IT-Management in der Praxis Seminar ? WS 2004/05 - am ...

64 Nikolay Orozov: Intrusion Detection und Prevention Systeme
2 Was ist ein Intrusion Detection System?
Der Begriff Intrusion ist von Heberlein, Levitt und Mukherjee von der University of California,
Davis [HeML91] wie folgt definiert: “Eine Menge von Handlungen, deren Ziel es ist, die
Integrität, die Verfügbarkeit oder die Vertraulichkeit eines Betriebsmittels zu kompromittieren“.
Im Allgemeinen ist eine Intrusion als Verletzung der Sicherheit eines Computersystems
oder Computernetzes zu vestehen. “Als Intursion Detection wird die aktive Überwachung
von Computersystemen und/oder -netzen mit dem Ziel Erkennung von Angriffen und Missbrauch
bezeichnet“ [fSid02]. Aus allen stattfindenden Ereignissen sollen diejenigen herausgefunden
werden, die auf Angriffe oder Sicherheitsverletzungen hindeuten, damit sie später
vertieft untersucht werden können. Diese Ereignisse sollen dabei in Echtzeit erkannt und
gemeldet werden. Der Intrusion-Detection-Prozess wird durch verschiedene Werkzeuge unterstützt,
z. B. Werkzeuge zum Vergleich von Checksummen und Zeichenketten, für Analyse von
Log-Dateien, zur Auswertung und Alarmierung sowie zur Archivierung der Ergebnisse. Eine
Zusammenstellung von geeigneten Werkzeugen wird als Intrusion Detection System (IDS)
bezeichnet.
Der Grundprinzip eines IDS (Abbildung 2) ist mit der Funktionsweise einer Alarmanlage vergleichbar.
Nach einem Einbruch wird sofort Alarm ausgelöst und werden Gegenmassnahmen
getroffen, wie z.B. Anruf bei den zuständigen Sicherheitsbehörden. Ein IDS benachrichtigt
sofort nach einem erkannten Angriff den Sicherheitsadministrator (über e-mail, Pager, etc.),
protokolliert den Angriff und entscheidet je nach Konfiguration, was als Nächstes zu tun
ist. Im Extremfall wird versucht, die Verbindung zu trennen oder das ganze System wird
heruntergefahren.
Abbildung 2: Grundprinzip eines IDS
Seminar – IT-Management in der Praxis