Mobile Systems III INFORMATIK

Lars Langer 151
Programmierte Systeme
Programmierte Systeme werden in zwei Kategorien unterschieden. Der gravierende Unterschied
liegt bei der Vorgehensweise zur Umschreibung von akzeptablem Verhalten.
Statistics:
Man bildet ein statistisches Profil des normalen Verhaltens durch die Speicherung und
Sammlung einfacher Statistiken. Möglichkeiten hierfür wären die Anzahl von fehlgeschlagenen
Logins, die Anzahl der Netzwerkverbindungen oder auch die Anzahl von Kommandos
mit negativer Antwort (error return). Es bietet sich an, Alarm zu geben, wenn die
Anzahl einen festgelegten Wert überschreitet.
Default Deny:
Die Idee davon ist, die Umstände, unter denen das System als gutartig eingestuft wird, also
alle sicherheitskonformen Zustände, explizit anzugeben. Damit entsteht eine klare Übereinstimmung
mit einer Sicherheitspolitik mit vorgegebener Ablehnung jeglichen anderen
Verhaltens.
Diese Vorgehensweisen sind bzw. enthalten strikte Anweisungen für das System, was ein
normales Verhalten sein darf. Jedwede Abweichung von diesem erlaubten Verlauf ist inakzeptabel
und führt zu einem Alarm. Problematisch hierbei ist es, dass eine Abweichung
vom System kein bösartiges Verhalten sein muss, sondern lediglich Aktionen von neuem
normalem Verhalten sein könnten. Deshalb kommt es in Anomaly Detection Systemen zu
einer nicht unerheblichen Anzahl von Fehlalarmen.
Überblick
Dieser Überblick stellt kurz das Pro und Contra gegenüber.
Vorteile:
Anomaly Detection Systeme sind unabhängig von einer Signaturdatenbank. Deshalb ist
es in der Lage alle möglichen Angriffe zu erkennen, ganz gleich, ob der Angriff bereits
bekannt ist, oder auf einer neuen Taktik beruht.
Nachteile:
Der rechentechnische Aufwand ist höher als bei der folgenden Methode (Signature Detection).
Darunter leidet die Performance des Systems. Die Fehlalarmrate dieses Systems
ist sehr hoch, und neue Aktivitäten können nicht von Angriffen und anderen Anomalien
Unterschieden werden. Aufgrund dieser hohen Anfälligkeit für (Fehl )Alarme sind
Täuschungen und Denial of Service Angriffe mit geringem Aufwand möglich. Für den
Administrator ist diese Tatsache sehr arbeitsaufwendig und wenig tragbar.