Mobile Intrusion Detection in Mobilen Ad-Hoc Netzwerken

KAPITEL 3. INTRUSION DETECTION
Mit der E-Box (engl. Event Box) werden verschiedene Ereignisse des Systems (z.B. auf Netzwerkprotokollebene,
Kernelebene, Applikationsebene...) erfasst und in ein einheitliches Format gebracht. Die E-Box
muss große Datenmengen verarbeiten und ist deshalb ihrerseits angreifbar durch Eindringlinge.
Die A-Box (engl. Analysis Box) ist die Analyseeinheit. Sie nimmt die Ausgabe der E-Box und analysiert
diese, meist durch Signaturanalyse. Hier können Techniken der Signaturanalyse (siehe Kapitel 3.3.1.1) und
der Anomalieerkennung (siehe 3.3.1.2) zum Einsatz kommen.
Die D-Box führt nun Protokoll über die durch die Analyseeinheit gewonnenen Daten, ebenso wie über die
Daten der E-Box. Dies ermöglicht später Angriffe an Hand dieser Audit Daten nachzuvollziehen. Üblicherweise
werden Datenbanken zur Speicherung dieser großen Datenmengen benutzt.
Die C-Box (engl. Countermeasure Box) ist schließlich für die Alarmierung eines Sicherheitsbeauftragten
zuständig. Die C-Box kann aber noch weitergehende Fähigkeiten haben: Sie kann aktiv auf eine Intrusion
reagieren, es können Schritte zur Identifizierung des Angreifers, Schutz des Systems vor weiteren Schäden
und die Beseitigung entstandener Schäden Ziel sein.
Meistens wird versucht Daten über den Angreifer zu sammeln um seine Identität festzustellen, indem
beispielsweise der Einwahlpunkt ins Internet in Erfahrung gebracht wird, ebenso wie versucht wird ein
möglichst charakteristisches Bild von dem System des Angreifers zu bekommen (z.B. durch Portscans).
Diese Daten ermöglichen es dann später eine Strafverfolgung einzuleiten. Es ist sogar ein Gegenangriff
durch ein IRS durch einen Denial of Service Angriff auf das System des Angreifers denkbar.
Hostbasierte IDS
IDS, die nur auf einem Host arbeiten, werden hostbasiert genannt. Alle IDS waren am Anfang hostbasiert,
da es kaum Netzwerke gab. Hostbasierte IDS analysieren das Systemverhalten aus Sicht des Hosts, indem
alle lokal vorhandenen Informationen wie Audit Informationen des Betriebsystems analysiert werden. Da
die Laufzeit dieser Art IDS sehr lange ist, werden sie zumeist nur einmal am Tag aktiviert.
Hostbasierte IDS können feststellen, ob Angriffe erfolgreich waren oder nicht. Der Nachteil von hostbasierten
IDS ist, dass diese nur vergangene Angriffe entdecken, sie können keine Aussage machen, wie ein
Angriff zu Stande kam. Gelingt es dem Angreifer Kontrolle über den Rechner zu erhalten, kann er alle Hinweise
löschen, die das hostbasierte IDS erkennen könnte. Gibt es eine Reihe von Angriffen auf verschiedene
Rechner im Netzwerk, werden diese Ereignisse nicht in Zusammenhang gebracht.
Netzbasierte IDS
Netzbasierte IDS analysieren die einzelnen Pakete im Netzwerk auf Angriffsmuster. Sie laufen in Echtzeit
ab und können Angriffe durch eine geeignete Reaktion verhindern. Ein netzbasiertes IDS kann mehreren
Rechner schützen, muss allerdings Zugriff die gesamte Kommunikation im Netzwerk haben. Verschlüsselte
15