imported>TechCorner-Redaktion: Neuer Artikel: Intrusion Prevention, Fehlalarme, Inhalts- und Anwendungsfilter, CyberSecure

2026-10-16T00:00:00Z

Neuer Artikel: Intrusion Prevention, Fehlalarme, Inhalts- und Anwendungsfilter, CyberSecure

Neue Seite

{{Steckbrief
| gilt_fuer = UniFi Cloud Gateways und UniFi-Gateways mit UniFi Network 10.x; CyberSecure ab Gateway-Firmware 4.1.8 (Cloud Gateways) und UniFi Network 9.3
| bereich = IT-Security
| dauer = ca. 30 Minuten Einrichtung, danach 1–2 Wochen Beobachtung
| rechte = Administrator in UniFi Network; Besitzer für das CyberSecure-Abonnement
| stand = Oktober 2026
}}
'''IDS/IPS mit UniFi einrichten''' bedeutet, das Gateway den Datenverkehr auf bekannte Angriffsmuster prüfen zu lassen: Das '''Intrusion Detection System''' (IDS) meldet verdächtige Verbindungen, das '''Intrusion Prevention System''' (IPS) blockiert sie zusätzlich. Ergänzt wird das durch DNS-basierte Inhaltsfilter, Werbeblocker und Anwendungsfilter. Mit dem kostenpflichtigen Zusatzdienst '''CyberSecure''' (Proofpoint und Cloudflare) wächst die Signaturdatenbank deutlich. Dieser Artikel zeigt die Einrichtung, den Umgang mit Fehlalarmen, die Filterfunktionen und was CyberSecure bringt.

[[Datei:UniFi-IDS-IPS-CyberSecure.png|thumb|center|750px|IDS/IPS in UniFi: Das Gateway prüft den Verkehr ausgewählter Netze per Deep Packet Inspection gegen Signaturen in Bedrohungskategorien; Modus Notify (IDS) oder Notify and Block (IPS); Treffer erscheinen unter Insights und im System Log und lassen sich blockieren, als Ausnahme freigeben oder per Allow List ausnehmen. CyberSecure erweitert die Signaturen auf bis zu 110.000 und den Inhaltsfilter auf über 100 Kategorien.]]

== Was die Funktionen leisten ==
{| class="wikitable"
! Funktion !! Arbeitsweise !! Ort in UniFi Network
|-
| '''IDS/IPS''' || prüft Pakete per Deep Packet Inspection (Schicht 3, 4 und 7) gegen Signaturen, gruppiert in Bedrohungskategorien || ''Settings › CyberSecure › Protection'' › Intrusion Prevention
|-
| '''Inhaltsfilter''' || leitet DNS-Anfragen zum Gateway um und sperrt Domänen nach Kategorien || ''Settings › CyberSecure › Content Filter''
|-
| '''Werbeblocker''' || sperrt Werbe-Domänen per DNS || im Inhaltsfilter bzw. als eigene Option
|-
| '''Anwendungsfilter''' || erkennt Anwendungen (z. B. BitTorrent, Spiele) und blockiert sie pro Netz oder Gerät || ''Settings › CyberSecure › Protection'' › Simple App Blocking
|-
| '''Honeypot''' || Lockdienste im Netz, die Scans und Angriffsversuche protokollieren || CyberSecure-Einstellungen
|}

== Schritt 1: IDS/IPS einschalten ==
# ''Settings › CyberSecure › Protection'' öffnen und '''Intrusion Prevention''' aktivieren.
# '''Netze''' auswählen, deren Verkehr geprüft wird – z. B. Clients, Server, IoT und Gäste. Die Zahl gleichzeitig geprüfter Netze ist je nach Modell begrenzt.
# '''Detection Mode''':
#* ''Notify'' – nur melden (IDS),
#* ''Notify and Block'' – melden und blockieren (IPS).
# '''Active Detections''': Bedrohungskategorien auswählen. Für den Start alle Kategorien zu Schadsoftware, Exploits, Botnetzen und Command-and-Control aktivieren; Kategorien wie Spiele oder Peer-to-Peer nach Bedarf.
# Speichern.

{{Hinweis|Empfohlener Ablauf: Eine bis zwei Wochen im Modus ''Notify'' laufen lassen, Treffer auswerten und Fehlalarme ausnehmen, dann auf ''Notify and Block'' umstellen. So blockiert das IPS keine Geschäftsanwendungen.}}

=== Leistung ===
Die Prüfung belastet CPU und Arbeitsspeicher des Gateways und senkt den maximalen Durchsatz. Für die Auswahl des Gateways zählt deshalb der Wert '''„mit IDS/IPS“''' in den technischen Daten (techspecs.ui.com), nicht der reine Routing-Durchsatz.

