Search

Die zwei herausragenden automobilen Trends Konnektivität und hochautomatisiertes Fahren bieten viele Chancen, aber vor allem in ihrer Kombination auch Gefahren. Einerseits wird das Fahrzeug immer mehr mit seiner Außenwelt vernetzt, wodurch die Angriffsfläche für unautorisierten Zugriff deutlich steigt. Andererseits erhalten Steuergeräte die Kontrolle über sicherheitsrelevante Funktionen. Um das Risiko und die potentiellen Folgen eines erfolgreichen Angriffs möglichst gering zu halten, sollte eine Absicherung auf mehreren Ebenen erfolgen. Der Fokus dieser Arbeit liegt auf der innersten Absicherungsebene und dabei speziell auf der Überwachung von Fahrezug-interner Kommunikation. Hierfür empfehlen Wissenschaft und Industrie unter anderem den Einsatz von Intrusion Detection/Intrusion Prevention Systemen. Das erarbeitete Konzept greift diesen Vorschlag auf und berücksichtigt bei der Detaillierung die Steuergeräte-spezifischen Randbedingungen, wie beispielsweise die vergleichsweise statische Fahrzeugvernetzung und die limitierten Ressourcen. Dadurch entsteht ein hybrider Ansatz, bestehend aus klassischen Überwachungsregeln und selbstlernenden Algorithmen. Dieser ist nicht nur für die Fahrzeug-interne Kommunikation geeignet, sondern gleichermaßen für den Steuergeräte-internen Informationsaustausch, die Interaktion zwischen Applikations- und Basissoftware sowie die Überwachung von Laufzeit- und Speichereigenschaften. Das übergeordnete Ziel ist eine ganzheitliche Steuergeräte-Überwachung und damit eine verbesserte Absicherung im Sinne der Security. Abweichungen vom Sollverhalten - sogenannte Anomalien - werden jedoch unabhängig von deren Ursache erkannt, sei es ein mutwilliger Angriff oder eine Fehlfunktion. Daher kann dieser Ansatz auch zur Verbesserung der Safety beitragen, speziell wenn Applikationen und Algorithmen abzusichern sind, die sich während des Lebenszyklus eines Fahrzeugs verändern oder weiterentwickeln. Im zweiten Teil der Arbeit steht die Plausibilisierung von einzelnen Kommunikationssignalen im Vordergrund. Da deren möglicher Verlauf nicht formal beschrieben ist, kommen hierfür selbstlernende Verfahren zum Einsatz. Neben der Analyse und der Auswahl von grundsätzlich geeigneten Algorithmen ist die Leistungsbewertung eine zentrale Herausforderung. Die zu erkennenden Anomalien sind vielfältig und in der Regel sind nur Referenzdaten des Normalverhaltens in ausreichender Menge vorhanden. Aus diesem Grund werden unterschiedliche Anomalie-Typen definiert, welche die Anomaliesynthese in Normaldaten strukturieren und somit eine Evaluierung anhand der Erkennungsrate erlauben. Die Evaluierungsergebnisse zeigen, dass eine Signalplausibilisierung mittels künstlichen neuronalen Netzen (Autoencoder) vielversprechend ist. Zum Abschluss betrachtet die vorliegende Arbeit daher die Herausforderungen bei deren Realisierung auf automotive Steuergeräten und liefert entsprechende Kennzahlen für die benötigte Laufzeit und den Speicherverbrauch.

