl., 2009</div>

St180942 http://it-forensik.fiw.hs-wismar.de/index.php?title=IPS_-_Intrusion_Prevention_System&diff=1592 2021-02-05T12:34:27Z

<p>St180942: </p> <hr /> <div><br /> Ebenso wie [https://it-forensik.fiw.hs-wismar.de/index.php/IDS_-_Intrusion_Detection_System Intrusion-Detection-Systeme (IDS)] überwacht und analysiert ein Intrusion-Prevention-System (IPS) den Netzwerkverkehr. Das IDS liefert lediglich Informationen zu entdeckten Sicherheitsproblemen oder Angriffen. Darüber hinaus kann das IPS allerdings automatische Maßnahmen auf Grundlage von Regeln ergreifen und beispielsweise ein als schädlich eingestuftes Paket verwerfen und den zukünftigen Netzwerkverkehr dieser IP-Adresse oder einen Port sperren. Somit kann man Intrusion-Prevention-Systeme als erweiterte Intrusion-Detection-Systeme bezeichnen.<br /> <br /> <br /> == Funktion ==<br /> <br /> Das IPS befindet sich üblicherweise direkt hinter einer Firewall und überwacht aktiv das Netzwerk. <br /> Folgende Erkennungsmethoden werden hierbei eingesetzt:<br /> <br /> * Signaturbasierte Erkennung: Zuvor definierte Angriffssignaturen bekannter Netzwerkbedrohungen werden überprüft<br /> * Anomalienbasierte Erkennung: Auffälliges, von der Norm abweichendes Verhalten wird überprüft<br /> * Richtlinienbasierte Erkennung: Zuvor erstellte Sicherheitsrichtlinien werden überprüft<br /> <br /> Hinzu kommen heuristische Methoden, um bisher unentdeckte Angriffe aufzuspüren. Diese nutzen Verfahren der künstlichen Intelligenz und sind teilweise selbstlernend.<br /> <br /> Bei einer erkannter Bedrohung können automatisierte Maßnahmen ergriffen werden:<br /> <br /> * verdächtige Pakete verwerfen<br /> * Netzwerkverkehr von einer bestimmten Quelle oder zu einem bestimmten Ziel blockieren<br /> * Netzwerkverbindung unterbrechen oder zurücksetzen<br /> * Meldung an den Administrator<br /> * Firewalls neu konfigurieren<br /> * Nutzdaten neu packen<br /> * infizierte Anhänge entfernen<br /> * etc.<br /> <br /> == Arten ==<br /> <br /> === Host-based IPS (HIPS) ===<br /> Hierbei wird das IPS auf einem Host installiert, auf welchem alle empfangenen sowie gesendeten Daten analysiert werden. Zudem werden von dem System bereitgestellte Daten (z.B. Logs) ebenfalls überprüft. Bei Feststellung eines Angriffs kann das HIPS in den Datenverkehr eingreifen oder auch einzelne Anwendungen blockieren.<br /> <br /> === Network-based IPS (NIPS) ===<br /> Als eigenständiges Gerät oder in eine Firewall integriert überwacht das NIPS direkt den Netzverkehr und kann somit alle am Netzwerk angeschlossen Systeme vor Netzwerkangriffen schützen. <br /> Das NIPS kann nochmals unterschieden werden in Content-based IPS (CBIPS), Protocol-Analysis IPS (PAIPS) und das Rate-based IPS (RBIPS).<br /> Je nach Leistungsfähigkeit analysiert es die übertragenen Daten auf <br /> Protokoll- oder Anwendungsebene. Zudem können diese Datenmengen auf Abweichungen zu üblichen Datenmengen zwischen bestimmten Quellen und Zielen überprüft werden.<br /> <br /> Darüber hinaus gibt es noch weitere Arten von Intrusion-Prevention-Systemen (Network-Behaviour-Analysis, Wireless-Intrusion-Prevention-System, etc.), wobei HIPS und NIPS die wohl wichtigsten darstellen.<br /> <br /> == Vorteile ==<br /> <br /> * Wahrscheinlichkeit von Sicherheitsvorfällen wird verringert<br /> * dynamischer Schutz vor Bedrohungen<br /> * Administratoren werden bei verdächtigen Aktivitäten automatisch benachrichtigt<br /> * Ausnutzen von Zero-Day-Exploits, DDoS-Attacken oder Brute-Force-Angriffe können abgeschwächt bzw. verringert werden<br /> * Weniger manuelle Eingriffe von Administratoren durch die Automatisierung notwendig<br /> * Spezifischer eingehender Netzwerkverkehr kann erlaubt/verboten werden<br /> <br /> == Nachteile ==<br /> <br /> * False-Positive: Unter Umständen kann ein IPS bestimmte Pakete blockieren, obwohl diese (nach Überprüfung) nicht schädlich sind &lt;br&gt;→ Dieses führt dann aber dazu, dass Anwender einen Dienst nicht wie benötigt nutzen können<br /> * Kann das Gesamtsystem bei ungenügender Netzwerkbandbreite sowie Netzwerkkapazität verlangsamen<br /> * Wenn mehrere IPS betrieben werden, müssen die Daten jedes einzelne durchlaufen, bis sie zum Endanwender gelangen → Verlangsamung<br /> * Unter Umständen sehr kostenintensiv<br /> <br /> == Quellen ==<br /> # [https://www.security-insider.de/was-ist-ein-intrusion-prevention-system-ips-a-612859/ Security-Insider]<br /> # [https://www.computerweekly.com/de/definition/Intrusion-Prevention ComputerWeekly]<br /> # [https://web.archive.org/web/20160706220335/https:/www.oeffentliche-it.de/trendsonar Kompetenzzentrum Öffentliche IT]<br /> # Hübscher, Heinrich/Petersen, Hans-Joachim/Rathgeber, Carsten/Richter, Klaus/Scharf, Dirk Dr., IT-Handbuch, 6. Aufl., 2009</div>

St180942 http://it-forensik.fiw.hs-wismar.de/index.php?title=IPS_-_Intrusion_Prevention_System&diff=1584 2021-02-05T10:28:13Z

<p>St180942: /* Quellen */</p> <hr /> <div><br /> Ebenso wie Intrusion-Detection-Systeme (IDS) überwacht und analysiert ein Intrusion-Prevention-System (IPS) den Netzwerkverkehr. Das IDS liefert lediglich Informationen zu entdeckten Sicherheitsproblemen oder Angriffen. Darüber hinaus kann das IPS allerdings automatische Maßnahmen auf Grundlage von Regeln ergreifen und beispielsweise ein als schädlich eingestuftes Paket verwerfen und den zukünftigen Netzwerkverkehr dieser IP-Adresse oder einen Port sperren. Somit kann man Intrusion-Prevention-Systeme als erweiterte Intrusion-Detection-Systeme bezeichnen.<br /> <br /> <br /> == Funktion ==<br /> <br /> Das IPS befindet sich üblicherweise direkt hinter einer Firewall und überwacht aktiv das Netzwerk. <br /> Folgende Erkennungsmethoden werden hierbei eingesetzt:<br /> <br /> * Signaturbasierte Erkennung: Zuvor definierte Angriffssignaturen bekannter Netzwerkbedrohungen werden überprüft<br /> * Anomalienbasierte Erkennung: Auffälliges, von der Norm abweichendes Verhalten wird überprüft<br /> * Richtlinienbasierte Erkennung: Zuvor erstellte Sicherheitsrichtlinien werden überprüft<br /> <br /> Hinzu kommen heuristische Methoden, um bisher unentdeckte Angriffe aufzuspüren. Diese nutzen Verfahren der künstlichen Intelligenz und sind teilweise selbstlernend.<br /> <br /> Bei einer erkannter Bedrohung können automatisierte Maßnahmen ergriffen werden:<br /> <br /> * verdächtige Pakete verwerfen<br /> * Netzwerkverkehr von einer bestimmten Quelle oder zu einem bestimmten Ziel blockieren<br /> * Netzwerkverbindung unterbrechen oder zurücksetzen<br /> * Meldung an den Administrator<br /> * Firewalls neu konfigurieren<br /> * Nutzdaten neu packen<br /> * infizierte Anhänge entfernen<br /> * etc.<br /> <br /> == Arten ==<br /> <br /> === Host-based IPS (HIPS) ===<br /> Hierbei wird das IPS auf einem Host installiert, auf welchem alle empfangenen sowie gesendeten Daten analysiert werden. Zudem werden von dem System bereitgestellte Daten (z.B. Logs) ebenfalls überprüft. Bei Feststellung eines Angriffs kann das HIPS in den Datenverkehr eingreifen oder auch einzelne Anwendungen blockieren.<br /> <br /> === Network-based IPS (NIPS) ===<br /> Als eigenständiges Gerät oder in eine Firewall integriert überwacht das NIPS direkt den Netzverkehr und kann somit alle am Netzwerk angeschlossen Systeme vor Netzwerkangriffen schützen. <br /> Das NIPS kann nochmals unterschieden werden in Content-based IPS (CBIPS), Protocol-Analysis IPS (PAIPS) und das Rate-based IPS (RBIPS).<br /> Je nach Leistungsfähigkeit analysiert es die übertragenen Daten auf <br /> Protokoll- oder Anwendungsebene. Zudem können diese Datenmengen auf Abweichungen zu üblichen Datenmengen zwischen bestimmten Quellen und Zielen überprüft werden.<br /> <br /> Darüber hinaus gibt es noch weitere Arten von Intrusion-Prevention-Systemen (Network-Behaviour-Analysis, Wireless-Intrusion-Prevention-System, etc.), wobei HIPS und NIPS die wohl wichtigsten darstellen.<br /> <br /> == Vorteile ==<br /> <br /> * Wahrscheinlichkeit von Sicherheitsvorfällen wird verringert<br /> * dynamischer Schutz vor Bedrohungen<br /> * Administratoren werden bei verdächtigen Aktivitäten automatisch benachrichtigt<br /> * Ausnutzen von Zero-Day-Exploits, DDoS-Attacken oder Brute-Force-Angriffe können abgeschwächt bzw. verringert werden<br /> * Weniger manuelle Eingriffe von Administratoren durch die Automatisierung notwendig<br /> * Spezifischer eingehender Netzwerkverkehr kann erlaubt/verboten werden<br /> <br /> == Nachteile ==<br /> <br /> * False-Positive: Unter Umständen kann ein IPS bestimmte Pakete blockieren, obwohl diese (nach Überprüfung) nicht schädlich sind &lt;br&gt;→ Dieses führt dann aber dazu, dass Anwender einen Dienst nicht wie benötigt nutzen können<br /> * Kann das Gesamtsystem bei ungenügender Netzwerkbandbreite sowie Netzwerkkapazität verlangsamen<br /> * Wenn mehrere IPS betrieben werden, müssen die Daten jedes einzelne durchlaufen, bis sie zum Endanwender gelangen → Verlangsamung<br /> * Unter Umständen sehr kostenintensiv<br /> <br /> == Quellen ==<br /> # [https://www.security-insider.de/was-ist-ein-intrusion-prevention-system-ips-a-612859/ Security-Insider]<br /> # [https://www.computerweekly.com/de/definition/Intrusion-Prevention ComputerWeekly]<br /> # [https://web.archive.org/web/20160706220335/https:/www.oeffentliche-it.de/trendsonar Kompetenzzentrum Öffentliche IT]<br /> # Hübscher, Heinrich/Petersen, Hans-Joachim/Rathgeber, Carsten/Richter, Klaus/Scharf, Dirk Dr., IT-Handbuch, 6. Aufl., 2009</div>

St180942 http://it-forensik.fiw.hs-wismar.de/index.php?title=IPS_-_Intrusion_Prevention_System&diff=1583 2021-02-05T10:27:36Z

<p>St180942: /* Quellen */</p> <hr /> <div><br /> Ebenso wie Intrusion-Detection-Systeme (IDS) überwacht und analysiert ein Intrusion-Prevention-System (IPS) den Netzwerkverkehr. Das IDS liefert lediglich Informationen zu entdeckten Sicherheitsproblemen oder Angriffen. Darüber hinaus kann das IPS allerdings automatische Maßnahmen auf Grundlage von Regeln ergreifen und beispielsweise ein als schädlich eingestuftes Paket verwerfen und den zukünftigen Netzwerkverkehr dieser IP-Adresse oder einen Port sperren. Somit kann man Intrusion-Prevention-Systeme als erweiterte Intrusion-Detection-Systeme bezeichnen.<br /> <br /> <br /> == Funktion ==<br /> <br /> Das IPS befindet sich üblicherweise direkt hinter einer Firewall und überwacht aktiv das Netzwerk. <br /> Folgende Erkennungsmethoden werden hierbei eingesetzt:<br /> <br /> * Signaturbasierte Erkennung: Zuvor definierte Angriffssignaturen bekannter Netzwerkbedrohungen werden überprüft<br /> * Anomalienbasierte Erkennung: Auffälliges, von der Norm abweichendes Verhalten wird überprüft<br /> * Richtlinienbasierte Erkennung: Zuvor erstellte Sicherheitsrichtlinien werden überprüft<br /> <br /> Hinzu kommen heuristische Methoden, um bisher unentdeckte Angriffe aufzuspüren. Diese nutzen Verfahren der künstlichen Intelligenz und sind teilweise selbstlernend.<br /> <br /> Bei einer erkannter Bedrohung können automatisierte Maßnahmen ergriffen werden:<br /> <br /> * verdächtige Pakete verwerfen<br /> * Netzwerkverkehr von einer bestimmten Quelle oder zu einem bestimmten Ziel blockieren<br /> * Netzwerkverbindung unterbrechen oder zurücksetzen<br /> * Meldung an den Administrator<br /> * Firewalls neu konfigurieren<br /> * Nutzdaten neu packen<br /> * infizierte Anhänge entfernen<br /> * etc.<br /> <br /> == Arten ==<br /> <br /> === Host-based IPS (HIPS) ===<br /> Hierbei wird das IPS auf einem Host installiert, auf welchem alle empfangenen sowie gesendeten Daten analysiert werden. Zudem werden von dem System bereitgestellte Daten (z.B. Logs) ebenfalls überprüft. Bei Feststellung eines Angriffs kann das HIPS in den Datenverkehr eingreifen oder auch einzelne Anwendungen blockieren.<br /> <br /> === Network-based IPS (NIPS) ===<br /> Als eigenständiges Gerät oder in eine Firewall integriert überwacht das NIPS direkt den Netzverkehr und kann somit alle am Netzwerk angeschlossen Systeme vor Netzwerkangriffen schützen. <br /> Das NIPS kann nochmals unterschieden werden in Content-based IPS (CBIPS), Protocol-Analysis IPS (PAIPS) und das Rate-based IPS (RBIPS).<br /> Je nach Leistungsfähigkeit analysiert es die übertragenen Daten auf <br /> Protokoll- oder Anwendungsebene. Zudem können diese Datenmengen auf Abweichungen zu üblichen Datenmengen zwischen bestimmten Quellen und Zielen überprüft werden.<br /> <br /> Darüber hinaus gibt es noch weitere Arten von Intrusion-Prevention-Systemen (Network-Behaviour-Analysis, Wireless-Intrusion-Prevention-System, etc.), wobei HIPS und NIPS die wohl wichtigsten darstellen.<br /> <br /> == Vorteile ==<br /> <br /> * Wahrscheinlichkeit von Sicherheitsvorfällen wird verringert<br /> * dynamischer Schutz vor Bedrohungen<br /> * Administratoren werden bei verdächtigen Aktivitäten automatisch benachrichtigt<br /> * Ausnutzen von Zero-Day-Exploits, DDoS-Attacken oder Brute-Force-Angriffe können abgeschwächt bzw. verringert werden<br /> * Weniger manuelle Eingriffe von Administratoren durch die Automatisierung notwendig<br /> * Spezifischer eingehender Netzwerkverkehr kann erlaubt/verboten werden<br /> <br /> == Nachteile ==<br /> <br /> * False-Positive: Unter Umständen kann ein IPS bestimmte Pakete blockieren, obwohl diese (nach Überprüfung) nicht schädlich sind &lt;br&gt;→ Dieses führt dann aber dazu, dass Anwender einen Dienst nicht wie benötigt nutzen können<br /> * Kann das Gesamtsystem bei ungenügender Netzwerkbandbreite sowie Netzwerkkapazität verlangsamen<br /> * Wenn mehrere IPS betrieben werden, müssen die Daten jedes einzelne durchlaufen, bis sie zum Endanwender gelangen → Verlangsamung<br /> * Unter Umständen sehr kostenintensiv<br /> <br /> == Quellen ==<br /> # [https://www.security-insider.de/was-ist-ein-intrusion-prevention-system-ips-a-612859/ Security-Insider]<br /> # [https://www.computerweekly.com/de/definition/Intrusion-Prevention ComputerWeekly]<br /> # [https://web.archive.org/web/20160706220335/https:/www.oeffentliche-it.de/trendsonar Kompetenzzentrum Öffentliche IT]<br /> # Hübscher, Heinrich/Petersen, Hans-Joachim/Rathgeber, Carsten/Richter, Klaus/Scharf, Dirk Dr., IT-Handbuch, 6. Aufl., 2009, S. 304</div>

