Funktionen

Dienst- und Systemerkennung auf entfernten Systemen

Hintergrund der Arbeit:
Das Leibniz-Rechenzentrum (LRZ) ist als Betreiber des Münchner Wissenschaftsnetzes (MWN) für die Sicherheit und Integrität des Netzes verantwortlich. Um das Netz und die daran angeschlossenen Nutzer zu schützen, werden an ausgewählten Positionen innerhalb des Netzes und an wichtigen Übergangsstellen (z.B. am Übergang des MWN zum X-WiN) Sensoren betrieben, die Missbrauchs- und Schadensfälle erkennen können.

Bedingt durch die Größe des MWN mit über 100.000 angeschlossenen Geräten, ist der hohe Netztraffic für die Auswahl und den Betrieb der Sensoren nicht trivial, da ab einer bestimmten Größe die klassischen Analyse- und Auswerteverfahren nicht mehr skalieren und somit einen unverhältnismäßigen Aufwand verursachen. Eine Herausforderung, die ebenfalls an die Sensorik innerhalb des MWN gestellt wird, ist, dass das LRZ als Betreiber des Netzes und der Sensorik nur "bis zur Datendose" verantwortlich ist. Welche Systeme oder Dienste dahinter von den Hochschulen und Institutionen betrieben werden, ist weder im Einflussbereich noch im Verantwortungsbereich des LRZ.

Eine mögliche Einsparung wichtiger Ressourcen auf Seiten der Sensorik wäre möglich, wenn die Sensoren ihre Analyse rein zielorientiert durchführen könnten, d.h., dass die Sensorik weiß, welche Angriffe überhaupt für das Zielsystem relevant sind.

Ziel der Arbeit:
In der Arbeit soll in einem ersten Schritt eine sinnvolle Kategorisierung von Systemen erstellt werden. Dabei könnten beispielsweise Informationen über Betriebssysteme, laufende Dienste, Versionen der eingesetzten Software oder Zweck des Servers als mögliche Kategorisierungen dienen. Diese Kategorisierung sollte immer im Hinblick auf eine mögliche Sensorik geschehen, da durch die in dieser Arbeit entwickelten Methoden eine zukünftige Sensorik in der Lage sein sollte, nur die relevanten Regelsätze zu verwenden, um damit wertvolle Ressourcen einzusparen.

Ist eine solche Kategorisierung durchgeführt, so ist in einem nächsten Schritt zu überprüfen, welche der Informationen man ermitteln kann, ohne dass man logischen oder physischen Zugriff auf das zu schützende Zielsystem hat. Dabei sind unter anderem Methoden wie beispielsweise Portscanning, Netflow-Analyse, Deep Packet Inspection oder Vulnerability-Scanning zu untersuchen. Da dies natürlich im Rahmen der Arbeit nicht vollständig für alle möglichen Kategorien durchgeführt werden kann, soll an dieser Stelle ein allgemein gültiges Konzept erstellt werden, das dann anhand ausgewählter Beispiele unter Beweis gestellt wird.

Schlussendlich sollte ein Verfahren entwickelt werden, wie die Informationen automatisiert gesammelt, ausgewertet und die Kategorisierung vorgenommen werden kann, so dass ohne manuelle Nachjustierung eine Liste aller Systeme einer Kategorie oder die Zuordnung eines Systems zu verschiedenen Kategorien erstellt werden kann.

Aufgabensteller:
Priv.-Doz. Dr. W. Hommel

Anforderungen:
Hilfreich für einen schnellen Einstieg in die Thematik, aber nicht zwingend erforderlich sind Vorkenntnisse in diesen Bereichen:

• Linux
• Windows
• Perl
• Netflow

Dauer des FoPras/SEPs bzw. der Bachelorarbeit: 3 Monate

Anzahl Bearbeiter: 1

Betreuer:

• Felix von Eye
• Stefan Metzger