COI-BusinessFlow Intrusion Detection. COI GmbH COI-BusinessFlow Intrusion Detection Seite 1 von 11

Transkript

1 COI-BusinessFlw Intrusin Detectin Business W hite Paper COI GmbH COI-BusinessFlw Intrusin Detectin Seite 1 vn 11

2 1 Zusammenfassung 3 2 Einführung Intrusin Detectin Definitin Unterstützende Werkzeuge Intrusin-Detectin-System 5 3 Prblemlösung Erkennen vn Angriffsmustern Anmalieanalyse Krrelatin vn Ereignisdaten Intrusin-Respnse-Funktinen 7 4 Intrusin Detectin mit COI-BusinessFlw Beschreibung Funktinsübersicht 8 5 Resümee 10 COI GmbH COI-BusinessFlw Intrusin Detectin Seite 2 vn 11

3 1 Zusammenfassung Die Sicherung der Unternehmensdaten und -infrmatinen hat in jedem Unternehmen höchste Prirität. Durch den heute ftmals weltweiten Zugriff auf Unternehmensdaten aus unterschiedlichen Umgebungen und Netzwerken heraus, steigen die Anfrderungen an die Datensicherheit beständig. Flgende Fragen stehen bei der Sicherheit der Datennutzung im Vrdergrund: Wie können Daten gegen den Zugriff Dritter geschützt werden? Wie lassen sich Infrmatinen, neben den Berechtigungsmechanismen, systemweit durchgängig bis in die Administratin inhaltlich schützen? Wie wird die dezentrale Datennutzung vr Datenmissbrauch geschützt? Wie können Datennutzungsabweichungen erkannt und Schutzmechanismen entsprechend aktiviert werden? Die COI GmbH bietet in COI-BusinessFlw zwei neue Sicherheitsmdule, welche den Schutz der Daten gewährleisten und die Antwrt auf die ben genannten Fragen geben. COI-BusinessFlw Verschlüsselung auf der Basis AES256 (siehe separates Business White Paper) COI-BusinessFlw Intrusin Detectin COI GmbH COI-BusinessFlw Intrusin Detectin Seite 3 vn 11

4 2 Einführung Anmerkung: Die nachflgenden Infrmatinen des Kapitels Einführung und Prblemlösung basieren auf der BSI-Richtlinie 1 für Intrusin-Detectin-Systeme und führen allgemein in das Thema ein. Intrusin-Detectin-Systeme (kurz IDS) können dazu dienen, die aus den erhöhten Kmmunikatinsanfrderungen und der verringerten Schutzwirkung der Firewall- Systeme resultierenden, zusätzlichen Risiken wieder zu vermindern. IDS erlauben die Überwachung des Netzverkehrs, der Systeme und Anwendungen auf Angriffe und Sicherheitsverletzungen. Die zeitnahe Erkennung vn Angriffen, angriffsvrbereitenden Aktivitäten und Sicherheitsverletzungen bildet dabei die Vraussetzung dafür, Schäden zu verhindern, zu begrenzen der zumindest zeitnah zu beheben. Hierdurch lassen sich die Verfügbarkeit und Integrität vn Systemen, Anwendungen und auf diesen basierender Dienste erhöhen. Dies setzt jedch vraus, dass die Auswirkungen erkannter Angriffe zeitnah untersucht werden und auf diese angemessen reagiert wird. IDS können zwar grundsätzlich auch autmatisch Gegenmaßnahmen einleiten, in den meisten Fällen kann auf eine manuelle Prüfung der Auswirkungen des Angriffs aber nicht verzichtet werden. Dies liegt darin begründet, dass IDS einerseits nicht frei vn Fehlalarmen sind und andererseits die Auswirkungen des Angriffs nur begrenzt durch das IDS erfasst werden können. Über die eigentliche Erkennung und Meldung vn Angriffen hinaus bieten IDS Funktinen zur Auswertung aufgezeichneter Ereignisse. Diese können zur Visualisierung der Angriffslast, zur Ermittlung vn Angriffskntexten und ggf. zur Rückverflgung vn Angreifern dienen. In vielen Fällen ermöglicht das Erkennen vn Verhaltensweisen, die erst durch den IDS-Einsatz sichtbar werden, auch die Verbesserung vn Systemknfiguratinen. 2.1 Intrusin Detectin Definitin Als Intrusin-Detectin wird die aktive Überwachung vn Cmputersystemen und/der -netzen mit dem Ziel der Erkennung vn Angriffen und Missbrauch bezeichnet. Das Ziel vn Intrusin-Detectin besteht darin, aus allen im Überwachungsbereich stattfindenden Ereignissen diejenigen herauszufiltern, die auf Angriffe, Missbrauchsversuche der Sicherheitsverletzungen hindeuten, um diese anschließend vertieft zu untersuchen. Ereignisse sllen dabei zeitnah erkannt und gemeldet werden. Intrusin-Detectin ist als Przess zu verstehen und bedarf einer geeigneten rganisatrischen Einbindung swie der technischen Unterstützung durch geeignete Werkzeuge. 2.2 Unterstützende Werkzeuge Intrusin-Detectin bedarf einer technischen Grundlage, um überhaupt Ereignisse aufnehmen und sie dann nach interessierenden Kriterien bewerten zu können. Eine werkzeugbasierte Unterstützung kann zur Generierung vn Ereignissen, zur Filterung vn Ereignissen, zur Auswertung und Alarmierung swie zur Archivierung der gefundenen Ergebnisse erflgen. Ob und in welcher Frm Werkzeuge den Intrusin-Detectin-Przess unterstützen können, hängt im Einzelfall vm rganisatrischen und technischen Einsatzumfeld, 1 BSI-Leitfaden zur Einführung vn Intrusin-Detectin-Systemen, Versin 1.0, Bundesamt für Sicherheit in der Infrmatinstechnik, Bnn COI GmbH COI-BusinessFlw Intrusin Detectin Seite 4 vn 11

