Ein hostbasiertes Intrusion-Detection-System ( HIDS ) ist ein Intrusion-Detection-System , das die internen Abläufe eines Computersystems sowie die Netzwerkpakete auf seinen Netzwerkschnittstellen überwachen und analysieren kann, ähnlich wie ein netzwerkbasiertes Intrusion-Detection-System (NIDS). [ 1 ] HIDS konzentriert sich auf detailliertere und interne Angriffe, indem es die Aktivitäten des Hosts anstatt des gesamten Netzwerkverkehrs überwacht. [ 2 ] HIDS war die erste entwickelte Intrusion-Detection- Software. Das ursprüngliche Zielsystem waren Großrechner , bei denen die Interaktion von außen selten war. [ 3 ]

Ein wesentliches Problem bei der Verwendung von HIDS besteht darin, dass es auf jedem einzelnen Computer installiert werden muss, der vor Eindringlingen geschützt werden soll. Dies kann zu einer Verlangsamung der Geräteleistung und der Intrusion-Detection-Systeme führen. [ 4 ]

Überblick

Ein hostbasiertes Intrusion-Detection-System (IDS) kann je nach Konfiguration das gesamte dynamische Verhalten und den Zustand eines Computersystems oder Teile davon überwachen . Neben der dynamischen Untersuchung von Netzwerkpaketen, die an diesen spezifischen Host gerichtet sind (eine optionale Komponente der meisten kommerziell erhältlichen Softwarelösungen), kann ein IDS erkennen, welches Programm auf welche Ressourcen zugreift und beispielsweise feststellen, dass ein Textverarbeitungsprogramm plötzlich und unerklärlicherweise begonnen hat, die Systempasswortdatenbank zu verändern. Ebenso kann ein IDS den Zustand eines Systems und seine gespeicherten Informationen – ob im Arbeitsspeicher (RAM) , im Dateisystem, in Protokolldateien oder anderswo – überprüfen und sicherstellen, dass deren Inhalt den Erwartungen entspricht, z. B. nicht von Angreifern verändert wurde. [ 5 ]

Man kann sich ein HIDS als einen Agenten vorstellen, der überwacht, ob irgendetwas oder irgendjemand, ob intern oder extern, die Sicherheitsrichtlinien des Systems umgangen hat .

Im Vergleich zu netzwerkbasierten Intrusion-Detection-Systemen (NIDS) bietet HIDS den Vorteil, interne Angriffe zu erkennen. Während NIDS Daten aus dem Netzwerkverkehr analysiert , untersucht HIDS Daten, die von Betriebssystemen stammen . In den letzten Jahren stand HIDS vor der Herausforderung der Big Data , was auf die zunehmende Weiterentwicklung von Rechenzentrumsinfrastruktur und -methoden zurückzuführen ist. [ 2 ]

Überwachung des dynamischen Verhaltens

Viele Computerbenutzer kennen Tools, die das dynamische Systemverhalten überwachen, beispielsweise Antivirenprogramme . Diese überwachen zwar oft auch den Systemzustand, konzentrieren sich aber hauptsächlich darauf, welche Prozesse im Computer ablaufen und ob ein bestimmtes Programm Zugriff auf bestimmte Systemressourcen haben sollte. Hier verschwimmen die Grenzen, da sich die Funktionen vieler Tools überschneiden.

Einige Intrusion-Prevention-Systeme schützen vor Buffer-Overflow -Angriffen auf den Systemspeicher und können Sicherheitsrichtlinien durchsetzen . [ 6 ]

Überwachungsstatus

Die Funktionsweise eines Hacker-Integritätssystems (HIDS) beruht im Wesentlichen darauf, dass erfolgreiche Eindringlinge ( Hacker ) in der Regel Spuren ihrer Aktivitäten hinterlassen. Oftmals streben diese Eindringlinge die Kontrolle über den angegriffenen Computer an und sichern sich diese, indem sie Software installieren, die ihnen zukünftig Zugriff gewährt, um beliebige Aktivitäten durchzuführen (z. B. Keylogger , Identitätsdiebstahl , Spamming , Botnetz-Aktivitäten , Spyware-Einsatz usw.).

