01
Umfang und Planung
Wir klären Dienste, Zonen, Verschlüsselung, Verkehrsmenge und Dokumentationsbedarf. Sensorstandorte, Alarmbearbeitung, Aufbewahrung und Abbruchkriterien bei Auswirkungen auf Dienste werden festgelegt.
Erkennung von Netzwerkbedrohungen
IDS- und IPS-Systeme einrichten
Wir planen die Beobachtung des Netzwerkverkehrs und die Bearbeitung von Alarmen. IDS erkennt verdächtige Aktivitäten; IPS kann ausgewählten Verkehr blockieren. Vor der Aktivierung stehen Beobachtung, Regelabstimmung und Tests der Auswirkungen auf Dienste. Erkennungsumfang und Reaktionsverantwortung werden mit Ihrem Unternehmen vereinbart.
Kunden
Unternehmen und Institutionen, die stabile IT benötigen.
Was im Netzwerk sichtbar sein soll
Wir beginnen bei wichtigen Diensten und Beobachtungspunkten: Internetanschlüssen, Zonen öffentlich erreichbarer Dienste, Servern, VPN, Standorten, Cloud und internem Verkehr. Wir wählen relevante Szenarien aus: Scans, Ausnutzung von Schwachstellen, Verbindungen zu Angreiferservern, unbefugter Zugriff, Bewegung zwischen Systemen und Datendiebstahl, auch durch versteckte Übertragung in DNS-Anfragen. Hinweise auf Schadsoftware, einschließlich Ransomware, und länger laufende Angriffskampagnen fließen ein. IDS/IPS ergänzt Firewall und Endgeräteschutz; es ersetzt sie nicht und liefert keine vollständige Sicht auf jede Verbindung.
Risikoreduktion Was im Netzwerk sichtbar sein soll
Netzwerkerkennung mit Reaktion verbinden
Netzwerkereignisse sollen Menschen und Systeme erreichen, die sie untersuchen können. Anbindungen und Maßnahmen nach einem Alarm werden gesondert vereinbart.
SOC, SIEM und SOAR
Ereignisse verknüpfen, Alarme bewerten, eskalieren und vereinbarte Reaktionen automatisieren. Zuständigkeiten und Bearbeitungszeiten werden festgelegt.Endgeräteschutz mit EDR
Netzwerkalarme mit Ereignissen auf Computern und Servern verknüpfen und Geräte nach Vereinbarung isolieren.Firewall einrichten
Zugriffsregeln und Netztrennung. IPS-Funktionen werden nach Gerät, Lizenzen und vertretbaren Auswirkungen auf den Verkehr ausgewählt.Netzwerk-Penetrationstests
Gesondert vereinbarte Prüfung von Schwachstellen und Angriffswegen. Ergebnisse helfen bei der Auswahl von Erkennungstests.ISO 27001 · TÜV NORD Polska
Das Informationssicherheitsmanagementsystem von Virtline ist durch TÜV NORD Polska nach PN-EN ISO/IEC 27001:2023-08 zertifiziert. Geltungsbereich und Gültigkeit stehen im veröffentlichten Zertifikat.
Zertifikat von Virtline ansehenAblauf der IDS/IPS-Einführung
Entscheidend ist, was beobachtet und was gestoppt werden darf. Eine vorhandene Sperrfunktion ist allein kein Grund, sie einzuschalten.
02
Installation und Anbindung
Wir konfigurieren Sensoren, Regelquellen, Verkehrskopien und Protokollweiterleitung. Geprüft werden Leistung, Sensorzustand, einheitliche Zeit, Redundanz und der Weg eines Testalarms zur zuständigen Person.
03
Beobachtung und Abstimmung
Zunächst erfassen wir normalen Verkehr ohne Sperren. Regeln für bekannte Angriffsmuster, ungewöhnliches Verhalten und die Reputation von Quellen werden getrennt bewertet. Wir untersuchen Fehlalarme und vereinbaren Schwellen und Ausnahmen. Die Beobachtungsdauer richtet sich nach dem Netzbetrieb, nicht nach einer festen Frist.
04
Sperren und Übergabe
Falls beauftragt, werden ausgewählte IPS-Regeln nach Freigabe der Tests und Dienstauswirkungen aktiviert. Wir vereinbaren die Rücknahme von Änderungen und übergeben Ergebnisse sowie Anweisungen. Laufende Regelpflege und Vorfallbearbeitung benötigen einen eigenen Umfang.
Praktischer Umfang
Was Sie erhalten
Die Abnahme umfasst vereinbarte Beobachtungspunkte, Regeln und den Weg vom Alarm zum Ticket. Nicht sichtbare Bereiche, übersehene Szenarien und Risiken werden dokumentiert.
Sensor- und Verkehrsübersicht, Grob- und Detailarchitektur sowie Erkennungs- oder Sperrmodus. Wir beschreiben Verkehrskopien über TAP/SPAN, mögliche Bündelung, Durchsatz, Redundanz und Latenz. Für Ausfälle wird festgelegt, ob Verkehr ohne Prüfung weiterlaufen darf oder gestoppt wird.
Verzeichnis der Regeln, eigenen Erkennungen, Updatequellen, Schwellen und Ausnahmen für legitime Aktivitäten. Ergebnisse zeigen erkannte Ereignisse, Fehlalarme und Folgen von Sperren für Anwendungen. Die Erkennungszeit wird mit dem Ausgangszustand verglichen, ohne eine feste Verbesserung vorauszusetzen.
