A behatolás-érzékelő a rádióösszeköttetésekre az a folyamat kimutatására behatolás hálózaton kommunikáló rádióhullámok . A behatolás-észlelés a jelenlegi információs rendszerek biztonságának egyik pillére a behatolás-megelőzés és a behatolás-tolerancia mellett vagy azt támogatva.
A vezeték nélküli technológiák (beleértve a WLAN- hálózatokat , mobiltelefonokat) gyors elterjedését elsősorban az alacsonyabb telepítési és karbantartási költségek okozzák. A behatolás észlelése általában a behatolás- megelőzési mechanizmus után következik be . Ez utóbbi felelős a hálózathoz való illetéktelen hozzáférés megakadályozásáért (főleg az adatok titkosításával és hitelesítési mechanizmusaival). Ha az illetéktelen hozzáférést a behatolás-megelőző rendszer ellenére követik el, a behatolás-észlelő rendszer feladata annak felismerése, hogy ilyen hozzáférés megtörtént. A behatolásérzékelő rendszereket először vezetékes vállalati és szervezeti hálózatokhoz használták. Ma kifejezetten ajánlott az ilyen rendszerek hasznossága a vezeték nélküli hálózatokban, ha nem szükséges. A vezeték nélküli hálózatok biztonságossági problémája a vezetékes hálózatokhoz képest a fizikai adatátviteli közeg volatilitása. Mindkét vezetékes hálózat egy olyan épület keretein belül helyezkedik el, amelynek többé-kevésbé fontos biztonsági mechanizmusai megakadályozzák a behatolóhoz való hozzáférést, mivel a vezeték nélküli hálózatokat természetüknél fogva rádióhullámok sugározzák, és ezért valószínűleg lehallgatják (úgynevezett passzív támadás) vagy megrontják a táptalajon módosított / módosított injektált adatok (aktív támadás: jellemzően zavarásnak hívják ).
Vannak olyan eszközök, amelyek lehetővé teszik az alább felsorolt technikák használatát, többek között:
Különböző típusú vezeték nélküli hálózati architektúra létezik. A vezeték nélküli technológiákat két fő kategóriába lehet sorolni, amelyek az infrastruktúra-hálózatok, amelyek függenek a mögöttes és a már meglévő vezetékes hálózatoktól (a Wifi általában ebben a módban működik a hozzáférés-szolgáltatók vezetékes hálózatával), és az ad hoc típusú eszközök vagy eszközök képesek kommunikálni egymással anélkül, hogy az információ továbbításához központi csomópont vagy hozzáférési pont kellene. Bizonyos detektálási technikák (az alábbiakban a szakaszban részletezzük ...) inkább egy architektúrára vonatkoznak, mint másokra. Ma a következő alarchitektúrákat találhatjuk:
Néhány alépítészet bizonyos rétegekben sebezhetőbb, mint másokban. Egyszerű példa erre a mobil ad hoc hálózatok dinamikus útválasztási rendszere ( MANET ), amelyben a hálózat csomópontjainak mozgása folyamatosan módosítja az adatok útválasztását. Táblázat-vezérelt útválasztási protokollok esetén (ahol minden csomópont helyben mindig rendelkezik a hálózati útvonalak teljes verziójával) a csomópontok kommunikálnak egymással a használandó új útvonalakkal. Így lehetséges, hogy a támadó hamis útvonalakat közöl, hogy az adatokat átirányítsa magának.
A behatolás-érzékelő rendszerek egy vagy több adatsorozatra támaszkodnak, amelyeket elemezni kell annak megállapításához, hogy van-e behatolás. Az adatkészlet lehet rendszernaplókból, alkalmazásnaplókból vagy a hálózaton keresztül továbbított vagy fogadott adatokból. Mivel az információs rendszer általános biztonsági szintjét a rendszer leggyengébb láncszemének biztonsági szintje határozza meg, a behatolás-észlelési kutatás főként a többrétegű észlelésre irányul. Így számos tanulmány javasolja a rendszer bizonyos rétegeinek detektálási mechanizmusait, például az OSI-modell hálózati rétegét, míg mások több rétegre vonatkozó detektációs mechanizmusok modelljeit javasolják. Ez utóbbi mechanizmusok elvégzik az első elemzést, és például egy továbbítás során átadhatják az elemzéssel kapcsolatos információkat egy alsó rétegnek. Így egy esetleges rendellenesség észlelése csak az OSI modell egy meghatározott rétegénél teszi lehetővé a behatolás észlelését és az észlelési modulok jobb szegmentálását.