SPRING ist eine wissenschaftliche Veranstaltung im Bereich der Reaktiven Sicherheit, die Nachwuchswissenschaftlern die Möglichkeit bietet, Ergebnisse eigener Arbeiten zu präsentieren und dabei Kontakte über die eigene Universität hinaus zu knüpfen. SPRING ist eine zentrale Aktivität der GI-Fachgruppe SIDAR, die von der organisatorischen Fachgruppenarbeit getrennt stattfindet. Die Veranstaltung dauert inklusive An- und Abreise einen Tag und es werden keine Gebühren für die Teilnahme erhoben. SPRING findet ein- bis zweimal im Jahr statt. Die Einladungen werden über die Mailingliste der Fachgruppe bekanntgegeben. Interessierte werden gebeten, sich dort einzu- tragen (http://www.gi-fg-sidar.de/list.html). Für Belange der Veranstaltung SPRING ist Ulrich Flegel (SAP Research Center Karlsruhe) Ansprechpartner innerhalb der Fachgruppe SIDAR. Nach der Premiere in Berlin fand SPRING in Dortmund, Mannheim und Stuttgart statt. Die Vorträge deckten ein breites Spektrum ab, von noch laufenden Projekten, die ggf. erstmals einem breiteren Publikum vorgestellt werden, bis zu abgeschlossenen Forschungsarbeiten, die zeitnah auch auf Konferenzen präsentiert wurden bzw. werden sollen oder einen Schwerpunkt der eigenen Diplomarbeit oder Dissertation bilden. Die zugehörigen Abstracts sind in diesem technischen Bericht zusammengefasst und wurden uber die Universitätsbibliothek Dortmund elektronisch, zitierfähig und recherchierbar veröffentlicht. Der Bericht ist ebenfalls uber das Internet-Portal der Fachgruppe SIDAR zugänglich (http://www.gi-fg-sidar.de/). In dieser Ausgabe finden sich Beiträge zu den folgenden Themen: Intrusion Detection, Malware, Mobile Systeme und Bot-Netze. Wir danken allen, die mitgeholfen haben.

Die Veranstaltung SPRING der Fachgruppe SIDAR der Gesellschaft für Informatik e.V. bieten insbesondere Nachwuchswissenschaftlern auf dem Gebiet der Reaktiven Sicherheit die Möglichkeit, themenbezogen Kontakte über ihre eigene Universität hinaus zu knüpfen. Wir laden Diplomanden und Doktoranden ein, ihre Beiträge bei SPRING zu präsentieren. Die Vorträge können ein breites Spektrum abdecken, von noch laufenden Projekten, die ggf. erstmals einem breiteren Publikum vorgestellt werden, bis zu abgeschlossenen Forschungsarbeiten, die zeitnah auch auf Konferenzen präsentiert wurden bzw. werden sollen oder einen Schwerpunkt der eigenen Diplomarbeit oder Dissertation bilden. Die eingereichten Abstracts werden gesammelt und als technischer Bericht zitierfähig und recherchierbar veröffentlicht., SIDAR-Report ;DR-2009-01

Als künstliche Immunsysteme werden in der Informationstechnik (IT) Systeme bezeichnet, deren Architektur und Funktionsweise sich am menschlichen Immunsystem orientieren. Ein zentrales Anwendungsfeld künstlicher Immunsysteme ist die IT-Sicherheit. Bei anomaliebasierten Intrusion Detection Systemen nutzt man die Fähigkeit des menschlichen Immunsystems aus, effektiv Fremdkörper zu erkennen. Auch Anwendungen im Bereich des Schutzes der Vertraulichkeit von Datenbankeinträgen, sicherer Passwortabfragen und neuartiger Sicherheitsarchitekturen erscheinen möglich.

