Host-basierte Intrusion-Detection-Systeme (HIDS) nutzen Informationen aus den Audit-Protokollen des Betriebssystems, um alle Vorgänge auf dem Host zu überwachen, auf dem die Intrusion-Detection-Software installiert ist. Diese Vorgänge werden anschließend mit einer vordefinierten Sicherheitsrichtlinie abgeglichen.

Funktionsweise von HIDS

Das Funktionsprinzip eines HIDS basiert auf der Analyse der Audit-Protokolle des Betriebssystems, die alle Aktivitäten aufzeichnen, die auf dem System stattfinden. Diese Art von Intrusion-Detection-System ist darauf ausgelegt, das Verhalten des Hosts detailliert zu untersuchen und Ereignisse wie unbefugte Zugriffe, Änderungen an Systemdateien, Versuche zur Privilegienerweiterung und andere verdächtige Aktivitäten zu überwachen, die auf eine Sicherheitsverletzung hindeuten könnten.

Vordefinierte Sicherheitsrichtlinie

Eine vordefinierte Sicherheitsrichtlinie ist eine Reihe von Regeln und Kriterien, die festlegen, welche Vorgänge als sicher gelten und welche nicht. Wenn das HIDS einen Vorgang erkennt, vergleicht es diesen mit der Sicherheitsrichtlinie. Wenn der Vorgang nicht den festgelegten Regeln entspricht, wird ein Alarm ausgelöst oder eine Korrekturmaßnahme eingeleitet.

Auswirkungen auf die Systemleistung

Die Analyse der Audit-Protokolle stellt potenziell erhebliche Anforderungen an die Systemressourcen, da für den Betrieb des Intrusion-Detection-Systems eine erhöhte Rechenleistung erforderlich ist. Abhängig von der Größe des Audit-Protokolls und der Verarbeitungskapazität des Systems kann die Überprüfung der Audit-Daten dazu führen, dass die Fähigkeit zur Echtzeitanalyse verloren geht. Dies bedeutet, dass das System in einigen Fällen aufgrund der Zeit, die für die Verarbeitung und Analyse der Daten benötigt wird, ein laufendes Eindringen möglicherweise nicht sofort erkennen kann.

Vor- und Nachteile

Vorteile

• Detaillierte Überwachung: HIDS bieten eine sehr detaillierte Überwachung der Host-Vorgänge, wodurch sie besonders effektiv bei der Erkennung verdächtiger oder unbefugter Aktivitäten sind.
• Anpassungsfähigkeit: Sie können so konfiguriert werden, dass sie auf eine Vielzahl von Bedrohungen reagieren, und lassen sich an die spezifischen Sicherheitsanforderungen einer Organisation anpassen.

Nachteile

• Systembelastung: Die eingehende Analyse der Audit-Protokolle kann eine beträchtliche Menge an Systemressourcen beanspruchen und andere Vorgänge potenziell verlangsamen.
• Verzögerung bei der Analyse: Aufgrund der Zeit, die für die Datenanalyse benötigt wird, kann es zu einer Verzögerung bei der Erkennung von Eindringversuchen kommen, was die Wirksamkeit der Echtzeit-Reaktion verringert.

Fazit

Host-basierte Intrusion-Detection-Systeme sind leistungsstarke Werkzeuge zur Verbesserung der Sicherheit eines Computersystems. Es ist jedoch entscheidend, ihre Vorteile mit den potenziellen Auswirkungen auf die Systemleistung abzuwägen. Eine sorgfältige Konfiguration und umsichtige Verwaltung können dazu beitragen, diese Effekte zu mildern und sicherzustellen, dass das System einen wirksamen Schutz bietet, ohne die Betriebsfähigkeit des Hosts zu beeinträchtigen.