St180942 http://it-forensik.fiw.hs-wismar.de/index.php?title=IPS_-_Intrusion_Prevention_System&diff=1582 2021-02-05T10:27:03Z

<p>St180942: /* Quellen */</p> <hr /> <div><br /> Ebenso wie Intrusion-Detection-Systeme (IDS) überwacht und analysiert ein Intrusion-Prevention-System (IPS) den Netzwerkverkehr. Das IDS liefert lediglich Informationen zu entdeckten Sicherheitsproblemen oder Angriffen. Darüber hinaus kann das IPS allerdings automatische Maßnahmen auf Grundlage von Regeln ergreifen und beispielsweise ein als schädlich eingestuftes Paket verwerfen und den zukünftigen Netzwerkverkehr dieser IP-Adresse oder einen Port sperren. Somit kann man Intrusion-Prevention-Systeme als erweiterte Intrusion-Detection-Systeme bezeichnen.<br /> <br /> <br /> == Funktion ==<br /> <br /> Das IPS befindet sich üblicherweise direkt hinter einer Firewall und überwacht aktiv das Netzwerk. <br /> Folgende Erkennungsmethoden werden hierbei eingesetzt:<br /> <br /> * Signaturbasierte Erkennung: Zuvor definierte Angriffssignaturen bekannter Netzwerkbedrohungen werden überprüft<br /> * Anomalienbasierte Erkennung: Auffälliges, von der Norm abweichendes Verhalten wird überprüft<br /> * Richtlinienbasierte Erkennung: Zuvor erstellte Sicherheitsrichtlinien werden überprüft<br /> <br /> Hinzu kommen heuristische Methoden, um bisher unentdeckte Angriffe aufzuspüren. Diese nutzen Verfahren der künstlichen Intelligenz und sind teilweise selbstlernend.<br /> <br /> Bei einer erkannter Bedrohung können automatisierte Maßnahmen ergriffen werden:<br /> <br /> * verdächtige Pakete verwerfen<br /> * Netzwerkverkehr von einer bestimmten Quelle oder zu einem bestimmten Ziel blockieren<br /> * Netzwerkverbindung unterbrechen oder zurücksetzen<br /> * Meldung an den Administrator<br /> * Firewalls neu konfigurieren<br /> * Nutzdaten neu packen<br /> * infizierte Anhänge entfernen<br /> * etc.<br /> <br /> == Arten ==<br /> <br /> === Host-based IPS (HIPS) ===<br /> Hierbei wird das IPS auf einem Host installiert, auf welchem alle empfangenen sowie gesendeten Daten analysiert werden. Zudem werden von dem System bereitgestellte Daten (z.B. Logs) ebenfalls überprüft. Bei Feststellung eines Angriffs kann das HIPS in den Datenverkehr eingreifen oder auch einzelne Anwendungen blockieren.<br /> <br /> === Network-based IPS (NIPS) ===<br /> Als eigenständiges Gerät oder in eine Firewall integriert überwacht das NIPS direkt den Netzverkehr und kann somit alle am Netzwerk angeschlossen Systeme vor Netzwerkangriffen schützen. <br /> Das NIPS kann nochmals unterschieden werden in Content-based IPS (CBIPS), Protocol-Analysis IPS (PAIPS) und das Rate-based IPS (RBIPS).<br /> Je nach Leistungsfähigkeit analysiert es die übertragenen Daten auf <br /> Protokoll- oder Anwendungsebene. Zudem können diese Datenmengen auf Abweichungen zu üblichen Datenmengen zwischen bestimmten Quellen und Zielen überprüft werden.<br /> <br /> Darüber hinaus gibt es noch weitere Arten von Intrusion-Prevention-Systemen (Network-Behaviour-Analysis, Wireless-Intrusion-Prevention-System, etc.), wobei HIPS und NIPS die wohl wichtigsten darstellen.<br /> <br /> == Vorteile ==<br /> <br /> * Wahrscheinlichkeit von Sicherheitsvorfällen wird verringert<br /> * dynamischer Schutz vor Bedrohungen<br /> * Administratoren werden bei verdächtigen Aktivitäten automatisch benachrichtigt<br /> * Ausnutzen von Zero-Day-Exploits, DDoS-Attacken oder Brute-Force-Angriffe können abgeschwächt bzw. verringert werden<br /> * Weniger manuelle Eingriffe von Administratoren durch die Automatisierung notwendig<br /> * Spezifischer eingehender Netzwerkverkehr kann erlaubt/verboten werden<br /> <br /> == Nachteile ==<br /> <br /> * False-Positive: Unter Umständen kann ein IPS bestimmte Pakete blockieren, obwohl diese (nach Überprüfung) nicht schädlich sind &lt;br&gt;→ Dieses führt dann aber dazu, dass Anwender einen Dienst nicht wie benötigt nutzen können<br /> * Kann das Gesamtsystem bei ungenügender Netzwerkbandbreite sowie Netzwerkkapazität verlangsamen<br /> * Wenn mehrere IPS betrieben werden, müssen die Daten jedes einzelne durchlaufen, bis sie zum Endanwender gelangen → Verlangsamung<br /> * Unter Umständen sehr kostenintensiv<br /> <br /> == Quellen ==<br /> # [https://www.security-insider.de/was-ist-ein-intrusion-prevention-system-ips-a-612859/ Security-Insider]<br /> # [https://www.computerweekly.com/de/definition/Intrusion-Prevention ComputerWeekly]<br /> # [https://web.archive.org/web/20160706220335/https:/www.oeffentliche-it.de/trendsonar Kompetenzzentrum Öffentliche IT]</div>

St180942 http://it-forensik.fiw.hs-wismar.de/index.php?title=IPS_-_Intrusion_Prevention_System&diff=1581 2021-02-05T10:25:05Z

<p>St180942: /* Quellen */</p> <hr /> <div><br /> Ebenso wie Intrusion-Detection-Systeme (IDS) überwacht und analysiert ein Intrusion-Prevention-System (IPS) den Netzwerkverkehr. Das IDS liefert lediglich Informationen zu entdeckten Sicherheitsproblemen oder Angriffen. Darüber hinaus kann das IPS allerdings automatische Maßnahmen auf Grundlage von Regeln ergreifen und beispielsweise ein als schädlich eingestuftes Paket verwerfen und den zukünftigen Netzwerkverkehr dieser IP-Adresse oder einen Port sperren. Somit kann man Intrusion-Prevention-Systeme als erweiterte Intrusion-Detection-Systeme bezeichnen.<br /> <br /> <br /> == Funktion ==<br /> <br /> Das IPS befindet sich üblicherweise direkt hinter einer Firewall und überwacht aktiv das Netzwerk. <br /> Folgende Erkennungsmethoden werden hierbei eingesetzt:<br /> <br /> * Signaturbasierte Erkennung: Zuvor definierte Angriffssignaturen bekannter Netzwerkbedrohungen werden überprüft<br /> * Anomalienbasierte Erkennung: Auffälliges, von der Norm abweichendes Verhalten wird überprüft<br /> * Richtlinienbasierte Erkennung: Zuvor erstellte Sicherheitsrichtlinien werden überprüft<br /> <br /> Hinzu kommen heuristische Methoden, um bisher unentdeckte Angriffe aufzuspüren. Diese nutzen Verfahren der künstlichen Intelligenz und sind teilweise selbstlernend.<br /> <br /> Bei einer erkannter Bedrohung können automatisierte Maßnahmen ergriffen werden:<br /> <br /> * verdächtige Pakete verwerfen<br /> * Netzwerkverkehr von einer bestimmten Quelle oder zu einem bestimmten Ziel blockieren<br /> * Netzwerkverbindung unterbrechen oder zurücksetzen<br /> * Meldung an den Administrator<br /> * Firewalls neu konfigurieren<br /> * Nutzdaten neu packen<br /> * infizierte Anhänge entfernen<br /> * etc.<br /> <br /> == Arten ==<br /> <br /> === Host-based IPS (HIPS) ===<br /> Hierbei wird das IPS auf einem Host installiert, auf welchem alle empfangenen sowie gesendeten Daten analysiert werden. Zudem werden von dem System bereitgestellte Daten (z.B. Logs) ebenfalls überprüft. Bei Feststellung eines Angriffs kann das HIPS in den Datenverkehr eingreifen oder auch einzelne Anwendungen blockieren.<br /> <br /> === Network-based IPS (NIPS) ===<br /> Als eigenständiges Gerät oder in eine Firewall integriert überwacht das NIPS direkt den Netzverkehr und kann somit alle am Netzwerk angeschlossen Systeme vor Netzwerkangriffen schützen. <br /> Das NIPS kann nochmals unterschieden werden in Content-based IPS (CBIPS), Protocol-Analysis IPS (PAIPS) und das Rate-based IPS (RBIPS).<br /> Je nach Leistungsfähigkeit analysiert es die übertragenen Daten auf <br /> Protokoll- oder Anwendungsebene. Zudem können diese Datenmengen auf Abweichungen zu üblichen Datenmengen zwischen bestimmten Quellen und Zielen überprüft werden.<br /> <br /> Darüber hinaus gibt es noch weitere Arten von Intrusion-Prevention-Systemen (Network-Behaviour-Analysis, Wireless-Intrusion-Prevention-System, etc.), wobei HIPS und NIPS die wohl wichtigsten darstellen.<br /> <br /> == Vorteile ==<br /> <br /> * Wahrscheinlichkeit von Sicherheitsvorfällen wird verringert<br /> * dynamischer Schutz vor Bedrohungen<br /> * Administratoren werden bei verdächtigen Aktivitäten automatisch benachrichtigt<br /> * Ausnutzen von Zero-Day-Exploits, DDoS-Attacken oder Brute-Force-Angriffe können abgeschwächt bzw. verringert werden<br /> * Weniger manuelle Eingriffe von Administratoren durch die Automatisierung notwendig<br /> * Spezifischer eingehender Netzwerkverkehr kann erlaubt/verboten werden<br /> <br /> == Nachteile ==<br /> <br /> * False-Positive: Unter Umständen kann ein IPS bestimmte Pakete blockieren, obwohl diese (nach Überprüfung) nicht schädlich sind &lt;br&gt;→ Dieses führt dann aber dazu, dass Anwender einen Dienst nicht wie benötigt nutzen können<br /> * Kann das Gesamtsystem bei ungenügender Netzwerkbandbreite sowie Netzwerkkapazität verlangsamen<br /> * Wenn mehrere IPS betrieben werden, müssen die Daten jedes einzelne durchlaufen, bis sie zum Endanwender gelangen → Verlangsamung<br /> * Unter Umständen sehr kostenintensiv<br /> <br /> == Quellen ==<br /> # [https://www.security-insider.de/was-ist-ein-intrusion-prevention-system-ips-a-612859/ SecurityInsider]<br /> # [https://www.computerweekly.com/de/definition/Intrusion-Prevention ComputerWeekly]<br /> # [https://web.archive.org/web/20160706220335/https:/www.oeffentliche-it.de/trendsonar Öfit]</div>

St180942 http://it-forensik.fiw.hs-wismar.de/index.php?title=IPS_-_Intrusion_Prevention_System&diff=1580 2021-02-05T10:23:21Z