Die Bedeutung des Internets und die Abhängigkeit von funktionsfähigen Computernetzwerken wird immer größer, sodass Netzwerksysteme in sehr vielen Bereichen nicht mehr wegzudenken und bei Ausfällen mit hohen Kosten und erheblichen Folgen zu rechnen sind. Gleichermaßen ist allerdings ein steigender Trend zu verstärkten und massiven Angriffen festzustellen. Deshalb gewinnt die Überwachung großer Netzwerke aus Perspektive der Netzwerksicherheit eine zunehmende Bedeutung. Durch Monitoring-Systeme können Angriffe festgestellt, analysiert und Erkenntnisse gewonnen werden, wie diese künftig möglichst gut verhindert werden können. Im Rahmen dieser Arbeit wird ein System vorgestellt, das in der Lage ist, Verbindungsdaten großer Netzwerke, in einem relationalen Datenbanksystem abzuspeichern und verfügbar zu machen. Diese Daten werden mit Warnmeldungen von Intrusion Detection Systemen in Beziehung gesetzt, sodass innerhalb des entwickelten Softwaresystems ein effizienter Zugriff auf die vollständigen Verbindungsdaten möglich wird. Mithilfe dieses Systems und dem Einsatz von geeigneten Visualisierungstechniken können die Verbindungen von Angreifern auf intuitive Weise dargestellt und die Zusammenhänge analysiert werden. Durch die in der Arbeit vorgestellte Technik, die auf der Abbildung von lokalen Rechnern auf eine Treemap-Visualisierung und der Darstellung von Netzwerkverbindungen durch Splines beruht, wird im Rahmen von praxisorientierten Fallstudien deutlich, dass dadurch eine intuitive Relevanzeinschätzung von IDS-Meldungen möglich wird und auch massive verteilte Angriffe auf eindrückliche Weise visuell dargestellt werden können. Zudem bietet das vorgestellte System geeignete Möglichkeiten, um potentiell kompromittierte Rechner identifizieren zu können und Einblicke in das Verhalten der Angreifer zu erlangen.

SPRING ist eine wissenschaftliche Veranstaltung im Bereich der Reaktiven Sicherheit, die Nachwuchswissenschaftlern die Möglichkeit bietet, Ergebnisse eigener Arbeiten zu präsentieren und dabei Kontakte über die eigene Universität hinaus zu knüpfen. Nach der Premiere in Berlin fand Spring in 2007 in Dortmund statt. Die Vorträge deckten ein breites Spektrum ab, von noch laufenden Projekten, die ggf. erstmals einem breiteren Publikum vorgestellt werden, bis zu abgeschlossenen Forschungsarbeiten, die zeitnah auch auf Konferenzen präsentiert wurden bzw.\ werden sollen oder einen Schwerpunkt der eigenen Diplomarbeit oder Dissertation bilden. Die zugehörigen Abstracts sind in diesem technischen Bericht zusammengefaßt und wurden über die Universitätsbibliothek Dortmund elektronisch, zitierfähig und recherchierbar veröffentlicht. In dieser Ausgabe finden sich Beiträge zur den folgenden Themen: Vorfallsbehandlung und Web-Services, Dynamische Umgebungen und Verwundbarkeiten, Anomalie- und Protokollerkennung sowie zu verschiedenen Aspekten der IT-Frühwarnung: Malware-Erkennung und -Analyse, Sensorik und Kooperation.

SPRING ist eine wissenschaftliche Veranstaltung im Bereich der Reaktiven Sicherheit, die Nachwuchswissenschaftlern die Möglichkeit bietet, Ergebnisse eigener Arbeiten zu präsentieren und dabei Kontakte über die eigene Universität hinaus zu knüpfen. SPRING wurde am 12. Juli 2006 in Berlin im Zusammenhang mit der internationalen SIDAR-Konferenz "Detection of Intrusions and Malware & Vulnerability Assessment" (DIMVA) in den Räumen der Berlin-Brandenburgischen Akademie der Wissenschaften veranstaltet Die Arbeiten deckten ein breites Spektrum ab, von noch laufenden Projekten, die ggf. erstmals einem breiteren Publikum vorgestellt werden, bis zu abgeschlossenen Forschungsarbeiten, die zeitnah auch auf Konferenzen präsentiert wurden bzw. werden sollen oder einen Schwerpunkt der eigenen Diplomarbeit oder Dissertation bilden. Die zugehörigen Abstracts sind in diesem technischen Bericht zusammengefaßt. In dieser Ausgabe finden sich Beiträge zur den folgenden Themen: Verwundbarkeiten und Malware, Incident Management und Forensik, sowie zu verschiedenen Spezialthemen der Intrusion Detection: Realisierungsaspekte, Modellgenerierung und -validierung, sowie neue Technologien.