A rádióhálózatokon keresztül folytatott kommunikáció során a lehallgatás kritikus fontosságú az adatok bizalmas kezelése szempontjából, mivel az adások módosítása vagy zavarása veszélyezteti az adó közötti jó kommunikációt. Úgynevezett TRANSEC (az átviteli biztonságért) mechanizmusokat hoznak létre. Ezek a mechanizmusok öt szakaszból állnak, amelyek a következők:
A rádiókommunikáció során alkalmazott egyik azonosítási módszer a rádió ujjlenyomata. Valójában a rádiós kommunikációban elméletileg nem lehet tudni, hogy egy adat behatoló vagy engedélyezett csomópontból származik-e. Ez igaz például a WLAN-okban elkövetett MAC-címek hamisítására, ahol egy eszköz MAC-címét úgy módosítják, hogy a vezeték nélküli hálózaton más eszközöknek adja ki magát. A rádiós ujjlenyomat olyan azonosítási technika, amely lehetővé teszi az egyes hálózati eszközök megkülönböztetését az egyedi és nem módosítható ujjlenyomatának köszönhetően (mivel specifikus az egyes készülékek által hardver szinten kibocsátott jel variációira). Technikailag két módszer teszi lehetővé az ilyen azonosítást:
Az átmeneti azonosítás csak a berendezés azonosítására szolgál a jelátvitel áthaladásának hiányának / jelenlétének elemzésével (a rádióadó bekapcsolásának kezdete). Eleinte a berendezésgyártó és a modell felkutatására használták, a legújabb kutatások azt mutatják, hogy azonos berendezés / gyártó egyéb berendezései között is egyedi módon lehet azonosítani a berendezést. A modulációs azonosítás lehetővé teszi csak a berendezés azonosítását az adók frekvenciamodulációjának sajátosságainak / hiányosságainak elemzésével. Így lehetséges az ilyen típusú módszer közvetlen riasztására vagy új adatkészlet biztosítására, amely lehetővé teszi a fizikai réteg szintjén az esetleges hamisított keretek detektálását, amely lehetővé teszi a hamisítást egy hálózatban, például egy WLAN-ban.
A zavarás detektálását a szolgáltatás megtagadásának észlelésére és ellensúlyozására használják a vezeték nélküli hálózatok fizikai rétegén (vagy akár a MAC rétegnél egy kifinomultabb támadáshoz), rádiózavarként (angolul zavarás). Míg egyes tanulmányok azt mutatják, hogy interferencia generálható a saját vezeték nélküli kommunikációjuk teljesítményének vagy biztonságának növelése érdekében, az interferencia jelenléte általában olyan jelenség, amelyet ellensúlyozni kíván. A zavarás észlelésének lehetővé tétele érdekében számos széles körben használt mérőszám ad információt a két rádió adó között továbbított / fogadott adatok minőségéről.
A jelerősség elárulhatja a csatornán történő átvitel használatát. Két jelerősségen alapuló módszert mutatunk be. Az elsőt a jel erősségének átlagának vagy teljes összegének kiszámításához használjuk, N minta ablakán keresztül. A második módszer a jelek spektrumának N mintáját használja, amelyeken adott esetben eltérő feldolgozást alkalmazhatunk a jel erősségének kiszámításához. Ennek a technikának az a hátránya, hogy alkalmasabb állandó jelzavarok detektálására, ahol a közegen folyamatosan azonos jelet továbbítanak.
Az elküldésre szánt csomagok, amelyek a MAC réteg sorában vannak, mindaddig, amíg a közeg nem szabad, más berendezések használják, vagy esetlegesen interferenciának vannak kitéve, mint a CSMA protokollosztály esetében (Carrier Sense Multiple Access esetén) . Bizonyos idő áll rendelkezésre az egyes csomagok elküldésére azon az adathordozón, amelyen túl a csomagot elküldés nélkül eltávolítják a sorból. A küldendő csomagok / a ténylegesen küldött csomagok arányát PSR-nek nevezzük a csomagküldési aránynak (vagy az elküldött csomagok arányának). Ennek a módszernek az a hátránya, hogy nem teszi lehetővé a torlódási jelenségek megkülönböztetését az olyan interferencia jelenségektől, amelyek ugyanolyan hatással vannak a CSMA protokollra.
