Beschreibung
Firewalls und Intrusion-Detection-Systeme analysieren Datenpakete auf schadhafte Inhalte. Aber was passiert, wenn die Inhalte gar nicht als Inhalte übertragen werden? Durch lückenhafte Spezifikationen und fehlerhafte Implementierungen ist es auch möglich, Nachrichten an legitimen Stellen dort zu verbergen, wo sie wie Steuerungsdaten aussehen.
Die übliche Musteranalyse führt hier nicht zum Ziel, da die schadhaften Informationen nicht als solche erkannt werden. Selbst die Anomaliedetektion stößt bei Spezifikationlücken oder -fehlern an ihre Grenzen. Erst eine semantische Analyse, die Protokolle auf ihren Kontext, Ursache und Wirkung untersucht, würde hier helfen - wenn denn an diesen Stellen spezifisch dananch gesucht würde.
Die Vorträge zeigen derartige Artefakte.
Programm
Start: 16:00
Ende: ca 17:30
1. Prof. Dr. Steffen Wendzel: History Covert Channels
Der Vortrag beleuchtet kurz das das Konzept der "Amplification" von verdeckten Kanälen. Dabei sollen möglichst wenige Daten direkt zwischen Sender und Empfänger übertragen werden. Amplification lässt sich durch History Covert Channels ermöglichen, wobei auf bereits bestehende Daten verwiesen wird, anstatt sämtliche Date über den verdeckten Kanal zu übertragen. Beispielhaft wird auf die Implementierungen "DYST" (IEEE TDSC, 2024) und "OPPRESSION" (AsiaCCS'24) eingegangen.
2. Prof. Dr. Jana Dittmann und Dr. Robert Altschaffel: Einblicke in das Forschungsprojekt ATTRIBUT
Im Forschungsprojekt ATTRIBUT wird die Attributionen von verdeckten (Informations-)Kanälen im Bereich kritischer Infrastrukturen sowie Potentiale für Prävention und Reaktion erforscht. In diesem Vortrag wird ein Überblick über dieses von der Cyber-Agentur beauftragte Forschungsprojekt gegeben, Hintergründe und technische Ansätze vorgestellt. In tieferer Einblick in die Forschungsarbeiten wird anhand des in industriellen Steuernetzwerken (auch solchen die in kritischen Infrastrukturen verwendet werden) verwendeten Protokolls Modbus TCP/IP gegeben bei dem anhand von statistischen Analysen verdeckte Informationskanäle identfiziert sowie Einbettparameter extrahiert werden.