-
Der
Anmeldungsgegenstand betrifft ein Verfahren zur automatisierten
Identifikation nötiger
Präventionsmaßnahmen
gegen Sicherheits-Schwachstellen eines Netzes, insbesondere Datennetzes.
-
In
den Elementen von Computernetzen (z.B. Client Computer, Router,
Switch, Application Server) werden immer wieder Schwachstellen entdeckt,
sowohl in Betriebssystemen als auch in Anwendungsprogrammen und
-protokollen. Diese Schwachstellen in Computernetzen können für Angriffe
auf Systeme ausgenutzt werden, die an diese Netze angeschlossen
sind, auch auf Systeme, die sensible Daten gespeichert haben. Ein
Netzbetreiber ist daher daran interessiert, solche Angriffe zu erkennen
bzw. zu unterbinden, und setzt dazu derzeit z.B. Firewalls, IDS
(Intrusion Detection Systeme) oder IPS (Intrusion Prevention Systeme)
ein.
-
Dabei
ergeben sich jedoch eine Reihe von kritischen Fällen:
- – Schwachstellen
sind oft schon längere
Zeit unerkannt in Computernetzen vorhanden, und können entsprechend
für Angriffe
ausgenutzt werden, bevor die Schwachstellen überhaupt veröffentlicht werden,
- – schon
kurz nach der Veröffentlichung
von Schwachstellen werden Angriffe beobachtet, die diese Schwachstelle
ausnützen,
bevor entsprechende Gegenmaßnahmen
installiert sind,
- – neu
erkannte Schwachstellen werden oft nicht sofort behoben, z.B. weil
keine Patches verfügbar sind,
oder weil das Einbringen eines Patches eine andere benötigte Funktion
im Netz stören
würde.
-
Ein
Netzbetreiber hat das Problem, dass bestehende Security-Systeme in diesen
kritischen Fällen
die entsprechenden Angriffe oft nicht erkennen oder unterbinden
können.
-
Er
ist daher besonders daran interessiert, zu wissen, auf welche Verkehrsmuster – auch über mehrere
Systeme hinweg – er
achten muss, um entsprechende Angriffe zu erkennen bzw. zu unterbinden. Des
weiteren wäre
es hilfreich für
den Netzbetreiber, beim Auftreten eines auffälligen Verkehrsmusters auf möglicherweise
zugrunde liegende Angriffstypen zurück schließen zu können.
-
Zum
Erkennen durchgeführter
Angriffe gibt es IDS (intrusion detection system), IPS (intrusion prevention
system), teils auch als host IDS direkt auf dem Zielrechner.
-
Firewalls
werden eingesetzt, um mit bestimmten Regeln den Zugang zu Systemen
zu beschränken.
-
Für einfache
Netze gibt es Netz- oder Sicherheitsplanungswerkzeuge, die allerdings
keine Schwachstellen von Systemen berücksichtigen können.
-
Das
Problem wird durch die Merkmale des Anspruchs 1 gelöst.
-
Das
Verfahren hilft Netzbetreibern bei der Reaktion auf mögliche,
wahrscheinliche oder neu erkannte Schwachstellen sowie bei der Konfiguration von
Security-Systemen (z.B. IDS, IPS, Firewalls). Es ermöglicht darüber hinaus
eine effizientere Erkennung von Angriffen durch solche Security-Systeme. Bei
jeder Risikoanalyse muss ein Netzbetreiber den potenziellen Schaden
und die Wahrscheinlichkeit bzw. Schwierigkeit des entsprechenden
Angriffs bewerten. Das System hilft dem Betreiber hier bei der Einschätzung, ob
und wann er im Rahmen von Vorkehrungen gegen das Ausnützen von
Schwachstellen auch Einschränkungen
in der normalen Dienstnutzung in Kauf nehmen muss. Oft wird eine
Entscheidung gegen eine Einschränkung
der Dienstnutzung getroffen, weil bei der Risikoabschätzung die Wahrscheinlichkeit
für das
Eintreten eines bestimmten Angriffsszenarios als sehr gering angenommen wird
(„das
wird schon nicht passieren").
Gerade in diesem Fall ist es besonders günstig, mit einem auf den entsprechenden
(unwahrscheinlichen) Angriff vorbereiteten IDS die Verkehrsmuster
zu beobachten und sofort reagieren zu können, wenn der Angriff doch
durchgeführt
wird.
-
Der
Anmeldungsgegenstand wird im folgenden als Ausführungsbeispiel in einem zum
Verständnis
erforderlichen Umfang anhand einer Figur näher erläutert. Dabei zeigt:
-
1 ein
erfindungsgemäßes System
mit Daten (1), (2), (3), (8),
(9), (5), (6), (7), Verarbeitungseinheiten
(10), (4), Standard-Verifikationswerkzeug (11),
Dateien 13, 15, 16 und Werkzeuge 12 und 14
-
In
einer ersten Ausprägung
der Erfindung werden für
ein Netz unter Verwendung von Schwachstellenbeschreibungen mögliche Angriffsvektoren identifiziert.