== Schritt 2: Funktion testen ==
# Prüfen, dass in der Gruppe ''Hacking and Exploits'' die Kategorie '''Malicious User Agents''' aktiv ist.
# Auf einem Client im geprüften Netz:
<syntaxhighlight lang="bash">
curl -A "BlackSun" http://www.example.com
</syntaxhighlight>
# Der Treffer erscheint unter ''Insights'' bzw. im ''System Log'' bei den Sicherheitsereignissen; im IPS-Modus wird die Verbindung blockiert.

== Schritt 3: Treffer bewerten ==
Bei jedem Treffer gibt es E-Mail- und Push-Benachrichtigungen. In der Detailansicht stehen betroffener Client, Quell-IP, Protokoll, Signatur, Kategorie und Risikostufe (hoch, mittel, gering, informativ).
# '''Signatur recherchieren''' – was beschreibt sie, ist sie für das Betriebssystem des Clients überhaupt relevant?
# '''Gegenstelle prüfen''' – gehört die IP-Adresse zu einem bekannten Dienst (Streaming, Updates, Spiele sind häufige Fehlalarme)?
# '''Client prüfen''' – Auffälligkeiten, aktueller Virenschutz, ggf. EDR-Scan.
# '''Reagieren''':
{| class="wikitable"
! Aktion !! Wirkung !! wann
|-
| '''Block Connection''' || Firewall-Regel gegen genau diese Verbindung || echter Angriff auf ein Ziel
|-
| '''Block Source IP''' || Firewall-Regel gegen die Quell-IP || wiederholte Angriffe von einer Adresse
|-
| '''Allow Signature''' || Signatur in die Unterdrückungsliste || nachgewiesener Fehlalarm einer Signatur
|-
| '''Exclude Source IP''' || IP in die Allow List || vertrauenswürdiges System, z. B. eigener Schwachstellenscanner
|}
Ausnahmen sparsam einsetzen und dokumentieren – jede Ausnahme ist eine Lücke.

== Schritt 4: Inhaltsfilter und Werbeblocker ==
# ''Settings › CyberSecure › Content Filter'' › neue Richtlinie mit Namen.
# '''Quelle''': Netze oder einzelne Geräte, z. B. Clients und Gäste.
# '''Filtering Policy''': ''Basic'' (Schadsoftware, Erwachseneninhalte) oder ''Enhanced'' (über 100 Kategorien, nur mit CyberSecure).
# Optional '''Ad Blocking''' und '''Safe Search''' (Google, Bing, YouTube).
# Optional '''Allowlist''' und '''Blocklist''' für einzelne Domänen sowie einen '''Zeitplan'''.
Der Filter arbeitet über DNS. Er greift nicht bei verschlüsseltem DNS (DoH/DoT), iCloud Private Relay, Android Private DNS oder Client-VPNs. In Firmennetzen DoH per Gruppenrichtlinie bzw. MDM abschalten oder per Anwendungsfilter sperren.

=== Active Directory und interne DNS-Zonen ===
Weil der Filter DNS-Anfragen zum Gateway umleitet, scheitern sonst Anfragen an den Domänencontroller. Abhilfe ist eine '''DNS-Weiterleitungsregel''' (ab Network 9.4: ''Settings › Policy Table'' › ''Create New Policy'' › ''DNS''):
* '''Domain''': interne Domäne, z. B. <code>firma.local</code> (nur die Basisdomäne, keine SRV-Einträge),
* '''Target IP''': Adresse des Domänencontrollers.
Mehr zu DNS-Einträgen: [[UniFi: DNS-Einträge und lokale Hostnamen]]. Steht der Domänencontroller hinter einem policy-based IPsec-Tunnel oder einem route-based Tunnel ohne Tunnel-IP, ist zusätzlich eine Source-NAT-Regel für Port 53 nötig.

== Schritt 5: Anwendungen sperren ==
''Settings › CyberSecure › Protection'' › '''Simple App Blocking''': Netze oder Geräte wählen, dann einzelne Anwendungen oder ganze Kategorien (z. B. Peer-to-Peer, Spiele) sperren, optional mit Zeitplan. Feinere Regeln – etwa nach Zone, Port und Verbindungsstatus – sind in der [[UniFi: Zone-Based Firewall konfigurieren|Zone-Based Firewall]] möglich.

