Schwachstellen der TCP/IP-Protokolle machen Netzwerke angreifbar

Anbieter zum Thema

ALE Deutschland GmbH

Vogel IT-Medien GmbH

Intrusion-Detection-Systeme (ID)

Viele Einbrüche sind nicht so einfach und nicht sofort zu erkennen. Vielmehr benötigt man Intrusion-Detection-Systeme (ID) zur Erkennung erfolgloser, bereits erfolgreicher oder gerade ablaufender Einbruchsversuche in ein Computersystem oder Datennetz.

ID-Systeme arbeiten heute mit der Erkennung von Anomalien und der Erkennung missbräuchlicher Systemnutzung. Natürlich sind sie nicht in der Lage, laufende Netzwerkeinbrüche zu stoppen. Anomalien sind in der CPU-Nutzung, den Aktivitäten an I/O-Ports und an der Netzlastcharakteristik zu erkennen. Werden z.B. allzu viele Pakete ohne erkennbare Nutzlast erzeugt, ist wahrscheinlich, dass jemand versucht, in einen Server einzudringen.

Man muss ein solches System zunächst auf die Messparameter festlegen, dann allgemeine Durchschnittswerte und Zusammenhänge zwischen diesen definieren sowie schließlich die Schwellwerte, bei denen eine Anomaliereaktion ausgelöst werden soll, bestimmen. Problematisch an diesen ID-Programmen ist die hohe benötigte Rechenleistung und die große Anzahl von entstehenden Fehlmeldungen und Fehleinschätzungen: autorisierte Zugriffe werden als Angriff erkannt (False Positives) und tatsächliche Angriffe bleiben unentdeckt.

Schließlich kennen Profis die Arbeitsweise dieser Systeme und fallen nicht darauf herein. Mittlerweile will man den Angreifern mittels Erkennung missbräuchlicher Systemnutzung auf die Schliche kommen, indem man bestimmte Ereignismuster z.B. auf der Basis von Petri-Netzen auswertet. So will man z.B. die »Handschrift« des Einbrechers entziffern. Andere Ereignismuster passen auf Virus- und Wurm-Angriffe, Trojanische Pferde, Login/Password- und Service-Angriffe. Hier gibt es eine Reihe bereits sehr ausgefeilter Public Domain Systeme wie z.B. ASAX (Advanced Security Audit Trail Analyzer on Unix), COPS (Computer Oracle and Password System Farmer/Spafford) der TAMU-Tiger Texas A&M University oder kommerzielle Produkte wie Stalker/Web-Stalker und Saic CMDS.

Fehlendes Sicherheitsbewusstsein ist das Problem

Das Problem: Glauben Sie wirklich, dass jemand, der noch nicht einmal ein allgemeines Sicherheitskonzept hat, mit diesen Instrumenten wirklich arbeiten kann und wird? Wohl kaum!

Alles in allem wird viel diskutiert, vorgeschlagen und lamentiert. Tatsache ist aber, dass die Sicherheitsproblematik in vernetzten und verteilten Umgebungen als Ganzheit in voller Komplexität angegangen werden kann. Es hilft nichts, über einzelne Risiken und deren gezielte Abmilderung durch einzelne Produkte, wie z B. Firewalls zu reden. Nur ein Gesamtkonzept hilft weiter.

Auch die beste Firewall kann nichts machen, wenn niemand ihr »sagt«, was wann warum vor wem zu schützen ist; oder positiv formuliert: wer wann was wie darf! Zur Begründung der Gesamtkonzeption holen wir jedoch im kommenden Teil diese Serie noch etwas weiter aus. Die gesamte Logik der Intranets besteht aus der Kommunikation von Objekten in verteilten Umgebungen. Also steht die Sicherheit dieser im Vordergrund.

(ID:2052459)