Mobile Systems III INFORMATIK

150 Intrusion Detection in mobilen Netzwerken
hat. Anfangs war Intrusion Detection auch nur ein Versuch die Auditdaten eines Mainframes
auf ein kompaktes aussagekräftiges Niveau zu reduzieren[2]. Auditdaten ist der
Begriff, mit dem man bei Intrusion Detection Systemen generierte Prüfdaten beschreibt.
In der ID versucht man insbesondere mit 2 Methoden nach einem eventuellen Eingriff zu
suchen. Im Folgenden wird auf diese Methoden spezieller eingegangen.
7.2.2 Anomaly Detection
Bei dieser Methode geht man von der Annahme aus, dass eine Bedrohung, sei es ein
Angreifer, Malware oder andere unautorisierte Modifikation der Systemdaten, durch seine
Aktionen das Verhalten des Systems so beeinflusst, dass es von seinem normalen Verhalten
abweicht. Aufgabe dieser Methode ist nun diese Abweichungen aufzuspüren und darauf
entsprechend zu reagieren. Die Vorgehensweise ist, dass vom System Messdaten gesammelt
werden und zu statistischen Profilen (behaviour profiles) zusammengefasst werden. Hierbei
besteht auch die Möglichkeit der Eingrenzung der Detection auf ein Teilsystem oder
einen User. Im Folgenden wird darauf eingegangen, dass diese Vorgehensweisen sowohl
programmiert als auch vom ID System selbst erlernt sein können[1].
Selbstlernende Systeme
Diese Systeme werden in drei Kategorien unterschieden. Das Unterscheidungskriterium
sind die Mittel der Beschreibung des gutartigen Verhaltens.
Rule Modelling:
Hierbei wird zunächst der auftretende Verkehr der Daten studiert. Es folgt der Versuch
die normalen Operationen durch das Aufstellen von Regeln zu beschreiben. Bei einem
Regelverstoß wird Alarm ausgelöst. Auf mögliche weitere Reaktionen des Systems wird
im Kapitel 3.3 genauer eingegangen.
Descriptive Statistics:
Nach einer Sammlung von einfachen Grenzwerten innerhalb der systemtypischen Operationen
wir daraus ein Mittelwert gebildet. Daraufhin folgt die Berechnung der Standardabweichungen.
Schließlich kontrolliert man durch einen daraus gebildeten Abstandsvektor
(distance vector) die Abweichungen, die im System vorkommen. Bei einer Distanz, die
nicht im Toleranzbereich liegt, wird ein Alarm ausgelöst.
Künstliches neurales Netz:
Das ANN - Netz (artificial neural network) wird zunächst mit dem normalen Verkehr
gefüttert. Daraus versucht es Strukturen und Muster (pattern) zu deuten und zu erkennen.
Beim Einsatz des ANN wird das aktuelle Muster mit den studierten verglichen. Sind die
Strukturen verschieden kommt es zum Alarm.