Monitoring von Cyber Attacken

Ein Verbundprojekt der Universität Darmstadt entwickelte ein Verfahren zur Anomalieerkennung bei Internet Service Providern (ISPs). Dabei werden NetFlow-Daten innerhalb des Netzes eines ISPs über ein Zeitfenster gesammelt und ein Wert für deren Entropie gebildet. Der Wert kann über die Quell-IP, den Quell-Port, Ziel-IP oder Ziel-Port gebildet werden. Möglich wäre auch, die Metriken zu kombinieren. Falls die Entropie die durchschnittliche Entropie der letzten 𝑛 Zeitfenster, abzüglich eines Schwellwertes, unterschreitet, wird eine Anomalie erkannt. [Baier, Abt]

Die an der Anomalie beteiligten Hosts werden anderen ISPs mitgeteilt. Um zu gewährleisten, dass die Daten von diesen ISPs ausgewertet werden können, werden lediglich ausgehende NetFlows mit Ziel-IP und Ziel-Port untersucht. So hat jeder ISP die Möglichkeit, an einem Angriff beteiligte Hosts zu blockieren. Die Kommunikation zwischen den ISPs trägt außerdem dazu bei, dass die Rate der falsch erkannten Anomalien sinkt.

Das beschriebene Verfahren setzt außerdem Fuzzy Logic ein, um die Art des Angriffs zu bestimmen. Doch da das eigentliche Verfahren der Anomalieerkennung nicht auf maschinellem Lernen beruht, wurde es den statistischen Verfahren zugeordnet.

Bei diesem als statistisch eingestuften Ansatz geht es darum, die Integrität von Geräten innerhalb eines Netzwerkes zu gewährleisten. Als Anomalie wird hier „eine Veränderung der Gerätefirmware die nicht durch ein Firmware-Update des Herstellers verursacht wurde ebenso [verstanden], wie das nachträgliche und unplanmäßige Ausführen von nicht autorisierten Programmen auf einem Gerät“ [Dreher, Kehrer].

Auf jedem System (hier: Gerät) befindet sich ein Trusted Platform Module (TPM), welches vor dem eigentlichen Systemstart aktiviert wird und jeden Schritt des Boot-Vorgangs kryptographisch misst. Aus der Messung wird ein Hash-Wert generiert, sodass sich zum Ende des Boot-Vorgangs eine Hash-Kette bilden lässt. Anhand dieser Hash-Kette kann abgeglichen werden, ob der Bootvorgang dem erwarteten Prozess entspricht. Auch nach dem Bootvorgang überwacht das TPM das Starten von Programmen und Prozessen. Konzipiert wurde das vorgestellte Verfahren für Geräte im industriellen Bereich, welche meist nach einem Regelwerk oder einer Definition aufgesetzt werden und sich stark gleichen und somit gut überwachen lassen. [Dreher, Kehrer]

Um Anomalien nicht nur in einem abgeschlossenen System wie dem eigenen Netzwerk zu identifizieren, sondern globale Anomalien zu erkennen, wurde 2014 das sogenannte MonIKA-Framework entwickelt, welches Betreibern von Rechensystemen (Autonome Systeme, AS) erlaubt, Monitoring-Daten auszutauschen. Wichtig hierbei war es, die verschiedenen Interessen der Teilnehmer zu berücksichtigen und diese Daten so weit wie möglich zu anonymisieren. [Meier]

Die Erkennung von Anomalien wie beispielsweise Spoothing oder Hijacking basiert dabei auf bereits publizierten Forschungen33 und wird auf den Monitoring-Daten der beteiligten Betreiber von Rechensystemen ausgeführt. Die Anomalieerkennung wird, zusätzlich zu den bekannten Verfahren, durch das Sammeln und Auswerten zusätzlicher Daten erweitert. Dazu gehören Routing-Beziehungen aus vertrauenswürdigen Quellen um abzuleiten, ob einer Subnetzmaske vertraut werden kann. Dies hilft dabei, auftretende Anomalien weiter als legitim oder illegitim zu klassifizieren. [Wübbeling, Meiser, Elsner]

Zu Cyber-Angriffen gehört auch die Spionage vertraulicher (Firmen-)Daten. Eine Möglichkeit, einen solchen Vorfall zu erkennen, wurde von Gates et al. entwickelt. Sie stufen den Informationsgehalt eines Dokumentes anhand seiner Position innerhalb des Systems (Ordnerstruktur) und den Zugriffen anderer Nutzer darauf ein. Anhand des üblichen Verhaltens eines Nutzers kann dann festgestellt werden, ob der aktuelle Zugriff auf ein bestimmtes Dokument seinem vergangenen Verhalten entspricht. Wurde das entsprechende Dokument, auf welches der Nutzer zugreift, als wesentlich wichtiger eingestuft als die bisherigen Dokumente, so kann dies auf einen Fall von Spionage hindeuten. [Gates et al.]

Die Arbeiten von Gates et al. konzentrierten sich auf das Aufdecken von Spionage durch Mitarbeiter. Es sollte allerdings ohne weiteres möglich sein, durch den oben beschriebenen Ansatz auch Zugriffe durch eingeschleuste Malware zu erkennen.

