UniFi: IDS/IPS und CyberSecure einrichten
Auf einen Blick
| Gilt für | UniFi Cloud Gateways und UniFi-Gateways mit UniFi Network 10.x; CyberSecure ab Gateway-Firmware 4.1.8 (Cloud Gateways) und UniFi Network 9.3 |
|---|---|
| Bereich | IT-Security |
| Dauer | ca. 30 Minuten Einrichtung, danach 1–2 Wochen Beobachtung |
| Rechte | Administrator in UniFi Network; Besitzer für das CyberSecure-Abonnement |
| Stand | Oktober 2026 |
IDS/IPS mit UniFi einrichten bedeutet, das Gateway den Datenverkehr auf bekannte Angriffsmuster prüfen zu lassen: Das Intrusion Detection System (IDS) meldet verdächtige Verbindungen, das Intrusion Prevention System (IPS) blockiert sie zusätzlich. Ergänzt wird das durch DNS-basierte Inhaltsfilter, Werbeblocker und Anwendungsfilter. Mit dem kostenpflichtigen Zusatzdienst CyberSecure (Proofpoint und Cloudflare) wächst die Signaturdatenbank deutlich. Dieser Artikel zeigt die Einrichtung, den Umgang mit Fehlalarmen, die Filterfunktionen und was CyberSecure bringt.
Was die Funktionen leisten
| Funktion | Arbeitsweise | Ort in UniFi Network |
|---|---|---|
| IDS/IPS | prüft Pakete per Deep Packet Inspection (Schicht 3, 4 und 7) gegen Signaturen, gruppiert in Bedrohungskategorien | Settings › CyberSecure › Protection › Intrusion Prevention |
| Inhaltsfilter | leitet DNS-Anfragen zum Gateway um und sperrt Domänen nach Kategorien | Settings › CyberSecure › Content Filter |
| Werbeblocker | sperrt Werbe-Domänen per DNS | im Inhaltsfilter bzw. als eigene Option |
| Anwendungsfilter | erkennt Anwendungen (z. B. BitTorrent, Spiele) und blockiert sie pro Netz oder Gerät | Settings › CyberSecure › Protection › Simple App Blocking |
| Honeypot | Lockdienste im Netz, die Scans und Angriffsversuche protokollieren | CyberSecure-Einstellungen |
Schritt 1: IDS/IPS einschalten
- Settings › CyberSecure › Protection öffnen und Intrusion Prevention aktivieren.
- Netze auswählen, deren Verkehr geprüft wird – z. B. Clients, Server, IoT und Gäste. Die Zahl gleichzeitig geprüfter Netze ist je nach Modell begrenzt.
- Detection Mode:
- Notify – nur melden (IDS),
- Notify and Block – melden und blockieren (IPS).
- Active Detections: Bedrohungskategorien auswählen. Für den Start alle Kategorien zu Schadsoftware, Exploits, Botnetzen und Command-and-Control aktivieren; Kategorien wie Spiele oder Peer-to-Peer nach Bedarf.
- Speichern.
Leistung
Die Prüfung belastet CPU und Arbeitsspeicher des Gateways und senkt den maximalen Durchsatz. Für die Auswahl des Gateways zählt deshalb der Wert „mit IDS/IPS“ in den technischen Daten (techspecs.ui.com), nicht der reine Routing-Durchsatz.
Schritt 2: Funktion testen
- Prüfen, dass in der Gruppe Hacking and Exploits die Kategorie Malicious User Agents aktiv ist.
- Auf einem Client im geprüften Netz:
curl -A "BlackSun" http://www.example.com
- Der Treffer erscheint unter Insights bzw. im System Log bei den Sicherheitsereignissen; im IPS-Modus wird die Verbindung blockiert.
Schritt 3: Treffer bewerten
Bei jedem Treffer gibt es E-Mail- und Push-Benachrichtigungen. In der Detailansicht stehen betroffener Client, Quell-IP, Protokoll, Signatur, Kategorie und Risikostufe (hoch, mittel, gering, informativ).
- Signatur recherchieren – was beschreibt sie, ist sie für das Betriebssystem des Clients überhaupt relevant?
- Gegenstelle prüfen – gehört die IP-Adresse zu einem bekannten Dienst (Streaming, Updates, Spiele sind häufige Fehlalarme)?
- Client prüfen – Auffälligkeiten, aktueller Virenschutz, ggf. EDR-Scan.
- Reagieren:
| Aktion | Wirkung | wann |
|---|---|---|
| Block Connection | Firewall-Regel gegen genau diese Verbindung | echter Angriff auf ein Ziel |
| Block Source IP | Firewall-Regel gegen die Quell-IP | wiederholte Angriffe von einer Adresse |
| Allow Signature | Signatur in die Unterdrückungsliste | nachgewiesener Fehlalarm einer Signatur |
| Exclude Source IP | IP in die Allow List | vertrauenswürdiges System, z. B. eigener Schwachstellenscanner |
Ausnahmen sparsam einsetzen und dokumentieren – jede Ausnahme ist eine Lücke.
Schritt 4: Inhaltsfilter und Werbeblocker
- Settings › CyberSecure › Content Filter › neue Richtlinie mit Namen.
- Quelle: Netze oder einzelne Geräte, z. B. Clients und Gäste.
- Filtering Policy: Basic (Schadsoftware, Erwachseneninhalte) oder Enhanced (über 100 Kategorien, nur mit CyberSecure).
- Optional Ad Blocking und Safe Search (Google, Bing, YouTube).
- Optional Allowlist und Blocklist für einzelne Domänen sowie einen Zeitplan.