5 insbesndere auch vm Überwachungsziel ab. Einfache Werkzeuge, z. B. zur Generierung und zum Vergleich vn Checksummen ausgewählter Dateien der zum Vergleich vn Zeichenketten bei der Analyse vn Lgdateien, können hierzu ebens nützlich sein wie kmplexe Werkzeuge zur Überwachung des Netzverkehrs. Ein wirksames Intrusin-Detectin bedarf daher einer angepassten und zusammenpassenden Auswahl geeigneter Hilfsmittel. 2.3 Intrusin-Detectin-System Als Intrusin-Detectin-System wird eine Zusammenstellung vn Werkzeugen bezeichnet, die den gesamten Intrusin-Detectin-Przess vn der Ereigniserkennung über die Auswertung bis hin zur Eskalatin und Dkumentatin vn Ereignissen unterstützen. IDS können jedch auch aus Einzelkmpnenten zusammengesetzt werden. Auswahl und Zusammenstellung des IDS richten sich dabei nach den individuellen technischen und rganisatrischen Gegebenheiten und Anfrderungen. COI GmbH COI-BusinessFlw Intrusin Detectin Seite 5 vn 11

6 3 Prblemlösung Derzeit werden vn fast allen Anbietern kmmerzieller IDS Analysemethden angewendet, die auf der Erkennung vn Angriffsmustern der auf Prtkllanalyse beruhen. Zusätzlich bieten fast alle IDS die Möglichkeit zur manuellen statistischen Anmalieerkennung auf der Basis vm IDS erzeugter Reprte und Angriffsstatistiken. Die autmatische statistische Anmalieerkennung ist im Gegensatz dazu kaum in marktverfügbare Prdukte integriert und fast ausschließlich im wissenschaftlichen Bereich anzutreffen. Auch die Relevanz vn IDS, deren Angriffserkennung auf Basis künstlicher Intelligenz erflgt, beschränkt sich auf den wissenschaftlichen Bereich. Die Anmalieerkennung auf Basis vn Hneypts ist ein am Markt verfügbares Analyseverfahren. Hneypts werden vn einigen Herstellern angebten und sind auch im Open-Surce-Bereich erhältlich. Eine autmatische sensrübergreifende Krrelatin vn Ereignisdaten bieten nur wenige der marktverfügbaren IDS. Möglichkeiten zur manuellen Krrelatin sind jedch in der Regel gegeben. 3.1 Erkennen vn Angriffsmustern Als Signaturen werden im IDS-Kntext Muster bzw. Ereignisse bezeichnet, die auf einen bekannten Angriff der ein missbräuchliches Systemverhalten hinweisen. Signaturen reichen dabei vn einfacher Zeichenerkennung in Daten ("pattern matching") bis hin zu kmplexen Verhaltensmustern. S erlauben sie auch die Erkennung fehlerhafter Verhaltensweisen des Systems der einzelner Nutzer (z. B. drei Lgin-Fehlversuche innerhalb vn 5 Minuten). Bei signaturgestützten IDS erflgt die Definitin des zu erkennenden Angriffs auf der Basis definierter Angriffsmuster. Das IDS alarmiert, sbald ein slches Muster zutrifft. Die meisten verfügbaren IDS gestatten das Anpassen der Neuerstellen vn Signaturen durch eine einfache Skriptsprache. Vrteil dieser Methde ist die leichte Verständlichkeit des Vrgehens. Nachteilig ist, dass praktisch alle Angriffe (in sämtlichen Mdifikatinen) aufgezählt werden müssen, damit sie erkannt werden können. Zwar können ähnliche Angriffe durch dieselbe Signatur erkannt werden, wenn die Signatur entsprechend "unscharf" definiert ist. Hierdurch erhöht sich jedch auch die Fehlalarmrate (false psitives) des IDS und mit ihr der persnelle Aufwand zur Analyse der IDS-Meldungen. 3.2 Anmalieanalyse Als Anmalieanalyse werden Auswertungsmethden bezeichnet, bei denen die Abweichung des Systems vn seinem Nrmalverhalten erkannt und gemeldet wird. 3.3 Krrelatin vn Ereignisdaten Die Auswertungslgik kann basieren auf Ereignissen und Daten vn einem Sensr, mehreren Sensren gleicher Art der mehreren Sensren unterschiedlicher Arten. Die Berücksichtigung mehrerer, nicht zeitgleicher Ereignisse der Ereignisse unterschiedlicher Sensren durch die Auswertungslgik wird als Krrelatin bezeichnet. Die Krrelatin kann mit der Signaturanalyse und Anmalieanalyse kmbiniert sein. Die Krrelatin vn sensrübergreifenden der langfristigen Ereignissen erflgt in der Regel intuitiv, kann jedch durch IDS unterstützt werden, z. B. in Frm vn regelmäßigen Reprts. COI GmbH COI-BusinessFlw Intrusin Detectin Seite 6 vn 11