<p>St180942: /* Quellen */</p> <hr /> <div><br /> Ebenso wie Intrusion-Detection-Systeme (IDS) überwacht und analysiert ein Intrusion-Prevention-System (IPS) den Netzwerkverkehr. Das IDS liefert lediglich Informationen zu entdeckten Sicherheitsproblemen oder Angriffen. Darüber hinaus kann das IPS allerdings automatische Maßnahmen auf Grundlage von Regeln ergreifen und beispielsweise ein als schädlich eingestuftes Paket verwerfen und den zukünftigen Netzwerkverkehr dieser IP-Adresse oder einen Port sperren. Somit kann man Intrusion-Prevention-Systeme als erweiterte Intrusion-Detection-Systeme bezeichnen.<br /> <br /> <br /> == Funktion ==<br /> <br /> Das IPS befindet sich üblicherweise direkt hinter einer Firewall und überwacht aktiv das Netzwerk. <br /> Folgende Erkennungsmethoden werden hierbei eingesetzt:<br /> <br /> * Signaturbasierte Erkennung: Zuvor definierte Angriffssignaturen bekannter Netzwerkbedrohungen werden überprüft<br /> * Anomalienbasierte Erkennung: Auffälliges, von der Norm abweichendes Verhalten wird überprüft<br /> * Richtlinienbasierte Erkennung: Zuvor erstellte Sicherheitsrichtlinien werden überprüft<br /> <br /> Hinzu kommen heuristische Methoden, um bisher unentdeckte Angriffe aufzuspüren. Diese nutzen Verfahren der künstlichen Intelligenz und sind teilweise selbstlernend.<br /> <br /> Bei einer erkannter Bedrohung können automatisierte Maßnahmen ergriffen werden:<br /> <br /> * verdächtige Pakete verwerfen<br /> * Netzwerkverkehr von einer bestimmten Quelle oder zu einem bestimmten Ziel blockieren<br /> * Netzwerkverbindung unterbrechen oder zurücksetzen<br /> * Meldung an den Administrator<br /> * Firewalls neu konfigurieren<br /> * Nutzdaten neu packen<br /> * infizierte Anhänge entfernen<br /> * etc.<br /> <br /> == Arten ==<br /> <br /> === Host-based IPS (HIPS) ===<br /> Hierbei wird das IPS auf einem Host installiert, auf welchem alle empfangenen sowie gesendeten Daten analysiert werden. Zudem werden von dem System bereitgestellte Daten (z.B. Logs) ebenfalls überprüft. Bei Feststellung eines Angriffs kann das HIPS in den Datenverkehr eingreifen oder auch einzelne Anwendungen blockieren.<br /> <br /> === Network-based IPS (NIPS) ===<br /> Als eigenständiges Gerät oder in eine Firewall integriert überwacht das NIPS direkt den Netzverkehr und kann somit alle am Netzwerk angeschlossen Systeme vor Netzwerkangriffen schützen. <br /> Das NIPS kann nochmals unterschieden werden in Content-based IPS (CBIPS), Protocol-Analysis IPS (PAIPS) und das Rate-based IPS (RBIPS).<br /> Je nach Leistungsfähigkeit analysiert es die übertragenen Daten auf <br /> Protokoll- oder Anwendungsebene. Zudem können diese Datenmengen auf Abweichungen zu üblichen Datenmengen zwischen bestimmten Quellen und Zielen überprüft werden.<br /> <br /> Darüber hinaus gibt es noch weitere Arten von Intrusion-Prevention-Systemen (Network-Behaviour-Analysis, Wireless-Intrusion-Prevention-System, etc.), wobei HIPS und NIPS die wohl wichtigsten darstellen.<br /> <br /> == Vorteile ==<br /> <br /> * Wahrscheinlichkeit von Sicherheitsvorfällen wird verringert<br /> * dynamischer Schutz vor Bedrohungen<br /> * Administratoren werden bei verdächtigen Aktivitäten automatisch benachrichtigt<br /> * Ausnutzen von Zero-Day-Exploits, DDoS-Attacken oder Brute-Force-Angriffe können abgeschwächt bzw. verringert werden<br /> * Weniger manuelle Eingriffe von Administratoren durch die Automatisierung notwendig<br /> * Spezifischer eingehender Netzwerkverkehr kann erlaubt/verboten werden<br /> <br /> == Nachteile ==<br /> <br /> * False-Positive: Unter Umständen kann ein IPS bestimmte Pakete blockieren, obwohl diese (nach Überprüfung) nicht schädlich sind &lt;br&gt;→ Dieses führt dann aber dazu, dass Anwender einen Dienst nicht wie benötigt nutzen können<br /> * Kann das Gesamtsystem bei ungenügender Netzwerkbandbreite sowie Netzwerkkapazität verlangsamen<br /> * Wenn mehrere IPS betrieben werden, müssen die Daten jedes einzelne durchlaufen, bis sie zum Endanwender gelangen → Verlangsamung<br /> * Unter Umständen sehr kostenintensiv<br /> <br /> == Quellen ==<br /> # [https://www.google.de Testlink]<br /> # [https://www.google.de Testlink2]<br /> # [https://www.google.de Testlink3]</div>

St180942 http://it-forensik.fiw.hs-wismar.de/index.php?title=IPS_-_Intrusion_Prevention_System&diff=1579 2021-02-05T10:22:50Z

<p>St180942: /* Einzelnachweise */</p> <hr /> <div><br /> Ebenso wie Intrusion-Detection-Systeme (IDS) überwacht und analysiert ein Intrusion-Prevention-System (IPS) den Netzwerkverkehr. Das IDS liefert lediglich Informationen zu entdeckten Sicherheitsproblemen oder Angriffen. Darüber hinaus kann das IPS allerdings automatische Maßnahmen auf Grundlage von Regeln ergreifen und beispielsweise ein als schädlich eingestuftes Paket verwerfen und den zukünftigen Netzwerkverkehr dieser IP-Adresse oder einen Port sperren. Somit kann man Intrusion-Prevention-Systeme als erweiterte Intrusion-Detection-Systeme bezeichnen.<br /> <br /> <br /> == Funktion ==<br /> <br /> Das IPS befindet sich üblicherweise direkt hinter einer Firewall und überwacht aktiv das Netzwerk. <br /> Folgende Erkennungsmethoden werden hierbei eingesetzt:<br /> <br /> * Signaturbasierte Erkennung: Zuvor definierte Angriffssignaturen bekannter Netzwerkbedrohungen werden überprüft<br /> * Anomalienbasierte Erkennung: Auffälliges, von der Norm abweichendes Verhalten wird überprüft<br /> * Richtlinienbasierte Erkennung: Zuvor erstellte Sicherheitsrichtlinien werden überprüft<br /> <br /> Hinzu kommen heuristische Methoden, um bisher unentdeckte Angriffe aufzuspüren. Diese nutzen Verfahren der künstlichen Intelligenz und sind teilweise selbstlernend.<br /> <br /> Bei einer erkannter Bedrohung können automatisierte Maßnahmen ergriffen werden:<br /> <br /> * verdächtige Pakete verwerfen<br /> * Netzwerkverkehr von einer bestimmten Quelle oder zu einem bestimmten Ziel blockieren<br /> * Netzwerkverbindung unterbrechen oder zurücksetzen<br /> * Meldung an den Administrator<br /> * Firewalls neu konfigurieren<br /> * Nutzdaten neu packen<br /> * infizierte Anhänge entfernen<br /> * etc.<br /> <br /> == Arten ==<br /> <br /> === Host-based IPS (HIPS) ===<br /> Hierbei wird das IPS auf einem Host installiert, auf welchem alle empfangenen sowie gesendeten Daten analysiert werden. Zudem werden von dem System bereitgestellte Daten (z.B. Logs) ebenfalls überprüft. Bei Feststellung eines Angriffs kann das HIPS in den Datenverkehr eingreifen oder auch einzelne Anwendungen blockieren.<br /> <br /> === Network-based IPS (NIPS) ===<br /> Als eigenständiges Gerät oder in eine Firewall integriert überwacht das NIPS direkt den Netzverkehr und kann somit alle am Netzwerk angeschlossen Systeme vor Netzwerkangriffen schützen. <br /> Das NIPS kann nochmals unterschieden werden in Content-based IPS (CBIPS), Protocol-Analysis IPS (PAIPS) und das Rate-based IPS (RBIPS).<br /> Je nach Leistungsfähigkeit analysiert es die übertragenen Daten auf <br /> Protokoll- oder Anwendungsebene. Zudem können diese Datenmengen auf Abweichungen zu üblichen Datenmengen zwischen bestimmten Quellen und Zielen überprüft werden.<br /> <br /> Darüber hinaus gibt es noch weitere Arten von Intrusion-Prevention-Systemen (Network-Behaviour-Analysis, Wireless-Intrusion-Prevention-System, etc.), wobei HIPS und NIPS die wohl wichtigsten darstellen.<br /> <br /> == Vorteile ==<br /> <br /> * Wahrscheinlichkeit von Sicherheitsvorfällen wird verringert<br /> * dynamischer Schutz vor Bedrohungen<br /> * Administratoren werden bei verdächtigen Aktivitäten automatisch benachrichtigt<br /> * Ausnutzen von Zero-Day-Exploits, DDoS-Attacken oder Brute-Force-Angriffe können abgeschwächt bzw. verringert werden<br /> * Weniger manuelle Eingriffe von Administratoren durch die Automatisierung notwendig<br /> * Spezifischer eingehender Netzwerkverkehr kann erlaubt/verboten werden<br /> <br /> == Nachteile ==<br /> <br /> * False-Positive: Unter Umständen kann ein IPS bestimmte Pakete blockieren, obwohl diese (nach Überprüfung) nicht schädlich sind &lt;br&gt;→ Dieses führt dann aber dazu, dass Anwender einen Dienst nicht wie benötigt nutzen können<br /> * Kann das Gesamtsystem bei ungenügender Netzwerkbandbreite sowie Netzwerkkapazität verlangsamen<br /> * Wenn mehrere IPS betrieben werden, müssen die Daten jedes einzelne durchlaufen, bis sie zum Endanwender gelangen → Verlangsamung<br /> * Unter Umständen sehr kostenintensiv<br /> <br /> == Quellen ==<br /> # [https://www.it-talents.de/blog/it-talents/was-sind-pruefsummen-checksums Testlink]<br /> # [https://www.it-talents.de/blog/it-talents/was-sind-pruefsummen-checksums Testlink2]<br /> # [https://www.it-talents.de/blog/it-talents/was-sind-pruefsummen-checksums Testlink3]</div>

St180942 http://it-forensik.fiw.hs-wismar.de/index.php?title=IPS_-_Intrusion_Prevention_System&diff=1578 2021-02-05T10:19:12Z

<p>St180942: /* Einzelnachweise */</p> <hr /> <div><br /> Ebenso wie Intrusion-Detection-Systeme (IDS) überwacht und analysiert ein Intrusion-Prevention-System (IPS) den Netzwerkverkehr. Das IDS liefert lediglich Informationen zu entdeckten Sicherheitsproblemen oder Angriffen. Darüber hinaus kann das IPS allerdings automatische Maßnahmen auf Grundlage von Regeln ergreifen und beispielsweise ein als schädlich eingestuftes Paket verwerfen und den zukünftigen Netzwerkverkehr dieser IP-Adresse oder einen Port sperren. Somit kann man Intrusion-Prevention-Systeme als erweiterte Intrusion-Detection-Systeme bezeichnen.<br /> <br /> <br /> == Funktion ==<br /> <br /> Das IPS befindet sich üblicherweise direkt hinter einer Firewall und überwacht aktiv das Netzwerk. <br /> Folgende Erkennungsmethoden werden hierbei eingesetzt:<br /> <br /> * Signaturbasierte Erkennung: Zuvor definierte Angriffssignaturen bekannter Netzwerkbedrohungen werden überprüft<br /> * Anomalienbasierte Erkennung: Auffälliges, von der Norm abweichendes Verhalten wird überprüft<br /> * Richtlinienbasierte Erkennung: Zuvor erstellte Sicherheitsrichtlinien werden überprüft<br /> <br /> Hinzu kommen heuristische Methoden, um bisher unentdeckte Angriffe aufzuspüren. Diese nutzen Verfahren der künstlichen Intelligenz und sind teilweise selbstlernend.<br /> <br /> Bei einer erkannter Bedrohung können automatisierte Maßnahmen ergriffen werden:<br /> <br /> * verdächtige Pakete verwerfen<br /> * Netzwerkverkehr von einer bestimmten Quelle oder zu einem bestimmten Ziel blockieren<br /> * Netzwerkverbindung unterbrechen oder zurücksetzen<br /> * Meldung an den Administrator<br /> * Firewalls neu konfigurieren<br /> * Nutzdaten neu packen<br /> * infizierte Anhänge entfernen<br /> * etc.<br /> <br /> == Arten ==<br /> <br /> === Host-based IPS (HIPS) ===<br /> Hierbei wird das IPS auf einem Host installiert, auf welchem alle empfangenen sowie gesendeten Daten analysiert werden. Zudem werden von dem System bereitgestellte Daten (z.B. Logs) ebenfalls überprüft. Bei Feststellung eines Angriffs kann das HIPS in den Datenverkehr eingreifen oder auch einzelne Anwendungen blockieren.<br /> <br /> === Network-based IPS (NIPS) ===<br /> Als eigenständiges Gerät oder in eine Firewall integriert überwacht das NIPS direkt den Netzverkehr und kann somit alle am Netzwerk angeschlossen Systeme vor Netzwerkangriffen schützen. <br /> Das NIPS kann nochmals unterschieden werden in Content-based IPS (CBIPS), Protocol-Analysis IPS (PAIPS) und das Rate-based IPS (RBIPS).<br /> Je nach Leistungsfähigkeit analysiert es die übertragenen Daten auf <br /> Protokoll- oder Anwendungsebene. Zudem können diese Datenmengen auf Abweichungen zu üblichen Datenmengen zwischen bestimmten Quellen und Zielen überprüft werden.<br /> <br /> Darüber hinaus gibt es noch weitere Arten von Intrusion-Prevention-Systemen (Network-Behaviour-Analysis, Wireless-Intrusion-Prevention-System, etc.), wobei HIPS und NIPS die wohl wichtigsten darstellen.<br /> <br /> == Vorteile ==<br /> <br /> * Wahrscheinlichkeit von Sicherheitsvorfällen wird verringert<br /> * dynamischer Schutz vor Bedrohungen<br /> * Administratoren werden bei verdächtigen Aktivitäten automatisch benachrichtigt<br /> * Ausnutzen von Zero-Day-Exploits, DDoS-Attacken oder Brute-Force-Angriffe können abgeschwächt bzw. verringert werden<br /> * Weniger manuelle Eingriffe von Administratoren durch die Automatisierung notwendig<br /> * Spezifischer eingehender Netzwerkverkehr kann erlaubt/verboten werden<br /> <br /> == Nachteile ==<br /> <br /> * False-Positive: Unter Umständen kann ein IPS bestimmte Pakete blockieren, obwohl diese (nach Überprüfung) nicht schädlich sind &lt;br&gt;→ Dieses führt dann aber dazu, dass Anwender einen Dienst nicht wie benötigt nutzen können<br /> * Kann das Gesamtsystem bei ungenügender Netzwerkbandbreite sowie Netzwerkkapazität verlangsamen<br /> * Wenn mehrere IPS betrieben werden, müssen die Daten jedes einzelne durchlaufen, bis sie zum Endanwender gelangen → Verlangsamung<br /> * Unter Umständen sehr kostenintensiv<br /> <br /> == Einzelnachweise ==<br /> &lt;references/&gt;</div>

St180942 http://it-forensik.fiw.hs-wismar.de/index.php?title=IPS_-_Intrusion_Prevention_System&diff=1577 2021-02-05T10:17:36Z