Theoretisch ist ein Computerbenutzer in der Lage, solche Änderungen zu erkennen, und das HIDS versucht genau das und meldet seine Ergebnisse.

Idealerweise arbeitet ein HIDS mit einem NIDS zusammen, sodass das HIDS alles aufspürt, was dem NIDS entgeht. Kommerziell erhältliche Softwarelösungen korrelieren häufig die Ergebnisse von NIDS und HIDS, um festzustellen, ob ein Netzwerkangreifer auf dem Zielrechner erfolgreich war.

Die meisten erfolgreichen Eindringlinge wenden nach dem Eindringen in einen Zielrechner sofort bewährte Sicherheitstechniken an, um das System, in das sie eingedrungen sind, zu sichern. Sie lassen lediglich ihre eigene Hintertür offen, damit andere Eindringlinge ihre Computer nicht übernehmen können .

Technik

Im Allgemeinen verwendet ein HIDS eine Datenbank (Objektdatenbank) mit Systemobjekten, die es überwachen soll – üblicherweise (aber nicht notwendigerweise) Dateisystemobjekte. Ein HIDS kann auch überprüfen, ob bestimmte Speicherbereiche verändert wurden – beispielsweise die Systemaufruftabelle unter Linux und verschiedene vtable -Strukturen unter Microsoft Windows .

Für jedes Objekt speichert ein HIDS üblicherweise dessen Attribute (Berechtigungen, Größe, Änderungsdatum) und erstellt gegebenenfalls eine Prüfsumme (z. B. einen MD5- oder SHA1- Hash) für dessen Inhalt. Diese Informationen werden in einer sicheren Datenbank (Prüfsummendatenbank) für spätere Vergleiche gespeichert.

Eine Alternative zu HIDS wäre die Bereitstellung von NIDS-Funktionalität auf der Netzwerkschnittstellenebene (NIC) eines Endpunkts (Server, Workstation oder anderes Endgerät). Die Implementierung von HIDS auf der Netzwerkschicht bietet den Vorteil einer detaillierteren Protokollierung der Quelle (IP-Adresse) des Angriffs sowie von Angriffsdetails wie Paketdaten, die mit einem dynamischen Verhaltensüberwachungsansatz nicht erfasst werden können.

Betrieb

Bei der Installation – und immer dann, wenn sich eines der überwachten Objekte legitim ändert – muss ein HIDS seine Prüfsummendatenbank durch Scannen der entsprechenden Objekte initialisieren. Die für die IT-Sicherheit Verantwortlichen müssen diesen Prozess streng kontrollieren, um unbefugte Änderungen an der/den Datenbank(en) zu verhindern . Diese Initialisierung ist daher in der Regel zeitaufwendig und erfordert die kryptografische Sperrung jedes überwachten Objekts und der Prüfsummendatenbanken oder Schlimmeres. Aus diesem Grund konstruieren HIDS-Hersteller die Objektdatenbank üblicherweise so, dass häufige Aktualisierungen der Prüfsummendatenbank überflüssig sind.

Computersysteme enthalten in der Regel viele dynamische (sich häufig ändernde) Objekte, die Angreifer manipulieren möchten – und die daher von einem HIDS überwacht werden sollten. Aufgrund ihrer dynamischen Natur eignen sie sich jedoch nicht für die Prüfsummenmethode. Um dieses Problem zu lösen, verwenden HIDS verschiedene andere Erkennungstechniken: die Überwachung sich ändernder Dateiattribute, Protokolldateien, deren Größe seit der letzten Überprüfung abgenommen hat, und zahlreiche weitere Methoden zur Erkennung ungewöhnlicher Ereignisse.

Sobald ein Systemadministrator eine geeignete Objektdatenbank erstellt hat – idealerweise mit Unterstützung der HIDS-Installationstools – und die Prüfsummendatenbank initialisiert hat, verfügt HIDS über alle notwendigen Voraussetzungen, um die überwachten Objekte regelmäßig zu scannen und etwaige Fehler zu melden. Die Meldungen können in Form von Protokollen, E-Mails oder Ähnlichem erfolgen.

