Heutzutage sieht sich ein lokales Netzwerk mit Verbindung zum Internet,
einer Vielzahl von Gefahren ausgesetzt. Firewalls bieten zwar eine gute
erste Sicherung dieses Netzes, eine garantierte einhundertprozentige
Sicherheit wird es aber nie geben. Software- und Konfigurationsfehler in
der Firewall bieten Schwachstellen nach außen hin, während auch von
innen durch die Netzwerkclients Gefahrquellen existieren. Insofern ist,
gerade für Firmennetze in denen sensible Daten genutzt und gespeichert
werden, eine zusätzliche Sicherung erforderlich. Ein Intrusion Detection
System (im Folgenden kurz IDS genannt) hat die Aufgabe diese Lücke zu
füllen, indem es Angriffsversuche aufdeckt und in Form von so genannten
Alarmen meldet.
Die Problematik die im Zusammenhang mit IDS entsteht, liegt in dem
Auftreten von Fehlalarmen. Dabei wird unterschieden zwischen positiven
und negativen Fehlalarmen. Ein positiver Fehlalarm ist eine Meldung des
IDS, ohne dass dafür ein wirklicher Angriffversuch vorliegt. Im Gegensatz
dazu erzeugt ein negativer Fehlalarm trotz Angriffsaktivitäten keine
Meldung des IDS.
In dieser Seminararbeit möchte ich in den Kapiteln 2 und 3 zunächst auf
die Funktionsweise von IDS im Allgemeinen eingehen, d. h. losgelöst von
bestimmten Implementationen. In den Kapiteln 4 und 5 werde ich einige
Angriffsverfahren erläutern und beispielhaft auf die Erkennung durch IDS
eingehen. Ebenfalls anschneiden möchte ich das Thema Intrusion
Prevetion Systeme in Kapitel 6, da es ähnliche Zielsetzungen verfolgt und
in ganzheitliche Sicherheitskonzepte ebenfalls mit eingeplant werden
sollte. Abschließen werde ich die Arbeit mit einem eigenen Fazit in Kapitel
7. Größere Abbildungen habe ich zur besseren Lesbarkeit in einem
eigenen Abbildungsverzeichnis im Anhang eingefügt. Auch wird an
einigen Stellen auf Begriffserklärungen im Index verwiesen.
Inhaltsverzeichnis
1. Einführung
2. Grober Umriss der Technologie
3. Aufbau von IDS
a) Grundsätzlicher Aufbau
b) Sensoren - Datensammlung
c) Agenten - Datenanalyse
d) Manager – Rückmeldung
4. Angriffsmöglichkeiten gegen ein Netzwerk
5. Erkennen und Interpretieren von Angriffen
6. Intrusion Prevention Systeme
7. Fazit
Zielsetzung und Themen
Die Seminararbeit erläutert Aufbau und Funktionsweise von Systemen zur Erkennung von Netzwerkangriffen. Sie geht der Frage nach, wie solche Systeme verdächtige Aktivitäten erkennen und melden, welche Rolle Fehlalarme spielen und wie sich Systeme zur Angriffserkennung von Systemen zur Angriffsprävention unterscheiden.
- Aufgaben und Schichten von Angriffserkennungssystemen
- Netzwerk- und rechnerbasierte Sensoren
- Signatur- und anomaliebasierte Datenanalyse
- Angriffsverfahren und Auswertung von Netzwerkmeldungen
- Fehlalarme und ergänzende Angriffsprävention
Auszug aus dem Buch
b) Sensoren - Datensammlung
Sensoren sind auf der ersten Stufe des IDS für die Datensammlung verantwortlich. Ihre Funktion ist das Empfangen von Daten und Weiterleiten an den entsprechenden Agenten. Im Folgenden muss zwischen zwei Arten von Sensoren unterschieden werden:
Netzwerk-basierte Sensoren – Diese Art Sensor wird derzeit am häufigsten verwendet und kann ein Programm oder ein Netzwerkgerät sein, das Daten an einem Netzwerkknoten mit empfängt. Sensoren können dabei so konfiguriert sein, nur bestimmte Pakete (z. B. nur ftp-Verkehr) weiterzuleiten, so dass die Gesamtlast auch über mehrere Sensoren an einem Netzwerkknoten verteilt werden kann. Das zu diesem Zweck meistgenutzte Programm ist tcpdump. Es filtert den überwachten Datenverkehr und empfängt die relevanten Pakete. Zum Unterscheiden und Entkapseln der Pakete benutzt tcpdump die systemunabhängige Paketbibliothek libcap. Von besonderer Bedeutung zur Paketauswertung sind dabei Paketzeitpunkt, Quell- und Zieladresse sowie die Portnummern, TCP-Flags, Sequenznummern und Paketgrößen (siehe Abbildungsverzeichnis - Abbildung 2).
Die einzige noch offene Frage ist, wie der Sensor die Pakete erhält, die durch den beobachteten Netzwerkknoten transferiert werden. Während sich bei einem Hub diese Frage nicht stellt, da alle Pakete an alle Teilnehmer (ähnlich eines Broadcasts) versendet werden, sind bei einem Switch besondere Vorkehrungen notwendig. Dazu werden in der Regel so genannte Monitoring Ports genutzt, die vom Switch zu diesem Zweck als besondere Funktionalität zur Verfügung gestellt werden müssen. Über diese Ports wird dann der gesamte Netzwerkverkehr des Switchs an den Sensor weitergeleitet.
