Het opsporen van inbraken in netwerken gaat meestal via een zwarte lijst met bekende aanvallen. Dat werkt goed voor wijdverspreide systemen die vaak onder vuur liggen en waar het opstellen van zo‘n lijst kosteneffectief is. Voor systemen die meer in de niche opereren zoals Scada, is deze aanpak minder effectief. Damiano Bolzoni en Sandro Etalle van de UT en spin-off Securitymatters ontwikkelen methodes om dit soort systemen te beveiligen door juist het normale gedrag te leren herkennen.
In een wereld waar – al dan niet kritieke – systemen steeds vaker aan een netwerk worden geknoopt, vormt de beveiliging van de verbindingen een steeds belangrijker deel van de algemene systeemsecurity. Een netwerkinbraakdetectiesysteem (NIDS) is daar een belangrijk onderdeel van. Het monitort al het netwerkverkeer om kwaadwillig gedrag te herkennen, zoals inbraak door hackers en verspreiding van wormen, en slaat vervolgens alarm. Een NIDS kan een stuk hardware zijn, of eenvoudig een programma dat op de te bewaken computer draait.
NIDS‘en zijn er in twee soorten, met tegenovergestelde werkingsprincipes. De eerste is patroongebaseerd. Dergelijke systemen inspecteren de inhoud van elk binnenkomend netwerkpakket en vergelijken dat met een databank van aanvalspatronen. Als het pakket zo‘n patroon bevat, slaat het systeem alarm. Deze waakhonden zijn vergelijkbaar met virusscanners, met een zwarte lijst van gevaarlijke patronen. Die lijst, de aanvalspatronenbank, moet zo snel mogelijk worden bijgewerkt wanneer ergens in de wereld een nieuw soort aanval wordt gedetecteerd. NIDS-leveranciers maken dan een overeenkomstig patroon om aan alle geïnstalleerde patronenbanken toe te voegen, zodat de NIDS dit soort nieuwe aanvallen kan herkennen. Het opensource Snort-programma is het meest bekende voorbeeld van deze aanpak.
This article is exclusively available to premium members of Bits&Chips. Already a premium member? Please log in. Not yet a premium member? Become one for just €20 for the first year and enjoy all the benefits.
