Beobachtungs-Techniken

Die Beobachtung beginnt auf einzelnen Maschinen und sollte sich vorzugsweise auf alle erstrecken (nicht nur auf einer zentralen Firewall).

Wenn ein Subnetz gemeinsam administriert wird, ist es sinnvoll, alle einzelnen Beobachtungen zu sammeln und zusammenzufassen, um Angriffe auf ein gesamtes Subnetz zu erkennen.

Vorfälle werden von regionalen Institutionen gesammelt (z.B. von den CERTs) und von globalen Einrichtungen wie dem Internet Storm Center.

Ziele:

Verringerung der Angriffe, indem Vorfälle an die Administratoren der Netzwerke weitergeleitet werden, von denen Angriffe ausgingen. Dies erlaubt es, Übeltäter zu verbannen und befallene Rechner neu einzurichten.

Erkennung von Angriffen, bevor sie öffentlich bekannt werden.

Erkennung des Gefahrenpotentials für weniger gut abgesicherte Rechner im gleichen Netzwerk.

Studium der Angriffsmethoden der sogenannten Black-Hat-Szene.