Datensicherheit für Industrie 4.0 und Connected Car

Anbieter zum Thema

MicroConsult Academy GmbH

emlix GmbH

EMBAS Industrie Elektronik GmbH & Co. KG

Macnica GmbH

Aus Gründen der Sicherheit verwendet TCP einen sogenannten 3-Wege-Handshake, um eine Verbindung zwischen zwei Teilnehmern im Netz aufzubauen. Ein Teilnehmer signalisiert dabei einem anderen Gerät mit dem speziellen SYN-Paket, dass er mit ihm sprechen möchte. Das Gerät registriert den Wunsch und merkt sich die Adresse des Teilnehmers sowie den Port, über den dieser erreichbar ist. Dann sendet es zum Teilnehmer ein SYN-ACK Paket, zum Zeichen dass es bereit für die Verbindung ist.

Auch der Teilnehmer speichert sich jetzt die Verbindungsdaten und bestätigt den Empfang des SYN-ACK Paketes mit einem abschließenden ACK-Paket. Damit ist die Verbindung auf beiden Seiten aufgebaut und es können Daten ausgetauscht werden.

Ein Syn-Flood-Angriff nutzt das TCP Protokoll dahingehend aus, dass in schneller Abfolge und großer Zahl Verbindungswünsche per SYN Paket an eine Gegenstelle gesendet werden. Die von diesem Gerät gesendeten SYN-ACK Pakete werden dagegen ignoriert, d.h. es werden keine ACK-Pakete zurückgeschickt.

Die Folge ist, dass das Gerät eine Vielzahl von offenen Verbindungsdaten bereithalten muss und damit irgendwann an die Grenze kommt, also keinen Platz mehr für weitere Verbindungsanfragen mehr bereitstellen kann. Will jetzt ein anderer Netzwerkteilnehmer Kontakt zu dem Gerät aufnehmen, dann bekommt es keine Antwort mehr. Das Gerät ist damit faktisch ausgeschaltet.

Einen Syn-Flood Angriff in einem regelbasierten Intrusion Detection System zu erkennen ist noch relativ einfach. Man benötigt eine Regel, die für jede Netzwerkadresse alle Verbindungsanfragen zählt und beim Zustandekommen der Verbindung den Zähler wieder zurücksetzt.

Das IDS hat also ein sehr spezifisches Gedächtnis, das den Status der Verbindungen in einem Netzwerk überwacht. Kommt es zu einer Syn-Flood Attacke, dann wird der Zähler nicht mehr zurückgesetzt und eine weitere Regel könnte nun beim Erreichen eines Schwellwerts einen Alarm generieren.

Für fast alle bekannten Angriffsszenarien lassen sich Regeln finden, die eine Erkennung sehr zuverlässig ermöglichen. Das Problem ist, dass es zum einen sehr viele verschiedene Angriffe gibt und damit der Aufbau einer Datenbank mit deren Merkmalen sowie die Erstellung der erforderlichen Regeln zur Erkennung einen erheblichen Aufwand erfordern.

Auf der anderen Seite kann man natürlich nicht voraussetzen, dass alle Angriffe bereits irgendwo einmal geschehen sind. Für Embedded Netzwerke gibt es im Gegenteil fast kein Wissen über vergangene Angriffe, weil das Thema einfach zu neu ist. Man kann sich also nicht nur auf regelbasierte IDS verlassen.

(ID:43376079)