-
Ein
Netzadministrator (z.B. eines Firmennetzes oder eines IP-basierten öffentlichen
Sprachnetzes) beschreibt sein Netz mit seinen Diensten, Netzelementen
und zu schützenden
(sensitiven) Daten so, dass es formal überprüft werden kann.
-
Der
Netzadministrator verwendet das eingangs beschriebene System zur
formalen Überprüfung seines
Netzes. Wenn Sicherheitslücken
identifiziert werden, eliminiert er diese durch Beheben von Schwachstellen
oder Konfigurationsänderungen
im Netz (z.B. Zugriffskontrolllisten ACL (Access Control List),
auf Routern oder Firewalls). Daraufhin überprüft er nochmals mit dem Werkzeug
das Netz. Diese Schritte werden wiederholt, bis sichergestellt ist, dass
externe Angreifer keine sensitiven Daten mehr erreichen können.
-
Wird
von einem Schwachstellenberichtsdienst (z.B. CERT, Computer Emergency
Response Team) eine neue Meldung über eine neu entdeckte Schwachstelle
in bestimmten Systemen verteilt, dann überprüft der Administrator seine
Netzelemente und dokumentiert die neu identifizierten Schwachstellen
in der Netz beschreibung. Anschließend lässt er das Netz wieder durch
das Werkzeug überprüfen.
-
Abhängig davon,
ob das Werkzeug dabei neue Angriffsmöglichkeiten identifiziert,
mit denen ein Angreifer Zugang zu sensitiven Daten erhalten könnte, wählt der
Netzadministrator seine Reaktion:
Falls durch die Schwachstellen
ein Zugang zu sensitiven Daten möglich
wird, muss die Schwachstelle schnell behoben werden (z.B. durch
Patch, sofern verfügbar,
oder durch Abstellen des entsprechenden Dienstes, falls möglich),
oder es muss der Angriffsvektor unterbrochen werden, z.B. durch
Modifikation von ACLs auf Routern oder Firewalls.
-
Falls
kein Zugang möglich
ist, kann der Administrator sich mehr Zeit beim Beheben der Schwachstellen
lassen, z.B. warten, bis ein Patch verfügbar und getestet ist.
-
Das
beschriebene Verfahren hat den Vorteil, dass es einem Netzadministrator
Hilfestellung gibt bei der Abwägung
zwischen dem Beheben einer Schwachstelle mit einem eventuell ungetesteten Patch,
dem Deaktivieren von Diensten und dem Aufschieben einer Reaktion
auf neu identifizierte Schwachstellen in Elementen seines Netzes.
Dadurch wird sein Risiko kalkulierbarer.
-
1 zeigt
den Ablauf und die an der Sicherheitsanalyse beteiligten Daten.
Als Basis dienen eine Beschreibung des zu untersuchenden Netzes,
der Verbindungen und Dienste in diesem Netz (1), eine Beschreibung
der Schwachstellen in den Netz-Elementen
(Netzknoten, Server) (2) wird ein Netzmodell (3)
erzeugt. Dies kann von Hand oder mit Unterstützung eines Werkzeuges geschehen.
Das Netzmodell (3) wird unter Zuhilfenahme systematischer
Modellierungskonzepte (8) durch ein Werkzeug (10)
in eine erweiterte Netzbeschreibung (9) umgesetzt. Ein
weiteres Werkzeug (4) übersetzt
diese Beschreibung dann in die für
die Verifikation benötigte
Beschreibungssprache (5). Ein Verifikationswerkzeug (11)
bestimmt auf Basis der Netzbeschreibung (5) und einer Formulierung
der Schutzziele und der prinzipiell möglichen Angriffsverfahren (6)
die Menge der möglichen
Angriffsvektoren und gibt diese als Datei (7) aus.
-
Falls
prinzipiell neue Angriffsmethoden bekannt werden, werden die Formulierung
des Verifikationszieles (6) und eventuell auch die Netzmodellierung
(8) darauf angepasst.
-
Die
Angriffsvektoren werden daraufhin in entsprechende Verkehrsfluss-Beschreibungen
umgesetzt, und dem Netzbetreiber werden diese Beschreibungen als
Hinweise übergeben,
durch welche Art von Verkehrsströmen
sich ein Angriff bemerkbar machen würde, der identifizierte Schwachstellen ausnützen würde.
-
Zusätzlich kann
aus diesen Beschreibungen automatisch eine Konfiguration für ein IDS,
ein IPS oder eine oder mehrere Firewalls erstellt werden.
