Komponenten für kooperative Intrusion Detection in ... fileData Flow Sensor Sensor Sensor Local IDS...

Abt. KommunikationFORSCHUNGSINSTITUT FÜR KOMMUNIKATION, INFORMATIONSVERARBEITUNG UND ERGONOMIE

06.07.2004FGAN KIE

Komponenten für kooperativeIntrusion Detection

in dynamischenKoalitionsumgebungen

Marko JahnkeFGAN/FKIE

Abt. KommunikationNeuenahrer Str. 20D-53343 Wachtbergjahnke@fgan.de

Unter Mitarbeit vonSven Henkel,

Michael BussmannFGAN/FKIE

Jens TölleUniversität Bonn

Frank AusserlechnerFH Koblenz06. Juli 2004

2FGAN FORSCHUNGSINSTITUT FÜR KOMMUNIKATION, INFORMATIONSVERARBEITUNG UND ERGONOMIE

Abt. Kommunikation06.07.2004

Übersicht

• Herausforderungen für IDS in Koalitionsumgebungen

• Architekturen für kooperative Intrusion Detection• Vorverarbeitung von Ereignismeldungen• Anomalieerkennung im

Ereignismeldungs-Datenmodell• Implementation & bisherige Ergebnisse

Dynamische Koalitionsumgebungen

• Veränderliche Menge kooperierender, gleichberechtigter Domänen

• Gemeinsame und konträre Ziele und Ansichten• Beispiele für Koalitionsumgebungen

– Allianzen von Wirtschaftsunternehmen– Kooperierende Strafverfolgungsbehörden– Militärische Netzwerke (NATO, SFOR, KFOR, ...)

• Beispiele für Kooperation in Koalitionsumgebungen– Logistik & konventionelle Infrastrukturen– Elektronische Infrastrukturen

Kooperative IDS in Koalitionsumgebungen

Domain C

Domain BDomain A

Data Flow

Sensor

Sensor Sensor

Local IDS

Local Security Tool

Local Security

IWS = IntrusionWarning System

Warning Flow

IWSIWS

IWS-Architekturen (1): Rein verteilte Kooperation

Data FlowWarning Flow

Sensor

Sensor Sensor

Local IDS

Local Security Tool

Local Security

Domain C

Domain BDomain A

IWS-Architekturen (2): Meta-IDS

Sensor

Sensor Sensor

Local IDS

Local Security Tool

Local Security

Domain C

Domain BDomain A

Console

GWs unter Kontrolle der Domänen

Konsole(n) unter Kontrolle einer vertrauenswürdigen Instanz

Interoperabilität: Datenmodell & -format

Intrusion Detection Message Exchange Format

(IDMEF)

Was ist passiert?

Wer berichtet?

<IDMEF-Message version="1.0"><Alert ident="abc123456789">

<location>Headquarters DMZ Network</location><name>analyzer01.example.com</name>

</Node></Analyzer><CreateTime ntpstamp="0xbc723b45.0xef449129">

2000-03-09T10:01:25.93464-05:00</CreateTime><Source ident="a1b2c3d4">

<Node ident="a1b2c3d4-001" category="dns"><name>badguy.example.net</name><Address ident="a1b2c3d4-002" category="ipv4-net-mask">

</Address></Node>

</Source><Target ident="d1c2b3a4">

</Node></Target><Classification origin="bugtraqid">

<name>124</name><url>http://www.securityfocus.com</url>

</Classification></Alert>

</IDMEF-Message>

Sensor

Sensor Sensor

Local IDS

Local Security Tool

Local Security

Domain C

Domain BDomain A

Console

Informationsbereinigung (1): Szenario

EventFilter

EventMessage

InformationSharingPolicy

AnonymizedEventMessage

Informationsbereinigung (2): Implementierung

• Spezieller XSLT-Prozessor mit Erweiterungen für Matching-sensitive 1:1-Transformationen

Transformations-Template

Matching-Template

Matching-Ausdruck m. SMs

Zusätzliche Bedingung

<IDMEF-Message ...>...<address>

192\.22\.([0-9]{1,3})$v1$\.([0-9]{1,3})$v2$

<condition>($v2<255)

</condition>

191.72.<xsl::value-of select="$v1"/>.<xsl::value-of select="$v2"/></xsl:copy> </address>

</transform></address>...