<p>St180942: </p> <hr /> <div><br /> Ebenso wie Intrusion-Detection-Systeme (IDS) überwacht und analysiert ein Intrusion-Prevention-System (IPS) den Netzwerkverkehr. Das IDS liefert lediglich Informationen zu entdeckten Sicherheitsproblemen oder Angriffen. Darüber hinaus kann das IPS allerdings automatische Maßnahmen auf Grundlage von Regeln ergreifen und beispielsweise ein als schädlich eingestuftes Paket verwerfen und den zukünftigen Netzwerkverkehr dieser IP-Adresse oder einen Port sperren. Somit kann man Intrusion-Prevention-Systeme als erweiterte Intrusion-Detection-Systeme bezeichnen.<br /> <br /> <br /> == Funktion ==<br /> <br /> Das IPS befindet sich üblicherweise direkt hinter einer Firewall und überwacht aktiv das Netzwerk. <br /> Folgende Erkennungsmethoden werden hierbei eingesetzt:<br /> <br /> * Signaturbasierte Erkennung: Zuvor definierte Angriffssignaturen bekannter Netzwerkbedrohungen werden überprüft<br /> * Anomalienbasierte Erkennung: Auffälliges, von der Norm abweichendes Verhalten wird überprüft<br /> * Richtlinienbasierte Erkennung: Zuvor erstellte Sicherheitsrichtlinien werden überprüft<br /> <br /> Hinzu kommen heuristische Methoden, um bisher unentdeckte Angriffe aufzuspüren. Diese nutzen Verfahren der künstlichen Intelligenz und sind teilweise selbstlernend.<br /> <br /> Bei einer erkannter Bedrohung können automatisierte Maßnahmen ergriffen werden:<br /> <br /> * verdächtige Pakete verwerfen<br /> * Netzwerkverkehr von einer bestimmten Quelle oder zu einem bestimmten Ziel blockieren<br /> * Netzwerkverbindung unterbrechen oder zurücksetzen<br /> * Meldung an den Administrator<br /> * Firewalls neu konfigurieren<br /> * Nutzdaten neu packen<br /> * infizierte Anhänge entfernen<br /> * etc.<br /> <br /> == Arten ==<br /> <br /> === Host-based IPS (HIPS) ===<br /> Hierbei wird das IPS auf einem Host installiert, auf welchem alle empfangenen sowie gesendeten Daten analysiert werden. Zudem werden von dem System bereitgestellte Daten (z.B. Logs) ebenfalls überprüft. Bei Feststellung eines Angriffs kann das HIPS in den Datenverkehr eingreifen oder auch einzelne Anwendungen blockieren.<br /> <br /> === Network-based IPS (NIPS) ===<br /> Als eigenständiges Gerät oder in eine Firewall integriert überwacht das NIPS direkt den Netzverkehr und kann somit alle am Netzwerk angeschlossen Systeme vor Netzwerkangriffen schützen. <br /> Das NIPS kann nochmals unterschieden werden in Content-based IPS (CBIPS), Protocol-Analysis IPS (PAIPS) und das Rate-based IPS (RBIPS).<br /> Je nach Leistungsfähigkeit analysiert es die übertragenen Daten auf <br /> Protokoll- oder Anwendungsebene. Zudem können diese Datenmengen auf Abweichungen zu üblichen Datenmengen zwischen bestimmten Quellen und Zielen überprüft werden.<br /> <br /> Darüber hinaus gibt es noch weitere Arten von Intrusion-Prevention-Systemen (Network-Behaviour-Analysis, Wireless-Intrusion-Prevention-System, etc.), wobei HIPS und NIPS die wohl wichtigsten darstellen.<br /> <br /> == Vorteile ==<br /> <br /> * Wahrscheinlichkeit von Sicherheitsvorfällen wird verringert<br /> * dynamischer Schutz vor Bedrohungen<br /> * Administratoren werden bei verdächtigen Aktivitäten automatisch benachrichtigt<br /> * Ausnutzen von Zero-Day-Exploits, DDoS-Attacken oder Brute-Force-Angriffe können abgeschwächt bzw. verringert werden<br /> * Weniger manuelle Eingriffe von Administratoren durch die Automatisierung notwendig<br /> * Spezifischer eingehender Netzwerkverkehr kann erlaubt/verboten werden<br /> <br /> == Nachteile ==<br /> <br /> * False-Positive: Unter Umständen kann ein IPS bestimmte Pakete blockieren, obwohl diese (nach Überprüfung) nicht schädlich sind &lt;br&gt;→ Dieses führt dann aber dazu, dass Anwender einen Dienst nicht wie benötigt nutzen können<br /> * Kann das Gesamtsystem bei ungenügender Netzwerkbandbreite sowie Netzwerkkapazität verlangsamen<br /> * Wenn mehrere IPS betrieben werden, müssen die Daten jedes einzelne durchlaufen, bis sie zum Endanwender gelangen → Verlangsamung<br /> * Unter Umständen sehr kostenintensiv<br /> <br /> == Einzelnachweise ==</div>

St180942 http://it-forensik.fiw.hs-wismar.de/index.php?title=IPS_-_Intrusion_Prevention_System&diff=1576 2021-02-05T10:16:45Z

<p>St180942: /* Nachteile */</p> <hr /> <div><br /> Ebenso wie Intrusion-Detection-Systeme (IDS) überwacht und analysiert ein Intrusion-Prevention-System (IPS) den Netzwerkverkehr. Das IDS liefert lediglich Informationen zu entdeckten Sicherheitsproblemen oder Angriffen. Darüber hinaus kann das IPS allerdings automatische Maßnahmen auf Grundlage von Regeln ergreifen und beispielsweise ein als schädlich eingestuftes Paket verwerfen und den zukünftigen Netzwerkverkehr dieser IP-Adresse oder einen Port sperren. Somit kann man Intrusion-Prevention-Systeme als erweiterte Intrusion-Detection-Systeme bezeichnen.<br /> <br /> <br /> == Funktion ==<br /> <br /> Das IPS befindet sich üblicherweise direkt hinter einer Firewall und überwacht aktiv das Netzwerk. <br /> Folgende Erkennungsmethoden werden hierbei eingesetzt:<br /> <br /> * Signaturbasierte Erkennung: Zuvor definierte Angriffssignaturen bekannter Netzwerkbedrohungen werden überprüft<br /> * Anomalienbasierte Erkennung: Auffälliges, von der Norm abweichendes Verhalten wird überprüft<br /> * Richtlinienbasierte Erkennung: Zuvor erstellte Sicherheitsrichtlinien werden überprüft<br /> <br /> Hinzu kommen heuristische Methoden, um bisher unentdeckte Angriffe aufzuspüren. Diese nutzen Verfahren der künstlichen Intelligenz und sind teilweise selbstlernend.<br /> <br /> Bei einer erkannter Bedrohung können automatisierte Maßnahmen ergriffen werden:<br /> <br /> * verdächtige Pakete verwerfen<br /> * Netzwerkverkehr von einer bestimmten Quelle oder zu einem bestimmten Ziel blockieren<br /> * Netzwerkverbindung unterbrechen oder zurücksetzen<br /> * Meldung an den Administrator<br /> * Firewalls neu konfigurieren<br /> * Nutzdaten neu packen<br /> * infizierte Anhänge entfernen<br /> * etc.<br /> <br /> == Arten ==<br /> <br /> === Host-based IPS (HIPS) ===<br /> Hierbei wird das IPS auf einem Host installiert, auf welchem alle empfangenen sowie gesendeten Daten analysiert werden. Zudem werden von dem System bereitgestellte Daten (z.B. Logs) ebenfalls überprüft. Bei Feststellung eines Angriffs kann das HIPS in den Datenverkehr eingreifen oder auch einzelne Anwendungen blockieren.<br /> <br /> === Network-based IPS (NIPS) ===<br /> Als eigenständiges Gerät oder in eine Firewall integriert überwacht das NIPS direkt den Netzverkehr und kann somit alle am Netzwerk angeschlossen Systeme vor Netzwerkangriffen schützen. <br /> Das NIPS kann nochmals unterschieden werden in Content-based IPS (CBIPS), Protocol-Analysis IPS (PAIPS) und das Rate-based IPS (RBIPS).<br /> Je nach Leistungsfähigkeit analysiert es die übertragenen Daten auf <br /> Protokoll- oder Anwendungsebene. Zudem können diese Datenmengen auf Abweichungen zu üblichen Datenmengen zwischen bestimmten Quellen und Zielen überprüft werden.<br /> <br /> Darüber hinaus gibt es noch weitere Arten von Intrusion-Prevention-Systemen (Network-Behaviour-Analysis, Wireless-Intrusion-Prevention-System, etc.), wobei HIPS und NIPS die wohl wichtigsten darstellen.<br /> <br /> == Vorteile ==<br /> <br /> * Wahrscheinlichkeit von Sicherheitsvorfällen wird verringert<br /> * dynamischer Schutz vor Bedrohungen<br /> * Administratoren werden bei verdächtigen Aktivitäten automatisch benachrichtigt<br /> * Ausnutzen von Zero-Day-Exploits, DDoS-Attacken oder Brute-Force-Angriffe können abgeschwächt bzw. verringert werden<br /> * Weniger manuelle Eingriffe von Administratoren durch die Automatisierung notwendig<br /> * Spezifischer eingehender Netzwerkverkehr kann erlaubt/verboten werden<br /> <br /> == Nachteile ==<br /> <br /> * False-Positive: Unter Umständen kann ein IPS bestimmte Pakete blockieren, obwohl diese (nach Überprüfung) nicht schädlich sind &lt;br&gt;→ Dieses führt dann aber dazu, dass Anwender einen Dienst nicht wie benötigt nutzen können<br /> * Kann das Gesamtsystem bei ungenügender Netzwerkbandbreite sowie Netzwerkkapazität verlangsamen<br /> * Wenn mehrere IPS betrieben werden, müssen die Daten jedes einzelne durchlaufen, bis sie zum Endanwender gelangen → Verlangsamung<br /> * Unter Umständen sehr kostenintensiv</div>

St180942 http://it-forensik.fiw.hs-wismar.de/index.php?title=IPS_-_Intrusion_Prevention_System&diff=1575 2021-02-05T10:16:08Z

<p>St180942: /* Nachteile */</p> <hr /> <div><br /> Ebenso wie Intrusion-Detection-Systeme (IDS) überwacht und analysiert ein Intrusion-Prevention-System (IPS) den Netzwerkverkehr. Das IDS liefert lediglich Informationen zu entdeckten Sicherheitsproblemen oder Angriffen. Darüber hinaus kann das IPS allerdings automatische Maßnahmen auf Grundlage von Regeln ergreifen und beispielsweise ein als schädlich eingestuftes Paket verwerfen und den zukünftigen Netzwerkverkehr dieser IP-Adresse oder einen Port sperren. Somit kann man Intrusion-Prevention-Systeme als erweiterte Intrusion-Detection-Systeme bezeichnen.<br /> <br /> <br /> == Funktion ==<br /> <br /> Das IPS befindet sich üblicherweise direkt hinter einer Firewall und überwacht aktiv das Netzwerk. <br /> Folgende Erkennungsmethoden werden hierbei eingesetzt:<br /> <br /> * Signaturbasierte Erkennung: Zuvor definierte Angriffssignaturen bekannter Netzwerkbedrohungen werden überprüft<br /> * Anomalienbasierte Erkennung: Auffälliges, von der Norm abweichendes Verhalten wird überprüft<br /> * Richtlinienbasierte Erkennung: Zuvor erstellte Sicherheitsrichtlinien werden überprüft<br /> <br /> Hinzu kommen heuristische Methoden, um bisher unentdeckte Angriffe aufzuspüren. Diese nutzen Verfahren der künstlichen Intelligenz und sind teilweise selbstlernend.<br /> <br /> Bei einer erkannter Bedrohung können automatisierte Maßnahmen ergriffen werden:<br /> <br /> * verdächtige Pakete verwerfen<br /> * Netzwerkverkehr von einer bestimmten Quelle oder zu einem bestimmten Ziel blockieren<br /> * Netzwerkverbindung unterbrechen oder zurücksetzen<br /> * Meldung an den Administrator<br /> * Firewalls neu konfigurieren<br /> * Nutzdaten neu packen<br /> * infizierte Anhänge entfernen<br /> * etc.<br /> <br /> == Arten ==<br /> <br /> === Host-based IPS (HIPS) ===<br /> Hierbei wird das IPS auf einem Host installiert, auf welchem alle empfangenen sowie gesendeten Daten analysiert werden. Zudem werden von dem System bereitgestellte Daten (z.B. Logs) ebenfalls überprüft. Bei Feststellung eines Angriffs kann das HIPS in den Datenverkehr eingreifen oder auch einzelne Anwendungen blockieren.<br /> <br /> === Network-based IPS (NIPS) ===<br /> Als eigenständiges Gerät oder in eine Firewall integriert überwacht das NIPS direkt den Netzverkehr und kann somit alle am Netzwerk angeschlossen Systeme vor Netzwerkangriffen schützen. <br /> Das NIPS kann nochmals unterschieden werden in Content-based IPS (CBIPS), Protocol-Analysis IPS (PAIPS) und das Rate-based IPS (RBIPS).<br /> Je nach Leistungsfähigkeit analysiert es die übertragenen Daten auf <br /> Protokoll- oder Anwendungsebene. Zudem können diese Datenmengen auf Abweichungen zu üblichen Datenmengen zwischen bestimmten Quellen und Zielen überprüft werden.<br /> <br /> Darüber hinaus gibt es noch weitere Arten von Intrusion-Prevention-Systemen (Network-Behaviour-Analysis, Wireless-Intrusion-Prevention-System, etc.), wobei HIPS und NIPS die wohl wichtigsten darstellen.<br /> <br /> == Vorteile ==<br /> <br /> * Wahrscheinlichkeit von Sicherheitsvorfällen wird verringert<br /> * dynamischer Schutz vor Bedrohungen<br /> * Administratoren werden bei verdächtigen Aktivitäten automatisch benachrichtigt<br /> * Ausnutzen von Zero-Day-Exploits, DDoS-Attacken oder Brute-Force-Angriffe können abgeschwächt bzw. verringert werden<br /> * Weniger manuelle Eingriffe von Administratoren durch die Automatisierung notwendig<br /> * Spezifischer eingehender Netzwerkverkehr kann erlaubt/verboten werden<br /> <br /> == Nachteile ==<br /> <br /> * False-Positive: Unter Umständen kann ein IPS bestimmte Pakete blockieren, obwohl diese (nach Überprüfung) nicht schädlich sind → Dieses führt dann aber dazu, dass Anwender einen Dienst nicht wie benötigt nutzen können<br /> * Kann das Gesamtsystem bei ungenügender Netzwerkbandbreite sowie Netzwerkkapazität verlangsamen<br /> * Wenn mehrere IPS betrieben werden, müssen die Daten jedes einzelne durchlaufen, bis sie zum Endanwender gelangen → Verlangsamung<br /> * Unter Umständen sehr kostenintensiv</div>

St180942 http://it-forensik.fiw.hs-wismar.de/index.php?title=IPS_-_Intrusion_Prevention_System&diff=1574 2021-02-05T10:13:54Z

