IDS / Snort – Digitale Früherkennung & Netzüberwachung

Die Ergänzung zur Firewall: Sie sieht auch, was schon durch die Maschen ist.

Ein Intrusion Detection System (IDS) wie Snort ist ein Frühwarnsystem für den Datenverkehr im Netzwerk; wie eine Spinne, die reglos in ihrem Netz sitzt und jede Erschütterung spürt.

  • Ruhezustand (grün): Solange der Datenverkehr normal aussieht, lauscht das IDS nur mit. Es arbeitet mit einer Kopie der Datenpakete (technisch: über einen Mirror-Port), damit das eigentliche Netzwerk nicht langsamer wird. Die Spinne beobachtet, ohne einzugreifen.
  • Alarmzustand (rot): Erkennt das System ein bekanntes Muster oder eine auffällige Häufung, etwa einen Portscan, erzeugt es einen Alarm (Regel, Priorität, Log). Im Video schlagen die Augen dann auf Rot um, was ein Bild für die Meldung ist, nicht der Schalter, der etwas abschneidet.
  • Meldung statt Eingriff: Im IDS-Modus hält Snort niemanden fest. Es reicht den Vorfall an SIEM oder die Verwaltung weiter. Menschen deuten den Befund und reagieren. (Sollte SNORT verdächtige Pakete selbst verwerfen, wäre das IPS: dieselbe Software, anderer Modus.)

Die Spinne: Was sie kann

  • Passiv lauschen: Kopie des Verkehrs über Mirror-Port oder TAP, ohne den Fluss zu bremsen.
  • Muster und Schwellen: Signaturen, Preprocessor und Heuristiken (Vorverarbeitungsmodule, die den Verkehr vor der Prüfung aufbereiten), nicht nur eine einzige bekannte Zeichenkette.
  • Durchgelassenes sichtbar machen: Was die Firewall schon durchließ, kann sie trotzdem noch sehen.
  • Alarm weiterreichen: Log, Regel-ID, SIEM oder Wache. Rot heißt rufen, nicht greifen.

Was sie nicht kann

  • Jemanden festhalten: Im IDS-Modus blockt Snort nichts. Festhalten wäre IPS – ein anderer Posten an derselben Mauer.
  • Alles Neue sehen: Was ihr niemand als Muster gegeben hat, kann unbemerkt bleiben oder Fehlalarm auslösen.
  • Über den Spiegel hinaus sehen: Sieht die Kopie nicht den ganzen Verkehr, spürt sie auch nicht jede Erschütterung. Bei verschlüsseltem Verkehr (TLS) ertastet sie oft nur die Hülle des Pakets, nicht den Inhalt.
  • Entscheiden: Ein rotes Auge ohne Menschen, die den Alarm deuten und handeln, bleibt Dekoration.
  • Die Firewall ersetzen: Firewall, getrennte Netze, gepflegte Systeme und Backups bleiben die Mauern. Die Spinne sitzt im Netz dazwischen.

Aufzug