Mobile Systems III INFORMATIK

Lars Langer 155
7.3.1 Netzwerkbasiert und Rechnerbasiert
Ein ID System kann zur Überwachung von Netzwerken oder Rechnern verwendet werden.
Im Folgenden wird auf diesen Unterschied genauer eingegangen.
Netzwerkbasiert:
Ein Intrusion Detection System wird in diesem Fall dazu verwendet, ein Netzwerk zu
überwachen[1]. Diese Anwendung ist für einen Angreifer unsichtbar, da das System lediglich
die anfallenden Daten abhören muss. Man spricht deshalb auch davon, dass netzwerkbasierte
ID im ’Stealth-Modus’ operieren. Trotz ihrer Aufgabe den gesamten Netzwerkverkehr
zu überwachen, besteht auch hier die Möglichkeit, die Verfahren einer zentralen
Kontrolleinheit unterstellen zu können. Üblicherweise versucht man die Auditdaten, falls
möglich, an einem Engpass wie einem Router, Gateway etc. abzugreifen und der Prüfung
zu unterziehen. Da gerade in einem Netzwerk eine Vielzahl verschiedener Vorgänge und
Zustände auftreten, nicht zuletzt weil mehrere Systeme das Netzwerk benutzen, bietet sich
Anomaly Detection weniger an und man setzt statt dessen fast immer auf Signature Detection.
Das zieht natürlich nach sich, dass bei der Erkennung neuer Angriffe unweigerlich
Probleme auftreten. Das erfordert das ständige Aktualisieren der Signature-Datenbanken
über das Netz. Auch diese können während eines Angriffs in das Netzwerk in Mitleidenschaft
gezogen werden. Konflikte gibt es derzeit auch mit kryptographisch geschützten
Verbindungen, da die aktuellen Daten nur in Klartextform mit den vorliegenden Daten
der Signaturdatenbank verglichen werden können. IDS schauen hierbei nicht nur in die
Protokollköpfe, sondern auch in die Nutzdaten. Da dies bei verschlüsselten Verbindungen
nicht möglich ist, kann das Intrusion Detection System die Daten nicht überwachen. Es
sei darauf hingewiesen, dass kryptographisch geschützte Verbindungen auch weniger anfällig
für Angriffe sind, da sie durch die Verschlüsselung selbst für einen höheren Grad an
Sicherheit sorgen. Die verschlüsselten Daten können normalerweise nur vom Sender und
Empfänger genutzt werden. Dadurch wird dieses Problem eher nebensächlich. Nur bei internen
Bedrohungen kann diese Situation zu Gefahr werden. Man kann auch nicht davon
ausgehen, hier generelle Lösungen zu finden, da die Verschlüsselung ja darauf ausgelegt
ist, dass sie niemand fremdes entziffern kann, auch nicht das ID System.
Rechnerbasiert:
Im Gegensatz zum netzwerkbasierten Intrusion Detection System was den Verkehr verschiedener
Rechner kontrolliert, beschäftigt sich hier das ID System mit dem Prüfen der
Auditdaten eines einzelnen Systems, Teilsystems oder Users[1]. Die Durchsuchung läuft
im Wesentlichen in den sicherheitsrelevanten Protokolldateien des Rechners ab. Beispielsweise
versucht man Eindringlinge in Kernel Logfiles, Router Logs, Firewall Logs oder
Logfiles von Anwendungsprogrammen aufzudecken. Die Integrität dieser und ähnlicher
systemrelevanter Daten erhalten hier die höchste Priorität.