IT-Management in der Praxis Seminar ? WS 2004/05 - am ...

70 Nikolay Orozov: Intrusion Detection und Prevention Systeme
• Das Einfügen von Regeln und die Neukonfiguration einer Firewall benötigt auch Zeit.
Inzwischen kann ein automatischer Angriff bereits abgeschlossen sein.
• Ein weiteres Problem ist die Anfälligkeit für Denial-of-Service-Angriffe. Dabei kann das
IDS selbst zum Opfer eines Angriffs werden.
• Die Blockier-Reaktion eines IDS auf einen Fehlalarm kann schwerwiegende Folgen haben.
2.7 NIDS Beispiel: Snort
Snort ist eine Idee von Martin Roesch und wird von ihm als Open Source NIDS unter der GPL
weiterentwickelt. Snort ist fähig, den Traffic an bestimmten Ports im Netzwerk in Echtzeit
zu überwachen und zu analysieren. Snort läuft auf mehr als 20 verschiedenen Platformen,
darunter Linux, FreeBSD, OpenBSD, NetBSD, HP-UX, Solaris, MacOS X und Windows.
Snort verwendet zur Paketüberwachung die Berkeley-Paketfilterbibliothek“libpcap“ für Linux
und Unix-Systeme und “winpcap“ für Windows-Systeme [Möhl04]. Den Netzwerkverkehr wird
anhand von Signaturen gefiltert. D.h. Snort arbeitet bei der Analyse der gesammelten Daten
nach dem Prinzip der Missbrauchserkennung. Die Konfiguration von Snort ist einfach und
flexibel. Der Bentzer hat die Möglichkeit, eigene Signaturen zu erstellen, sowie das Einfügen
neuer Funktionen durch Plugins. Die zahlreichen Optionen von Snort erlauben Zugriff auf
alle wichtigen Bestandteile der zu untersuchenden Pakete. Den Datenteil eines Paketes kann
Snort anhand von Binärmustern oder mit Pattern-Matching analysieren.
Im Normalfall wird Snort über die Kommandozeile gestartet, es wurden jedoch inzwischen
einige grafische Werkzeuge entwickelt, wie z.B. ACID 4 , Snort IDScenter 5 , das eine GUI für
Windows zur Verfügung stellt. (Abbildung 5).
Snort kann auch als reiner Packet-Sniffer oder als Packet-Logger agieren. Die vier aufeinander
aufbauenden Hauptkomponenten sind: Sniffer, Präprozessor, Detection Engine und einem
für die Ausgabe zuständigen Plugin. Die Präprozessoren nehmen die Paketdaten auf und
verarbeiten sie noch bevor sie analysiert werden. Sie können aussrdem Portscans entdecken
und IP-Defragmentierung durchführen.
Die gesammelten Daten werden auf ein bestimmtes Verhalten untersucht. Snort bietet über
seine Plugin-Schnittstelle das Plugin SPADE 6 , welches von Silicon Defense entwickelt wird.
Dadurch ist eine statistische Anomalieerkennung möglich.
Snort bietet noch Möglichkeiten, Paket-Informationen zu sichern. Dies kann mit Hilfe von
XML geschehen. Am CERT wurde die sogenannte SNML 7 entwickelt, mit deren Hilfe Snort
die Daten formatiert in eine Datei oder eine Datenbank schreiben kann.
Snort sammelt seine Daten in einem Verzeichnis und Unterverzeichnissen, die nach der IP-
Adresse benannt werden, von der der Angriff ausging. Daten über Portscans werden in einer
gesonderten Datei gesichert.
Über seine Regeln kann Snort Reaktionen auf Angriffe auslösen. Die Möglichkeiten erlauben
eine explizite Beendigung der TCP-Verbindung über ein RST-Paket oder über ICMP.
4 ACID: Analysis Console for Intrusion Databases, http://www.cert.org/kb/acid/
5 Snort IDScenter: http://www.engagesecurity.com/
6 SPADE: Statistical Packet Anomaly Detection Engine
7 SNML: Simple Network Markup Language
Seminar – IT-Management in der Praxis