Der Filter arbeitet über DNS. Er greift nicht bei verschlüsseltem DNS (DoH/DoT), iCloud Private Relay, Android Private DNS oder Client-VPNs. In Firmennetzen DoH per Gruppenrichtlinie bzw. MDM abschalten oder per Anwendungsfilter sperren.
Active Directory und interne DNS-Zonen
Weil der Filter DNS-Anfragen zum Gateway umleitet, scheitern sonst Anfragen an den Domänencontroller. Abhilfe ist eine DNS-Weiterleitungsregel (ab Network 9.4: Settings › Policy Table › Create New Policy › DNS):
- Domain: interne Domäne, z. B.
firma.local(nur die Basisdomäne, keine SRV-Einträge), - Target IP: Adresse des Domänencontrollers.
Mehr zu DNS-Einträgen: UniFi: DNS-Einträge und lokale Hostnamen. Steht der Domänencontroller hinter einem policy-based IPsec-Tunnel oder einem route-based Tunnel ohne Tunnel-IP, ist zusätzlich eine Source-NAT-Regel für Port 53 nötig.
Schritt 5: Anwendungen sperren
Settings › CyberSecure › Protection › Simple App Blocking: Netze oder Geräte wählen, dann einzelne Anwendungen oder ganze Kategorien (z. B. Peer-to-Peer, Spiele) sperren, optional mit Zeitplan. Feinere Regeln – etwa nach Zone, Port und Verbindungsstatus – sind in der Zone-Based Firewall möglich.
CyberSecure: lohnt sich das Abonnement?
CyberSecure ist ein kostenpflichtiges Abonnement pro Site (inklusive eines zweiten Gateways im Shadow Mode für Hochverfügbarkeit), abgeschlossen im Site Manager über das Schild-Symbol der Site.
| Merkmal | ohne CyberSecure | mit CyberSecure |
|---|---|---|
| IDS/IPS-Signaturen | Grundbestand | bis über 110.000 Signaturen (Proofpoint, Microsoft MAPP), wöchentlich 30–50 neue, kuratiert gegen Fehlalarme |
| Bedrohungskategorien | weniger | bis 53 |
| Inhaltsfilter | Basic | Enhanced mit über 100 Kategorien (Cloudflare) |
Die nutzbare Signaturzahl hängt vom Gateway ab:
| Modelle | Signaturen | Kategorien |
|---|---|---|
| EFG, EF Core, UXG Enterprise | 110.000+ | 53 |
| UDM Pro, UDM SE, UDM Pro Max, UCG Ultra, UCG Max, UCG Fiber u. a. | 70.000+ (im Memory Optimized Mode 30.000+) | 53 (36) |
| UDR, UDR7, UX7, UDM | 25.000+ | 13 |
- Voraussetzungen: Cloud Gateway mit Firmware 4.1.8 oder neuer, UniFi Network 9.3 oder neuer, Remote Management aktiviert. Nach der Buchung dauert die Aktivierung bis zu 15 Minuten.
- Memory Optimized Mode lädt eine kleinere, ausgewählte Signaturmenge – sinnvoll, wenn das Gateway zusätzlich BGP, Werbeblocker oder Inhaltsfilter betreibt.
- Ein Abonnement lässt sich bei einem Gerätewechsel übertragen (höchstens zweimal in 30 Tagen); für EFG und EF Core gibt es ein eigenes Enterprise-Abonnement.
- Für Unternehmen mit Anforderungen aus NIS2, ISO 27001 oder Cyberversicherung ist CyberSecure in der Regel sinnvoll, weil der Grundbestand an Signaturen deutlich kleiner ist.
Datenschutz
Laut Ubiquiti werden bei Treffern Metadaten (Zeitstempel, IP-Adressen, Ports, Protokolle, Signatur) verschlüsselt über die Cloud verarbeitet und anschließend gelöscht; dauerhaft gespeichert wird nur die IP-Adresse des Angreifers. Für das Verzeichnis der Verarbeitungstätigkeiten sollte das dokumentiert werden.
Hinweise
- Logs zentral auswerten: Sicherheitsereignisse per Syslog an ein SIEM senden, siehe UniFi: Syslog, SIEM und SNMP anbinden.
- Kein Ersatz für Endpoint-Schutz: IDS/IPS sieht verschlüsselten Verkehr nur eingeschränkt. Virenschutz/EDR auf den Clients, Updates und Segmentierung bleiben Pflicht.
- Vergleich: Das Gegenstück auf OPNsense ist OPNsense - Suricata Intrusion Detection und Prevention.
- Bei Auswertung von Sicherheitsereignissen, Regelpflege und Überwachung unterstützt Sie das Managed SIEM von m.a.x. it.
Siehe auch
- Ubiquiti UniFi – Überblick und alle Artikel der Reihe
- UniFi: Zone-Based Firewall konfigurieren
- UniFi: VPN für den Fernzugriff einrichten
- IDS
- IPS
- Suricata
- Honeypot
Links und Quellen
- Ubiquiti Help Center: UniFi Gateway – Intrusion Detection and Prevention (IDS/IPS)
- Managed SIEM von m.a.x. it
Über m.a.x. it Die m.a.x. Informationstechnologie AG ist seit über 30 Jahren IT-Partner mittelständischer und großer Unternehmen in München und bietet maßgeschneiderte Lösungen und Services in den Bereichen Cloud, Cybersecurity, Netzwerk, Windows, Linux und Softwareentwicklung. Sie haben eine Frage zu diesem Artikel oder brauchen Unterstützung?