Reaktív zavarás esetén, amikor a zavaró megvárja egy bizonyos berendezés adatátvitelét, hogy azonnal elküldje zavaró jelét, amikor egy csomagot megkap a jogos vevő, akkor az összes hálózati rétegen átjut, hogy elérje az alkalmazást a vevő szintje. Ha az egyik réteg hibát észlel, például CRC (ciklikus redundanciaellenőrzéshez) hibát a MAC rétegnél, akkor a csomagot elvetik. Az elfogadott / elutasított csomagok arányát PDR-nek nevezzük a csomagok kézbesítési arányának (vagy a leszállított csomagok arányának). Ennek a módszernek az a hátránya, hogy nem teszi lehetővé a generált jelenségek megkülönböztetését, például a két berendezés közötti túl nagy távolság miatt.
Az interferencia detektálása szórt spektrumú technológiát használhat . Többféle elterjedt spektrumú módszer létezik, amelyeket főként egy rádió kommunikációs csatornán történő többszörös hozzáférés lehetővé tételére használnak (GSM, Wifi, műholdas hálózatokban stb. Használnak), az adatok bizonyos szintű titkosságának lehetővé tétele érdekében, de az észlelés lehetővé tétele érdekében is. zavarás / interferencia.
A szórt spektrum közvetlen szekvenciája az interferencia detektálására használt sokféle szórt spektrum egyikének egyike. Ebben a módszerben n 1 és −1 pszeudo véletlenszerű és egyedi szekvenciát használunk minden PN / kód nevű felhasználó / adó számára (pszeudo zajkód esetén). Mindkét félnek rendelkeznie kell ezzel a kóddal. Az átvitel során az alapjel periódusát megszorozzuk n-vel. Minden eredő periódusra az alapjelet 1-gyel vagy -1-gyel szorozzuk, attól a szekvencia értékétől függően, amelynek indexe van az adott periódus számához. A vételi oldalon ugyanezt a lépést hajtják végre az alapjel helyreállítására (1 x 1 = 1, -1 x -1 = 1). Vannak olyan változatok, amelyek lehetővé teszik, hogy a titkos kulcs mindkét fél előzetes ismerete nélkül alkalmazzák ezt a módszert.
A frekvenciaugratással történő spektrumterjesztés a spektrum szétterítésének olyan módszere, amely a replikációt ezúttal nem egy adott frekvenciájú periódusokra használja, mint a közvetlen szekvencia-módszerre, hanem az alapfrekvenciától eltérő frekvenciákra. Tehát, ha egy adó jelet akar küldeni a vevőnek, akkor a kettőnek meg kell állapodnia a frekvenciák sorrendjében. Az adó ezen a frekvencián küldi a jelet, amikor a vevő helyreáll. Amellett, hogy ez a módszer a vezeték nélküli kommunikáció számos problémájára is reagál, például a multipath (multi-path angolul) vagy a fading (angolul csillapítás), lehetővé teszi az interferencia jelenlétének észlelését is, amely gyakran működik egy frekvencia egyedi.
A vezeték nélküli behatolás-érzékelő rendszerekben főként háromféle típusú szkennelés létezik, amelyek aláírás, anomália vagy hírnév alapján történnek.
Az aláírás-alapú észlelés olyan detektálási elemzés, amelyet adatbázis segítségével is neveznek támadási szótárnak, amely tartalmazza az alkalmazott rendszer leghíresebb támadásainak aláírását. Ennek a kimutatási technikának ismert, hogy nagyon alacsony a hamis pozitív aránya. Ugyanakkor az is ismert, hogy az új típusú támadások esetében magasabb a hamis negatív arány.
