Erstellung eines Intrusion Detection Systems für eine Firewall

3.2.5 Integration der Analysemethoden Wie bereits in Abschnitt 3.2.2 angesprochen, ist es vorteilhaft, Statistische Anomalienerkennung sowie Mustererkennung zu kombinieren, um eine breitere Palette von Angriffen abdecken zu können. Es stellt sich jedoch die Frage, auf welche Weise die beiden Analysemethoden in das IDS integriert werden sollen. Beim vorliegenden Ansatz werden beide Analysemethoden über Anweisungen innerhalb der IDS-Regeln realisiert. Mit dem Bedingungsteil einer Regel ist der Benutzer in der Lage, hinreichend starke Ausdrücke zu formulieren, die eine statistische Analyse der IDS-Daten und den Vergleich mit Normalwerten, sowie einen Vergleich der Daten mit gespeicherten Angriffsmustern ermöglichen. Für die Mustererkennung werden zusätzlich Endliche Automaten eingesetzt, auf die im folgenden Abschnitt eingegangen wird. Der Vorteil bei der Integration der Analysemethoden mit Hilfe der IDS-Sprache ist die Überprüfbarkeit und Modifizierbarkeit der verwendeten Algorithmen. Wenn die Analysefunktionalität hart codiert wird, ist sie dem Benutzer zum einen verborgen, und zum anderen nicht ohne weiteres zu modifizieren. Auf die Formulierung von Angriffserkennungsalgorithmen mit Hilfe von IDS-Regeln wird in Abschnitt 4.2.2 eingegangen. [...]

3.2.4 Auswahl der Datenbereitstellung Nachdem die vom IDS zu analysierenden Daten in Kapitel 2 vorgestellt wurden, stellt sich die Frage, auf welche Art und Weise sie dem IDS zur Verfügung gestellt werden sollen. Netzwerkdaten und Systemdaten sind in ihrer Rohform für das IDS noch ungeeignet und müssen erst in ein Format gebracht werden, welches die Analyse der Daten durch einen Algorithmus erlaubt. Zielsetzung sollte aufgrund der anfallenden Datenmenge jeweils ein möglichst platzsparendes Format sein, daß jedoch maximale Information enthält. Wünschenswert ist auch, das dieses Datenformat vom Menschen interpretierbar ist. Netzwerkpakete werden daher in ihrer Form belassen, es muß lediglich möglich sein, auf Header-Informationen und Daten schnell und einfach zugreifen zu können. Bei den Systemdaten dagegen müssen Subjekt, Aktion und Objekt des beobachteten Ereignisses beschrieben werden, um sinnvolle Informationen zu erhalten. Die Protokollierung von ausgeführten Befehlen (z.B. Telnet, FTP) kann auf textueller Basis erfolgen, wodurch auf diesen Zeichenketten-Vergleichsoperationen durchgeführt werden können. Ziel ist es auch, eine Trennung zwischen Datenaufbereitung und der eigentlichen Regelabarbeitung bzw, Datenprüfung zu erreichen. Wie im vorherigen Abschnitt bereits erläutert, werden die Daten für das IDS in Caches zwischengespeichert. Deshalb liegt es nahe, die Daten bereits vor der Speicherung aufzubereiten. Dies bedeutet z.B. auch, daß Informationen, die aus den Rohdaten nicht direkt ersichtlich sind, wie z.B. die Häufigkeit des Vorkommens einer Absenderadresse bei Netzwerkpaketen, extrahiert und zusätzlich zu den reinen Paketeinformationen im Cache [...]

zunächst auf der niedrigsten Schicht (Paketebene) und meldet z.B. Pakete mit zweifelhaften Daten im Header. Dann werden die Pakete zu größeren Einheiten zusammengesetzt und im Kontext von Sessions beziehungsweise Anwendungen untersucht. Durch Inhaltsanalyse können dann z.B. Telnet- oder Http - Angriffe erkannt werden. Schließlich gibt der Analysator die Pakete an den Zielrechner weiter. Eine weitere Möglichkeit ist ein Polling/Cache-Ansatz, bei dem in einem Regelspeicher enthaltene Regeln periodisch abgearbeitet und auf in Caches gespeicherten Netzwerkpaketen und Systemdaten angewendet werden. Systemdaten sind dabei Logeinträge von Vorgängen auf der Anwendungsebene. Bei der Abarbeitung einer Regel werden die vorhandenen Daten untersucht und Auffälligkeiten werden gemeldet. Der erste Ansatz bietet die Möglichkeit der Echtzeiterkennung eines Angriffs. Allerdings ist er sehr performancekritisch, da die Pakete verzögerungsfrei weitergeleitet werden müssen und nicht zwischengespeichert werden. Außerdem scheint die Realisierung einer an das OSISchichtenmodell angelehnte Analyse und Interpretation der Daten sehr komplex. Der zweite Ansatz bietet zwar keine wirkliche Echtzeiterkennung, es besteht aber die Möglichkeit, die Abarbeitungsintervalle zwischen den einzelnen Regeln möglichst klein zu halten, und sich so an eine Echtzeitverarbeitung zumindest anzunähern. Außerdem benötigt man nur eine Regelabarbeitungskomponente, die falls die Regelsprache mächtig genug ist, auf allen Datenschichten arbeiten kann. Ein weiterer Vorteil der Verwendung von Caches ist die Möglichkeit, die IDS-Daten temporär zu speichern, so daß die Möglichkeit einer verzögerten Auswertung, sowie des Zurückgreifens auf ältere Daten besteht. Zusätzlich erscheint die Integration des IDS in die Firewall bei diesem Verfahren besser umsetzbar, da bereits vorhandene Komponenten der Firewall verwendet werden können. [...]