Sprint 5Lernangebot 16Stufe I bis III⏱ 7 h
Hier richtest du im Labor einen Sensor zur Angriffserkennung auf dem Raspberry Pi ein, schreibst eine Regel für den Portscan aus Teil 4, misst, wie oft er sich irrt, und entwirfst das Alarmierungskonzept für die Nachtschicht.
Sprint 5Brückenstufe 4
Eure Story: Ihr setzt PKI, sicheren Fernzugriff, Verschlüsselung und Angriffserkennung um, damit die Befunde aus Teil 2 und 4 nicht nur auf Papier stehen.
Input · Angriffserkennung und Alarmierung. Holt ihn euch, wenn eure Storycard danach fragt. Zahlt ein auf AB 6 und 7.
Du richtest das IDS ein, rechnest Erkennungs- und Fehlalarmrate, wählst mit deinem Team eine Einstellung und schreibst den Melde- und Eskalationsweg.
0 von 9 AB abgehakt AB-Liste öffnen
Der wichtigste Satz auf dieser Seite: Ein Sensor, der tausend Mal in der Nacht Alarm schlägt, wird abgeschaltet oder ignoriert. Dann hat man keinen Sensor mehr, nur ein gutes Gefühl.
Am Ende hast du: ein IDS im Labor mit eigener Regel für den Portscan, gemessene Erkennungs- und Fehlalarmrate mit Bewertung und ein Alarmierungskonzept für die Nachtschicht.
Erst du, dann die anderen
Der Portscan aus Teil 4 lief eine halbe Stunde, niemand hat ihn bemerkt. Wie würdest du anfangen, damit das nächste Mal jemand davon erfährt?
So gehen andere vor. Such dir einen Weg aus.
- Vom Sensor aus: erst ein IDS mit fertigen Regeln aufstellen und schauen, was es meldet. Vorteil: schnell sichtbar. Preis: viele Meldungen, wenig Sinn.
- Vom Angriff aus: erst den Portscan im Labor wiederholen und eine Regel genau dafür schreiben. Vorteil: gezielt. Preis: erkennt nur diesen Fall.
- Vom Menschen aus: erst festlegen, wer nachts was bekommt und was er dann tun soll, dann den Sensor einstellen. Vorteil: Meldungen haben Empfänger. Preis: die Technik kommt später.
Ein IDS ohne Alarmierungskonzept ist ein Protokoll, das niemand liest. Ein Alarmierungskonzept ohne Sensor ist ein Plan ohne Anlass.
Gegebene Werte zum Labortest · aufklappen, wenn du sie brauchst
Gegebene Werte zum Labortest
- Sensor
- Raspberry Pi mit Netzwerk-IDS (z. B. Suricata oder Snort), am Spiegelport des Laborswitches
- Labortest
- Im Testzeitraum spielt die Lehrkraft 40 Angriffe ein (Portscans und Anmeldeversuche) und 180.000 harmlose Verbindungen.
- Ergebnis Grundeinstellung
- Der Sensor meldet 36 der Angriffe und schlägt bei 324 harmlosen Verbindungen Alarm.
- Ergebnis feinjustiert
- Nach dem Anpassen der Schwellen meldet er 34 der 40 Angriffe, die Fehlalarmrate sinkt auf 0,01 %.
- Nachtschicht im Hub
- 22 bis 6 Uhr, rund 600.000 harmlose Verbindungen je Nacht am Übergang ins Servernetz (Unterrichtswert), kein eigener IT-Mensch, Bereitschaft Querwind
Die Messwerte sind vorgegeben, damit alle Teams vergleichbar rechnen. Eure eigenen Messwerte aus dem Labor tragt ihr zusätzlich ein.
Dein Lernprodukt im Einzelnen
Dein Lernprodukt
Angriffserkennung und Alarmierung für die Nacht
Darauf laufen die Aufgaben dieses Lernangebots zu. Die Aufgaben sind die Stufen dorthin, das Lernprodukt ist das Ergebnis.
Es besteht aus
- Laborprotokoll IDS mit eigener Regel und Nachweis der Meldung
- Erkennungs- und Fehlalarmrate mit Rechenweg und Bewertung
- Entscheidung für eine Einstellung mit Begründung
- Alarmierungskonzept mit Stufen, Wegen, Zeiten, Bereitschaft und Vertretung
Zur Dokumentation
Das Alarmierungskonzept ist so geschrieben, dass die Bereitschaft es nachts um drei ohne Rückfrage anwenden kann.
In Teil 6 wird das Konzept Teil der Behandlung von Sicherheitsvorfällen im ISMS.
