CyberGlossary

Netzwerksicherheit

Netzwerk-basiertes IDS (NIDS)

Auch bekannt als: NIDS

Definition

Ein Intrusion-Detection-Sensor, der aus einem Netzwerksegment kopierten Verkehr analysiert, um bösartige Muster und Policy-Verstöße zu erkennen.

Ein Netzwerk-basiertes Intrusion Detection System (NIDS) erhält eine gespiegelte oder per TAP kopierte Version des Netzwerkverkehrs — über SPAN-Ports, Netzwerk-TAPs, Packet Broker oder virtuelle TAPs — und analysiert sie mit Signaturen (Snort/Suricata-Regeln), Protokoll-Dekodern (Zeek) und statistischen Modellen. NIDS bieten breite Sichtbarkeit über viele Hosts ohne Endpoint-Agent, eignen sich für Nord-Süd- und Ost-West-Überwachung und sind zentrale Sensoren für SOCs und Threat Hunter. Da TLS heute viel Verkehr verschlüsselt, stützen sich NIDS zunehmend auf TLS-Metadaten, JA3/JA4-Fingerprints und verhaltensbasierte Flow-Analyse. Effektiv eingesetzt werden NIDS nur mit sorgfältigem TAP-Design, ausreichender Capture-Kapazität, präziser Zeitsynchronisation und Anbindung an SIEM und NDR.

Beispiele

  • Suricata an einem SPAN-Port alarmiert anhand des ET-CINS-Regelsatzes auf bekannte C2-IPs.
  • Zeek-Skripte erkennen DNS-Tunneling per Entropieanalyse der Query-Labels.

Verwandte Begriffe