Sascha Bastke. Institut für Internet-Sicherheit Fachhochschule Gelsenkirchen

Transkript

1 Internet-Frühwarnung auf Basis des Internet-Analyse- Systems Sascha Bastke Institut für Internet-Sicherheit Fachhochschule Gelsenkirchen

2 Inhalt Internet-Analyse-System Angriffserkennung Prognosen 2

3 Inhalt Internet-Analyse-System Angriffserkennung Prognosen 3

4 Internet-Analyse-System (IAS) Idee Beobachtung der kritischen Infrastruktur Internet. Internet Sonden werden an ausgesuchten Positionen des Internets zur Erfassung von Rohdaten in die Kommunikationsleitungen eingebunden. Sonde Sonde Zählen von Header- Informationen, die nicht datenschutzrelevant sind. System sammelt Informationen über einen großen Zeitraum! Ein zentrales Auswertungssystem analysiert die Rohdaten und Auswertungsergebnisse und stellt diese umfangreichen Ergebnisse dar. Sonde Auswertungssystem IAS Sonde 4

5 Internet-Analyse-System (IAS) Ziele 1) Beschreibung von Profilen, Mustern, Technologietrends und Zusammenhängen. Schaffung einer Wissensbasis. 2) Überblick über den aktuellen Zustand des Internets 3) Erkennen von Angriffssituationen und Anomalien 4) Prognosen von Technologietrends und Angriffen 5

6 Umsetzung des IAS Prinzip: Zählen von Header-Informationen Internet Raw-Data-Transfer System Probe Anonymization Pattern Processing time for each package < 1ms Counter System Nur Zähler 6

7 Beispiele von Ergebnissen des IAS Wissensbasis: Technologietrend Browserverteilung (Technologietrend) Tagesprofile, Keine Serverstatistik, sondern Leitungsstatistik Unterschied zwischen manueller Nutzung (z.b. Internet Explorer und Firefox) und automatischer Nutzung (z.b. wget) zu erkennen. Firefox Department Department Computer Computer Science Internet Explorer 42 % Andere (wget, etc) 21 % Mozilla Firefox 32 % Internet Explorer Andere (wget, etc) 7

8 Beispiele von Ergebnissen des IAS Wissensbasis: Technologietrend (TLS) 11%: AES / SHA1 30%: AES / SHA1 53%: RC4 / MD5 Department Department Computer Computer Science 8

9 Beispiele von Ergebnissen des IAS Smurf Senden eine ICMP Echo Request an Broadcast-Adresse mit gefälschter Absenderadresse Antworten überfluten Opfer 9

10 Inhalt Internet-Analyse-System Angriffserkennung Prognosen 10

11 Angrifsserkennung Sichtbarkeit Was ist sichtbar? Sichtbar ist alles, was sich über große Änderungen der Paketmengen äußert Problematisch: Angriffe, die aus einem Paket bestehen Angriffe, die sich aus mehreren Paketen zusammensetzen Lösung: Erweiterungen des Ansatzes Zählen des Auftretens bestimmter Kombinationen von Kommunikationsparametern, die Angriffe identifizieren Zählen von Zugriffen auf bestimmte URLs Beziehungen zwischen den Paketen berücksichtigen 11

12 Angrifsserkennung Verfahren Zeitreihenverfahren Modellieren der Daten als Zeitreihe Problem: Anpassung an sich ändernde Verhältnisse Unrealistisch für große Zahl von Parametern Neuronale Netze Neuronales Netz lernt den Zusammenhang der Daten Problem: Black Box => Keine Nachvollziehbarkeit der Ergebnisse Neuro-Fuzzy-Systeme Lernt Fuzzy-Regelbasis zur Beschreibung der Daten Problem: Klassifikationsleistung ist nicht immer vergleichbar mit der Neuronaler Netze 12

13 Inhalt Internet-Analyse-System Angriffserkennung Prognosen 13

14 Prognosen Prognose des Beginns von Angriffen Frühwarnung besteht nicht nur aus Angriffserkennung Ebenso wichtig: Betrachtung der Verkehrs- und Technologieentwicklung Grund: Infrastruktur muss an die Entwicklung angepasst werden Ziel: Verkehrsentwicklung und Technologienutzung prognostizieren Verfahren: Zeitreihen Neuronale Netze 14

15 Internet-Analyse-System Vielen Dank für Ihre Aufmerksamkeit Fragen? Sascha Bastke Institut für Internet-Sicherheit Fachhochschule Gelsenkirchen