> For the complete documentation index, see [llms.txt](https://docs.enginsight.com/docs/llms.txt). Markdown versions of documentation pages are available by appending `.md` to page URLs; this page is available as [Markdown](https://docs.enginsight.com/docs/manual/bedienung-der-plattform/hosts/intrusion-detection-system.md).

# Intrusion Detection System

Mit dem Intrusion Detection System (IDS) von Enginsight kannst du den Netzwerkverkehr auf allen Hosts, auf denen ein [Pulsar installiert](/docs/manual/installation-und-konfiguration/installation-und-konfiguration/enginsight-komponenten/pulsar.md) wurde, beobachten, um Angriffe, Missbrauch und Verstöße gegen Sicherheitsrichtlinien zu erkennen. Kombiniert mit dem [Shield-Feature](/docs/manual/bedienung-der-plattform/shield.md), dem Intrusion Prevention System (IPS) von Enginsight, lassen sich erkannte Netzwerkattacken zudem automatisiert verhindern.

Für die Erkennung (Detection) von Netzwerkanomalien und Angriffen werden System- und Netzwerkaktivitäten mithilfe von mehreren tausend vordefinierten Regelwerken, überwiegend sog. Snort Community Rules, analysiert und in der Enginsight Plattform angezeigt.

Das Enginsight IDS bietet ein [stufenbasiertes Erkennungssystem](/docs/manual/bedienung-der-plattform/hosts/management/policy-manager/policy-hinzufugen.md#enginsight-intrusion-detection-system-ids) in Form von 5 Leveln, welche es erlauben, eine individuelle Balance zwischen Performance und Sicherheit einzustellen.

***

## Voraussetzungen

**Aktivierung des IDS**:

Damit Netzwerkanomalien erkannt und, basierend darauf, Netzwerkattacken mithilfe von Shield geblockt werden können, müssen folgende Einstellungen vorgenommen werden:

* Das *Erkennen* von Netzwerkanomalien muss in den [Einstellungen der einzelnen Hosts](/docs/manual/bedienung-der-plattform/host-detailansichten/einstellungen.md#core-feature) oder unter **Hosts** → **Policies** mit einer [entsprechenden Richtlinie aktiviert sein](/docs/manual/bedienung-der-plattform/hosts/management/policy-manager/policy-hinzufugen.md#enginsight-intrusion-detection-system-ids).
* Das *Blocken* von Netzwerkattacken muss in den [Einstellungen der einzelnen Hosts](/docs/manual/bedienung-der-plattform/host-detailansichten/einstellungen.md#core-feature) oder unter **Hosts** → **Policies** mit einer [entsprechenden Richtlinie aktiviert sein](/docs/manual/bedienung-der-plattform/hosts/management/policy-manager/policy-hinzufugen.md#enginsight-shield-ips).

***

## Weitere Hinweise

* Nach der Aktivierung des IDS lernt dieses zunächst die zugrunde liegende IT-Infrastruktur kennen. In dieser Lernphase kann es vermehrt zu falsch-positiven Erkennungen kommen. Wir empfehlen, diesen Zeitraum zu nutzen, um legitimen Netzwerkverkehr und unkritische Aktivitäten, die als auffällig erkannt werden, zu identifizieren und gegebenenfalls auf die [Whitelist](/docs/manual/bedienung-der-plattform/hosts/intrusion-detection-system/whitelist.md) zu setzen.
* Bei der Erstellung von Whitelist-Einträgen gilt es zu beachten, dass die Ausnahmen passgenau sind. Wir empfehlen, Whitelist-Einträge nicht zu großflächig anzulegen, da diese den Sicherheitsgedanken des IDS untergraben, ähnlich einer "any any" Firewall-Regel.

***

## IDS: Menüstruktur

Unter **Hosts** → **Intrusion Detection System** findest du verschiedene Optionen, um Netzwerkanomalien und Netzwerkattacken in Echtzeit zu erkennen und darauf zu reagieren.

<i class="fa-computer-mouse">:computer-mouse:</i> Klicke auf den Menüpunkt **Intrusion Detection System**, um das dazugehörige Untermenü aus- oder einzuklappen.

Folgende Untermenüpunkte stehen zur Verfügung:

{% columns %}
{% column width="33.33333333333333%" %}

<figure><img src="/files/eDAZjyqGfG3FHeQUKvHA" alt=""><figcaption></figcaption></figure>
{% endcolumn %}

{% column width="66.66666666666667%" %}

* [Dashboard](/docs/manual/bedienung-der-plattform/hosts/intrusion-detection-system/dashboard.md)
* [Netzwerkanomalien](/docs/manual/bedienung-der-plattform/hosts/intrusion-detection-system/netzwerkanomalien.md)
* [Whitelist](/docs/manual/bedienung-der-plattform/hosts/intrusion-detection-system/whitelist.md)
* [Weltkarte](/docs/manual/bedienung-der-plattform/hosts/intrusion-detection-system/weltkarte.md)
  {% endcolumn %}
  {% endcolumns %}

<i class="fa-grip-dots-vertical">:grip-dots-vertical:</i> Klicke und halte den Menüpunkt **Intrusion Detection System**, um ihn im Menübaum via Drag-and-Drop inklusive aller Untermenüpunkte zu verschieben.

***

## Weitere Ressourcen

**Knowledge Base**

* [Welche Arten von Netzwerkattacken erkennt das Enginsight IDS?](https://docs.enginsight.com/docs/knowledge-base/intrusion-detection-system-ids/welche-arten-von-netzwerkattacken-erkennt-das-enginsight-ids)
* [Wie kann ich Performance-Probleme des Enginsight IDS auf Windows-Systemen verhindern?](https://docs.enginsight.com/docs/knowledge-base/intrusion-detection-system-ids/wie-kann-ich-performance-probleme-des-enginsight-ids-auf-windows-systemen-verhindern)

***