== CyberSecure: lohnt sich das Abonnement? ==
CyberSecure ist ein kostenpflichtiges Abonnement '''pro Site''' (inklusive eines zweiten Gateways im Shadow Mode für Hochverfügbarkeit), abgeschlossen im Site Manager über das Schild-Symbol der Site.
{| class="wikitable"
! Merkmal !! ohne CyberSecure !! mit CyberSecure
|-
| IDS/IPS-Signaturen || Grundbestand || bis über 110.000 Signaturen (Proofpoint, Microsoft MAPP), wöchentlich 30–50 neue, kuratiert gegen Fehlalarme
|-
| Bedrohungskategorien || weniger || bis 53
|-
| Inhaltsfilter || Basic || Enhanced mit über 100 Kategorien (Cloudflare)
|}
Die nutzbare Signaturzahl hängt vom Gateway ab:
{| class="wikitable"
! Modelle !! Signaturen !! Kategorien
|-
| EFG, EF Core, UXG Enterprise || 110.000+ || 53
|-
| UDM Pro, UDM SE, UDM Pro Max, UCG Ultra, UCG Max, UCG Fiber u. a. || 70.000+ (im ''Memory Optimized Mode'' 30.000+) || 53 (36)
|-
| UDR, UDR7, UX7, UDM || 25.000+ || 13
|}
* Voraussetzungen: Cloud Gateway mit Firmware 4.1.8 oder neuer, UniFi Network 9.3 oder neuer, '''Remote Management aktiviert'''. Nach der Buchung dauert die Aktivierung bis zu 15 Minuten.
* '''Memory Optimized Mode''' lädt eine kleinere, ausgewählte Signaturmenge – sinnvoll, wenn das Gateway zusätzlich BGP, Werbeblocker oder Inhaltsfilter betreibt.
* Ein Abonnement lässt sich bei einem Gerätewechsel übertragen (höchstens zweimal in 30 Tagen); für EFG und EF Core gibt es ein eigenes Enterprise-Abonnement.
* Für Unternehmen mit Anforderungen aus NIS2, ISO 27001 oder Cyberversicherung ist CyberSecure in der Regel sinnvoll, weil der Grundbestand an Signaturen deutlich kleiner ist.

== Datenschutz ==
Laut Ubiquiti werden bei Treffern Metadaten (Zeitstempel, IP-Adressen, Ports, Protokolle, Signatur) verschlüsselt über die Cloud verarbeitet und anschließend gelöscht; dauerhaft gespeichert wird nur die IP-Adresse des Angreifers. Für das Verzeichnis der Verarbeitungstätigkeiten sollte das dokumentiert werden.

== Hinweise ==
* '''Logs zentral auswerten:''' Sicherheitsereignisse per Syslog an ein SIEM senden, siehe [[UniFi: Syslog, SIEM und SNMP anbinden]].
* '''Kein Ersatz für Endpoint-Schutz:''' IDS/IPS sieht verschlüsselten Verkehr nur eingeschränkt. Virenschutz/EDR auf den Clients, Updates und Segmentierung bleiben Pflicht.
* '''Vergleich:''' Das Gegenstück auf OPNsense ist [[OPNsense - Suricata Intrusion Detection und Prevention]].
* Bei Auswertung von Sicherheitsereignissen, Regelpflege und Überwachung unterstützt Sie das [https://www.max-it.de/it-services/managed-siem/ Managed SIEM von m.a.x. it].

== Siehe auch ==
* [[Ubiquiti UniFi]] – Überblick und alle Artikel der Reihe
* [[UniFi: Zone-Based Firewall konfigurieren]]
* [[UniFi: VPN für den Fernzugriff einrichten]]
* [[IDS]]
* [[IPS]]
* [[Suricata]]
* [[Honeypot]]

== Links und Quellen ==
* [https://help.ui.com/hc/en-us/articles/360006893234-UniFi-Gateway-Intrusion-Detection-and-Prevention-IDS-IPS Ubiquiti Help Center: UniFi Gateway – Intrusion Detection and Prevention (IDS/IPS)]
* [https://www.max-it.de/it-services/managed-siem/ Managed SIEM von m.a.x. it]

{{Uebermax}}
[[Kategorie:Netzwerk-Hardware]]
[[Kategorie:IT-Security]]

UniFi: IDS/IPS und CyberSecure einrichten - Versionsgeschichte

imported>TechCorner-Redaktion: Neuer Artikel: Intrusion Prevention, Fehlalarme, Inhalts- und Anwendungsfilter, CyberSecure