Protokolle werden eingelesen, vereinheitlicht und mit Firewall-, EDR-, Active-Directory- und Serverereignissen verknüpft. Wir legen Prioritäten, Zuständige, Eskalation und Ticketerstellung fest. Anweisungen benennen Freigaben für Adresssperren, Geräteisolation und Datensammlung zur Vorfallanalyse.
Sichere Sensorkonfiguration, Zeitsynchronisation, Konfigurationssicherungen und Zustandskontrollen. Der Plan umfasst Aufbewahrung von Metadaten und optionalen Paketaufzeichnungen, Speicherkosten, Prüfungen und Berichte zu Alarmen, Regeländerungen und offenen Risiken.
Grenzen und Quellen
Die Wirksamkeit hängt von Sensorstandorten, Regeln, Verschlüsselung und Leistung ab. In Produktionsnetzen planen wir vorrangig die passive Beobachtung industrieller Geräte und die Zusammenarbeit mit der Instandhaltung. In AWS, Azure und GCP können Verbindungsprotokolle und verfügbare Sicherheitssignale die Grundlage bilden, statt derselben Sensorik wie im Büro. Dokumentation und Szenarien ordnen wir Unternehmensanforderungen und geeigneten Quellen wie MITRE ATT&CK zu. Bezüge zu NIS2, ISO 27001, DORA, PCI DSS, HIPAA oder branchenspezifischer Aufsicht müssen zum vereinbarten Umfang passen; eine Installation bestätigt keine Konformität. Berichte können Audits oder Versicherungsprüfungen unterstützen, doch Vertragsbedingungen beurteilt der Versicherer. NIST SP 800-94 ist ein Leitfaden von 2007, kein aktueller Produktkatalog.
Quelle
NIST SP 800-94 — IDPS-Systeme
Offizieller NIST-Leitfaden zu Systemen für Angriffserkennung und -prävention.
Quelle öffnenQuelle
MITRE ATT&CK — Enterprise-Matrix
Offizielle Wissensbasis für Taktiken und Techniken zur Planung und Bewertung der Erkennungsabdeckung.
Quelle öffnenQuelle
Verordnung (EU) 2022/2554 — DORA
Amtlicher Text der DORA-Verordnung in EUR-Lex.
Quelle öffnenQuelle
PCI SSC — PCI DSS
Offizielle Seite des aktuellen Sicherheitsstandards für Zahlungskartendaten.
Quelle öffnenQuelle
e-CFR — 45 CFR 164.308
Amtlicher US-Text zu den administrativen Schutzmaßnahmen der HIPAA Security Rule.
Quelle öffnenFragen zu IDS und IPS
Kann IPS eine legitime Verbindung sperren?
+
Ja. Fehlalarme können auch nach der Regelabstimmung auftreten. Ein passives IDS beobachtet eine Verkehrskopie und meldet Ereignisse. Ein IPS im Verkehrsweg kann Verbindungen stoppen. Deshalb prüfen wir Regeln, Ausnahmen, Last, Latenz und Ausfallverhalten. Sperren und Rücknahmeverfahren bedürfen Ihrer Freigabe; eine unterbrechungsfreie Einführung versprechen wir nicht.
Wie wählen Sie die IDS/IPS-Plattform aus?
+
Wir arbeiten mit Suricata und Snort 3 sowie IPS-Funktionen unter anderem von Cisco, Palo Alto, Fortinet, Check Point und Trellix. Zeek analysiert Verkehr passiv und erstellt Protokolle; es übernimmt keine IPS-Sperrfunktion. NDR kann Verhaltensanalysen ergänzen und die gezielte Suche nach Bedrohungen unterstützen. Maßgeblich sind Verkehr, Regellizenzen, Ressourcen und Betriebsteam, nicht eine feste Ausstattung je Mitarbeiterzahl. Die Lösung ersetzt weder gegen Veränderung geschützte Backups noch Wiederherstellungsverfahren.
Was ist bei verschlüsseltem Verkehr sichtbar?
+
Ohne entschlüsselte Inhalte bleibt die Analyse begrenzt. Wir nutzen verfügbare Angaben zu TLS-Verbindungen, DNS-Namen und Verkehrsflüssen; sie ersetzen nicht den vollständigen Kommunikationsinhalt. Die Prüfung entschlüsselten Verkehrs wird nach Klärung rechtlicher und technischer Voraussetzungen erwogen. Vollständige Paketaufzeichnung (PCAP) erfordert eine eigene Entscheidung über Zweck, Aufbewahrung, Kompression, Kapazität und Kosten. Sie ist nicht mit Protokollen oder Metadaten gleichzusetzen.
Wer bearbeitet Alarme nach der Einführung?
+
Das kann Ihre IT, Ihr SOC, Virtline oder ein gemeinsames Modell übernehmen. Wir vereinbaren Zeiten, Reaktion, Eskalation, Regelupdates und die Auswertung neuer Bedrohungen. Berichte, etwa monatlich, zeigen Sensorzustand, Fehlalarme, Erkennungszeit und Risiken. Prüfungen berücksichtigen auch neue Geräte, Zonen, VPN-, Cloud- und Produktionsverbindungen. Systeme wie Sentinel, Splunk, Elastic, Wazuh oder Graylog werden passend zu vorhandenen Protokollen und Betriebsabläufen ausgewählt, ohne automatische Zusage einer 24/7-Bereitschaft.
Beobachtung und Reaktion abstimmen
Nennen Sie wichtige Dienste, Standorte, Verbindungskapazitäten sowie vorhandene Firewalls und Systeme zur Ereignisanalyse. Wer bearbeitet Alarme, und sollen Verbindungen blockiert werden? Für vertrauliche Netzpläne vereinbaren wir einen Übermittlungsweg.
IDS/IPS-Einführung besprechen