Über FIDeS
Ziel des Forschungsprojektes FIDeS (Frühwarn- und Intrusion Detection System auf der Basis von kombinierten Methoden der KI) ist die Entwicklung eines ausgereiften Assistenzsystems zur Früherkennung von Angriffen aus dem Internet, aber auch in lokalen Netzen. Im Rahmen dieses Projektes werden nicht nur die verbreiteten Internet-Protokolle wie z.B. HTTP und FTP behandelt, sondern auch neuere Protokolle wie z.B. Protokolle in Telekommunikationsnetzen, VoIP-Protokolle oder SOAP. Hierdurch können neben Angriffen auf Internetknoten auch Sicherheitsvorfälle, die von mobilen Endgeräten ausgehen, sowie missbräuchliche Zugriffe in sicherheitskritischen, IT-gestützten Geschäftsprozessen von Unternehmen erkannt werden.
Herkömmliche IDS und insbesondere IDS zur Anomalieerkennung verursachen häufig Fehlalarme (false positives) oder erkennen Angriffe nicht (false negatives). In FIDeS wird komplementär zu anomalie-basierten IDS ein Frühwarnsystem auf Basis von heterogenen Methoden der Künstlichen Intelligenz entwickelt, das einem Sicherheitsverantwortlichen bei der Analyse von Angriffen und der Durchführung von Gegenmaßnahmen eine angemessene Unterstützung gibt. Es steht also mehr die Assistenz (z.B. konkrete Handlungsanweisungen im Falle von Angriffen) im Vordergrund als die Angriffserkennung. Das Spektrum der dabei eingesetzten KI-Methoden reicht von der deklarativen Wissensrepräsentation über die Generierung von Erklärungen bis hin zur kognitiven Assistenz. Eine Integration mit einem System zur anomaliebasierten Angriffserkennung ist vorgesehen.
Insbesondere weist das Assistenzsystem zur Frühwarnung die folgenden Merkmale auf:
- Bereitstellung von plausiblen (nachvollziehbaren) Erklärungen für einen Angriff,
- deklarative Beschreibung von Angriffswissen, angreifbaren Systemen und Systemkomponenten sowie von Gegenmaßnahmen,
- interaktive Assistenz bei der Durchführung und Auswahl von Gegenmaßnahmen für Angriffe,
- Vorhersage über den weiteren Verlauf eines Angriffs (inkl. Plausibilitätsüberprüfung der Vorhersage),
- Skalierbarkeit für Erklärungen und Vorhersagen (z.B. in Abhängigkeit des erwarteten Risikos),
- Bereitstellung einer Wissensdatenbank (mit Beschreibungen über Angriffe und Gegenmaßnahmen/Handlungsanweisungen),
- Wartbarkeit und Verständlichkeit des hinterlegten Wissens über Angriffe und Gegenmaßnahmen,
- Erweiterbarkeit des Systems um neue Angriffe.
Es wird ferner ein Simulator entwickelt, der Angriffsszenarien unter realistischen Zeit- und System-Constraints erzeugen kann. Dieser Simulator dient zur funktionalen Validation und zur Sicherstellung des hinreichenden Abdeckungsgrades des Frühwarnsystems.
Letztendlich werden während der gesamten Entwicklung des Frühwarnsystems auch Datenschutzanforderungen berücksichtigt. So darf ein Provider aus datenschutzrechtlichen Gründen im Allgemeinen nicht die Inhalte von Datenpaketen anschauen.
