Entwicklung eines Intrusion-Detection-Verfahrens zur Erkennung von VoIP-initiierten DoS-Attacken auf Rettungsleitstellen

Transkript

1 Entwicklung eines Intrusion-Detection-Verfahrens zur Erkennung von VoIP-initiierten DoS-Attacken auf Rettungsleitstellen Christoph Fuchs Universtität Bonn

2 1. Problemstellung Welche Sicherheitsrisiken entstehen durch die Integration von VoIP für den Notrufdienst (112)? Momentane VoIP-Architektur: IP-basiert PSTN H.323 SIP VoIP- Gateway ISDN SS7 Christoph Fuchs, Universität Bonn 2/15

3 Architektur im PSAP (Leitstelle) k eingehende Leitungen PSTN ISDN BRI/PRI PBX N Disponenten (Agenten) Private Branch Exchange PSAP (Public Safety Answering Point) Begrenzte Ressourcen Christoph Fuchs, Universität Bonn 3/15

4 Überlastung des PSAP k eingehende Leitungen ISDN BRI/PRI PBX N Disponenten (Agenten) Private Branch Exchange PSAP (Public Safety Answering Point) N k Gefahr von Denial-Of-Service-Angriffen! Christoph Fuchs, Universität Bonn 4/15

5 2. Lösungsweg - Gegenmaßnahmen zu DoS-Attacken Präventive Maßnahmen, die die Verfügbarkeit einschränken wie z.b. Authorisierung, sind für den öffentlichen Notrufdienst ungeeignet. Daher: Allenfalls reaktive Maßnahmen bei Vorliegen einer DoS-Attacke möglich. Wichtig für die Effektivität: Möglichst frühzeitige Erkennung eines Angriffs. Intrusion Detection Problem: Unterscheidung von Angriffs- und Katastrophenfall. Christoph Fuchs, Universität Bonn 5/15

6 Unterscheidung zwischen Angriff und Katastrophenfall 11 1 Eingehende Notrufe Anrufdauer [Sekunden] Zeit [Stunden] Unwetterlage am , PSAP Köln Christoph Fuchs, Universität Bonn 6/15

7 Notrufprofile klassifiziert nach Ursprungsnetz VoIP Mobil PSTN Zeit [Minuten] Bei Katastrophen ähnliche Entwicklung der Notruflast aus verschiedenen Ursprungsnetzen Christoph Fuchs, Universität Bonn 7/15

8 Kooperative Intrusion-Detection Kooperative Intrusion-Detection-Systeme: ID-Systeme verschiedener Domänen senden ihre Daten an ein Meta-IDS bessere Erkennungsleistung bestimmter Angriffe (z.b. Würmer) FGAN IDS Uni-Bonn Meta-IDS PSTN IDS GSM / UMTS PSAP RWTH Aachen VoIP IDS Christoph Fuchs, Universität Bonn 8/15

9 Betriebsszenarien im PSAP Normalbetrieb niedrige und relativ gleichmäßig verteilte Last PSTN GSM / UMTS PSAP VoIP Katastrophenfall hohes Lastaufkommen aus allen Domänen zu erwarten PSTN GSM / UMTS PSAP VoIP DoS-Angriff extrem hohe Last aus VoIP-Bereich unauffällige Last aus PSTN- und GSM/UMTS- Domänen PSTN GSM / UMTS VoIP PSAP Christoph Fuchs, Universität Bonn 9/15

10 Architektur des ID-Systems und Ereignisreduktion Meta-IDS Alarm Alarm Release Eingang IDS PSTN IDS Mobile IDS VoIP IDS Agent IDS Sensor Updates Sensor Sensor Sensor Sensor Sensor Ereignisse Christoph Fuchs, Universität Bonn 1/15

11 Angriffserkennung im Meta-IDS Alarmmeldungen führen zu Ereignisstrom im Meta-IDS ZAZ B ZAZ B Meta-IDS Zustandsbasierte Angriffserkennung Identifizierung von Systemzuständen, die einen Angriff kennzeichnen ZAZ B ZAZ B ZAZ B ZAZ ZAZ ZAZ Zweistufiges Alarmkriterium 1. Stufe: Liegt kritische Ressourcenauslastung vor? 2. Stufe: Vergleich der Alarmzustände von PSTN, Mobilnetzen und VoIP Angriffsalarm bei Erfüllung beider Kriterien Christoph Fuchs, Universität Bonn 11/15

12 3. Ergebnisse - Evaluation Bewertung der erzielten Erkennungsleistung Reaktionszeit der Angriffserkennung - vor Vollauslastung - vor manueller Erkennung Zuverlässigkeit der Angriffserkennung Unterscheidung von Angriff und Katastrophenfall Christoph Fuchs, Universität Bonn 12/15

13 Reaktionszeit der Angriffserkennung Dauer bis zur Angriffsmeldung [Sekunden] 8 7 Zeit bis Vollauslastung Agenten Angriffserkennung bei Belegungs-Schwelle 5 Agenten Angriffserkennung bei Belegungs-Schwelle 4 Agenten VoIP-Angriffsrate [Anrufe/Minute] Angriffserkennung deutlich vor Erreichen der Vollauslastung Christoph Fuchs, Universität Bonn 13/15

14 Zuverlässigkeit der Angriffserkennung Anteil am Gesamtzeitraum [Prozent] % Kriterium der ersten Stufe erfüllt Kriterium der zweiten Stufe erfüllt Erfolgte Angriffsalarme 2% 27% Anteil der VoIP-Notrufe am Gesamtaufkommen [Prozent] 33% Zuverlässige Erkennung bis zu einem VoIP-Anteil von ca. 2% Christoph Fuchs, Universität Bonn 14/15

15 Ausblick Auswirkungen der PSAP-Größe auf die Angriffserkennung Anomalieerkennung statt Missbrauchserkennung Erfassung zusätzlicher Eigenschaften oder Verschärfung der Angriffskriterien bei zunehmender VoIP-Verbreitung Intrusion-Response? Christoph Fuchs, Universität Bonn 15/15

16 Ende Fragen? Christoph Fuchs, Universität Bonn 16/15

17 Möglichkeiten der Intrusion-Response Beschränkung der durch VoIP-Notrufe belegbaren PSAP-Ressourcen VoIP-Notrufe werden nur von fester Anzahl Agenten bedient Priorisierung der Warteschlangen von PSTN und Mobilnetzen Beschränkung der durch VoIP-Notrufe belegbaren Leitungen Christoph Fuchs, Universität Bonn 17/15