Mobile Systems III INFORMATIK

Lars Langer 157
Aktiv:
Maßnahmen bezüglich des angegriffenen Systems:
In diesem Fall wird versucht, über das eigene System die Kontrolle zurück zu gewinnen.
Im Allgemeinen ist man bestrebt die Auswirkungen des Angriffs zu vermeiden oder zumindest
so gering wie möglich zu halten. Hierzu übliche Aktionen sind die Unterbrechung der
Verbindung, beispielsweise durch das senden von TCP Reset Paketen, die Sperrung von
kompromittierten Benutzerkonten, die möglicherweise infiltriert wurden um sich von dort
aus Administratorrechte zu verschaffen, das Beenden schädlicher Prozesse, die eventuell
Würmer oder auch Trojaner zugehörig sind, und das Aktivieren einer höheren Sicherheitsstufe,
was neben anderen Maßnahmen durch eine Rekonfiguration der Firewalls geschehen
kann.
Maßnahmen bezüglich des angreifenden Systems:
Hierbei wird versucht, in die Operationsplattform des Angreifers einzudringen und diese
unschädlich zu machen und möglicherweise entwendete Daten zu entfernen. Diese Vorgehensweise
ist rechtlich problematisch und wird deshalb nicht von Unternehmen und
privaten Netzwerkbetreibern angewandt. Sie findet daher nur Verwendung beim Militär,
beim Bundesnachrichtendienst, bei der Polizei oder anderen Einrichtungen des Bundes.
7.3.4 Umgang mit Prüfdaten
Hauptunterscheidungsmerkmal sind beim Umgang mit den Prüfdaten die Aspekte der
Zentralisierung und Dezentralisierung.
Möglichkeiten der Datensammlung:
Auditdaten können an zwei verschiedenen Stellen gesammelten werden[1]. Sie können
von einem einzelnen System, Teilsystem oder User gesammelt und kontrolliert werden,
oder an einem Router, Gateway oder einer anderer zentralen Einheit abgegriffen werden,
womit mehrere Systeme miteinander verbunden werden und worüber die Kommunikation
gebündelt wird, so dass es nicht umgangen werden kann.
Möglichkeiten der Datenprüfung:
Ähnlich der Datensammlung kann auch die Datenprüfung in zwei Arten unterteilt werden.
Die Auditdaten können einmal auf dem System geprüft werden, auf dem sie gesammelt
werden, oder man verteilt diese Prüfdaten auf mehrere Intrusion Detection Systeme, die
miteinander kooperieren[1]. So kann man weiterhin eine gute Performance des eigentlichen
Systems gewährleisten, da die Prüfung selbst dieses System nicht belastet. Möglich ist
auch, dass man die Ergebnisse bei dezentralisierter Datenprüfung miteinander abgleicht,
also beispielsweise die anderen Systeme danach fragt, ob sie dieselbe Anomalie entdeckt
haben, wie das eigene System.