Startseite > Office & Kommunikation > Der Survival-Guide für Security-Analysten

Malware-Erkennungsrate von 300 Tagen

Der Survival-Guide für Security-Analysten

4. September 2015, 13:38 Uhr | Jess Garcia, Principal Instructor beim SANS Institut für SEC 503 Intrusion Detection In-Depth

Fortsetzung des Artikels von Teil 1

Intrusion-Detection – Die Suche nach außerirdischem Leben im Netzwerk

Intrusion-Detection, also die Suche nach verdächtigen Vorgängen im Netzwerk, sollte von diesen Security und Intrusion-Detection-Analysten täglich durchgeführt werden. Sie haben es im Vergleich zu den Angreifern zumeist deutlich schwerer, denn letztere brauchen nur eine einzige Schwachstelle zu finden und müssen nur wissen, an welche Informationen sie herankommen wollen, um erfolgreich zu sein. Ist der Angreifer also erst einmal erfolgreich ins Netzwerk eingedrungen, ist er eigentlich schon fast fertig. Der Verteidiger muss jedoch den Angriff zunächst einmal identifizieren, dann den Angreifer finden und dazu noch richtig und schnell darauf reagieren . Hier sind also ein paar Tipps, Tricks und Tools, die man sich anschauen sollte, wenn man versucht Angriffe abzuwehren.

Sicherheits-Monitoring im Netzwerk

Um herauszufinden, ob ein Netzwerk erfolgreich angegriffen wurde, sollte man:

Den Datenverkehr im Netzwerk nach verdächtigen Aktivitäten analysieren und die wichtigsten und am meisten genutzten Protokolle wie HTTP durchsuchen.
Während des Monitorings des Netzwerks sollten gewisse Teile des Netzwerks unterteilt werden, zum Beispiel in solche, die wichtig und solche, die weniger wichtig sind.
Die wichtigsten Assets des Unternehmens sollten stets im Blick behalten werden.

Um sich einen Überblick über diese Objekte und Daten zu verschaffen, gibt es eine Reihe von Open-Source-Tools, die sich ein Security-Analyst genauer ansehen sollte, beispielsweise "tcpdump", "Snort" und "Bro". Diese Tools werden bei der Analyse äußerst hilfreich sein. Arbeitet das Unternehmen darüber hinaus mit Vmware-Umgebungen, muss auch der virtualisierte Traffic analysiert werden, was nicht einfach ist. Da es hier kaum Tools gibt, haben sich einige intelligente Leidensgenossen Gedanken gemacht und eigene Tools entwickelt. Beispielsweise hat der SANS-Trainer Mike Poor eine Vmware Distribution auf Linux namens Packetrix programmiert. Mit dieser Anwendung lassen sich sowohl Datenpakete als auch der Traffic analysieren. Es wird inklusive Demonstrations-"pcaps" geliefert, also Daten, die wiederum Netzwerk-Traffic enthalten.