Einführung in die IDS-Erkennung und Analyse von Netzwerk-Attacken

Anbieter zum Thema

Fsas Technologies GmbH

Extreme Networks GmbH

Protokoll-basierende Analyse

Eine Behavior Based Anomaly Detection fußt darauf, typische Verhaltensmuster im Netzwerk zu messen, beispielsweise die mittlere Anzahl von Flows pro Host oder den durchschnittlichen Durchsatz. Bei starken Abweichungen von diesen Werten schlägt das IDS Alarm.

Wichtig hierbei ist, dass es sich dabei nicht nur um das Setzen und Messen von Schwellwerten handelt, sondern um komplexe Algorithmen. Diese müssen dazu in der Lage sein, das Systemverhalten zu erkennen, zu analysieren und normales Verhalten in bestimmten Grenzen vorherzusagen.

Bei der Anomaly Detection und der Protokoll-basierenden Analyse werden „unmögliche“ Datenpakete wie falsch zusammengebaute TCP-Pakete oder fragmentierte IP-Pakete mit nicht definierten Offsets erkannt. Außerdem werden die Sessions der einzelnen Verbindungen wieder zusammengesetzt und diese nach Auffälligkeiten analysiert und Abweichungen von definierten Netzwerk-Policies erkannt – zum Beispiel, dass Mitarbeiter keine Peer-to-Peer Programme wie Napster, Kazaa etc. verwenden sollten.

Signatur-basierende Analyse

Eine Signatur-basierende Lösung kann extrem präzisen Aufschluss über den Angriff geben, da die gesamte Paketfolge (je nach Produkt) abgespeichert wird. Damit ist auch eine schnelle Bewertung möglich, ob der Angriff erfolgreich war.

Dafür verwendet das IDS eine Datenbank, in der alle bekannten Signaturen von Angriffen und Hackertechniken gespeichert sind (dabei handelt es sich um Binärabbilder bestimmter, typischer Fragmente der durch Angriffstools oder Viren erzeugten Datenpakete). Diese werden mit dem Datenteil der Pakete verglichen und so erkannt.

Mit Signatur-basierenden Systemen ist die Erkennung völlig unbekannter Angriffe jedoch schwierig zu realisieren. Dies gelingt in den Fällen sehr gut, in denen bestimmte (verschiedene) Angriffe einem bestimmten Muster folgen. Gut lässt sich dies anhand von Buffer-Overflow Angriffen verifizieren, die sich durch das Senden von Shell Code und NOP-Sledges auszeichnen.

Zusammenfassend kann festgehalten werden, dass Intrusion-Detection- und -Prevention-Systeme Datenpakete aufnehmen, Dateninhalte lesen und bestimmte Technologien anwenden, um festzustellen, ob ein Paket oder ein Kommunikationsfluss integer ist oder ob es sich um einen Angriff handelt. Zur Verifizierung eines erfolgreichen Angriffs verwendet das IDS nicht nur das Angriffspaket oder die Angriffspakete. Es bezieht in seine „Überlegung“ auch die Antworten des angegriffenen Systems ein.

Inhalt

• Seite 1: Grundlagen IDS-Erkennung
• Seite 2: Verhaltensanalyse und Anomalienerkennung
• Seite 3: Hostbasierte versus netzwerkbasierte Erkennung

(ID:2046856)