Architektur zur mehrstufigen Angriffserkennung in Hochgeschwindigkeits-Backbone-Netzen

Die globale Vernetzung und die Durchdringung des alltäglichen Lebens durch Informationsund Kommunikationstechnologien, sowie die zunehmende Anzahl von Angriffen, die bisweilen auch unter Beteiligung ahnungsloser Nutzer durchgeführt werden (Bot-Netze) führen dazu, dass Angriffe auf IT-Infrastrukturen längst keine zu vernachlässigende Begleiterscheinung des Internets mehr sind. Angriffe wie der auf das Spamhaus Project, das 2013 durch einen Distributed Denial of Service Angriff mit mehr als 300 Gbps attackiert wurde und in der Konsequenz auch einige Backbone Provider an die Grenze Ihrer Leistungsfähigkeit brachte, zeigen eindrücklich, dass Angriffe auch auf Backbone Provider große Auswirkungen haben können. Systeme zur Angriffserkennung arbeiten historisch betrachtet zumeist auf Basis sogenannter Deep Packet Inspection, bei welcher der Paketinhalt auf das Vorhandensein spezieller Muster überprüft wird. Dies ermöglicht zwar detaillierte Analysen, ist aber aufgrund der mangelnden Skalierbarkeit in Zeiten immer schneller werdender Anbindungen, gerade für Backbone-Provider, finanziell wie auch technisch nicht praktikabel. Spezifische rechtliche Beschränkungen verschärfen diese Problematik zusätzlich. Die vorliegende Publikation stellt deswegen einen mehrstufigen Ansatz zur Angriffserkennung speziell für Backbone Provider vor, bei welchem mehrere Verfahren wie unter anderem Flow-basierte Angriffserkennung, Protokoll-basierte Angriffserkennung, Deep Packet Inspection und Geolokalisation kombiniert werden. 1 Einleitung und Problemstellung Die Informationsund Kommunikationstechnik (IKT) hat sich zu einem wesentlichen Bestandteil des alltäglichen Lebens entwickelt. Die globale Vernetzung und die stetig voranschreitende Durchdringung des privaten wie öffentlichen Sektors eröffnet ungeahnte Möglichkeiten und fördert Innovationen ebenso wie die Wirtschaft als Ganzes. Einhergehend mit dem Bedeutungszuwachs des Internets nehmen allerdings auch die Anzahl der Angriffe in den letzten Jahren stetig zu sowohl in quantitativer, als auch in qualitativer Ausprägung. Um den zunehmenden Bedrohungen entgegenzuwirken haben sich zur Detektion von Angriffen zahlreiche Lösungen etabliert, wie insbesondere Systeme