Az anomálián alapuló észlelés olyan detektálási technika, amely bizonyos hálózati forgalmi adatok határértékeit használja fel annak észlelésére, hogy behatolásról van-e szó. Az ilyen észleléshez néha korszerűbb módszereket kell használni, például a gépi tanulást . Az elv az, hogy hálózati forgalmi adatok készletét juttassák el egy behatolás-észlelő rendszerhez . Ezt az adatkészletet normál / engedélyezett forgalomnak tekintve a gépi tanulás így korlátértékeket állíthat be a jellemzőkre, lehetővé téve a hálózati forgalom besorolását egy vagy másik kategóriába (itt normális vagy rendellenes kategória). Más kutatások adatbányászattal automatizálják a modellépítést, lehetővé téve az anomáliák detektálását a releváns jellemzők csoportosításával a normál forgalmi adathalmazokon, vagy a tesztelendő forgalom későbbi besorolásával normálnak vagy abnormálisnak. Az ilyen típusú elemzés előnye, hogy automatizálja az új típusú támadások észlelését, amelyeket aláírás-alapú észlelés nem biztos, hogy észlel. Hátránya, hogy magasabb hamis pozitív arányt biztosít, mint az aláíráson alapuló észlelés. Vannak olyan módszerek is, amelyek algoritmusokat, például K-eszközöket használnak , a hálózati forgalom csoportosítására a forgalom eredetét és a központi csomópont közepét elválasztó távolságkritérium szerint. A WLAN hálózatokon tesztelve ez a módszer 65,3 és 82,5% közötti behatolás detektálást tett lehetővé.
A jó hírnéven alapuló észlelés segítségével megtudhatja, hogy a hálózat csomópontja sérült-e, és el kell-e távolítani a hálózatból. A csomópont hírnevének kezelését minden csomópontra kiszámítják, majd megosztják a szomszédos csomópontokkal. A csomópontok jó hírnevét tehát kicserélik az összes csomópont között a korrupt csomópont szomszédainak átviteli / vételi sugarán belül.
Az ad hoc hálózatokon a legújabb kutatások elosztott és kooperatív behatolás-észlelő rendszerek használatához vezetnek. Vezetékes hálózatokon lehetnek olyan csomópontok, amelyek központosított behatolás-észlelő vagy -megelőző rendszerként működnek (hálózati átjáró / tűzfal). Vezeték nélküli hálózatokon és pontosabban ad hoc hálózatokon az ügynökök telepítése a csomópontokra lehetővé teszi a rádiókommunikációra jellemző számos probléma megválaszolását, amelyek közül a fő az átvitt vagy vett rádióhullámok diffúziójának területe. Valójában egy központi csomópont nem képes lefedni a hálózat összes csomópontjának teljes átviteli / vételi felületét. Az elosztott érzékelő rendszerek tehát lehetséges válaszok erre a problémára.
Az elosztott és kooperatív behatolás-észlelés elve az ügynököknek a hálózat csomópontjain történő telepítéséből és az összegyűjtött adathalmaz (ok) lokális elemzéséből áll. Ez az első elemzés lehetővé teheti a helyi behatolás észlelését. Másodszor lehetséges az is, hogy a releváns információkat eljuttassuk a hálózat csomópontjaihoz, vagy olyan információkat gyűjtsünk a szomszédos csomópontoktól, amelyek lehetővé teszik az adatelem besorolását behatolásból származónak. Az információcsere külön csatornán zajlik, amelynek biztonságosnak kell lennie (hitelesítés és titkosítás). Így ahelyett, hogy csak a helyi adatkészletből dolgoznánk fel, az észlelés mind a helyi, mind a szomszédos csomópontokon alapul.
Más vizsgálatok ezen a típusú detektáláson alapulnak, hogy több információt nyújtsanak a behatolás forrásáról és az elkövetett behatolás típusáról. Például az ember a középen támadás esetén a detektálást a csomópontokon egy szoftverdetektáló rendszer integrálásával hajtják végre. Ez egy módosított Linux kernelen alapul, amely értesíti, hogy egy ilyen típusú támadás folyamatban van, amint észleli a hitelesítés megszüntetését a MAC címével, tudván, hogy nem ez a keret feladója. Az ügyfelet / vevőt figyelmeztetik, hogy ez a támadás folyamatban van a keret „sorozatszám” mezőjének értékén keresztül, amely nem felel meg a valós értéknek, és így tájékoztatást adhat a szomszédos csomópontok ilyen típusú támadásáról (általában itt a hozzáférés pont csomópont).