Termin:GUUG Vortrag: Einheitliches Austauschformat verschiedener IDS: Unterschied zwischen den Versionen

Version vom 1. Mai 2012, 13:12 Uhr

Needs to be there, but does not need to be seen by a visitor Yes

Datum/Zeit:    31.5.2012, 19 Uhr
Ort:           Attraktor, siehe http://wiki.attraktor.org/Mex
Vortragender:  Björn C. Bösch
Vortragstitel: Einheitliches Austauschformat verschiedener IDS


Kurzzusammenfassung:
Intrusion Detection Systeme (IDS) werden zum Schutz von IT-Landschaften
bzw. von wichtigen Informationen eingesetzt. Hierbei werden
herstellerspezifische Administrationsschnittstellen verwendet. Dies
führt bei IT-Abteilungen zu unterschiedlichen Umsetzungsstrategien:

- Es wird nur ein Teil der kritischen Systeme mit einem IDS abgesichert.
- Es wird für jedes zu schützende System ein geeignetes IDS integriert,
 was zu einer Anzahl unterschiedlicher IDS-Administrationszugänge und
 -oberflächen führt.
- Es wird ein IDS eingeführt, um möglichst viele Systeme abzudecken
 und zu schützen.

Im Rahmen eines Projektes wurde untersucht, in wie weit diese
Rahmen-bedingungen für den IDS-Einsatz veränderbar sind. Auf Basis
dieser Analyse wurde eine standardisierte Kommunikation ermittelt und
ein entsprechendes Format entwickelt.

Im Rahmen dessen wurde untersucht, ob der IDS-Manager vom IDS-Analyser
unabhängig ist und wie ein offenes Format zu strukturieren ist.

In einem Proof-of-Concept wurde eine allgemeine Administrations-
oberfläche entwickelt und in das Netz-IDS snort sowie in die Host-IDS
Samhain und OSSec integriert. Über ein einheitliches Parameter- und
Übertragungsformat werden diese im IDS-Manager konfiguriert.


Über Björn:
Björn-C. Bösch ist seit 2000 in unterschiedlichen Positionen bei einem
großen deutschen Systemhaus/Provider tätig. Die Aufgaben reich(t)en vom
Entwickeln kundenspezifischer IP-Netze und Sicherheitslösungen bis zum
Beraten multinationaler Großkunden in technischen, organisatorischen und
strategischen Sicherheitsfragen.

An der Carl-von-Ossietzky-Universität in Oldenburg
(http://www.uni-oldenburg.de/) beschäftigt sich Björn-C. Bösch als
externer Mitarbeiter nebenberuflich mit Intrusion Detection Systemen,
besonders mit deren Architektur, Austauschformaten und
Verwaltungsoberflächen.