IT-Management in der Praxis Seminar ? WS 2004/05 - am ...

Zusammenfassung 73
der erste Schritt ist das Sammeln von Informtionen. In einem zweiten Schritt wird der Angriff
durchgeführt und dann folgen weitere Schritte zum Verwischen der Spuren. Zunächst wird ein
Angreifer also nach Schwachstellen suchen und erst wenn er weiß, wo er angreifen kann, wird
er den ersten Angriffsversuch starten. Im Gegensatz zu über 4000 verschiedenen Mustern,
die im Normalfall ein klassisches IDS kennt und die täglich aktuallisiert werden müssen, ist
es in einem ersten Schritt ausreichend, 10 bis 20 verschiedene Methoden der Informationssammlung
zu erkennen. Das Gewinnen von Informationen reicht aber nicht aus, um auf einen
tatsächlichen Angriff zu schließen. Durch vorgetäuschten Schwachstellen wird der Angreifer in
die Falle geführt. Sobald er versucht, eine vorgetäuschte Schwachstelle anzugreifen, ist er identifiziert.
Durch den Zusammenhang zwischen dem gezielten Suchen nach Informationen und
dem darauf folgenden Angriffsversuch ist die Intention des Angreifers bekannt und beweisbar
und er kann blockiert werden. Dieses Prinzip erinnert an bereits existierende Honey-Pots. Im
Gegensatz zu diesen wird ein Einbruch noch rechtzeitig verhindert.
Die Vorteile dieser Methode liegen auf der Hand:
• Durch die Erkennung der Intention kann der Angreifer blokiert werden, noch bevor er
Schaden eingerichtet hat. Die üblichen Methoden, wie das Einfügen temporärer Firewall
Regeln, können bei rechtzeitiger Reaktion noch funktionieren.
• Das IPS kann sich auf die Überwachung von Zugriffen auf vorgetäuschte Schwachstellen
beschränken. Auf diese Weise wird die Systemperformance weniger beeinflusst.
• Es müss nicht ständig die Signatur-Datenbank aktualisiert werden.
• Die Intentionserkennung liefert viel weniger Fehlalarme, da tatsächlich eine Interaktion
zwischen dem Angreifer und dem IPS stattfindet und bewiesen werden kann.
• Da es keine falschen Alarme gibt, können sinnvolle statistische Auswertungen aus den
erkannten Angriffen erzeugt werden.
Dieser Ansatz löst selbstverständlich auch nicht alle Sicherheitsprobleme, die bei ein klassisches
IDS vorkommen. Ein fiktiver Angreifer, der genau weiß, wohin er will und auf jegliche
Informationen verzichtet, würde auch von dieser Erkennungsmethode nicht erkannt.
4 Zusammenfassung
Intrusion Detection Systeme haben sich zu einem wichtigen Teil der Sicherheitsstruktur vieler
Unternehmen entwickelt. Welche IDS-Architektur die beste Informationsquelle ist, kann
man schwer sagen. Doch alle drei haben ihre Vor- und Nachteile. Ein Hybrid-IDS-System, das
Netzwerk-, Host- und Application-IDS kombiniert, ist der beste Weg, die Stärken dieser Architekturen
auszunutzen. Zusätzlich zu einem IDS sollte man von andren Abwehrmechanismen,
wie Firewall und Antivirensoftware, nicht verzichten. Ein NIDS kann zu einem Flaschenhals
für den Netzwerkverkehr werden, wenn es nicht über die entsprechende Bandbreite verfügt.
Als Folge davon wird nicht nur die Übertragungsgeschwindigkeit “gebremst“, sondern es werden
nicht alle Pakete analysiert. Ein HIDS wird eingesetzt, um die Sicherheit von bestimmten
Rechner (Server) zu gewährleisten. Das HIDS belastet jedoch das Host-Betriebssystem. Die
Tatsache, dass ein IDS ein Alarmsystem darstellt, aber keinen Schutz vor Angriffen bietet,
ist das grösste Problem von IDS überhaupt. Auch die automatischen Reaktionen eines IDS
finden statt, erst nachdem die Attacke bereits Schäden eingerichtet hat.
IPS bieten einen viel versprechenden Ansatz, um die Netzwerk- und Systemsicherheit im Vergleich
zu IDS weiter zu erhöhen. Durch neue Erkennungstechnologien wird versucht, einen
Angriff genauer und frühzeitig zu erkennen und zu blockieren, noch bevor er Schaden eingerichtet
hat.
Seminar – IT-Management in der Praxis