Sensor

Sensor Sensor

Local IDS

Local Security Tool

Local Security

Domain C

Domain BDomain A

Console

Redundanzfilterung (1): Szenario

Redun-dancyFilter

RedundancyRules

Multiple´similar´Messages

SummaryMessage

Redundanzfilterung (2): Implementierung

Absolutes Matching-Template

Relatives Matching-Template

Matching-Ausdruck

Summary-Erzeugung

Summary-Update

• Erweiterung des Informationsbereinigers um relative Matchingsfür Ähnlichkeitseigenschaft bei n:1 -Transformationen

<IDMEF-Message ...>...

<address>(.*)$SRCADDRESS$ </address>... <relMatch deltaT="20000" maxMatchings="40">

<xsl:copy>...

... </summary><summary do="update">

...</summary>

</xsl:copy></relMatch>

XSLT-Verarbeitung: Durchsatzmessungen

• Kombinierte Anwendung von Informationsbereiniger und Redundanzfilter im IWS-Gateway

• Hardware: PIII/1GHz/128MB

• f (x) ≈ 1 / (a + bx)• Anwendungs-

reihenfolge istentscheidend

• Separate vs.kombinierte Transformationen

Sensor

Sensor Sensor

Local IDS

Local Security Tool

Local Security

Domain C

Domain BDomain A

Console

Kombinationserkennung (1): Szenario

Combi-nation

Detector

CorrelationRules

Multiplenon-suspiciousMessages

AttackSequence

OK Warning!

• n:(n+1) -Transformation in der Online-Variante• Extremer Speicheraufwand für naive Implementation• Erweiterung des Redundanzfilters um Just-In-Time-

Erzeugung von Templates (Matching-Stufen)• Verschachtelte Spezifikationen mit

Transformationsvorschriften für die Kombinationsmeldung am Ende

• Integration und Evaluation dauern noch an

Kombinationserkennung (2): Implementierung

Sensor

Sensor Sensor

Local IDS

Local Security Tool

Local Security

Domain C

Domain BDomain A

Console

Anomalieerkennung (1): Szenario

Message Dispatcher

Storage

Analyzer

Responder

Anomalieerkennung (2): Flussparameteranalyse

• Beispiele für Messparameter pro ∆t:– # Meldungen– # Bytes / Meldung– # unterschiedlicher

Klassifikationen (Signaturen) – # unterschiedlicher

Quell-/Zieladressen– # unterschiedlicher

Analyseknoten• Alarm, wenn Parameter

Konfidenzintervall um Mittelwert verlässt• Nachteil: Keine Betrachtung semantischer Information

Gegl. Mittelwert

Anomalie

Timeframe

ert Konfidenz-

intervall

Anomalieerkennung (3): Quelle-Ziel-Graph

192.22.2.44

191.72.30.2

<IDMEF-Message ......

<Source><address> 192.22.2.44 </address>...

</Source>...<Target>

</Target><severity> medium </severity>...

</IDMEF-Message>

• Aufbau eines Quelle-Ziel-Graphenpro Timeframe

Anomalieerkennung (4): Graph-Clustering

ClusterQuelle-Ziel-Graph mit Diensten/Ports

Clustering-Differenz

Anomalieerkennung (5): Clustering-Abweichung

0:50 1:50

4:50 5:50

Erkannte Anomalie

Simulierte Wurmaktivität CodeRed v.2

Erkennung ca. 3 Stunden nach Ausbreitungsbeginn

Zusammenfassung

• Meta-IDS als Architektur für IWS in Koalitionsumgebungen• Vorverarbeitung von Ereignismeldungen durch XSLT

– Informationsbereinigung– Redundanzfilterung– Online-Kombinationserkennung

• Anomalieerkennung im Ereignismeldungs-Datenmodell

– Einfache Flussparameteranalyse– Clustering von Quelle-Ziel-Graphen

• XML/XSLT-basierte Ansätze leistungs- und ausbaufähig• Anomalieerkennung erfolgreich in Simulation und Praxis

