Ein Host-IDS überwacht sicherheitsrelevante Vorgänge auf einzelnen Systemen. Dazu zählen Auffälligkeiten im Programmablauf, Benutzeraktivitäten und mögliche unberechtigte Zugriffe. Sensoren können zentral in das IDRS eingebunden werden. Welche Betriebssysteme und Netzwerkkomponenten unterstützt werden, hängt von der eingesetzten Version und Konfiguration ab.
Ein Netzwerk-IDS analysiert und protokolliert den Datenverkehr innerhalb definierter Netzwerksegmente. Anzahl und Leistungsfähigkeit der Sensoren richten sich nach der eingesetzten Hardware und dem Datenaufkommen. Steuerung und Überwachung erfolgen zentral über den Managementserver.
Verbindung der grundlegenden IDS Methoden signaturbasierend, anomalieerkennend sowie protokollanalysierendSignaturbasierte Verfahren vergleichen beobachtete Daten mit hinterlegten Mustern bekannter oder definierter Angriffsszenarien. Die Erkennung kann durch aktualisierte und selbst erstellte Signaturen sowie konfigurierbare Vorfilter erweitert werden.
Verfahren zur Anomalieerkennung untersuchen Abweichungen von zuvor erfassten oder definierten Normalzuständen. Gespeicherte Ereignisdaten können dabei über unterschiedliche Zeiträume verglichen und ausgewertet werden.
Bei der Protokollanalyse werden Aufbau und Eigenschaften der übertragenen Protokolle berücksichtigt. So lassen sich definierte Vorgänge und Auffälligkeiten im Datenverkehr gezielt untersuchen.
Leistungsfähige Datenbank und optimierte SoftwareDie integrierte Datenbank verwaltet Ereignisse, Signaturen und weitere für den Betrieb relevante Informationen zentral. Der Umfang der gespeicherten Daten hängt unter anderem von der eingesetzten Hardware und der vorgesehenen Aufbewahrungsdauer ab.
Managementserver und Netzwerksensoren basieren auf einem an die jeweiligen Aufgaben angepassten Linux-System. Die eingesetzte Plattform und unterstützte Alternativen richten sich nach der konkreten Systemausstattung.
Ein wesentlicher Baustein der Netzwerkanalyse ist die Open-Source-Software Snort. Sie untersucht den Datenverkehr anhand definierter Regeln und stellt erkannte Ereignisse für die weitere Auswertung bereit.
Spezielle AnpassungenFür besondere Anforderungen können ergänzende Module vorgesehen werden. Ihr Einsatz richtet sich nach der jeweiligen IDRS-Konfiguration.
Mit dem ISP-Modul lassen sich Zugriffsrechte für unterschiedliche Benutzergruppen unter anderem anhand von IP-Adressen unterscheiden. Damit können getrennte Netzwerke innerhalb einer gemeinsamen Verwaltungsumgebung überwacht werden.
Das Content-Security-Modul ermöglicht einen besonders geschützten Zugriff auf archivierte Ereignisdaten. Für die Einsichtnahme kann ein Mehr-Augen-Prinzip mit mehreren Berechtigungen vorgesehen werden.