Mobile Systems III INFORMATIK

152 Intrusion Detection in mobilen Netzwerken
7.2.3 Signature Detection
Diese Methode geht davon aus, dass ein bestimmter Angriff nach einem ganz bestimmten
Muster folgt. Verschiedenartige Angriffe haben dementsprechend verschiedene Muster.
Beispielsweise verursacht eine synchronization-flood Attacke viele unbeantwortete TCP
Synchronisationspakete. Solche Strukturen, genannt Angriffssignatur (attack signature),
versucht das Signature Detection System in den Auditdaten zu finden. Vorraussetzung
dafür ist jedoch, dass der Angriff bereits zuvor bekannt geworden ist, und seine Signatur
in der Datenbank des gegenwärtigen ID Systems enthalten ist. Im Bereich der Signature
Detection Methoden gibt es derzeit noch einen großen Nachholbedarf bei den selbstlernenden
Systemen. Es werden derzeit nur programmierte Vorgehensweisen angewandt, die
im Folgenden erklärt werden[1].
Programmierte Systeme
Programmierte Systeme in der Signature Detection können in vier Kategorien unterschieden
werden. Im Gegensatz zu Anomalie Detection geht es hierbei um die Unterscheidung
der Mittel zur Beschreibung des bösartigen Verhaltens.
State Modelling:
Bei dieser Vorgehensweise existieren mehrere Zustände, die einen Alarm auslösen können.
Wichtig dabei ist, dass jeder dieser Zustände im beobachteten Bereich existent gewesen
sein muss, damit man mit Sicherheit feststellen kann, dass ein Eingriff stattgefunden hat.
Die Anordnung der Zustände kann im günstigsten Fall als einfache Kette ablaufen, es sind
jedoch auch verzweigtere Gebilde möglich, beispielsweise Baumstrukturen oder Petrinetze.
Expert System:
Die Entscheidung eines Experten Systems basiert auf einer Menge von komplexen gegebenen
Regeln. Diese Vorgehensweise ist am angemessensten, wenn im System ständig neue
Fakten und zu prüfende Ereignisse stattfinden. Dadurch, dass es das Experten System
auch ermöglicht selbstmodifizierenden bösartigen Code eines Angriffs aufzuspüren, ist es
eine der mächtigsten Möglichkeiten der Intrusion Detection. Weiterhin bietet es durch
seine Regelbasiertheit einen hohen Grad an Flexibilität. Doch diese Vorteile fordern auch
einen Preis. Experten Systeme verzeichnen hohe Verluste in der Performance des kontrollierten
Systems, nicht zuletzt aufgrund der Komplexität der Regeln.
Simple rule based:
Diese Systeme ähneln den mächtigeren Experten Systemen. Da hier mehr Wert auf die
Performance des Systems gelegt wurde, verzichtet man darauf, solch komplexe Regeln zu
verwenden.
String Matching:
Hierbei handelt es sich um ein Verfahren, das die Bitfolgen bzw. den Text der zwischen
mehreren Systemen übermittelt wird zu durchsuchen um eventuelle kleinere Bitfolgen und
Strings darin zu finden, die einem Angriff aus der Datenbank zugeordnet werden können.