Mobile Systems III INFORMATIK

156 Intrusion Detection in mobilen Netzwerken
7.3.2 Online und Offline Modus
Hier wird unterschieden, ob das IDS permanent oder sporadisch auf die zu prüfenden
Daten angewendet wird.
Online:
Ein ID System läuft online, wenn eine permanente Überwachung des aktuellen Verkehrs
vollzogen wird[1]. Hierbei unterscheidet man zwischen zwei Arten der Online-Überwachung.
Die erste ist die Kontinuierliche. Das heißt, dass die produzierten Auditdaten unmittelbar
der Prüfung auf Angriffe oder Anomalien unterzogen werden, ohne vorher zwischengespeichert
zu werden. Die zweite Art läuft gestapelt ab. Hierbei werden innerhalb kurzer
Perioden die anfallenden Auditdaten zwischengespeichert und nach Ablauf dieser Perioden
gesammelt der Prüfung unterzogen. Die Periodendauer ist dabei maximal einige
Sekunden lang.
Offline:
Hier geht es darum die Logfiles und Protokolle des Systems oder eines Users jeweils nach
einer längeren Arbeitsphase, beispielsweise einmal pro Tag, auf Einträge zu untersuchen,
die einem Eingriff in das System entsprechen könnten[1]. Nachteil davon ist, dass man nicht
die Möglichkeit hat zu reagieren und Schadensbegrenzung zu betreiben. Es ermöglicht
aber gleichzeitig, dass die Logfiles gegebenenfalls mehrfach durchsucht werden können,
um komplexere und verteiltere Angriffe lokalisieren zu können.
7.3.3 Intrusion Response
Es handelt sich bei Intrusion Response um die Maßnahmen des Systems, die unternommen
werden können, wenn ein Angriff oder eine Anomalie erkannt worden ist. Problematisch ist
dabei, dass Anomalien möglicherweise auch neue normale Aktivitäten sein können, da es
im Bereich von Anomaly Detection zu häufigen Fehlalarmen kommen kann. Diesbezüglich
sind die Studien noch sehr rar und erlauben derzeit noch keine akzeptable Fehlalarmbehandlung
bzw. -vermeidung. Im Folgenden wird auf die Maßnahmen eingegangen die das
Intrusion Detection System bei einem Eindringen in das System ergreifen könnte[1].
Passiv:
Ein passives ID System wird bei Alarm den Administrator verständigen, und ihm bei
Bedarf die Informationen zukommen lassen, die das System über den Angriff in Erfahrung
bringen konnte. Maßnahmen um gegen den Angriff vorzugehen werden nicht getroffen.