Physische Kriminalität und Cybercrime Tatbestände aus zwei Welten?

Transkript

1 Tatbestände aus zwei Welten? CEO/CTO der Unternehmensgruppe AIRNET: Rukhsar Khan Internet Facebook Copyright c All rights reserved.

2 Outline 1 Physische Kriminalität versus Cybercrime 2 3 Security Monitoring und Log Management (SIEM) mit Sensage

3 Outline 1 Physische Kriminalität versus Cybercrime 2 3 Security Monitoring und Log Management (SIEM) mit Sensage

4 Kriminalität aus der realen Welt Eine Mutter fälscht die Unterschrift ihres Noch-Ehemannes, um die abgelaufenen Reisepässe ihrer beiden Söhne durch neue zu ersetzen Urkundenfälschung Als dieser Betrug ans Tageslicht kommt, beschuldigt die Mutter in Gegenwart der Kriminalpolizei ihren Ehemann, er selbst habe die Pässe beantragt und sie befänden sich in seinem Besitz aus dem Opfer einen Täter machen Die Kriminalpolizei markiert in ihrem Sicherheitssystem bundesweit die verschwundenen Pässe als ungültig Nationales Sicherheitssystem

5 Kriminalität aus der realen Welt Eine Mutter fälscht die Unterschrift ihres Noch-Ehemannes, um die abgelaufenen Reisepässe ihrer beiden Söhne durch neue zu ersetzen Urkundenfälschung Als dieser Betrug ans Tageslicht kommt, beschuldigt die Mutter in Gegenwart der Kriminalpolizei ihren Ehemann, er selbst habe die Pässe beantragt und sie befänden sich in seinem Besitz aus dem Opfer einen Täter machen Die Kriminalpolizei markiert in ihrem Sicherheitssystem bundesweit die verschwundenen Pässe als ungültig Nationales Sicherheitssystem

6 Kriminalität aus der realen Welt Eine Mutter fälscht die Unterschrift ihres Noch-Ehemannes, um die abgelaufenen Reisepässe ihrer beiden Söhne durch neue zu ersetzen Urkundenfälschung Als dieser Betrug ans Tageslicht kommt, beschuldigt die Mutter in Gegenwart der Kriminalpolizei ihren Ehemann, er selbst habe die Pässe beantragt und sie befänden sich in seinem Besitz aus dem Opfer einen Täter machen Die Kriminalpolizei markiert in ihrem Sicherheitssystem bundesweit die verschwundenen Pässe als ungültig Nationales Sicherheitssystem

7 Kriminalität aus der realen Welt 1,5 Jahre später entführt die Mutter die beiden Söhne mit genau diesen als ungültig markierten Reisepässen nach Pakistan Fragen: Wie konnte das passieren, nachdem die Pässe von der Kriminalpolizei als ungültig markiert wurden? Was haben all diese Vorgänge im Detail mit IT-Security zu tun?

8 Kriminalität aus der realen Welt 1,5 Jahre später entführt die Mutter die beiden Söhne mit genau diesen als ungültig markierten Reisepässen nach Pakistan Fragen: Wie konnte das passieren, nachdem die Pässe von der Kriminalpolizei als ungültig markiert wurden? Was haben all diese Vorgänge im Detail mit IT-Security zu tun?

9 Kriminalität aus der realen Welt 1,5 Jahre später entführt die Mutter die beiden Söhne mit genau diesen als ungültig markierten Reisepässen nach Pakistan Fragen: Wie konnte das passieren, nachdem die Pässe von der Kriminalpolizei als ungültig markiert wurden? Was haben all diese Vorgänge im Detail mit IT-Security zu tun?

10 Kriminalität aus der realen Welt 1,5 Jahre später entführt die Mutter die beiden Söhne mit genau diesen als ungültig markierten Reisepässen nach Pakistan Fragen: Wie konnte das passieren, nachdem die Pässe von der Kriminalpolizei als ungültig markiert wurden? Was haben all diese Vorgänge im Detail mit IT-Security zu tun?

11 Ist dies verdächtiges Verhalten?

12 Ist dies verdächtiges Verhalten? Nein, es ist nicht verdächtiges Verhalten! Wie kann verdächtiges Verhalten klassifiert werden, ohne jeden unter Generalverdacht zu stellen? Das ist die Herausforderung! Unsere Beobachtungen haben uns zu der Erkenntnis geführt, dass viele kriminelle Handlungen, die wir aus der physischen Welt kennen, durchaus auch in der virtuellen möglich sind. Hierbei gibt es allerdings zwei fundamentale Unterschiede!

13 Ist dies verdächtiges Verhalten? Nein, es ist nicht verdächtiges Verhalten! Wie kann verdächtiges Verhalten klassifiert werden, ohne jeden unter Generalverdacht zu stellen? Das ist die Herausforderung! Unsere Beobachtungen haben uns zu der Erkenntnis geführt, dass viele kriminelle Handlungen, die wir aus der physischen Welt kennen, durchaus auch in der virtuellen möglich sind. Hierbei gibt es allerdings zwei fundamentale Unterschiede!