<p>St180942: /* Nachteile */</p> <hr /> <div><br /> Ebenso wie Intrusion-Detection-Systeme (IDS) überwacht und analysiert ein Intrusion-Prevention-System (IPS) den Netzwerkverkehr. Das IDS liefert lediglich Informationen zu entdeckten Sicherheitsproblemen oder Angriffen. Darüber hinaus kann das IPS allerdings automatische Maßnahmen auf Grundlage von Regeln ergreifen und beispielsweise ein als schädlich eingestuftes Paket verwerfen und den zukünftigen Netzwerkverkehr dieser IP-Adresse oder einen Port sperren. Somit kann man Intrusion-Prevention-Systeme als erweiterte Intrusion-Detection-Systeme bezeichnen.<br /> <br /> <br /> == Funktion ==<br /> <br /> Das IPS befindet sich üblicherweise direkt hinter einer Firewall und überwacht aktiv das Netzwerk. <br /> Folgende Erkennungsmethoden werden hierbei eingesetzt:<br /> <br /> * Signaturbasierte Erkennung: Zuvor definierte Angriffssignaturen bekannter Netzwerkbedrohungen werden überprüft<br /> * Anomalienbasierte Erkennung: Auffälliges, von der Norm abweichendes Verhalten wird überprüft<br /> * Richtlinienbasierte Erkennung: Zuvor erstellte Sicherheitsrichtlinien werden überprüft<br /> <br /> Hinzu kommen heuristische Methoden, um bisher unentdeckte Angriffe aufzuspüren. Diese nutzen Verfahren der künstlichen Intelligenz und sind teilweise selbstlernend.<br /> <br /> Bei einer erkannter Bedrohung können automatisierte Maßnahmen ergriffen werden:<br /> <br /> * verdächtige Pakete verwerfen<br /> * Netzwerkverkehr von einer bestimmten Quelle oder zu einem bestimmten Ziel blockieren<br /> * Netzwerkverbindung unterbrechen oder zurücksetzen<br /> * Meldung an den Administrator<br /> * Firewalls neu konfigurieren<br /> * Nutzdaten neu packen<br /> * infizierte Anhänge entfernen<br /> * etc.<br /> <br /> == Arten ==<br /> <br /> === Host-based IPS (HIPS) ===<br /> Hierbei wird das IPS auf einem Host installiert, auf welchem alle empfangenen sowie gesendeten Daten analysiert werden. Zudem werden von dem System bereitgestellte Daten (z.B. Logs) ebenfalls überprüft. Bei Feststellung eines Angriffs kann das HIPS in den Datenverkehr eingreifen oder auch einzelne Anwendungen blockieren.<br /> <br /> === Network-based IPS (NIPS) ===<br /> Als eigenständiges Gerät oder in eine Firewall integriert überwacht das NIPS direkt den Netzverkehr und kann somit alle am Netzwerk angeschlossen Systeme vor Netzwerkangriffen schützen. <br /> Das NIPS kann nochmals unterschieden werden in Content-based IPS (CBIPS), Protocol-Analysis IPS (PAIPS) und das Rate-based IPS (RBIPS).<br /> Je nach Leistungsfähigkeit analysiert es die übertragenen Daten auf <br /> Protokoll- oder Anwendungsebene. Zudem können diese Datenmengen auf Abweichungen zu üblichen Datenmengen zwischen bestimmten Quellen und Zielen überprüft werden.<br /> <br /> Darüber hinaus gibt es noch weitere Arten von Intrusion-Prevention-Systemen (Network-Behaviour-Analysis, Wireless-Intrusion-Prevention-System, etc.), wobei HIPS und NIPS die wohl wichtigsten darstellen.<br /> <br /> == Vorteile ==<br /> <br /> * Wahrscheinlichkeit von Sicherheitsvorfällen wird verringert<br /> * dynamischer Schutz vor Bedrohungen<br /> * Administratoren werden bei verdächtigen Aktivitäten automatisch benachrichtigt<br /> * Ausnutzen von Zero-Day-Exploits, DDoS-Attacken oder Brute-Force-Angriffe können abgeschwächt bzw. verringert werden<br /> * Weniger manuelle Eingriffe von Administratoren durch die Automatisierung notwendig<br /> * Spezifischer eingehender Netzwerkverkehr kann erlaubt/verboten werden<br /> <br /> == Nachteile ==<br /> <br /> * False-Positive: Unter Umständen kann ein IPS bestimmte Pakete blockieren, obwohl diese (nach Überprüfung) nicht schädlich sind <br /> → Dieses führt dann aber dazu, dass Anwender einen Dienst nicht wie benötigt nutzen können<br /> * Kann das Gesamtsystem bei ungenügender Netzwerkbandbreite sowie Netzwerkkapazität verlangsamen<br /> * Wenn mehrere IPS betrieben werden, müssen die Daten jedes einzelne durchlaufen, bis sie zum Endanwender gelangen → Verlangsamung<br /> * Unter Umständen sehr kostenintensiv</div>

St180942 http://it-forensik.fiw.hs-wismar.de/index.php?title=IPS_-_Intrusion_Prevention_System&diff=1573 2021-02-05T10:13:05Z

<p>St180942: /* Nachteile */</p> <hr /> <div><br /> Ebenso wie Intrusion-Detection-Systeme (IDS) überwacht und analysiert ein Intrusion-Prevention-System (IPS) den Netzwerkverkehr. Das IDS liefert lediglich Informationen zu entdeckten Sicherheitsproblemen oder Angriffen. Darüber hinaus kann das IPS allerdings automatische Maßnahmen auf Grundlage von Regeln ergreifen und beispielsweise ein als schädlich eingestuftes Paket verwerfen und den zukünftigen Netzwerkverkehr dieser IP-Adresse oder einen Port sperren. Somit kann man Intrusion-Prevention-Systeme als erweiterte Intrusion-Detection-Systeme bezeichnen.<br /> <br /> <br /> == Funktion ==<br /> <br /> Das IPS befindet sich üblicherweise direkt hinter einer Firewall und überwacht aktiv das Netzwerk. <br /> Folgende Erkennungsmethoden werden hierbei eingesetzt:<br /> <br /> * Signaturbasierte Erkennung: Zuvor definierte Angriffssignaturen bekannter Netzwerkbedrohungen werden überprüft<br /> * Anomalienbasierte Erkennung: Auffälliges, von der Norm abweichendes Verhalten wird überprüft<br /> * Richtlinienbasierte Erkennung: Zuvor erstellte Sicherheitsrichtlinien werden überprüft<br /> <br /> Hinzu kommen heuristische Methoden, um bisher unentdeckte Angriffe aufzuspüren. Diese nutzen Verfahren der künstlichen Intelligenz und sind teilweise selbstlernend.<br /> <br /> Bei einer erkannter Bedrohung können automatisierte Maßnahmen ergriffen werden:<br /> <br /> * verdächtige Pakete verwerfen<br /> * Netzwerkverkehr von einer bestimmten Quelle oder zu einem bestimmten Ziel blockieren<br /> * Netzwerkverbindung unterbrechen oder zurücksetzen<br /> * Meldung an den Administrator<br /> * Firewalls neu konfigurieren<br /> * Nutzdaten neu packen<br /> * infizierte Anhänge entfernen<br /> * etc.<br /> <br /> == Arten ==<br /> <br /> === Host-based IPS (HIPS) ===<br /> Hierbei wird das IPS auf einem Host installiert, auf welchem alle empfangenen sowie gesendeten Daten analysiert werden. Zudem werden von dem System bereitgestellte Daten (z.B. Logs) ebenfalls überprüft. Bei Feststellung eines Angriffs kann das HIPS in den Datenverkehr eingreifen oder auch einzelne Anwendungen blockieren.<br /> <br /> === Network-based IPS (NIPS) ===<br /> Als eigenständiges Gerät oder in eine Firewall integriert überwacht das NIPS direkt den Netzverkehr und kann somit alle am Netzwerk angeschlossen Systeme vor Netzwerkangriffen schützen. <br /> Das NIPS kann nochmals unterschieden werden in Content-based IPS (CBIPS), Protocol-Analysis IPS (PAIPS) und das Rate-based IPS (RBIPS).<br /> Je nach Leistungsfähigkeit analysiert es die übertragenen Daten auf <br /> Protokoll- oder Anwendungsebene. Zudem können diese Datenmengen auf Abweichungen zu üblichen Datenmengen zwischen bestimmten Quellen und Zielen überprüft werden.<br /> <br /> Darüber hinaus gibt es noch weitere Arten von Intrusion-Prevention-Systemen (Network-Behaviour-Analysis, Wireless-Intrusion-Prevention-System, etc.), wobei HIPS und NIPS die wohl wichtigsten darstellen.<br /> <br /> == Vorteile ==<br /> <br /> * Wahrscheinlichkeit von Sicherheitsvorfällen wird verringert<br /> * dynamischer Schutz vor Bedrohungen<br /> * Administratoren werden bei verdächtigen Aktivitäten automatisch benachrichtigt<br /> * Ausnutzen von Zero-Day-Exploits, DDoS-Attacken oder Brute-Force-Angriffe können abgeschwächt bzw. verringert werden<br /> * Weniger manuelle Eingriffe von Administratoren durch die Automatisierung notwendig<br /> * Spezifischer eingehender Netzwerkverkehr kann erlaubt/verboten werden<br /> <br /> == Nachteile ==<br /> <br /> * False-Positive: Unter Umständen kann ein IPS bestimmte Pakete blockieren, obwohl diese (nach Überprüfung) nicht schädlich sind <br /> --&gt; Dieses führt dann aber dazu, dass Anwender einen Dienst nicht wie benötigt nutzen können<br /> * Kann das Gesamtsystem bei ungenügender Netzwerkbandbreite sowie Netzwerkkapazität verlangsamen<br /> * Wenn mehrere IPS betrieben werden, müssen die Daten jedes einzelne durchlaufen, bis sie zum Endanwender gelangen --&gt; Verlangsamung<br /> * Unter Umständen sehr kostenintensiv</div>

St180942 http://it-forensik.fiw.hs-wismar.de/index.php?title=IPS_-_Intrusion_Prevention_System&diff=1572 2021-02-05T10:12:55Z

<p>St180942: /* Nachteile */</p> <hr /> <div><br /> Ebenso wie Intrusion-Detection-Systeme (IDS) überwacht und analysiert ein Intrusion-Prevention-System (IPS) den Netzwerkverkehr. Das IDS liefert lediglich Informationen zu entdeckten Sicherheitsproblemen oder Angriffen. Darüber hinaus kann das IPS allerdings automatische Maßnahmen auf Grundlage von Regeln ergreifen und beispielsweise ein als schädlich eingestuftes Paket verwerfen und den zukünftigen Netzwerkverkehr dieser IP-Adresse oder einen Port sperren. Somit kann man Intrusion-Prevention-Systeme als erweiterte Intrusion-Detection-Systeme bezeichnen.<br /> <br /> <br /> == Funktion ==<br /> <br /> Das IPS befindet sich üblicherweise direkt hinter einer Firewall und überwacht aktiv das Netzwerk. <br /> Folgende Erkennungsmethoden werden hierbei eingesetzt:<br /> <br /> * Signaturbasierte Erkennung: Zuvor definierte Angriffssignaturen bekannter Netzwerkbedrohungen werden überprüft<br /> * Anomalienbasierte Erkennung: Auffälliges, von der Norm abweichendes Verhalten wird überprüft<br /> * Richtlinienbasierte Erkennung: Zuvor erstellte Sicherheitsrichtlinien werden überprüft<br /> <br /> Hinzu kommen heuristische Methoden, um bisher unentdeckte Angriffe aufzuspüren. Diese nutzen Verfahren der künstlichen Intelligenz und sind teilweise selbstlernend.<br /> <br /> Bei einer erkannter Bedrohung können automatisierte Maßnahmen ergriffen werden:<br /> <br /> * verdächtige Pakete verwerfen<br /> * Netzwerkverkehr von einer bestimmten Quelle oder zu einem bestimmten Ziel blockieren<br /> * Netzwerkverbindung unterbrechen oder zurücksetzen<br /> * Meldung an den Administrator<br /> * Firewalls neu konfigurieren<br /> * Nutzdaten neu packen<br /> * infizierte Anhänge entfernen<br /> * etc.<br /> <br /> == Arten ==<br /> <br /> === Host-based IPS (HIPS) ===<br /> Hierbei wird das IPS auf einem Host installiert, auf welchem alle empfangenen sowie gesendeten Daten analysiert werden. Zudem werden von dem System bereitgestellte Daten (z.B. Logs) ebenfalls überprüft. Bei Feststellung eines Angriffs kann das HIPS in den Datenverkehr eingreifen oder auch einzelne Anwendungen blockieren.<br /> <br /> === Network-based IPS (NIPS) ===<br /> Als eigenständiges Gerät oder in eine Firewall integriert überwacht das NIPS direkt den Netzverkehr und kann somit alle am Netzwerk angeschlossen Systeme vor Netzwerkangriffen schützen. <br /> Das NIPS kann nochmals unterschieden werden in Content-based IPS (CBIPS), Protocol-Analysis IPS (PAIPS) und das Rate-based IPS (RBIPS).<br /> Je nach Leistungsfähigkeit analysiert es die übertragenen Daten auf <br /> Protokoll- oder Anwendungsebene. Zudem können diese Datenmengen auf Abweichungen zu üblichen Datenmengen zwischen bestimmten Quellen und Zielen überprüft werden.<br /> <br /> Darüber hinaus gibt es noch weitere Arten von Intrusion-Prevention-Systemen (Network-Behaviour-Analysis, Wireless-Intrusion-Prevention-System, etc.), wobei HIPS und NIPS die wohl wichtigsten darstellen.<br /> <br /> == Vorteile ==<br /> <br /> * Wahrscheinlichkeit von Sicherheitsvorfällen wird verringert<br /> * dynamischer Schutz vor Bedrohungen<br /> * Administratoren werden bei verdächtigen Aktivitäten automatisch benachrichtigt<br /> * Ausnutzen von Zero-Day-Exploits, DDoS-Attacken oder Brute-Force-Angriffe können abgeschwächt bzw. verringert werden<br /> * Weniger manuelle Eingriffe von Administratoren durch die Automatisierung notwendig<br /> * Spezifischer eingehender Netzwerkverkehr kann erlaubt/verboten werden<br /> <br /> == Nachteile ==<br /> <br /> * False-Positive: Unter Umständen kann ein IPS bestimmte Pakete blockieren, obwohl diese (nach Überprüfung) nicht schädlich sind --&gt; Dieses führt dann aber dazu, dass Anwender einen Dienst nicht wie benötigt nutzen können<br /> * Kann das Gesamtsystem bei ungenügender Netzwerkbandbreite sowie Netzwerkkapazität verlangsamen<br /> * Wenn mehrere IPS betrieben werden, müssen die Daten jedes einzelne durchlaufen, bis sie zum Endanwender gelangen --&gt; Verlangsamung<br /> * Unter Umständen sehr kostenintensiv</div>

St180942 http://it-forensik.fiw.hs-wismar.de/index.php?title=IPS_-_Intrusion_Prevention_System&diff=1571 2021-02-05T10:12:41Z