-
1 zeigt
dies in Form der Dateien 13, 15, 16 und
der Werkzeuge 12, 14. Werkzeug 12 erzeugt aus
der Beschreibung 7 der möglichen Angriffsvektoren zusammen
mit der Beschreibung 8 der Modellierungsmethode die Beschreibung 13 des
bei einem entsprechenden Angriff zu erwartenden Verkehrs. Diese
Beschreibung enthält
beispielsweise Protokollinformationen, Ursprungs- und Ziel-Informationen
für IP-Pakete
und Angaben zur Korrelation verschiedener Verkehrsströme (z.B.
http-Paket von IP1 nach IP2, dann weiter von IP2 nach IP3 und dann
als ssh-Paket weiter von IP3 nach IP4).
-
In
der optionalen weiteren Ausbaustufe mit Werkzeug 14 wird,
ggf. unter Zuhilfenahme einer Beschreibung 15 der Konfigurationssyntax
für ein
IDS-, IPS- oder Firewall-System, daraus eine Konfigurationsdatei 16 für ein IDS-,
IPS- oder Firewall-System erzeugt.
-
In
einer zweiten Ausprägung
der Erfindung wird anstelle der Beschreibung 2 der identifizierten Schwachstellen
der Systeme im Netz mehrfach nacheinander eine künstlich erzeugte Beschreibung möglicher
neuer Schwachstellen eingespielt und entsprechend die sich jeweils
ergebenden Angriffsvektoren 7 ausgewertet. Unter der Annahme,
dass zu einem Zeitpunkt normalerweise nur eine neue Schwachstelle
bekannt wird und dass diese auf eine Art von System (z.B. alle Windows-Rechner
oder alle Linux-Rechner oder alle Apache-Server, ...) beschränkt ist,
werden systematisch nacheinander sämtliche in der Modellierung
prinzipiell möglichen Schwachstellen
den jeweiligen Arten von Systemen zugewiesen, und es wird geprüft, was
für Angriffe
und welche Angriffsvektoren sich dadurch ergeben würden. Die
Angriffsvektoren werden dann wieder wie oben in 1 erläutert mit
den Werkzeugen 12 und ggf. 14 zu Verkehrsmusterbeschreibungen 13 und/oder
Konfigurationsdateien 16 weiterverarbeitet. Auf diese Weise
ist der Betreiber des Netzes bereits auf den nächsten Angriff vorbereitet,
ohne die dafür genutzte
Schwachstelle schon genau zu kennen. Andererseits muss er auch nicht
sämtliche
Verkehrsdaten nach vermeintlichen Anomalien durchforsten. Außerdem erhält er im
Falle eines Angriffes durch Vergleich der Verkehrsmuster mit den
vorhergesagten Angriffsvektoren bereits Hinweise darauf, welche
Art von Schwachstelle in welcher Art von System dafür wohl genutzt
wird.
-
In
einer weiteren Ausprägung
der Erfindung wird die Kombination zwischen IDS und IPS dergestalt
ausgeführt,
dass bei einem über
mehrere Systeme führenden
Angriffsvektor ein Paket erst kurz vor dem Ziel blockiert wird,
und dass diese Blockierung durch die Beobachtung und Korrelation
von Paketen auf vorhergehenden Links ausgelöst wird. Während es normalerweise für ein Netz
umso günstiger
ist, je früher
im Netz Pakete eines Angriffes abgefangen werden, könnte auf
diese Weise mit einer geeigneten Realzeit-Filterfunktion noch genauer
zwischen normalem und bösartigem
Verkehr unterschieden werden – z.B.
weil die Entscheidung am Netz-Eingang noch gar nicht möglich ist,
sondern die Bösartigkeit einer
ansonsten unverdächtigen
Verbindung erst dadurch erkannt wird, dass sie über mehrere Systeme und/oder
Dienste hinweg in ein geschütztes
Netz weitergeführt
wird.
-
Ausführungsbeispiele
-
- – Werkzeug
zur automatischen Erzeugung von Hinweisen zu Verkehrsflüssen, die
auf Angriffe schließen
lassen
- – Werkzeug,
das automatisch Konfigurationen für verteilte IDS-Systeme in
einem Kommunikationsnetz generiert. Diese Konfigurationen können als Dateien
generiert und dann durch ein anderes System eingespielt werden.
Alternativ können
sie auch durch das Werkzeug direkt über einen Kommunikationskanal
an die IDS-Systeme gegeben werden, oder das Werkzeug kann über ein
Management-System auf die IDS-Systeme zugreifen
- – Werkzeug
als Teil eines Netzmanagementsystems
- – Werkzeug
zur Erzeugung von Schwachstellenpatterns 2 für eine gegebene
Netzbeschreibung zur Verwendung in dem als zweite Ausprägung beschriebenen
System
- – Zusatzfunktion
eines Netzmonitoring-Werkzeuges
- – Analysetool,
das beobachtete Angriffsmuster auf Schwachstellen abbildet