14 Ist dies verdächtiges Verhalten? Nein, es ist nicht verdächtiges Verhalten! Wie kann verdächtiges Verhalten klassifiert werden, ohne jeden unter Generalverdacht zu stellen? Das ist die Herausforderung! Unsere Beobachtungen haben uns zu der Erkenntnis geführt, dass viele kriminelle Handlungen, die wir aus der physischen Welt kennen, durchaus auch in der virtuellen möglich sind. Hierbei gibt es allerdings zwei fundamentale Unterschiede!

15 Ist dies verdächtiges Verhalten? Nein, es ist nicht verdächtiges Verhalten! Wie kann verdächtiges Verhalten klassifiert werden, ohne jeden unter Generalverdacht zu stellen? Das ist die Herausforderung! Unsere Beobachtungen haben uns zu der Erkenntnis geführt, dass viele kriminelle Handlungen, die wir aus der physischen Welt kennen, durchaus auch in der virtuellen möglich sind. Hierbei gibt es allerdings zwei fundamentale Unterschiede!

16 Physische Kriminalität versus Cybercrime Vergleich dieser Ereignisse mit IT Security: Entführung Eine Mutter mit zwei Kindern; physikalisch; Warteschlange; Wartezweit von möglicherweise einigen Minuten IT Security Abhängig von der Bandbreite, Millionen oder Milliarden von virtuellen Verbindungen; Bruchteil einer Sekunde, vielleicht im Milli- oder Microsekundenbereich; gewaltige Datenmangen Unsere These: Das Aufspüren von verdächtigem Verhalten im Cyberspace ist ungleich schwieriger, als in der realen Welt! Daher benötigen wir sehr effiziente und anspruchsvolle Tools und Features.

17 Physische Kriminalität versus Cybercrime Vergleich dieser Ereignisse mit IT Security: Entführung Eine Mutter mit zwei Kindern; physikalisch; Warteschlange; Wartezweit von möglicherweise einigen Minuten IT Security Abhängig von der Bandbreite, Millionen oder Milliarden von virtuellen Verbindungen; Bruchteil einer Sekunde, vielleicht im Milli- oder Microsekundenbereich; gewaltige Datenmangen Unsere These: Das Aufspüren von verdächtigem Verhalten im Cyberspace ist ungleich schwieriger, als in der realen Welt! Daher benötigen wir sehr effiziente und anspruchsvolle Tools und Features.

18 Physische Kriminalität versus Cybercrime Vergleich dieser Ereignisse mit IT Security: Entführung Eine Mutter mit zwei Kindern; physikalisch; Warteschlange; Wartezweit von möglicherweise einigen Minuten IT Security Abhängig von der Bandbreite, Millionen oder Milliarden von virtuellen Verbindungen; Bruchteil einer Sekunde, vielleicht im Milli- oder Microsekundenbereich; gewaltige Datenmangen Unsere These: Das Aufspüren von verdächtigem Verhalten im Cyberspace ist ungleich schwieriger, als in der realen Welt! Daher benötigen wir sehr effiziente und anspruchsvolle Tools und Features.

19 Physische Kriminalität versus Cybercrime Vergleich dieser Ereignisse mit IT Security: Entführung Eine Mutter mit zwei Kindern; physikalisch; Warteschlange; Wartezweit von möglicherweise einigen Minuten IT Security Abhängig von der Bandbreite, Millionen oder Milliarden von virtuellen Verbindungen; Bruchteil einer Sekunde, vielleicht im Milli- oder Microsekundenbereich; gewaltige Datenmangen Unsere These: Das Aufspüren von verdächtigem Verhalten im Cyberspace ist ungleich schwieriger, als in der realen Welt! Daher benötigen wir sehr effiziente und anspruchsvolle Tools und Features.

20 Zwei freie Publikationen von Rukhsar Khan Publikation für Management Personal: Was IT-Security und Kindesentführung gemeinsam haben Wahre Ereignisse und Erfahrungswerte aus dem Leben des Autors Rukhsar Khan Publikation für technisches Personal: Testbericht: Die Effizienz von Security Monitoring und Log Management IT-Systeme und -Dienste unter Beschuss

21 Zwei freie Publikationen von Rukhsar Khan Publikation für Management Personal: Was IT-Security und Kindesentführung gemeinsam haben Wahre Ereignisse und Erfahrungswerte aus dem Leben des Autors Rukhsar Khan Publikation für technisches Personal: Testbericht: Die Effizienz von Security Monitoring und Log Management IT-Systeme und -Dienste unter Beschuss

22 Heutige Herausforderung, Cybercrime zu bekämpfen Herausforderung: Die Schwierigkeit liegt heute nicht in der Eliminierung von Schadsoftware. Die Schwierigkeit liegt darin, Schadsoftware überhaupt zu entdecken. Aussagen aus dem Classified- Bereich (N.N.): Es ist keine Seltenheit, dass auf Rechnern von Geheimdiensten Trojaner ein halbes Jahr lang unbemerkt bleiben. Rootkits werden heute von Hackern unbemerkt im Flash-Speicher von Grafikkarten abgelegt. Eine Neuinstallation des Betriebssystems wirkt sich nicht auf das Rootkit aus. Virenscanner werden gerne missbraucht, um die Kontrolle über Systeme zu übernehmen. Das US-amerikanische DoD schreibt in seinem Bericht Department of Defense Strategy for Operating in Cyberspace (July 2011): We recognize that there may be malicious activities on DoD networks and systems that we have not yet detected.