<p>St180942: /* Vorteile */</p> <hr /> <div><br /> Ebenso wie Intrusion-Detection-Systeme (IDS) überwacht und analysiert ein Intrusion-Prevention-System (IPS) den Netzwerkverkehr. Das IDS liefert lediglich Informationen zu entdeckten Sicherheitsproblemen oder Angriffen. Darüber hinaus kann das IPS allerdings automatische Maßnahmen auf Grundlage von Regeln ergreifen und beispielsweise ein als schädlich eingestuftes Paket verwerfen und den zukünftigen Netzwerkverkehr dieser IP-Adresse oder einen Port sperren. Somit kann man Intrusion-Prevention-Systeme als erweiterte Intrusion-Detection-Systeme bezeichnen.<br /> <br /> <br /> == Funktion ==<br /> <br /> Das IPS befindet sich üblicherweise direkt hinter einer Firewall und überwacht aktiv das Netzwerk. <br /> Folgende Erkennungsmethoden werden hierbei eingesetzt:<br /> <br /> * Signaturbasierte Erkennung: Zuvor definierte Angriffssignaturen bekannter Netzwerkbedrohungen werden überprüft<br /> * Anomalienbasierte Erkennung: Auffälliges, von der Norm abweichendes Verhalten wird überprüft<br /> * Richtlinienbasierte Erkennung: Zuvor erstellte Sicherheitsrichtlinien werden überprüft<br /> <br /> Hinzu kommen heuristische Methoden, um bisher unentdeckte Angriffe aufzuspüren. Diese nutzen Verfahren der künstlichen Intelligenz und sind teilweise selbstlernend.<br /> <br /> Bei einer erkannter Bedrohung können automatisierte Maßnahmen ergriffen werden:<br /> <br /> * verdächtige Pakete verwerfen<br /> * Netzwerkverkehr von einer bestimmten Quelle oder zu einem bestimmten Ziel blockieren<br /> * Netzwerkverbindung unterbrechen oder zurücksetzen<br /> * Meldung an den Administrator<br /> * Firewalls neu konfigurieren<br /> * Nutzdaten neu packen<br /> * infizierte Anhänge entfernen<br /> * etc.<br /> <br /> == Arten ==<br /> <br /> === Host-based IPS (HIPS) ===<br /> Hierbei wird das IPS auf einem Host installiert, auf welchem alle empfangenen sowie gesendeten Daten analysiert werden. Zudem werden von dem System bereitgestellte Daten (z.B. Logs) ebenfalls überprüft. Bei Feststellung eines Angriffs kann das HIPS in den Datenverkehr eingreifen oder auch einzelne Anwendungen blockieren.<br /> <br /> === Network-based IPS (NIPS) ===<br /> Als eigenständiges Gerät oder in eine Firewall integriert überwacht das NIPS direkt den Netzverkehr und kann somit alle am Netzwerk angeschlossen Systeme vor Netzwerkangriffen schützen. <br /> Das NIPS kann nochmals unterschieden werden in Content-based IPS (CBIPS), Protocol-Analysis IPS (PAIPS) und das Rate-based IPS (RBIPS).<br /> Je nach Leistungsfähigkeit analysiert es die übertragenen Daten auf <br /> Protokoll- oder Anwendungsebene. Zudem können diese Datenmengen auf Abweichungen zu üblichen Datenmengen zwischen bestimmten Quellen und Zielen überprüft werden.<br /> <br /> Darüber hinaus gibt es noch weitere Arten von Intrusion-Prevention-Systemen (Network-Behaviour-Analysis, Wireless-Intrusion-Prevention-System, etc.), wobei HIPS und NIPS die wohl wichtigsten darstellen.<br /> <br /> == Vorteile ==<br /> <br /> * Wahrscheinlichkeit von Sicherheitsvorfällen wird verringert<br /> * dynamischer Schutz vor Bedrohungen<br /> * Administratoren werden bei verdächtigen Aktivitäten automatisch benachrichtigt<br /> * Ausnutzen von Zero-Day-Exploits, DDoS-Attacken oder Brute-Force-Angriffe können abgeschwächt bzw. verringert werden<br /> * Weniger manuelle Eingriffe von Administratoren durch die Automatisierung notwendig<br /> * Spezifischer eingehender Netzwerkverkehr kann erlaubt/verboten werden<br /> <br /> == Nachteile ==<br /> <br /> - False-Positive: Unter Umständen kann ein IPS bestimmte Pakete blockieren, obwohl diese (nach Überprüfung) nicht schädlich sind --&gt; Dieses führt dann aber dazu, dass Anwender einen Dienst nicht wie benötigt nutzen können<br /> - Kann das Gesamtsystem bei ungenügender Netzwerkbandbreite sowie Netzwerkkapazität verlangsamen<br /> - Wenn mehrere IPS betrieben werden, müssen die Daten jedes einzelne durchlaufen, bis sie zum Endanwender gelangen --&gt; Verlangsamung<br /> - Unter Umständen sehr kostenintensiv</div>

St180942 http://it-forensik.fiw.hs-wismar.de/index.php?title=IPS_-_Intrusion_Prevention_System&diff=1570 2021-02-05T10:12:18Z

<p>St180942: /* Arten */</p> <hr /> <div><br /> Ebenso wie Intrusion-Detection-Systeme (IDS) überwacht und analysiert ein Intrusion-Prevention-System (IPS) den Netzwerkverkehr. Das IDS liefert lediglich Informationen zu entdeckten Sicherheitsproblemen oder Angriffen. Darüber hinaus kann das IPS allerdings automatische Maßnahmen auf Grundlage von Regeln ergreifen und beispielsweise ein als schädlich eingestuftes Paket verwerfen und den zukünftigen Netzwerkverkehr dieser IP-Adresse oder einen Port sperren. Somit kann man Intrusion-Prevention-Systeme als erweiterte Intrusion-Detection-Systeme bezeichnen.<br /> <br /> <br /> == Funktion ==<br /> <br /> Das IPS befindet sich üblicherweise direkt hinter einer Firewall und überwacht aktiv das Netzwerk. <br /> Folgende Erkennungsmethoden werden hierbei eingesetzt:<br /> <br /> * Signaturbasierte Erkennung: Zuvor definierte Angriffssignaturen bekannter Netzwerkbedrohungen werden überprüft<br /> * Anomalienbasierte Erkennung: Auffälliges, von der Norm abweichendes Verhalten wird überprüft<br /> * Richtlinienbasierte Erkennung: Zuvor erstellte Sicherheitsrichtlinien werden überprüft<br /> <br /> Hinzu kommen heuristische Methoden, um bisher unentdeckte Angriffe aufzuspüren. Diese nutzen Verfahren der künstlichen Intelligenz und sind teilweise selbstlernend.<br /> <br /> Bei einer erkannter Bedrohung können automatisierte Maßnahmen ergriffen werden:<br /> <br /> * verdächtige Pakete verwerfen<br /> * Netzwerkverkehr von einer bestimmten Quelle oder zu einem bestimmten Ziel blockieren<br /> * Netzwerkverbindung unterbrechen oder zurücksetzen<br /> * Meldung an den Administrator<br /> * Firewalls neu konfigurieren<br /> * Nutzdaten neu packen<br /> * infizierte Anhänge entfernen<br /> * etc.<br /> <br /> == Arten ==<br /> <br /> === Host-based IPS (HIPS) ===<br /> Hierbei wird das IPS auf einem Host installiert, auf welchem alle empfangenen sowie gesendeten Daten analysiert werden. Zudem werden von dem System bereitgestellte Daten (z.B. Logs) ebenfalls überprüft. Bei Feststellung eines Angriffs kann das HIPS in den Datenverkehr eingreifen oder auch einzelne Anwendungen blockieren.<br /> <br /> === Network-based IPS (NIPS) ===<br /> Als eigenständiges Gerät oder in eine Firewall integriert überwacht das NIPS direkt den Netzverkehr und kann somit alle am Netzwerk angeschlossen Systeme vor Netzwerkangriffen schützen. <br /> Das NIPS kann nochmals unterschieden werden in Content-based IPS (CBIPS), Protocol-Analysis IPS (PAIPS) und das Rate-based IPS (RBIPS).<br /> Je nach Leistungsfähigkeit analysiert es die übertragenen Daten auf <br /> Protokoll- oder Anwendungsebene. Zudem können diese Datenmengen auf Abweichungen zu üblichen Datenmengen zwischen bestimmten Quellen und Zielen überprüft werden.<br /> <br /> Darüber hinaus gibt es noch weitere Arten von Intrusion-Prevention-Systemen (Network-Behaviour-Analysis, Wireless-Intrusion-Prevention-System, etc.), wobei HIPS und NIPS die wohl wichtigsten darstellen.<br /> <br /> == Vorteile ==<br /> <br /> - Wahrscheinlichkeit von Sicherheitsvorfällen wird verringert<br /> - dynamischer Schutz vor Bedrohungen<br /> - Administratoren werden bei verdächtigen Aktivitäten automatisch benachrichtigt<br /> - Ausnutzen von Zero-Day-Exploits, DDoS-Attacken oder Brute-Force-Angriffe können abgeschwächt bzw. verringert werden<br /> - Weniger manuelle Eingriffe von Administratoren durch die Automatisierung notwendig<br /> - Spezifischer eingehender Netzwerkverkehr kann erlaubt/verboten werden<br /> <br /> <br /> == Nachteile ==<br /> <br /> - False-Positive: Unter Umständen kann ein IPS bestimmte Pakete blockieren, obwohl diese (nach Überprüfung) nicht schädlich sind --&gt; Dieses führt dann aber dazu, dass Anwender einen Dienst nicht wie benötigt nutzen können<br /> - Kann das Gesamtsystem bei ungenügender Netzwerkbandbreite sowie Netzwerkkapazität verlangsamen<br /> - Wenn mehrere IPS betrieben werden, müssen die Daten jedes einzelne durchlaufen, bis sie zum Endanwender gelangen --&gt; Verlangsamung<br /> - Unter Umständen sehr kostenintensiv</div>

St180942 http://it-forensik.fiw.hs-wismar.de/index.php?title=IPS_-_Intrusion_Prevention_System&diff=1569 2021-02-05T10:11:47Z

<p>St180942: /* Funktion */</p> <hr /> <div><br /> Ebenso wie Intrusion-Detection-Systeme (IDS) überwacht und analysiert ein Intrusion-Prevention-System (IPS) den Netzwerkverkehr. Das IDS liefert lediglich Informationen zu entdeckten Sicherheitsproblemen oder Angriffen. Darüber hinaus kann das IPS allerdings automatische Maßnahmen auf Grundlage von Regeln ergreifen und beispielsweise ein als schädlich eingestuftes Paket verwerfen und den zukünftigen Netzwerkverkehr dieser IP-Adresse oder einen Port sperren. Somit kann man Intrusion-Prevention-Systeme als erweiterte Intrusion-Detection-Systeme bezeichnen.<br /> <br /> <br /> == Funktion ==<br /> <br /> Das IPS befindet sich üblicherweise direkt hinter einer Firewall und überwacht aktiv das Netzwerk. <br /> Folgende Erkennungsmethoden werden hierbei eingesetzt:<br /> <br /> * Signaturbasierte Erkennung: Zuvor definierte Angriffssignaturen bekannter Netzwerkbedrohungen werden überprüft<br /> * Anomalienbasierte Erkennung: Auffälliges, von der Norm abweichendes Verhalten wird überprüft<br /> * Richtlinienbasierte Erkennung: Zuvor erstellte Sicherheitsrichtlinien werden überprüft<br /> <br /> Hinzu kommen heuristische Methoden, um bisher unentdeckte Angriffe aufzuspüren. Diese nutzen Verfahren der künstlichen Intelligenz und sind teilweise selbstlernend.<br /> <br /> Bei einer erkannter Bedrohung können automatisierte Maßnahmen ergriffen werden:<br /> <br /> * verdächtige Pakete verwerfen<br /> * Netzwerkverkehr von einer bestimmten Quelle oder zu einem bestimmten Ziel blockieren<br /> * Netzwerkverbindung unterbrechen oder zurücksetzen<br /> * Meldung an den Administrator<br /> * Firewalls neu konfigurieren<br /> * Nutzdaten neu packen<br /> * infizierte Anhänge entfernen<br /> * etc.<br /> <br /> == Arten ==<br /> <br /> - Host-based IPS (HIPS):<br /> Hierbei wird das IPS auf einem Host installiert, auf welchem alle empfangenen sowie gesendeten Daten analysiert werden. Zudem werden von dem System bereitgestellte Daten (z.B. Logs) ebenfalls überprüft. Bei Feststellung eines Angriffs kann das HIPS in den Datenverkehr eingreifen oder auch einzelne Anwendungen blockieren.<br /> <br /> - Network-based IPS (NIPS)<br /> Als eigenständiges Gerät oder in eine Firewall integriert überwacht das NIPS direkt den Netzverkehr und kann somit alle am Netzwerk angeschlossen Systeme vor Netzwerkangriffen schützen. <br /> Das NIPS kann nochmals unterschieden werden in Content-based IPS (CBIPS), Protocol-Analysis IPS (PAIPS) und das Rate-based IPS (RBIPS).<br /> Je nach Leistungsfähigkeit analysiert es die übertragenen Daten auf <br /> Protokoll- oder Anwendungsebene. Zudem können diese Datenmengen auf Abweichungen zu üblichen Datenmengen zwischen bestimmten Quellen und Zielen überprüft werden.<br /> <br /> Darüber hinaus gibt es noch weitere Arten von Intrusion-Prevention-Systemen (Network-Behaviour-Analysis, Wireless-Intrusion-Prevention-System, etc.), wobei HIPS und NIPS die wohl wichtigsten darstellen.<br /> <br /> <br /> == Vorteile ==<br /> <br /> - Wahrscheinlichkeit von Sicherheitsvorfällen wird verringert<br /> - dynamischer Schutz vor Bedrohungen<br /> - Administratoren werden bei verdächtigen Aktivitäten automatisch benachrichtigt<br /> - Ausnutzen von Zero-Day-Exploits, DDoS-Attacken oder Brute-Force-Angriffe können abgeschwächt bzw. verringert werden<br /> - Weniger manuelle Eingriffe von Administratoren durch die Automatisierung notwendig<br /> - Spezifischer eingehender Netzwerkverkehr kann erlaubt/verboten werden<br /> <br /> <br /> == Nachteile ==<br /> <br /> - False-Positive: Unter Umständen kann ein IPS bestimmte Pakete blockieren, obwohl diese (nach Überprüfung) nicht schädlich sind --&gt; Dieses führt dann aber dazu, dass Anwender einen Dienst nicht wie benötigt nutzen können<br /> - Kann das Gesamtsystem bei ungenügender Netzwerkbandbreite sowie Netzwerkkapazität verlangsamen<br /> - Wenn mehrere IPS betrieben werden, müssen die Daten jedes einzelne durchlaufen, bis sie zum Endanwender gelangen --&gt; Verlangsamung<br /> - Unter Umständen sehr kostenintensiv</div>

St180942 http://it-forensik.fiw.hs-wismar.de/index.php?title=IPS_-_Intrusion_Prevention_System&diff=1568 2021-02-05T10:04:41Z

