Mobile Systems III INFORMATIK

162 Intrusion Detection in mobilen Netzwerken
einer auftretenden Anomalie mit den Nachbarn kommuniziert, und eine globale Prüfung
der Daten anordnet[6]. Die zugesendeten Daten sollten dabei nicht verwendet werden, da
eine absichtliche Fälschung oder bösartiger Code enthalten sein kann. Die Kommunikation
zwischen sich und den Nachbarn wird durch eine so genannte ’secure communication
engine’ geführt, die den Datentransfer überwacht und versucht mehr Sicherheit zu
gewährleisten[6]. Sie ist Bestandteil eines jeden IDS Agents. Da bei der Kommunikation
mit näheren Nachbarn weniger fehlerhafte Datenpakete entstehen, da die Entfernung
geringer ist und durchschnittlich weniger Störungen auftreten, erhalten ihre Ergebnisse
eine höhere Priorität[6]. Wenn eine ausreichend eindeutige Bewertung durch die globale
Untersuchung getätigt wurde, und deshalb davon ausgegangen werden kann, dass eine Anomalie
tatsächlich vorliegt, kann eine globale Reaktion auf diesen Eingriff vorgenommen
werden. Diese kann von jedem beliebigem Mobile Node getätigt werden, nicht zwangsweise
durch das eigene. Die Maßnahme ist nun abhängig von der Art des Angriffs, der Art der
Netzwerkprotokolle und wie hoch das Vertrauen in das Ergebnis ist, also wenn möglichst
alle die Anomalie bestätigt haben[6]. Die Intrusion Response sieht vor, die Kommunikation
zwischen den Teilnehmern neu zu initialisieren, in dem beispielsweise die Login-
Keys neu angefordert werden[6]. Konnte der Eindringling identifiziert werden, wird eine
Reorganisation der Netzwerkstruktur unter Ausschluss unerwünschter MNs eingeleitet.
Problematisch ist außerdem die Datenkontrolle, da keine Router, Gateways oder andere
Verkehrsknotenpunkte vorhanden sind, an denen man die zu prüfenden Daten auslesen
kann. In einem gemeinsamen Medium ist das zwar nicht unbedingt erforderlich, da alle
MNs alle Daten empfangen können, aber stattdessen entsteht in einem infrastrukturlosen
Netzwerk das Problem der so genannten ’hidden stations’, wobei die Erkennung eines belegten
Kanals nicht in allen Situationen zuverlässig funktioniert. Hier kurz eine Erklärung
des Problems. Eine Station kommuniziert mit einer zweiten, mit der eine weitere Station
nun auch kommunizieren möchte. Wenn nun diese dritte Station die erste nicht erkennen
kann, weil diese beispielsweise außerhalb der Reichweite liegt, geht sie davon aus, der Kanal
wäre frei, und sendet die Datenpakete. Diese gehen jedoch verloren, da der Kanal in
Wirklichkeit belegt ist. Dies kann natürlich dazu führen, dass die Daten nur unvollständig
vorliegen. Hier tritt wieder das Problem auf, welche Algorithmen man für unvollständige
Daten verwenden sollte.
7.5 Fazit
Diese Ausarbeitung diente im Rahmen eines Seminars dazu dem Interessierten näher zu
bringen, worum es in der Intrusion Detection geht. Es wurden die Methoden der Intrusion
Detection angerissen und auf die vielfältigen Varianten des Einsatzes von ID Systemen eingegangen.
Entscheidend war besonders die Darlegung der Umsetzung von Intrusion Detection
in die drahtlose Umgebung und welche Ansätze derzeit zu deren Verwirklichung existieren.
Es wurde herausgestellt, dass ohne einige Änderungen vorzunehmen man Intrusion
Detection also nicht von drahtgebundener Umgebung in drahtlose Umgebungen übernehmen
kann. Hierbei wurde ein deutlicher Unterschied zwischen Infrastruktur-Netzwerken
und Ad Hoc-Netzwerken gemacht. Beide Lösungen fordern die Mitarbeit der Kommunikationspartner
des Netzwerkes, doch während man bei einem Infrastrukturnetzwerk