23 Ein pragmatsicher Ansatz zur Bekämpfung von AIRNET Weltweite Trends sind teilweise kontrovers: Signatur-basierte Lösungen im Vergleich zu heuristischen Methoden. Zur Vorbereitung bevorstehender Projekte bei der Polizei und anderen Behörden, forschen wir hinsichtlich einer Kombination aus beidem.

24 Ein pragmatsicher Ansatz zur Bekämpfung von AIRNET Weltweite Trends sind teilweise kontrovers: Signatur-basierte Lösungen im Vergleich zu heuristischen Methoden. Zur Vorbereitung bevorstehender Projekte bei der Polizei und anderen Behörden, forschen wir hinsichtlich einer Kombination aus beidem.

25 Outline 1 Physische Kriminalität versus Cybercrime 2 3 Security Monitoring und Log Management (SIEM) mit Sensage

26 Labor und Feature Beschreibung

27 Security Features Juniper Networks Screens, Intrusion Detection & Prevention (IDP), Deep Inspection (DI), Anti Virus (AV) Cisco Systems Threat-Detection, Trendmicro Anti-x, IPS, Netflow Extreme Networks CLEAR-Flow Herstellerunabhängig Full Packet Capture

28 Security Features Juniper Networks Screens, Intrusion Detection & Prevention (IDP), Deep Inspection (DI), Anti Virus (AV) Cisco Systems Threat-Detection, Trendmicro Anti-x, IPS, Netflow Extreme Networks CLEAR-Flow Herstellerunabhängig Full Packet Capture

29 Security Features Juniper Networks Screens, Intrusion Detection & Prevention (IDP), Deep Inspection (DI), Anti Virus (AV) Cisco Systems Threat-Detection, Trendmicro Anti-x, IPS, Netflow Extreme Networks CLEAR-Flow Herstellerunabhängig Full Packet Capture

30 Security Features Juniper Networks Screens, Intrusion Detection & Prevention (IDP), Deep Inspection (DI), Anti Virus (AV) Cisco Systems Threat-Detection, Trendmicro Anti-x, IPS, Netflow Extreme Networks CLEAR-Flow Herstellerunabhängig Full Packet Capture

31 Attacking Tools Nmap/Zenmap, um Reconnaissance Attacken zum Sammeln von Informationen auszuführen. Nping (Network Packet Generation Tool), um Netzwerkverkehr zu erzeugen und dadurch DOS Attacken durchzuführen. OpenVAS für Schwachstellenanalyse. Metasploit Framework (MSF), um eine festgestellte Schwäche auszunutzen und eine Remote Shell oder einen Meterpreter auf dem kompromittierten Server zu starten.

32 Attacking Tools Nmap/Zenmap, um Reconnaissance Attacken zum Sammeln von Informationen auszuführen. Nping (Network Packet Generation Tool), um Netzwerkverkehr zu erzeugen und dadurch DOS Attacken durchzuführen. OpenVAS für Schwachstellenanalyse. Metasploit Framework (MSF), um eine festgestellte Schwäche auszunutzen und eine Remote Shell oder einen Meterpreter auf dem kompromittierten Server zu starten.

33 Attacking Tools Nmap/Zenmap, um Reconnaissance Attacken zum Sammeln von Informationen auszuführen. Nping (Network Packet Generation Tool), um Netzwerkverkehr zu erzeugen und dadurch DOS Attacken durchzuführen. OpenVAS für Schwachstellenanalyse. Metasploit Framework (MSF), um eine festgestellte Schwäche auszunutzen und eine Remote Shell oder einen Meterpreter auf dem kompromittierten Server zu starten.

34 Attacking Tools Nmap/Zenmap, um Reconnaissance Attacken zum Sammeln von Informationen auszuführen. Nping (Network Packet Generation Tool), um Netzwerkverkehr zu erzeugen und dadurch DOS Attacken durchzuführen. OpenVAS für Schwachstellenanalyse. Metasploit Framework (MSF), um eine festgestellte Schwäche auszunutzen und eine Remote Shell oder einen Meterpreter auf dem kompromittierten Server zu starten.

35 Outline 1 Physische Kriminalität versus Cybercrime 2 3 Security Monitoring und Log Management (SIEM) mit Sensage

36 Real-Time Monitoring

37 Real-Time Alert Player

38 Forensic Investigation

39 Compliance Reporting

40 Netflow Dashboard

41 Summary Vielen Dank für Ihre Aufmerksamkeit! Besuchen Sie uns auf unserem Stand 329 in Halle 12.0 Wir zeigen Ihnen live Angriffe und Verteidigung Holen Sie sich ein kostenloses Lehrbuch oder ein E-Learning über Netzwerktechnik auf unserem Stand ab!