DE 
EnglishStandard
Українська
Polski🛡️ Netzwerk-Einbruchserkennung — Live-Anomaliebewertung
Simulierter Netzwerkverkehr fließt durch ein Anomalieerkennungsmodell, das das Einbruchsrisiko jeder Verbindung bewertet und Portscans sowie Datenexfiltrationsmuster markiert, sobald sie auftreten.
Über die Netzwerk-Einbruchserkennung
Moderne Systeme zur Netzwerk-Einbruchserkennung fallen in zwei große Familien. Signaturbasierte Systeme (Snort, Suricata, die meisten kommerziellen Firewalls) gleichen Verkehr mit einem Katalog bekannter böswilliger Muster ab und können nur erkennen, was bereits beobachtet und als Regel gespeichert wurde. Anomaliebasierte Systeme bauen stattdessen ein statistisches Modell davon, wie „normaler“ Verkehr für ein bestimmtes Netzwerk aussieht — typische Paketraten, Verbindungsdauern, betroffene Ports — und markieren alles, was stark davon abweicht, was ihnen erlaubt, wirklich neuartige Angriffsmuster zu erkennen, auf Kosten einer höheren Falsch-Positiv-Rate. Diese Simulation implementiert direkt den anomaliebasierten Ansatz: ein Live-Strom synthetischer Verbindungen, jede beschrieben durch vier Flow-Merkmale (Pakete/s, Bytes/Paket, Verbindungsdauer und Anzahl unterschiedlicher Zielports), wird gegen eine Basisverteilung bewertet, die selbst laufend aus aktuellem, momentan nicht markiertem Verkehr neu geschätzt wird.
Der Anomaliewert jeder Verbindung ist die euklidische Norm ihrer vier Z-Scores gegenüber dieser Live-Baseline — eine vereinfachte Form der Mahalanobis-Distanz mit diagonaler Kovarianzmatrix. Der Empfindlichkeitsregler setzt die Wert-Schwelle, oberhalb derer eine Verbindung markiert wird; sobald markiert, prüft die Simulation, welche Merkmale die Anomalie treiben, um Portscans (viele unterschiedliche Ports, sehr kurze Dauer) von Datenexfiltration (große Bytes pro Paket, stetig über sehr wenige Ports in einer langen Sitzung) zu unterscheiden. Da jede synthetische Verbindung ein verborgenes wahres Label trägt, kann die Simulation live Präzision, Recall und die vollständige Konfusionsmatrix berechnen, während Sie den Schwellenwert verschieben — und macht so den „Alarmmüdigkeit“-Kompromiss im Herzen jedes echten Security-Operations-Centers direkt sichtbar und regulierbar.
Häufig gestellte Fragen
Was ist anomaliebasierte Einbruchserkennung und wie unterscheidet sie sich von signaturbasiertem IDS?
Signaturbasierte Systeme wie Snort oder Suricata gleichen Verkehr mit einer Datenbank bekannter Angriffsmuster ab — einer bestimmten Byte-Sequenz, einer bekannten bösen IP-Adresse, einer bestimmten Paketform — und können nur Angriffe erkennen, die zuvor beobachtet und katalogisiert wurden. Anomaliebasierte Erkennung baut stattdessen ein statistisches Profil davon, wie „normaler“ Verkehr für ein bestimmtes Netzwerk aussieht, und markiert alles, was stark von diesem Profil abweicht, unabhängig davon, ob genau dieser Angriff je gesehen wurde. Das erlaubt Anomaliedetektoren, neue oder Zero-Day-Angriffe zu erkennen, auf Kosten einer höheren Falsch-Positiv-Rate.
Welche Merkmale nutzt diese Simulation zur Beschreibung einer Verbindung und warum genau diese vier?
Jede simulierte Verbindung wird durch vier Merkmale beschrieben: Pakete pro Sekunde (pps), Bytes pro Paket (bpp), Verbindungsdauer in Sekunden und Anzahl unterschiedlicher Zielports während der Sitzung. Diese vier wurden gewählt, weil sie die beiden hier modellierten Angriffsfamilien sauber trennen, ohne tiefe Paketinspektion zu benötigen: Portscans zeigen sich als viele unterschiedliche betroffene Ports in sehr kurzer Zeit mit kleinen Paketen, während Datenexfiltration sich als lang andauernde Sitzung mit ungewöhnlich großen Bytes pro Paket über sehr wenige Ports zeigt.
Wie wird der Anomaliewert tatsächlich berechnet?
Jedes der vier Merkmale wird in einen Z-Score umgewandelt: zᵢ = (xᵢ − Mittelᵢ) / Std-Abwᵢ, unter Nutzung von live geschätztem Mittelwert und Standardabweichung aus einem gleitenden Fenster der jüngsten, aktuell nicht als anomal markierten Verbindungen. Der Anomaliewert ist dann die euklidische Norm des Z-Score-Vektors, Wert = √(z₁² + z₂² + z₃² + z₄²) — entspricht der Mahalanobis-Distanz unter der vereinfachenden Annahme unkorrelierter Merkmale. Eine Verbindung wird markiert, sobald ihr Wert die per Regler eingestellte Empfindlichkeitsschwelle überschreitet.