Securam Consulting Logo
Kontakt

Das große IT-Security-Glossar

Definition:

Hybridsensor (IDS)

Was ist ein Hybridsensor (IDS)?
Ein Hybridsensor im Kontext eines Intrusion Detection Systems (IDS) kombiniert die Überwachung auf Host- und Netzwerkebene. Während hostbasierte Sensoren (HIDS) lokale Systemaktivitäten wie Logins, Dateiänderungen oder Prozesse analysieren, beobachten netzwerkbasierte Sensoren (NIDS) den Datenverkehr im Netzwerk auf verdächtige Muster. Ein Hybridsensor ermöglicht es, beide Perspektiven zusammenzuführen, wodurch sich Angriffsversuche frühzeitiger und präziser erkennen lassen.

Diese Art von Sensor stellt eine erweiterte Sicherheitsmaßnahme dar, da sie sowohl intern generierte als auch extern eingehende Bedrohungen analysiert. Durch die Korrelation von Host- und Netzwerkdaten lassen sich auch komplexe Angriffsketten, sogenannte Kill Chains, besser nachvollziehen.

Technischer Aufbau & Varianten

Bestandteile eines Hybridsensors:

  • HIDS-Komponente:

    • Systemaufruf-Überwachung

    • Integritätsprüfung von Dateien

    • Prozess- und Anomalieüberwachung

  • NIDS-Komponente:

    • Paketanalyse (z. B. mit Deep Packet Inspection)

    • Erkennung von Portscans, Flooding, Signaturabgleichen

  • Analyse-Engine:

    • Korrelierte Auswertung von Host- und Netzwerkdaten

    • Event-Normalisierung für SIEM-Integration

Typische Plattformen:

  • OSSEC (erweiterbar mit Netzwerkmodulen)

  • Suricata kombiniert mit Auditd

  • Snort + Wazuh im Clusterbetrieb

Relevanz in der Praxis

Hybridsensoren bieten Vorteile bei:

  • Früherkennung von APTs (Advanced Persistent Threats)

  • Reduktion von False Positives durch Mehrfachvalidierung

  • Erkennung von Insider-Aktivitäten, die auf reinen NIDS-Setups verborgen bleiben

  • Incident Response, da umfassendere Kontextinformationen verfügbar sind

  • Überwachung verteilter Systeme (Cloud + On-Premise)

Standards & regulatorische Anforderungen

  • ISO 27001 A.12.4: Ereignisprotokollierung und Überwachung

  • BSI IT-Grundschutz OPS.1.1.5: Protokollierung sicherheitsrelevanter Ereignisse

  • NIS-2-Richtlinie: Erkennung und Meldung signifikanter Sicherheitsvorfälle

  • PCI DSS Requirement 10: Monitoring von System- und Netzwerkaktivitäten

Verwandte Begriffe

Beispiel aus der Praxis

Ein Finanzdienstleister erkannte, dass ein legitimer interner Benutzerkonto kompromittiert wurde. Während das NIDS-Modul verdächtige SSH-Verbindungen aus einem nicht autorisierten Subnetz registrierte, lieferte die HIDS-Komponente Hinweise auf ungewöhnliche Dateioperationen im temporären Verzeichnis. Die Korrelation dieser Daten im SIEM führte zur raschen Isolierung des Endpunkts und verhinderte Datenexfiltration.

zum Glossar