Ausblick

• Vervollständigung der Integration, Stabilisierung

• Multi-Domain-Demonstrator

• Extraktion von Informationen über Anomalien• Auswirkungen der Informationsbereinigung

auf die Anomalieerkennung• Formalisierung & Simulationen

– Grenzen der Verfahren– Skalierbarkeit

Kontakt

Marko Jahnke Jens Tölle

Post- FGAN/FKIE Universität Bonnanschrift: Abt. Kommunikation Institut für Informatik, Abt. IV

Neuenahrer Str. 20 Römerstr. 164D-53343 Wachtberg D-53117 Bonn

EMail: jahnke@fgan.de toelle@cs.bonn.edu

1. Matching-Stufe

2. Matching-Stufe

3. Matching-Stufe

1. Initiales (absolutes) Matching-Template

1. Relatives Matching-Template

• Just-In-Time-Erzeugung von Templates durch Matching-Stufen

Kombinationserkennung (3): Implementierung

2. Initiales Matching-Template

2. Relatives Matching-Template

<IDMEF-Message ...><corellation .../>...<relMatch deltaT="20000" threshold="40">

...</relMatch><transform finalMatching="false">

<IDMEF-Message ...><corellation .../>...<relMatch deltaT="20000" threshold="20">

...</relMatch><transform finalMatching="true">

...</transform>

</IDMEF-Message></transform>

</IDMEF-Message>zurück

GUI Screenshots (1): IWS Console

• Console GUI visualization – Messages w/ anonymized addresses (prefix 999.999)– Summary messages from redundancy filter (blue rows)

GUI Screenshots (2): IWS Gateway

• Gateway GUI controls information sanitizing & filtering

Komponenten für kooperative Intrusion Detection in ... fileData Flow Sensor Sensor Sensor Local IDS...

Documents

SIMATIC Automation Tool Benutzerhandbuch · SIMATIC Automation Tool ... Komponente in ein ganzheitliches Industrial Security-Konzept zu integrieren, das dem aktuellen Stand der Technik

local global Firmenpräsentation

Local Collection Lookbook 2012

Infoscreen Local – München

SeGF 2015 | Security-Aspekte im eGovernment – BluePrint Security

Google Local Shopping & Product Listing Ads

Implementierung einer Iris-Biometrik in ein „Client-Server ...agn- · modul KERBEROS.DLL ... LSA Local Security Authority, ... MSDN Microsoft Development Network, Microsoft Entwick-lungsnetzwerk

DocSTAR NetConnect Installation Guidesupport.docstar.com › portal › docstar › techdvd › Manuals... · 3. Install Microsoft IIS Security Lockdown Tool 4. Install DocSTAR NetConnect

Top 10 Local Seo Rankingsfaktoren

TREND MICRO Smart Protection Serverdocs.trendmicro.com/all/ent/sps/v3.0/de-de/sps_30_iug.pdf · Security Made Smarter Endpoint Security Messaging Security Protected Cloud Web Security

Local Outerwear 2014

Local Planet

Creating values for airports€¦ · Technical audit Security Safety Air Navigation AFIS Engineering Environment Quality WE SERVE COMMUNITIES AND LOCAL AUTHORITIES. Laden … 11 GLOBAL

Cyber Security - documents.swisscom.comdocuments.swisscom.com/.../Security-Doks/cyber-security-report_de.… · Swisscom AG, August 2015-08-19 Cyber Security: die aktuelle Bedrohungslage

Molekularzytogenetische und molekulargenetische ... · carcinoma) BAC Bacterial Artificial Chromosome BLAST Basic Local Alignment Search Tool bp Basenpaare C19MC Chromosom 19 miRNA-Cluster

130319 be local

Notice d'information relative à la technologie WLAN · WLAN . Wireless Local Area Network (réseau local sans fil) Résumé . Les réseaux WLAN (Wireless Local Area Networks) sont

NETWOR SECURITY I ENDPOINT SECURITY I DATA SECURITY · PDF fileleine unternehmen und ilialen networ security i endpoint security i data security einheitliche sicherheitslÖsung stormshield

Mobile Security Eine Marktübersicht - AV-TEST · Mobile Security Eine Marktübersicht Hendrik Pilz Director Technical Lab / Mobile Security . hpilz@av-test.de . Mobile Security -

« TOOL-BOX