Mobile Systems III INFORMATIK

Lars Langer 153
Bei Signature Detection Systemen sind Abweichungen, die keinem bekannten Angriff entsprechen,
akzeptabel. Es soll darauf hingewiesen sein, dass man in anderer Literatur möglicherweise
den Begriff Misuse Detection finden kann, der dem Begriff der Signature Detection
entspricht.
Überblick
Hier werden Vor- und Nachteile zusammenfassend dargestellt.
Vorteile:
Ein Signature Detection System ist im Allgemeinen recht schnell und findet zuverlässig
bekannte Angriffssignaturen. Dadurch gilt es weithin als das stärkere der beiden Methoden.
Besonders im Bereich der Online-Überwachung des Verkehrs in Netzwerken wird
vorwiegend auf Signature Detection zurückgegriffen. Außerdem kommt es bei fehlerfreier
Analyse der Auditdaten zu keinem Fehlalarm, da nur bekannte Angriffssignaturen Alarm
auslösen können.
Nachteile:
Da die aufzuspürenden Angriffe komplett bekannt und bereits analysiert sein müssen,
damit die attack signature in der Datenbank zur Verfügung steht, ist diese Methode abhängig
von dieser Datenbank und von ständigen Updates. Unbekannte und neue Angriffe
können bei Signature Detection gefährlich werden, da sie nicht erkannt werden können.
7.2.4 Compound Detection
Hierbei handelt es sich lediglich um ein System, dass von der Methode der Signature
Detection abgeleitet wurde. Der Begriff ’signature inspired’ ist daher auch häufig diesbezüglich
in anderer Literatur zu finden[1]. Tatsächlich jedoch zieht dieses Verfahren beide
Methoden zu Rate, sowohl Anomaly Detection als auch Signature Detection. Eine mögliche
Anwendung wäre wie folgt[4]. Dieses ID System sucht im beobachteten Bereich nach
Anomalien. Sobald es solche Abweichungen vom normalen Verhalten gibt, werden die
betroffenen Daten nach attack signatures durchsucht. Somit können auch unbekannte
Angriffe einen Alarm auslösen, und es besteht die Möglichkeit verschiedene Alarmstufen
zu integrieren. Dieses Verfahren bietet demnach eine deutlich bessere Chance wirklich interessante
Ereignisse zu entdecken, da sowohl ein Vergleich zwischen aktuellem Verhalten
und normalem Verhalten, als auch zwischen aktuellem Verhalten und bösartigem Verhalten
gemacht wird. Andererseits besteht auch die Möglichkeit durch das Anwenden beider
Methoden eine bessere Abstimmung zwischen normalem und bösartigem Verhalten zu erzielen,
und in Strukturen oder Regeln festzuhalten. Üblicherweise sind solche Verfahren
selbstlernend[1].