Datensicherheit für Industrie 4.0 und Connected Car

Anbieter zum Thema

MicroConsult Academy GmbH

emlix GmbH

EMBAS Industrie Elektronik GmbH & Co. KG

Macnica GmbH

Anomalie-basierte Intrusion Detection Systeme

Hier kommt die Anomalie-Erkennung ins Spiel. Ein Anomalie-basiertes IDS überwacht Parameter, die den Zustand eines Netzwerkes und den Datenverkehr als normal oder nicht normal klassifizieren. Werden entsprechende Parameter entdeckt und eine Auslösebedingung erfüllt, dann schlägt das IDS Alarm.

Parameter können zum Beispiel sein, wie viele Pakete zwischen den einzelnen Teilnehmern pro Zeiteinheit ausgetauscht werden, wie lang diese sind, wie schnell sie aufeinander folgen und welche Richtung dabei gilt. Komplexere Modelle berechnen Wahrscheinlichkeiten, mit denen ein Netz von einem Zustand in einen anderen übergehen wird und erkennen Abweichungen von diesen Wahrscheinlichkeiten als potentiellen Angriff.

Ein Anomalie-basiertes IDS kann nur funktionieren, wenn es den normalen Zustand, die normalen Parameter bzw. die normalen Übergangswahrscheinlichkeiten kennt. Leider sind diese Parameter für nahezu jedes Netzwerk unterschiedlich und so muss ein solches IDS immer erst auf das Zielnetzwerk trainiert werden. Ist es aber erst einmal fit gemacht, dann kann es prinzipiell jede Abweichung von der Norm erkennen und damit natürlich auch Angriffe, die bisher völlig unbekannt sind.

Der Nachteil dabei ist, dass es in einem Netzwerk immer zu Abweichungen von einer Norm kommen kann. Sei es, dass ein neues Gerät integriert wird, oder dass ein Benutzer neue Nutzungsmöglichkeiten einführt. Die Norm ist also mit einer gewissen Unschärfe versehen. D.h. eine hohe Erkennungsrate für Abweichungen führt zu einer guten Erkennung von Angriffen, aber auch zu einer großen Zahl von nur scheinbaren Angriffen, die in Wirklichkeit unbedenklich sind.

Will man diese sogenannte Falsch-Positiv Rate senken und macht dazu die Erkennung unschärfer, dann sinkt natürlich auch die Rate für die erkannten richtigen Angriffe auf das Netz.

Ein Dilemma, das sich z.B. mit der Kombination aus einem Anomalie-basierten IDS und einem regelbasierten IDS deutlich abmildern lässt. In letzter Zeit werden auch vermehrt Neuronale Netze dazu eingesetzt, den Datenverkehr in einem Netzwerk zu überwachen. Neuronale Netze sind sehr gut geeignet, aus dem Verhalten eines Netzwerks auf ein neues Verhalten in bisher unbekannten Zusammenhängen zu schließen.

Diese Generalisierungsfähigkeit macht man sich beim Einsatz als IDS Kern zu Nutze. Grundsätzlich ist aber auch hier eine Kombination von regelbasiertem Ansatz mit einem Neuronalen Netz zielführend.

(ID:43376079)