Um den Anforderungen der Informatiksicherheit gerecht zu werden, werden durch ITSystemverantwortliche immer häufiger Intrusion Detection Systeme (IDS) eingesetzt. Dies ist im Sinne einer sorgfältigen und verantwortlichen Unternehmensführung sinnvoll und gefordert, der konkrete Einsatz wirft aber verschiedene Fragen des Datenschutzes auf. Mit einem technisch korrekten und datenschutzrechtlich begründeten Einsatz von IDS lässt sich der Zielkonflikt zwischen dem Anspruch an Forensic einerseits und informationeller Selbstbestimmung andererseits auflösen.

Angriffserkennende Systeme (Intrusion Detection Systems, IDS) sind mittlerweile eine etablierte Technik, um Informationen über die Gefährdung der eigenen Systeme zu gewinnen. Moderne IDS realisieren ein Framework einer Vielzahl unterschiedlicher Sensoren, um eine möglichst vollständige Datenerfassung durchzuführen. Der Einsatz vieler Sensoren, die über das gesamte Internet verteilt sind, ermöglicht die Beobachtung der unterschiedlichen Angriffscharakteristiken in den verschiedenen Teilnetzen. Durch Korrelation der Angriffe auf die Sensoren lassen sich auch Rückschlüsse auf das Verhalten von Angreifern und auf die Verbreitungsstrategien von Würmern und Viren ziehen. Im Rahmen des Projektes eCSIRT.net wurde ein Netz aus international verteilten Sensoren aufgebaut, das die gesammelten Angriffsdaten zur Erzeugung von entsprechenden Statistiken nutzt. Weiterhin können die gesammelten Daten den Netzbetreibern behilflich sein, Vorfälle zu erkennen und zu bearbeiten. Dieser Artikel stellt die Realisierung des Sensor-Netzwerkes vor und zeigt erste Ergebnisse der Datensammlung.

This volume contains the proceedings of the GI special interest group SIDAR workshop DIMVA 2004 which took place in Dortmund, Germany July 6-7 2004. DIMVA 2004 was the workshop in the German-speaking area that was dedicated to the topics Intrusion Detection, Malicious Agents (Malware), and Vulnerability Assessment. The workshop program comprised new theoretical and practical approaches and results from research as well as experience reports on the principal topic Intrusion Detection and on the topics Honeypots, Vulnerabilities and Malware.

This volume contains the proceedings of the GI special interest group SIDAR workshop DIMVA 2004 which took place in Dortmund, Germany July 6-7 2004. DIMVA 2004 was the workshop in the German-speaking area that was dedicated to the topics Intrusion Detection, Malicious Agents (Malware), and Vulnerability Assessment. The workshop program comprised new theoretical and practical approaches and results from research as well as experience reports on the principal topic Intrusion Detection and on the topics Honeypots, Vulnerabilities and Malware., dortmund-project Horst Görtz Institute for Security in Information Technology, Lecture Notes in Informatics;P-46

Die ständig wachsende Flut der in einem Netzwerk anfallenden sicherheitsrelevanten Daten macht in zunehmendem Maße neue Darstellungsformen notwendig. Nur so können diese Daten ausreichend schnell und in angemessenem Umfang erfassbar und beherrschbar bleiben. Wesentlich schneller und intuitiver als reinen Text können wir den Inhalt von Bildern erfassen, grafische Darstellungen machen Geschehnisse in der Regel leichter erfassbar. Informationen können zusätzlich stärker verdichtet dargestellt werden, ohne dass der transportierte Inhalt darunter leidet. Die Darstellung von Sicherheitsdaten in grafischer Form steht derzeit noch sehr am Anfang, es gibt wenig Erfahrung, welche Darstellungen mehr und welche weniger geeignet sind. V-IDS soll Grundlagen legen für eine dynamische, dreidimensionale Darstellung solcher Daten. Es soll ein einfaches Experimentieren mit verschiedenen und neuartigen Darstellungen ermöglichen. Damit können dann vorhandene und zukünftige Ideen einfach und ohne längere Entwicklungszeit prototypisch umgesetzt und bewertet werden.