Um Sensoren vor den „Augen“ eines Angreifers zu schützen, werden diese oftmals im Stealth Mode* betrieben.
Die Platzierung der Sensoren kann theoretisch an jeder Position des Netzwerkes Sinn machen. Zwei Positionen haben sich in der Praxis allerdings als besonders sinnvoll herausgesellt:
Die Eine ist die Platzierung innerhalb des lokalen Netzes, also hinter der Firewall, welche die Abgrenzung zum öffentlichen Netz darstellt. Sensoren die innerhalb der Firewall platziert sind, dienen der Einbruchserkennung und können Hinweise auf Schwachstellen der Firewall aufzeigen.
Die andere gängige Methode ist das Platzieren vor der Firewall, in direktem Kontakt zu dem unsicheren öffentlichen Netz. Dadurch erhält der Sensor alle Daten die in Folge der bestehenden Internetverbindung auftreten. Er registriert, im Gegensatz zu einer internen Platzierung, auch erfolglose Angriffsversuche. Damit dienen seine Daten im Wesentlichen der Angriffserkennung.
Zusammenfassung der Kapitel
Einführung: Die Arbeit beschreibt die Grenzen von Firewalls, die Aufgabe von Angriffserkennungssystemen und die Bedeutung positiver und negativer Fehlalarme.
Grober Umriss der Technologie: Das Kapitel erläutert den Begriff des Angriffs sowie die Erkennung und Meldung verdächtiger Netzwerkaktivitäten.
Aufbau von IDS: Vorgestellt werden Sensoren zur Datensammlung, Agenten zur Analyse und Manager zur zentralen Rückmeldung. Dabei behandelt der Autor auch verschiedene Sensorpositionen und Analyseverfahren.
Angriffsmöglichkeiten gegen ein Netzwerk: Das Kapitel beschreibt Informationsbeschaffung und Angriffe auf Systeme, darunter Portscans, Softwarefehler und das Erschleichen von Zugangsdaten.
Erkennen und Interpretieren von Angriffen: Anhand von Paket- und Konsolenbeispielen erläutert der Autor die Einordnung von SYN-Flooding, Exploit-Scannern und Trojanerverkehr sowie die Gefahr von Fehlalarmen.
Intrusion Prevention Systeme: Das Kapitel stellt aktive Gegenmaßnahmen und grundlegende Unterschiede zwischen Angriffsprävention und Angriffserkennung dar.
Fazit: Der Autor erörtert Zukunftsaussichten der Angriffserkennung und Anforderungen an ein umfassendes Netzsicherheitskonzept.
Schlüsselwörter
Angriffserkennung, Netzwerküberwachung, Netzwerksicherheit, Sensoren, Datenanalyse, Signaturverfahren, Anomalieverfahren, Fehlalarme, Angriffserkennungssysteme, Angriffsprävention, Paketfilterung, Netzwerkangriffe
Häufig gestellte Fragen
Worum geht es in der Arbeit?
Die Arbeit behandelt Systeme, die verdächtige Aktivitäten in Netzwerken erkennen und melden.
Welche Themenfelder stehen im Mittelpunkt?
Im Mittelpunkt stehen der Aufbau solcher Systeme, die Datensammlung und -analyse, Netzwerkangriffe, Fehlalarme und die ergänzende Angriffsprävention.
Welches Ziel verfolgt die Seminararbeit?
Sie soll die Funktionsweise von Angriffserkennungssystemen erläutern und anhand ausgewählter Angriffe zeigen, wie verdächtige Aktivitäten erkannt werden können.
Welche wissenschaftliche Methode wird verwendet?
Der Autor beschreibt und erläutert die Technik anhand von Fachliteratur und ausgewählten Beispielen. Eine eigene Befragung oder ein experimentelles Forschungsdesign wird nicht dargestellt.
Was wird im Hauptteil behandelt?
Der Hauptteil beschreibt die Systemkomponenten, mögliche Netzwerkangriffe, die Interpretation von Meldungen und Systeme zur Angriffsprävention.
Welche Schlüsselwörter charakterisieren die Arbeit?
Dazu gehören Angriffserkennung, Netzwerküberwachung, Sensoren, Signaturverfahren, Anomalieverfahren, Fehlalarme und Angriffsprävention.
Welche Aufgaben haben Sensoren, Agenten und Manager?
Sensoren sammeln Daten, Agenten analysieren sie und Manager übernehmen unter anderem die zentrale Speicherung, Auswertung und Alarmierung.
Wie unterscheiden sich Signatur- und Anomalieverfahren?
Signaturverfahren vergleichen Daten mit bekannten Angriffsmustern. Anomalieverfahren orientieren sich an einem definierten Normalzustand und melden Abweichungen als potenziell verdächtig.
Welche Beispiele für die Interpretation von Angriffen enthält die Arbeit?
Sie zeigt unter anderem Konsolenausgaben zu SYN-Flooding, Exploit-Scannern und Trojanerverkehr und bespricht dabei mögliche Fehlalarme.
- Quote paper
- Bachelor Matthias Mehmke (Author), 2005, Intrusion Detection Systeme, Munich, GRIN Verlag, https://www.grin.com/document/151531