Schutz der HIDS

Ein HIDS (High Injection Detection System) unternimmt in der Regel größte Anstrengungen, um die Objektdatenbank, die Prüfsummendatenbank und die zugehörigen Berichte vor Manipulationen zu schützen. Denn wenn es Angreifern gelingt, eines der vom HIDS überwachten Objekte zu verändern, kann sie nichts daran hindern, das HIDS selbst zu modifizieren – es sei denn, die Sicherheitsadministratoren treffen entsprechende Vorkehrungen. Viele Würmer und Viren versuchen beispielsweise, Antivirenprogramme außer Kraft zu setzen.

Abgesehen von kryptografischen Verfahren ermöglicht HIDS Administratoren, die Datenbanken auf einer CD-ROM oder anderen schreibgeschützten Speichermedien zu speichern (ein weiterer Vorteil für seltene Aktualisierungen…) oder sie in einem externen Speicher abzulegen. Ebenso sendet ein HIDS seine Protokolle häufig umgehend an ein externes System – typischerweise über VPN-Verbindungen an ein zentrales Managementsystem.

Man könnte argumentieren, dass das Trusted Platform Module (TPM) eine Art Host-Intrusion Detection System (HIDS) darstellt. Obwohl sich sein Funktionsumfang in vielerlei Hinsicht von dem eines HIDS unterscheidet, bietet es im Kern die Möglichkeit festzustellen, ob etwas oder jemand einen Teil eines Computers manipuliert hat. Architektonisch gesehen stellt es die (zumindest zum jetzigen Zeitpunkt) ultimative hostbasierte Angriffserkennung dar, da es auf Hardware außerhalb der CPU basiert und es Angreifern somit erheblich erschwert, die Objekt- und Prüfsummendatenbanken zu beschädigen.

Rezeption

InfoWorld gibt an, dass hostbasierte Intrusion-Detection-Systemsoftware eine nützliche Methode für Netzwerkmanager ist, um Malware zu finden, und empfiehlt, sie auf jedem Server und nicht nur auf kritischen Servern auszuführen. [ 7 ]

Siehe auch

Referenzen

  1. ^ Newman, Robert C. (2009). Computersicherheit: Schutz digitaler Ressourcen . Jones & Bartlett Learning. ISBN 978-0-7637-5994-0Die
  2. ^ a b Liu, Ming; Xue, Zhi; Xu, Xianghua; Zhong, Changmin; Chen, Jinjun (19. November 2018). „Hostbasiertes Intrusion-Detection-System mit Systemaufrufen: Überblick und zukünftige Trends“ . ACM Computing Surveys . 51 (5): 98:1–98:36. doi : 10.1145/3214304 . ISSN 0360-0300 . 
  3. ^ Debar, Hervé; Dacier, Marc; Wespi, Andreas (23. April 1999). „Towards a taxonomy of intrusion-detection systems“. Computer Networks . 31 (8): 805–822 . doi : 10.1016/S1389-1286(98)00017-6 .
  4. ^ Ahmad, Zeeshan; Shahid Khan, Adnan; Wai Shiang, Cheah; Abdullah, Johari; Ahmad, Farhan (Januar 2021). „Netzwerk-Intrusion-Detection-System: Eine systematische Studie von Machine-Learning- und Deep-Learning-Ansätzen“ . Transactions on Emerging Telecommunications Technologies . 32 (1). doi : 10.1002/ett.4150 . ISSN 2161-3915 . 
  5. ^ Vacca, John. Computer and Information Security Handbook . Morgan Kaufmann, 2013, S. 494–495
  6. ^ Cox, Kerry; Gerg, Christopher (2004). Managing security with Snort and IDS tools . O'Reilly Series. O'Reilly Media, Inc. S. 3. ISBN 978-0-596-00661-7Die
  7. ^ Marsan, Carolyn Duffy (6. Juli 2009), „Die 10 größten Fehler von Netzwerkmanagern“ , InfoWorld , IDG Network , abgerufen am 31. Juli 2011
  • Deep Security – ein kommerzielles, plattformübergreifendes HIDS
  • Lacework HIDS – ein kommerzielles HIDS für Cloud-Implementierungen