<p>St180942: </p> <hr /> <div><br /> Ebenso wie Intrusion-Detection-Systeme (IDS) überwacht und analysiert ein Intrusion-Prevention-System (IPS) den Netzwerkverkehr. Das IDS liefert lediglich Informationen zu entdeckten Sicherheitsproblemen oder Angriffen. Darüber hinaus kann das IPS allerdings automatische Maßnahmen auf Grundlage von Regeln ergreifen und beispielsweise ein als schädlich eingestuftes Paket verwerfen und den zukünftigen Netzwerkverkehr dieser IP-Adresse oder einen Port sperren. Somit kann man Intrusion-Prevention-Systeme als erweiterte Intrusion-Detection-Systeme bezeichnen.<br /> <br /> <br /> == Funktion ==<br /> <br /> Das IPS befindet sich üblicherweise direkt hinter einer Firewall und überwacht aktiv das Netzwerk. <br /> Folgende Erkennungsmethoden werden hierbei eingesetzt:<br /> <br /> - Signaturbasierte Erkennung: Zuvor definierte Angriffssignaturen bekannter Netzwerkbedrohungen werden überprüft<br /> - Anomalienbasierte Erkennung: auffälliges, von der Norm abweichendes Verhalten wird überprüft<br /> - Richtlinienbasierte Erkennung: Zuvor erstellte Sicherheitsrichtlinien werden überprüft<br /> <br /> Hinzu kommen heuristische Methoden, um bisher unentdeckte Angriffe aufzuspüren. Diese nutzen Verfahren der künstlichen Intelligenz und sind teilweise selbstlernend.<br /> <br /> <br /> Bei einer erkannter Bedrohung können automatisierte Maßnahmen ergriffen werden:<br /> <br /> - verdächtige Pakete verwerfen<br /> - Netzwerkverkehr von einer bestimmten Quelle oder zu einem bestimmten Ziel blockieren<br /> - Netzwerkverbindung unterbrechen oder zurücksetzen<br /> - Meldung an den Administrator<br /> - Firewalls neu konfigurieren<br /> - Nutzdaten neu packen<br /> - infizierte Anhänge entfernen<br /> - etc.<br /> <br /> <br /> == Arten ==<br /> <br /> - Host-based IPS (HIPS):<br /> Hierbei wird das IPS auf einem Host installiert, auf welchem alle empfangenen sowie gesendeten Daten analysiert werden. Zudem werden von dem System bereitgestellte Daten (z.B. Logs) ebenfalls überprüft. Bei Feststellung eines Angriffs kann das HIPS in den Datenverkehr eingreifen oder auch einzelne Anwendungen blockieren.<br /> <br /> - Network-based IPS (NIPS)<br /> Als eigenständiges Gerät oder in eine Firewall integriert überwacht das NIPS direkt den Netzverkehr und kann somit alle am Netzwerk angeschlossen Systeme vor Netzwerkangriffen schützen. <br /> Das NIPS kann nochmals unterschieden werden in Content-based IPS (CBIPS), Protocol-Analysis IPS (PAIPS) und das Rate-based IPS (RBIPS).<br /> Je nach Leistungsfähigkeit analysiert es die übertragenen Daten auf <br /> Protokoll- oder Anwendungsebene. Zudem können diese Datenmengen auf Abweichungen zu üblichen Datenmengen zwischen bestimmten Quellen und Zielen überprüft werden.<br /> <br /> Darüber hinaus gibt es noch weitere Arten von Intrusion-Prevention-Systemen (Network-Behaviour-Analysis, Wireless-Intrusion-Prevention-System, etc.), wobei HIPS und NIPS die wohl wichtigsten darstellen.<br /> <br /> <br /> == Vorteile ==<br /> <br /> - Wahrscheinlichkeit von Sicherheitsvorfällen wird verringert<br /> - dynamischer Schutz vor Bedrohungen<br /> - Administratoren werden bei verdächtigen Aktivitäten automatisch benachrichtigt<br /> - Ausnutzen von Zero-Day-Exploits, DDoS-Attacken oder Brute-Force-Angriffe können abgeschwächt bzw. verringert werden<br /> - Weniger manuelle Eingriffe von Administratoren durch die Automatisierung notwendig<br /> - Spezifischer eingehender Netzwerkverkehr kann erlaubt/verboten werden<br /> <br /> <br /> == Nachteile ==<br /> <br /> - False-Positive: Unter Umständen kann ein IPS bestimmte Pakete blockieren, obwohl diese (nach Überprüfung) nicht schädlich sind --&gt; Dieses führt dann aber dazu, dass Anwender einen Dienst nicht wie benötigt nutzen können<br /> - Kann das Gesamtsystem bei ungenügender Netzwerkbandbreite sowie Netzwerkkapazität verlangsamen<br /> - Wenn mehrere IPS betrieben werden, müssen die Daten jedes einzelne durchlaufen, bis sie zum Endanwender gelangen --&gt; Verlangsamung<br /> - Unter Umständen sehr kostenintensiv</div>

St180942 http://it-forensik.fiw.hs-wismar.de/index.php?title=IPS_-_Intrusion_Prevention_System&diff=1567 2021-02-05T10:03:57Z

<p>St180942: </p> <hr /> <div><br /> Ebenso wie Intrusion-Detection-Systeme (IDS) überwacht und analysiert ein Intrusion-Prevention-System (IPS) den Netzwerkverkehr. Das IDS liefert lediglich Informationen zu entdeckten Sicherheitsproblemen oder Angriffen. Darüber hinaus kann das IPS allerdings automatische Maßnahmen auf Grundlage von Regeln ergreifen und beispielsweise ein als schädlich eingestuftes Paket verwerfen und den zukünftigen Netzwerkverkehr dieser IP-Adresse oder einen Port sperren. Somit kann man Intrusion-Prevention-Systeme als erweiterte Intrusion-Detection-Systeme bezeichnen.<br /> <br /> <br /> == Funktion ==<br /> <br /> Das IPS befindet sich üblicherweise direkt hinter einer Firewall und überwacht aktiv das Netzwerk. <br /> Folgende Erkennungsmethoden werden hierbei eingesetzt:<br /> <br /> - Signaturbasierte Erkennung: Zuvor definierte Angriffssignaturen bekannter Netzwerkbedrohungen werden überprüft<br /> - Anomalienbasierte Erkennung: auffälliges, von der Norm abweichendes Verhalten wird überprüft<br /> - Richtlinienbasierte Erkennung: Zuvor erstellte Sicherheitsrichtlinien werden überprüft<br /> <br /> Hinzu kommen heuristische Methoden, um bisher unentdeckte Angriffe aufzuspüren. Diese nutzen Verfahren der künstlichen Intelligenz und sind teilweise selbstlernend.<br /> <br /> <br /> Bei einer erkannter Bedrohung können automatisierte Maßnahmen ergriffen werden:<br /> <br /> - verdächtige Pakete verwerfen<br /> - Netzwerkverkehr von einer bestimmten Quelle oder zu einem bestimmten Ziel blockieren<br /> - Netzwerkverbindung unterbrechen oder zurücksetzen<br /> - Meldung an den Administrator<br /> - Firewalls neu konfigurieren<br /> - Nutzdaten neu packen<br /> - infizierte Anhänge entfernen<br /> - etc.<br /> <br /> <br /> Typen:<br /> <br /> - Host-based IPS (HIPS):<br /> Hierbei wird das IPS auf einem Host installiert, auf welchem alle empfangenen sowie gesendeten Daten analysiert werden. Zudem werden von dem System bereitgestellte Daten (z.B. Logs) ebenfalls überprüft. Bei Feststellung eines Angriffs kann das HIPS in den Datenverkehr eingreifen oder auch einzelne Anwendungen blockieren.<br /> <br /> - Network-based IPS (NIPS)<br /> Als eigenständiges Gerät oder in eine Firewall integriert überwacht das NIPS direkt den Netzverkehr und kann somit alle am Netzwerk angeschlossen Systeme vor Netzwerkangriffen schützen. <br /> Das NIPS kann nochmals unterschieden werden in Content-based IPS (CBIPS), Protocol-Analysis IPS (PAIPS) und das Rate-based IPS (RBIPS).<br /> Je nach Leistungsfähigkeit analysiert es die übertragenen Daten auf <br /> Protokoll- oder Anwendungsebene. Zudem können diese Datenmengen auf Abweichungen zu üblichen Datenmengen zwischen bestimmten Quellen und Zielen überprüft werden.<br /> <br /> Darüber hinaus gibt es noch weitere Arten von Intrusion-Prevention-Systemen (Network-Behaviour-Analysis, Wireless-Intrusion-Prevention-System, etc.), wobei HIPS und NIPS die wohl wichtigsten darstellen.<br /> <br /> <br /> Vor- / Nachteile:<br /> <br /> Vorteile:<br /> <br /> - Wahrscheinlichkeit von Sicherheitsvorfällen wird verringert<br /> - dynamischer Schutz vor Bedrohungen<br /> - Administratoren werden bei verdächtigen Aktivitäten automatisch benachrichtigt<br /> - Ausnutzen von Zero-Day-Exploits, DDoS-Attacken oder Brute-Force-Angriffe können abgeschwächt bzw. verringert werden<br /> - Weniger manuelle Eingriffe von Administratoren durch die Automatisierung notwendig<br /> - Spezifischer eingehender Netzwerkverkehr kann erlaubt/verboten werden<br /> <br /> <br /> Nachteile:<br /> <br /> - False-Positive: Unter Umständen kann ein IPS bestimmte Pakete blockieren, obwohl diese (nach Überprüfung) nicht schädlich sind --&gt; Dieses führt dann aber dazu, dass Anwender einen Dienst nicht wie benötigt nutzen können<br /> - Kann das Gesamtsystem bei ungenügender Netzwerkbandbreite sowie Netzwerkkapazität verlangsamen<br /> - Wenn mehrere IPS betrieben werden, müssen die Daten jedes einzelne durchlaufen, bis sie zum Endanwender gelangen --&gt; Verlangsamung<br /> - Unter Umständen sehr kostenintensiv</div>

St180942 http://it-forensik.fiw.hs-wismar.de/index.php?title=IPS_-_Intrusion_Prevention_System&diff=1566 2021-02-05T10:03:42Z

<p>St180942: </p> <hr /> <div>'''IPS – Intrusion-Prevention-System<br /> '''<br /> <br /> Ebenso wie Intrusion-Detection-Systeme (IDS) überwacht und analysiert ein Intrusion-Prevention-System (IPS) den Netzwerkverkehr. Das IDS liefert lediglich Informationen zu entdeckten Sicherheitsproblemen oder Angriffen. Darüber hinaus kann das IPS allerdings automatische Maßnahmen auf Grundlage von Regeln ergreifen und beispielsweise ein als schädlich eingestuftes Paket verwerfen und den zukünftigen Netzwerkverkehr dieser IP-Adresse oder einen Port sperren. Somit kann man Intrusion-Prevention-Systeme als erweiterte Intrusion-Detection-Systeme bezeichnen.<br /> <br /> <br /> == Funktion ==<br /> <br /> Das IPS befindet sich üblicherweise direkt hinter einer Firewall und überwacht aktiv das Netzwerk. <br /> Folgende Erkennungsmethoden werden hierbei eingesetzt:<br /> <br /> - Signaturbasierte Erkennung: Zuvor definierte Angriffssignaturen bekannter Netzwerkbedrohungen werden überprüft<br /> - Anomalienbasierte Erkennung: auffälliges, von der Norm abweichendes Verhalten wird überprüft<br /> - Richtlinienbasierte Erkennung: Zuvor erstellte Sicherheitsrichtlinien werden überprüft<br /> <br /> Hinzu kommen heuristische Methoden, um bisher unentdeckte Angriffe aufzuspüren. Diese nutzen Verfahren der künstlichen Intelligenz und sind teilweise selbstlernend.<br /> <br /> <br /> Bei einer erkannter Bedrohung können automatisierte Maßnahmen ergriffen werden:<br /> <br /> - verdächtige Pakete verwerfen<br /> - Netzwerkverkehr von einer bestimmten Quelle oder zu einem bestimmten Ziel blockieren<br /> - Netzwerkverbindung unterbrechen oder zurücksetzen<br /> - Meldung an den Administrator<br /> - Firewalls neu konfigurieren<br /> - Nutzdaten neu packen<br /> - infizierte Anhänge entfernen<br /> - etc.<br /> <br /> <br /> Typen:<br /> <br /> - Host-based IPS (HIPS):<br /> Hierbei wird das IPS auf einem Host installiert, auf welchem alle empfangenen sowie gesendeten Daten analysiert werden. Zudem werden von dem System bereitgestellte Daten (z.B. Logs) ebenfalls überprüft. Bei Feststellung eines Angriffs kann das HIPS in den Datenverkehr eingreifen oder auch einzelne Anwendungen blockieren.<br /> <br /> - Network-based IPS (NIPS)<br /> Als eigenständiges Gerät oder in eine Firewall integriert überwacht das NIPS direkt den Netzverkehr und kann somit alle am Netzwerk angeschlossen Systeme vor Netzwerkangriffen schützen. <br /> Das NIPS kann nochmals unterschieden werden in Content-based IPS (CBIPS), Protocol-Analysis IPS (PAIPS) und das Rate-based IPS (RBIPS).<br /> Je nach Leistungsfähigkeit analysiert es die übertragenen Daten auf <br /> Protokoll- oder Anwendungsebene. Zudem können diese Datenmengen auf Abweichungen zu üblichen Datenmengen zwischen bestimmten Quellen und Zielen überprüft werden.<br /> <br /> Darüber hinaus gibt es noch weitere Arten von Intrusion-Prevention-Systemen (Network-Behaviour-Analysis, Wireless-Intrusion-Prevention-System, etc.), wobei HIPS und NIPS die wohl wichtigsten darstellen.<br /> <br /> <br /> Vor- / Nachteile:<br /> <br /> Vorteile:<br /> <br /> - Wahrscheinlichkeit von Sicherheitsvorfällen wird verringert<br /> - dynamischer Schutz vor Bedrohungen<br /> - Administratoren werden bei verdächtigen Aktivitäten automatisch benachrichtigt<br /> - Ausnutzen von Zero-Day-Exploits, DDoS-Attacken oder Brute-Force-Angriffe können abgeschwächt bzw. verringert werden<br /> - Weniger manuelle Eingriffe von Administratoren durch die Automatisierung notwendig<br /> - Spezifischer eingehender Netzwerkverkehr kann erlaubt/verboten werden<br /> <br /> <br /> Nachteile:<br /> <br /> - False-Positive: Unter Umständen kann ein IPS bestimmte Pakete blockieren, obwohl diese (nach Überprüfung) nicht schädlich sind --&gt; Dieses führt dann aber dazu, dass Anwender einen Dienst nicht wie benötigt nutzen können<br /> - Kann das Gesamtsystem bei ungenügender Netzwerkbandbreite sowie Netzwerkkapazität verlangsamen<br /> - Wenn mehrere IPS betrieben werden, müssen die Daten jedes einzelne durchlaufen, bis sie zum Endanwender gelangen --&gt; Verlangsamung<br /> - Unter Umständen sehr kostenintensiv</div>

St180942 http://it-forensik.fiw.hs-wismar.de/index.php?title=IPS_-_Intrusion_Prevention_System&diff=1565 2021-02-05T10:01:45Z