Auch Salem und Stolfo entwickelten einen ähnlichen Ansatz, bei welchem ein Zugriffsprofil des Nutzers erstellt wird. Salem und Stolfo gehen davon aus, dass das Suchverhalten eines maskierten Angreifers durch eine größere Anzahl an Zugriffen und einem weniger zielgerichteten Suchverhalten aufgedeckt werden kann. [Salem, Stolfo]

Eine Möglichkeit, Anomalien in einem System zu erkennen, stellt die Analyse von Log-Dateien dar. Alle relevanten Log-Dateien werden gesammelt und ausgewertet. Dazu gehören beispielsweise Logs von Firewalls, Anwendungsservern, Tools zur Leistungsmessung oder Intrusion Detection Systemen. Innerhalb der Logs werden sogenannte Atome (einzelne Zeichen oder Zeichenketten) gesammelt, über welche wiederum zusammenhängende Regionen erkannt werden können. Hierzu orientiert sich der Algorithmus an der Mustererkennung aus der Bioinformatik. Tritt bei einem nächsten Aufruf ein Ereignis auf, zu welchem weitere Atome innerhalb einer Region fehlen (entsprechende Einträge in der Firewall oder bestimmte Ressourcen innerhalb des Requests), so kann dies als Anomalie und somit als Angriff gewertet werden. [Fiedler et al.]

Andere Ansätze schränken sich bei der Verwendung von Log-Dateien ein. 2014 stellten Manadhata et al. einen Ansatz vor, bei welchem sie die Daten aus den HTTP Proxy Logs eines Unternehmens in einen Graphen übertrugen, in welchem jeder Knoten für einen Host und jede Kante für eine Verbindung stand. Durch eine aus Unternehmensinformationen gewonnene ground truth, welche Hosts als schädlich gelten und welche nicht, und der Anwendung eines belief propagation Algorithmus konnte mit hoher Wahrscheinlichkeit kalkuliert werden, welche der weiteren Hosts infiltriert waren. [Manadhata et al.]

Ein weiterer Ansatz, Anomalien mithilfe maschinellen Lernens zu erkennen, ist die Erweiterung und Analyse von NetFlow-Daten. Im Projekt ‚innovative Anomaly- and Intrusion-Detection‘ (iAID) des Bundesministeriums für Bildung und Forschung wurde ein neues Datenformat entwickelt, die so genannten IAS-Flow-Daten, welche auf NetFlow basieren. Zusätzlich zu den Informationen, welche NetFlow-Sensoren innerhalb des Netzwerks liefern, werden unter anderem Zähler erfasst, welche zuvor definiert werden können (z. B. Anzahl der Paket Header). Eine Complex Event Processing (CEP) Engine bereitet die Daten weiter auf und erstellt zusätzliche Ereignisse durch die Korrelation über Zeit und Reihenfolge der IAS-Flow-Daten. [Gad]

Die so gesammelten und erzeugten Daten werden an die Anomalieerkennung weitergeleitet, welche aus zwei Phasen besteht: In einem ersten Schritt werden die Ereignisse anhand von einfachen statischen Regeln bis hin zu intelligenten Automatismen (z.B. K-Means etc.) in drei Cluster eingeteilt, den White-, Black- und Grey-Listen. Ereignisse der erstgenannten Liste sollen im Anschluss nicht weiter untersucht werden, sie gehören zum harmlosen Datenverkehr. Ereignisse aus der zweitgenannten Liste werden dem Administrator mitgeteilt. Inhalte der Grey-Liste werden durch „gängige Verfahren wie Probabilistische Neuronale Netze“ untersucht (zweite Phase der Anomalieerkennung) und in die White- bzw. Black-Liste eingetragen. Da K-Means und Neuronale Netze zu selbstlernenden Verfahren zählen, wurde diese Art der Anomalieerkennung dem maschinellen Lernen zugeordnet. [Gad]

Boggs et al. sammeln Daten von mehreren Servern, um den Blick von einer einzelnen Domäne auf mehrere Seiten zu erweitern. Zu diesem Zweck werden durch Content Anomaly Detection (CED) Sensoren die Daten der eingehenden GET Requests auf jedem Server gesammelt. Diese Daten werden normalisiert und decodiert, um einen einheitlichen Vergleich anstellen und die Daten auswerten zu können. Zur Auswertung werden sogenannte Bloom Filter genutzt, welche die eingehenden Daten in 𝑛-Gramme teilen und analysieren. Werden auf Basis der vorher verarbeiteten Trainingsdaten Anomalien erkannt, werden diese Informationen über das Alarmaustauschsystem Worminator an die anderen beteiligten Server verteilt, was eine schnellere und zuverlässigere Erkennung neuartiger Attacken auf globaler Ebene ermöglicht. [Boggs et al.]

Ein Ansatz, welcher vor allem für Heimnetzwerke oder kleinere Firmen gedacht ist, macht sich das Software Defined Networking (SDN) zunutze. SDN ist ein Konzept zum Netzwerk-Aufbau. Dabei wird die Kontrolle von der Hardware entkoppelt und an den Controller übergeben. Dies ermöglicht es, Algorithmen zur Anomalieerkennung in den Controller zu implementieren, sodass die Verbindungsdaten durch diesen ausgewertet und entsprechend verarbeitet (geblockt oder weitergeleitet) werden können. In einem ersten Prototypen von Mehdi et al. wurden vier bereits bekannte Algorithmen implementiert, wovon zwei selbstlernend agieren. Es wäre jedoch durch die Möglichkeit, den Controller softwareseitig zu steuern denkbar, jeden beliebigen Algorithmus zu implementieren. [Mehdi, Khalid, Khayam]