7 Nicht alle am Markt erhältliche IDS-Prdukte weisen autmatische Krrelatinsmöglichkeiten auf. Dagegen wird eine manuelle Krrelatin typischerweise durch die Möglichkeit unterstützt, auf Basis der in der Ereignisdatenbank gespeicherten Daten nach verschiedenen Kriterien zu filtern (Reprt-Funktinen). Vraussetzung ist hierfür eine möglichst umfangreiche Speicherung der Ereignisdaten und Kntextinfrmatin, da zunächst belangls erscheinende Daten bei einer Langfrist-Analyse nachträglich an Bedeutung gewinnen können (z. B. Prtscans mit einem Prt pr Tag der netzübergreifendes Scanning desselben Prts). Die Anfrderung nach umfangreicher Aufzeichnung verdächtiger Ereignisse knkurriert mit Anfrderungen an den Datenschutz. Deshalb ist zu klären, welche Daten für welchen Zeitraum gespeichert werden dürfen. Ereignisdaten können im Allgemeinen auch pseudnymisiert zur Erkennung vn Angriffen beitragen. Eine Pseudnymisierung der Ereignisdaten bei der Speicherung wird jedch vn marktverfügbaren IDS- Prdukten in der Regel nicht unterstützt. Die Krrelatin wird in der Praxis derzeit hauptsächlich dadurch erschwert, dass einerseits ungeeignete Datenbanksysteme zur Speicherung der Ereignisdaten eingesetzt werden und andererseits aufgrund fehlender Standardisierung eine Krrelatin über Sensren verschiedener Hersteller hinweg nicht vn den IDS unterstützt wird. Manuelle Krrelatinen sind zwar möglich, jedch sehr zeitaufwändig und damit kstenintensiv. 3.4 Intrusin-Respnse-Funktinen Als Reaktin auf erkannte Ereignisse können verschiedene Aktinen ausgelöst werden, vn der Dkumentatin des Ereignisses, über die Alarmierung bis zur autmatischen Aktivierung vn Gegenmaßnahmen. Die vn einem IDS autmatisch eingeleiteten Maßnahmen werden als Intrusin-Respnse bezeichnet. Dkumentatin Alarmierung Autmatische Einleitung vn Gegenmaßnahmen COI GmbH COI-BusinessFlw Intrusin Detectin Seite 7 vn 11