<p>St180942: Die Seite wurde neu angelegt: „&#039;&#039;&#039;IPS – Intrusion-Prevention-System &#039;&#039;&#039; Ebenso wie Intrusion-Detection-Systeme (IDS) überwacht und analysiert ein Intrusion-Prevention-System (IPS) den Ne…“</p> <hr /> <div>'''IPS – Intrusion-Prevention-System<br /> '''<br /> <br /> Ebenso wie Intrusion-Detection-Systeme (IDS) überwacht und analysiert ein Intrusion-Prevention-System (IPS) den Netzwerkverkehr. Das IDS liefert lediglich Informationen zu entdeckten Sicherheitsproblemen oder Angriffen. Darüber hinaus kann das IPS allerdings automatische Maßnahmen auf Grundlage von Regeln ergreifen und beispielsweise ein als schädlich eingestuftes Paket verwerfen und den zukünftigen Netzwerkverkehr dieser IP-Adresse oder einen Port sperren. Somit kann man Intrusion-Prevention-Systeme als erweiterte Intrusion-Detection-Systeme bezeichnen.<br /> <br /> <br /> Funktion:<br /> <br /> Das IPS befindet sich üblicherweise direkt hinter einer Firewall und überwacht aktiv das Netzwerk. <br /> Folgende Erkennungsmethoden werden hierbei eingesetzt:<br /> <br /> - Signaturbasierte Erkennung: Zuvor definierte Angriffssignaturen bekannter Netzwerkbedrohungen werden überprüft<br /> - Anomalienbasierte Erkennung: auffälliges, von der Norm abweichendes Verhalten wird überprüft<br /> - Richtlinienbasierte Erkennung: Zuvor erstellte Sicherheitsrichtlinien werden überprüft<br /> <br /> Hinzu kommen heuristische Methoden, um bisher unentdeckte Angriffe aufzuspüren. Diese nutzen Verfahren der künstlichen Intelligenz und sind teilweise selbstlernend.<br /> <br /> <br /> Bei einer erkannter Bedrohung können automatisierte Maßnahmen ergriffen werden:<br /> <br /> - verdächtige Pakete verwerfen<br /> - Netzwerkverkehr von einer bestimmten Quelle oder zu einem bestimmten Ziel blockieren<br /> - Netzwerkverbindung unterbrechen oder zurücksetzen<br /> - Meldung an den Administrator<br /> - Firewalls neu konfigurieren<br /> - Nutzdaten neu packen<br /> - infizierte Anhänge entfernen<br /> - etc.<br /> <br /> <br /> Typen:<br /> <br /> - Host-based IPS (HIPS):<br /> Hierbei wird das IPS auf einem Host installiert, auf welchem alle empfangenen sowie gesendeten Daten analysiert werden. Zudem werden von dem System bereitgestellte Daten (z.B. Logs) ebenfalls überprüft. Bei Feststellung eines Angriffs kann das HIPS in den Datenverkehr eingreifen oder auch einzelne Anwendungen blockieren.<br /> <br /> - Network-based IPS (NIPS)<br /> Als eigenständiges Gerät oder in eine Firewall integriert überwacht das NIPS direkt den Netzverkehr und kann somit alle am Netzwerk angeschlossen Systeme vor Netzwerkangriffen schützen. <br /> Das NIPS kann nochmals unterschieden werden in Content-based IPS (CBIPS), Protocol-Analysis IPS (PAIPS) und das Rate-based IPS (RBIPS).<br /> Je nach Leistungsfähigkeit analysiert es die übertragenen Daten auf <br /> Protokoll- oder Anwendungsebene. Zudem können diese Datenmengen auf Abweichungen zu üblichen Datenmengen zwischen bestimmten Quellen und Zielen überprüft werden.<br /> <br /> Darüber hinaus gibt es noch weitere Arten von Intrusion-Prevention-Systemen (Network-Behaviour-Analysis, Wireless-Intrusion-Prevention-System, etc.), wobei HIPS und NIPS die wohl wichtigsten darstellen.<br /> <br /> <br /> Vor- / Nachteile:<br /> <br /> Vorteile:<br /> <br /> - Wahrscheinlichkeit von Sicherheitsvorfällen wird verringert<br /> - dynamischer Schutz vor Bedrohungen<br /> - Administratoren werden bei verdächtigen Aktivitäten automatisch benachrichtigt<br /> - Ausnutzen von Zero-Day-Exploits, DDoS-Attacken oder Brute-Force-Angriffe können abgeschwächt bzw. verringert werden<br /> - Weniger manuelle Eingriffe von Administratoren durch die Automatisierung notwendig<br /> - Spezifischer eingehender Netzwerkverkehr kann erlaubt/verboten werden<br /> <br /> <br /> Nachteile:<br /> <br /> - False-Positive: Unter Umständen kann ein IPS bestimmte Pakete blockieren, obwohl diese (nach Überprüfung) nicht schädlich sind --&gt; Dieses führt dann aber dazu, dass Anwender einen Dienst nicht wie benötigt nutzen können<br /> - Kann das Gesamtsystem bei ungenügender Netzwerkbandbreite sowie Netzwerkkapazität verlangsamen<br /> - Wenn mehrere IPS betrieben werden, müssen die Daten jedes einzelne durchlaufen, bis sie zum Endanwender gelangen --&gt; Verlangsamung<br /> - Unter Umständen sehr kostenintensiv</div>

St180942 http://it-forensik.fiw.hs-wismar.de/index.php?title=Hauptseite&diff=1564 2021-02-05T09:58:14Z

<p>St180942: /* I */</p> <hr /> <div>Willkommen beim IT-Forensik-Wiki der Hochschule Wismar. Hier werden wesentliche Begriffe zum Thema „Digitale Forensik“ erläutert.<br /> <br /> == Literatur == <br /> <br /> [[Projektarbeiten]]<br /> <br /> [[Abschlussarbeiten im Bachelor Studiengang &quot;IT-Forensik&quot;]]<br /> <br /> [[Abschlussarbeiten im Master Studiengang &quot;IT-Sicherheit und Forensik&quot;]]<br /> <br /> [[Forensik in DB]]<br /> <br /> == Stichworte IT-Forensik ==<br /> === A ===<br /> [[Aggregation]]<br /> <br /> [[Angriffe auf Forensik-Software]]<br /> <br /> [[Anti-Forensik]]<br /> <br /> [[Anwendungsarchitektur]]<br /> <br /> [[Arbeitsspeicher]]<br /> <br /> [[Asset Relocation]]<br /> <br /> [[APT]]<br /> <br /> === B ===<br /> [[Betriebssystem]]<br /> <br /> [[Blockchainbasierte Datenbank]]<br /> <br /> [[Broken Authentication]]<br /> <br /> [[Brute Force]]<br /> <br /> [[BSI-Vorgehensmodell]]<br /> <br /> [[Bundesdatenschutzgesetz (BDSG)]]<br /> <br /> [[BurpSuite]]<br /> <br /> === C ===<br /> [[Cache]]<br /> <br /> [[Canarytoken]]<br /> <br /> [[CERT-Taxonomie]]<br /> <br /> [[Chain of Custody]]<br /> <br /> [[Checkliste IT-Forensik für Unternehmen]]<br /> <br /> [[Chip-Off]]<br /> <br /> [[Cold Backup]]<br /> <br /> [[Computer Sabotage]]<br /> <br /> [[Cookies]]<br /> <br /> [[Cross Site Scripting (XSS)]]<br /> <br /> [[CryptoLocker]]<br /> <br /> [[Cybercrime]]<br /> <br /> === D ===<br /> [[Darknet]]<br /> <br /> [[Dateiheader]]<br /> <br /> [[Datenanalyse]]<br /> <br /> [[Datenbank Firewall]]<br /> <br /> [[Datenbankforensik]]<br /> <br /> [[Datenschutz in der IT-Forensik]]<br /> <br /> [[Datenvernichtung]]<br /> <br /> [[Datenverschleierung]]<br /> <br /> [[Datensammlung]]<br /> <br /> [[DDL &amp; DML]]<br /> <br /> [[Deep Packet Inspection]]<br /> <br /> [[Deep Web]]<br /> <br /> [[Diff]]<br /> <br /> [[Digitale Artefakte]]<br /> <br /> [[Digitale Forensik]]<br /> <br /> [[DLL (.dll Dateien)]]<br /> <br /> [[DoS &amp; DDoS]]<br /> <br /> [[Dokumentation]]<br /> <br /> [[Doxing]]<br /> <br /> [[Dual Use Software]]<br /> <br /> [[Dynamische Analyse]]<br /> <br /> === E ===<br /> [[eDiscovery]]<br /> <br /> [[Egg Hunting]]<br /> <br /> [[Ermittlungsprozess]]<br /> <br /> [[Error Based SQL Injection]]<br /> <br /> [[Exploit]]<br /> <br /> === F ===<br /> [[File Carving]]<br /> <br /> [[Flüchtige Daten]]<br /> <br /> [[Forensic Data Mining]]<br /> <br /> [[Forensic Readiness]]<br /> <br /> [[Forensische Duplikation]]<br /> <br /> [[Forensischer Koffer]]<br /> <br /> [[Fragmentierung]]<br /> <br /> [[Fuzzing]]<br /> <br /> === G ===<br /> [[Geotag]]<br /> <br /> [[GeoIP-Datenbank]]<br /> <br /> [[Gerichtsfestigkeit]]<br /> <br /> <br /> === H ===<br /> [[Hardware-Sicherheitsmodul]]<br /> <br /> [[Hashcat]]<br /> <br /> [[Hashwert]]<br /> <br /> [[Hilfstatort]]<br /> <br /> [[Honeypot]]<br /> <br /> <br /> === I ===<br /> [[IDS - Intrusion Detection System]]<br /> <br /> [[Image]]<br /> <br /> [[Imaging]]<br /> <br /> [[IMSI-Catcher]]<br /> <br /> [[Incident-Response-Team]]<br /> <br /> [[Indicator of Compromise]]<br /> <br /> [[Integrität]]<br /> <br /> [[IT-Forensik]]<br /> <br /> [[IPS - Intrusion Prevention System]]<br /> <br /> === J === <br /> [[Jailbreak]]<br /> <br /> [[Journaling-Dateisystem]]<br /> <br /> [[Jump Lists]]<br /> <br /> === K === <br /> <br /> [[Installieren eines Live-Kali-Linux-System auf USB-Stick]]<br /> <br /> [[Kausalität in der Forensik]]<br /> <br /> [[Korrelation]]<br /> <br /> <br /> === L === <br /> [[Lateral Movement]]<br /> <br /> [[LDAP-Injection]]<br /> <br /> [[Litigation Hold]]<br /> <br /> [[Live-Forensik]]<br /> <br /> [[Local file inclusion]]<br /> <br /> [[Locard'sche Regel]]<br /> <br /> [[Lockheed Martin Cyber Kill Chain]]<br /> <br /> [[Log-File]]<br /> <br /> [[LogMining]]<br /> <br /> === M === <br /> [[Magnet Axiom]]<br /> <br /> [[Memory Forensics]]<br /> <br /> [[Metadaten]]<br /> <br /> [[Mobiltelefon-Forensik]]<br /> <br /> <br /> === N === <br /> [[Netflow]]<br /> <br /> [[Never-Touch-Original]]<br /> <br /> [[Nmap]]<br /> <br /> <br /> === O ===<br /> [[Online-Forensik]]<br /> <br /> [[Offline-Forensik]]<br /> <br /> [[Ontologie &amp; Semantik]]<br /> <br /> [[Order of Volatility]]<br /> <br /> [[OS Fingerprinting]]<br /> <br /> [[OSINT-Werkzeug]]<br /> <br /> === P ===<br /> [[Pass-the-Hash-Attack]]<br /> <br /> [[Payload]]<br /> <br /> [[Partition]]<br /> <br /> [[PCMCIA]]<br /> <br /> [[Penetrationstest]]<br /> <br /> [[Post-Mortem-Analyse]]<br /> <br /> [[Prepared Statement]]<br /> <br /> [[Prozess der Mobiltelefon Forensik]]<br /> <br /> [[Prüfsumme]]<br /> <br /> [[P2P (Peer-to-Peer) Software / Netzwerke]]<br /> <br /> === Q ===<br /> <br /> [[Query Log]]<br /> <br /> <br /> === R ===<br /> <br /> [[Radare 2 - Reverse Engineering Framework]]<br /> <br /> [[Rainbow Table]]<br /> <br /> [[Redo Logs]]<br /> <br /> [[Registry]]<br /> <br /> [[Remote Access Trojaner (RAT)]]<br /> <br /> [[Replay Attack]]<br /> <br /> [[Reverse Engineering]]<br /> <br /> [[Rootkit]]<br /> <br /> === S ===<br /> [[SAP-Modell]]<br /> <br /> [[Sandbox]]<br /> <br /> [[Security Information and Event Management (SIEM)]]<br /> <br /> [[Seitenkanalattacke]]<br /> <br /> [[Semantik]]<br /> <br /> [[Skimming]]<br /> <br /> [[Skript-Kiddie]]<br /> <br /> [[Slack Space]]<br /> <br /> [[Statische Analyse]]<br /> <br /> [[Sniffing]]<br /> <br /> [[Sealbag]]<br /> <br /> [[SpiderFoot]]<br /> <br /> [[Spuren]]<br /> <br /> [[SQL Injection]]<br /> <br /> [[SQLite Datenbanken auslesen mittels Python]]<br /> <br /> [[Sqlmap]]<br /> <br /> [[Steganographie]]<br /> <br /> === T ===<br /> [[Tatort]]<br /> <br /> [[Timeline]]<br /> <br /> [[Triage]]<br /> <br /> [[Trugspur]]<br /> <br /> [[Totmannschalter]]<br /> <br /> === U ===<br /> [[Unallocated Data (Nicht zugeordnete Daten)]]<br /> <br /> <br /> === V ===<br /> [[Verfügbarkeit]]<br /> <br /> [[Vertraulichkeit]]<br /> <br /> [[Vertraulichkeit in Datenbanksystemen]]<br /> <br /> [[Volume Shadow Copies]]<br /> <br /> [[Vorsorge für die IT-Forensik]]<br /> <br /> [[Video-Forensik]]<br /> <br /> === W ===<br /> [[W-Fragen]]<br /> <br /> [[Watering-Holes]]<br /> <br /> [[Web-Application-Firewall]]<br /> <br /> [[Why-Because-Analyse (WBA)]]<br /> <br /> [[Windows-RAM auslesen]]<br /> <br /> [[Wiping]]<br /> <br /> [[Wireshark]]<br /> <br /> [[Write Blocker]]<br /> <br /> [[Wörterbuchangriff]]<br /> <br /> === X ===<br /> [[Xmount]]<br /> <br /> <br /> === Z ===<br /> [[Zeit]]<br /> <br /> [[Zenmap]]<br /> <br /> [[Zero-Day-Exploit]]<br /> <br /> [[Ziele einer forensischen Untersuchung nach A. Geschonneck]]<br /> <br /> == Interessante Links ==<br /> <br /> Tsurugi Forensik-Linux https://tsurugi-linux.org<br /> <br /> Abhören von Smarthome-Geräten https://srlabs.de/bites/smart-spies/<br /> <br /> == Fernstudiengänge an der Hochschule Wismar (berufsbegleitend) ==<br /> <br /> [https://www.wings.hs-wismar.de/de/fernstudium_bachelor/it_forensik IT-Forensik, Bachelor] <br /> <br /> [https://www.wings.hs-wismar.de/de/fernstudium_master/it_sicherheit_und_forensik/ IT-Sicherheit und Forensik, Master]<br /> <br /> == Starthilfen ==<br /> <br /> * Hilfe zur Benutzung und Konfiguration der Wiki-Software finden Sie im [https://www.mediawiki.org/wiki/Special:MyLanguage/Help:Contents Benutzerhandbuch]<br /> * [https://www.mediawiki.org/wiki/Special:MyLanguage/Manual:Configuration_settings Liste der Konfigurationsvariablen]<br /> * [https://www.mediawiki.org/wiki/Special:MyLanguage/Manual:FAQ MediaWiki-FAQ]<br /> * [https://lists.wikimedia.org/mailman/listinfo/mediawiki-announce Mailingliste neuer MediaWiki-Versionen]<br /> * [https://www.mediawiki.org/wiki/Special:MyLanguage/Localisation#Translation_resources Übersetze MediaWiki für deine Sprache]<br /> * [https://www.mediawiki.org/wiki/Special:MyLanguage/Manual:Combating_spam Erfahre, wie du Spam auf deinem Wiki bekämpfen kannst]</div>

St180942