Koalitionsumgebungen sollen für alle miteinander kooperierenden Mitglieder einen Vorteil bei der Verfolgung eines gemeinsamen Ziels erbringen. Dies gilt für die verschiedensten Anwendungsbereiche, etwa bei kooperierenden Strafverfolgungsbehörden, Wirtschaftsunternehmen oder Streitkräfte. Auch bei der Erkennung von sicherheitsrelevanten Vorgängen in vernetzten Computersystemen erhofft man sich von der Zusammenarbeit eine verbesserte Erkennungsfähigkeit sowie eine schnelle und koordinierte Reaktion auf Einbruchsversuche. Dieser Beitrag stellt verschiedene praxisorientierte Werkzeuge für die koalitionsweite Vernetzung von Ereignismeldungs-produzierenden Sicherheitswerkzeugen vor, die wesentliche Probleme des Anwendungsszenarios lösen helfen: Frühzeitige Anomaliewarnung – ein graphbasierter Anomaliedetektor wird als adaptives Frühwarnmodul für großflächige und koordinierte Angriffe, z.B. Internet-Würmer, eingesetzt. Informationsfilterung – Meldungen werden beim Verlassen der lokalen Domäne entsprechend der domänenspezifischen Richtlinien zur Informationsweitergabe modifiziert (d.h. insbesondere anonymisiert bzw. pseudonymisiert). Datenreduktion – zusätzliche Filter zur Datenreduzierung auf der Basis von vordefinierten Abhängigkeitsregeln steigern die Handhabbarkeit des Datenflusses. Die Funktionsfähigkeit der genannten Komponenten wird derzeit in Form einer prototypischen Implementierung eines Meta-IDS für dynamische Koalitionsumgebungen nachgewiesen., Lecture Notes in Informatics;P-46

Der Untersuchungsbereich der vorliegenden Arbeit erstreckt sich über die Sicherheit aller mit der Web Site eines Unternehmens verbundenen IT-Komponenten vor unbefugter Benutzung, Verlust, Beschädigung, Diebstahl und Manipulation. Dieser Untersuchungsbereich wird hier als 'Web Site Security' (WSS) bezeichnet. Ziel ist es, über die grundlegende Aufarbeitung des Themas 'Web Site Security' zu einem Konzeptvorschlag zu gelangen, der alle wichtigen sicherheitsrelevanten Aspekte bei der Implementierung und dem Betrieb einer Web Site zusammenfügt. Dazu werden in Kapitel 2 zunächst die Grundlagen eines Sicherheitsmanagements von Internet-Systemen in Unternehmen skizziert. Die spezielle Positionierung des IT-Systems 'Web Site' mit den zugehörigen Sicherheitsaktivitäten erfolgt anhand eines Modells, das das Umfeld und die Zusammenhänge eines unternehmerischen eBusiness abbildet. Kapitel 3 gibt einen Überblick über Sicherheitslücken und Gefahrenquellen für eine Web Site. Die Schilderung von unterschiedlichen Angriffsmöglichkeiten auf Internet-, Extranet- und Intranet-Ebene dient dazu, das Bewußtsein für die typischen Schwachstellen zu schärfen. Auf technische Details wird nicht tiefer als zum allgemeinen Verständnis notwendig eingegangen; wegen der sich schnell verändernden Techniken und Instrumente sind diesbezügliche Aussagen häufig schon veraltet, wenn sie zu Papier gebracht werden. In Kapitel 4 wird dann aus den vorhergehenden Ausführungen ein Konzeptvorschlag für eine umfassende Web Site Security abgeleitet. Eine Risikoanalyse führt zu organisatorischen und technischen Sicherheitsmaßnahmen, die anhand von Checklisten operationalisiert werden. Ein Ausblick auf Tendenzen im Bereich von Web Site Security schließt die Arbeit ab.