Deine Aufgaben
16.1Richtet den Sensor im Labor ein
Jetzt seid ihr dran · Zu zweit · 4 Arbeitsschritte
zahlt ein auf AB 6Öffnen ▾Schließen ▴
Aufgabe 16.1
Stufe I · Abfolge
Richtet den Sensor im Labor ein:
-
Nur im Labornetz. Alles, was ihr hier einrichtet oder testet, läuft im isolierten Labornetz eures Teams mit der schriftlichen Freigabe aus dem Projektauftrag. Ein Scan oder Login gegen fremde Systeme ist auch zu Übungszwecken strafbar (§202a bis §202c StGB).
- Schließt den Raspberry Pi an den Spiegelport des Laborswitches an und installiert das IDS.
- Ladet einen aktuellen Regelsatz und prüft im Protokoll des IDS, dass Verkehr ankommt.
- Haltet Aufbau, Befehle und erste Meldungen im Protokoll fest.
Zu zweit Diese Aufgabe bearbeitet ihr zu zweit.
16.2Schreibt eine Regel für den Portscan aus Teil 4
Jetzt seid ihr dran · Zu zweit · 3 Arbeitsschritte
zahlt ein auf AB 6Öffnen ▾Schließen ▴
Aufgabe 16.2
Stufe II · Algorithmus
Schreibt eine Regel für den Portscan aus Teil 4:
- Wiederholt den Portscan aus Teil 4 im Labor und schaut, ob der fertige Regelsatz ihn meldet.
- Schreibt eine eigene Regel, die viele Verbindungsversuche einer Quelle auf viele Ports in kurzer Zeit meldet.
- Zeigt mit einem zweiten Scan, dass eure Regel greift, und mit normalem Verkehr, dass sie still bleibt.
Zu zweit Diese Aufgabe bearbeitet ihr zu zweit.
16.3Rechnet Erkennungs- und Fehlalarmrate
Jetzt seid ihr dran · Zu zweit · 4 Arbeitsschritte
zahlt ein auf AB 6Öffnen ▾Schließen ▴
Aufgabe 16.3
Stufe II · Algorithmus
Rechnet Erkennungs- und Fehlalarmrate:
- Rechnet mit den gegebenen Werten die Erkennungsrate und die Fehlalarmrate der Grundeinstellung.
- Rechnet, wie viele Fehlalarme das in einer Nachtschicht im Hub wären.
- Rechnet, welcher Anteil aller Alarme im Labortest wirklich ein Angriff war.
- Rechnet dasselbe für die feinjustierte Einstellung.
Zu zweit Diese Aufgabe bearbeitet ihr zu zweit.
16.4Entscheidet euch für eine Einstellung
Jetzt seid ihr dran · Im Team · 3 Arbeitsschritte
zahlt ein auf AB 6Öffnen ▾Schließen ▴
Aufgabe 16.4
Stufe III · Heuristik
Entscheidet euch für eine Einstellung:
- Stellt die beiden Einstellungen gegenüber: was ihr gewinnt, was ihr verliert.
- Entscheidet, ob der Sensor nur melden (IDS) oder auch blockieren (IPS) soll, und begründet es mit dem Betrieb rund um die Uhr.
- Schreibt eure Entscheidung in drei Sätzen für die IT-Leitung.
Im Team Diese Aufgabe bearbeitet ihr im Team.
16.5Entwerft das Alarmierungskonzept für die Nachtschicht
Jetzt seid ihr dran · Im Team · 4 Arbeitsschritte
zahlt ein auf AB 7Öffnen ▾Schließen ▴
Aufgabe 16.5
Stufe III · Heuristik
Entwerft das Alarmierungskonzept für die Nachtschicht:
- Legt Meldestufen fest und ordnet typische Meldungen zu.
- Legt für jede Stufe fest, wer sie bekommt, auf welchem Weg und in welcher Zeit reagiert wird.
- Regelt Bereitschaft, Vertretung und wann die IT-Leitung und die Geschäftsleitung geweckt werden.
- Prüft das Konzept mit einem Planspiel: Um 2:40 Uhr meldet der Sensor viele Anmeldeversuche auf dem Frachtsystem.
Im Team Diese Aufgabe bearbeitet ihr im Team.
Veränderter Fall
Der Sensor meldet in einer Nacht um 3:10 Uhr, dass ein Röntgenarbeitsplatz Verbindungen zu vielen Rechnern im Büro aufbaut. Die Bereitschaft erreicht niemanden beim Hersteller. Spielt euer Alarmierungskonzept durch: Wer entscheidet, ob der Platz vom Netz geht, obwohl dann an der Kontrolle keine Fracht mehr geprüft wird?