8 4 Intrusin Detectin mit COI-BusinessFlw Als ECM-Plattfrm mit den Standardfunktinsbereichen Archivierung und Dkumentenmanagement steht die Sicherheit der verwalteten Daten an erster Stelle. Revisinssichere Archivierung ermöglicht zwar die über Jahre hinweg unveränderbare Speicherung vn Unternehmensdkumenten und -infrmatinen, in Verbindung mit dem Mdul Intrusin Detectin in COI-BusinessFlw erhalten die Daten aber einen zusätzlichen Schutz. In Kmbinatin mit der umfangreichen Rechte- & Rllentechnlgie der COI-Plattfrm werden Infrmatinen durchgängig gegen unberechtigte Nutzung Dritter geschützt. Dabei haben die Aspekte der Datensicherheit und des Datenschutzes höchste Prirität. Durch den Einsatz der Erweiterungskmpnente COI-Intrusin Detectin, die auf der COI-Betriebssystemüberwachung (COI-Mnitring Tl) aufbaut, wird die gesamte COI-ECM-Plattfrm auf Basis einer Vielzahl standardisierter Sensren überwacht. In Verbindung mit unterschiedlich definierbaren Aktinsmustern kann die ECM-Plattfrm im Falle einer Bedrhung entsprechende Schutzaktinen auslösen. 4.1 Beschreibung Das IDS ist nach dem Mdell "Sensr Analyse Reaktin" knzipiert: Sensr Analyse Reaktin Sensren sind alle im System befindlichen Prtkllierungsmechanismen. Analyse und Reaktin werden über ein Framewrk realisiert, das die Bearbeitung unabhängig vneinander knfigurierter Prüfbjekte ( Analyse ) mit Alarmierungen und Flgeaktinen ( Reaktin ) erlaubt. Dieses Framewrk ist mit einigen vrdefinierten Prüffunktinen bestückt und kann durch die Implementierung weiterer Prüffunktinen erweitert werden. Aufbau und Funktinsweise des IDS rientieren sich an dem bereits vrhandenen Tl Mnitring, welches zur Betriebsüberwachung eingesetzt wird. 4.2 Funktinsübersicht Überwachen, Erkennen und Melden vn verdächtigen Benutzeraktivitäten Sensren sammeln Dateninfrmatinen. Diese liefern die Rhdaten an die Analysekmpnenten. Diese entscheiden, b ein unerlaubter Eingriff vrliegt und leiten die Ergebnisse an die Reaktinskmpnente. Die Reaktinskmpnente benachrichtigt entsprechend den Administratr. Diese Kmpnente basiert auf dem Mdul Betriebsüberwachung. Standardmäßig wird eine Reihe vn Mdulen ausgeliefert (weitere Mdule können prjektspezifisch implementiert werden). Sensren-Mdule: COI GmbH COI-BusinessFlw Intrusin Detectin Seite 8 vn 11

9 Benutzer-Aktinen (Liste der Benutzeraktinen pr Zeitraum, z. B. der Benutzer hat zwei Dkumente bearbeitet, und zehn exprtiert) Analyse-Mdule: Reaktin-Mdule: Update-Server Aktinen (Liste der Gets/Puts/ ) Benutzer-Aktinen, Update-Server-Aktinen Administratr per benachrichtigen, Benutzer mit Eingriffsverdacht auslggen, Benutzer mit Eingriffsverdacht deaktivieren. COI GmbH COI-BusinessFlw Intrusin Detectin Seite 9 vn 11

10 5 Resümee Mit der Integratin der Verschlüsselungstechnlgie AES256 (siehe COI-Business- WhitePaper Verschlüsselung) und der Erweiterung COI-Intrusin Detectin ermöglicht COI-BusinessFlw, zusätzlich zum Leistungsumfang der unveränderbaren und revisinssicheren Datenarchivierung, einen umfassenden Daten- und Dkumentschutz. COI-Intrusin Detectin schützt die Daten durch Analyse und Überwachung des Systems und Auslösen vn Schutzmechanismen, abhängig vn den gemeldeten Ergebnissen der aktiven Sensren. Dies trägt zu einem wesentlichen Schutz des Unternehmenswissens und der in der ECM-Umgebung abgelegten Daten und Infrmatinen bei. Der Sicherheitsstandard des COI-BusinessFlw wurde durch die Entwicklung der COI-Intrusin Detectin Kmpnente und der ebenfalls neuen Verschlüsselungsfunktinen der AES256- Technlgie umfangreich ausgebaut. COI GmbH COI-BusinessFlw Intrusin Detectin Seite 10 vn 11

11 COI-BusinessFlw - die mderne ECM-Plattfrm aus dem Hause COI. Ihr Vrteil: Einzigartige Integratinsfähigkeit, umfassende Przessptimierung und übergreifendes Infrmatinsmanagement. Mit diesen innvativen Lösungen werden Visinen vn mrgen schn heute Realität. COI Cnsulting für Office und Infrmatin Management GmbH Am Weichselgarten Erlangen Telefn: +49 (0)9131 / Telefax: +49 (0)9131 / inf@ci.de Web: Cpyright COI GmbH V_H14: Die Weitergabe und/der Vervielfältigung dieser Publikatin der vn Teilen daraus sind, zu welchem Zweck und in welcher Frm auch immer, hne die ausdrückliche schriftliche Genehmigung durch die COI GmbH nicht gestattet. In dieser Publikatin enthaltene Infrmatinen können hne vrherige Ankündigung geändert werden. COI, COI-BusinessFlw, COI-BusinessArchive, BusinessFlw swie das COI-Lg sind eingetragene Marken der Cnsulting für Office und Infrmatin Management GmbH. Andere Prduktnamen und Lgs werden nur zur Identifikatin der Prdukte und Hersteller verwendet und können eingetragene Marken der entsprechenden Hersteller sein. Alle Angaben hne Gewähr. COI GmbH COI-BusinessFlw Intrusin Detectin Seite 11 vn 11