Erhebung von Informations- und Datenquellen für Cyber-Lagebilder

Zusammenfassung

Ein Cyber-Lagezentrum ist eine zentrale Organisationseinheit, in der alle relevanten Informationen über Sicherheitsvorfälle zur Aufarbeitung und Bewertung zusammenlaufen. In diesem Zusammenhang sind die richtigen Informations- und Datenquellen unverzichtbare Bestandteile bei der Erstellung von Cyber-Lagebildern. Durch die Auswertung von zahlreichen Informationen und Daten kann das Situationsbewusstsein über den Zustand kritischer und wesentlicher Infrastrukturen auf unterschiedlichen Ebenen entstehen. Dazu ist es essenziell, die relevanten Quellen nutzbar zu machen.

Die Etablierung der Lagebilder benötigt die Kombination und Korrelation eines breiten Spektrums unterschiedlicher Daten. Daher wird in diesem Kapitel eine Kategorisierung von Informationen und Daten für Cyber-Lagebilder eingeführt. Informationen werden entweder zum Kernlagebild oder zum Kontext gezählt. Das Kernlagebild umfasst großteils kontextlose Daten und „Informationsbausteine“, wie etwa Beobachtungen, Indikatoren, Zwischen- und Störfälle, TTPs, Kampagnen, Akteure, Schwachstellen und Angreifer-Vorgehensweisen. Das Kernlagebild besteht aus Kerndaten (zum Beispiel von Sensoren) und Kerninformationen (zum Beispiel wesentliche Informationen über Netzstrukturen und Asset Management kritischer Betreiber), welche die Grundlage zur Erstellung des Lagebildes bilden. Die Kontextinformationen des Lagebildes hingegen decken all jene weiteren Informationen ab, welche für die zweckmäßige Interpretation des Kernlagebildes auf nationaler Ebene erforderlich sind.

Die erforderlichen Informationen für Lagebilder und Situationsbewusstsein werden aus unterschiedlichen Quellen gewonnen. Durch Analyse und Korrelation der unterschiedlichen Daten werden wertvolles Wissen und Erkenntnisse erzeugt. Die Quellen können nach verschiedenen Aspekten kategorisiert werden, wie z. B. nach Zugänglichkeit, Eigentümer der Information, Erfassungsart oder Strukturierung der Daten und Informationen, oder Relevanz für Entscheidungsebenen, nur um einige Beispiele zu nennen.

In Cyber-Lagezentren basieren die Entscheidungen auf der Auswertung von ständig wachsenden Datenbeständen bei zunehmend komplexer werdenden Datenstrukturen. Fehlentscheidungen, aufgrund nicht korrekter Informationen, können erheblichen Schaden verursachen. Daher ist die Bestimmung der Qualität von Daten und Informationen ein zentraler Themenbereich für Cyber-Lagezentren. Die Daten- und Informationsqualität bildet außerdem einen kritischen Aspekt im Bereich der nationalen Sicherheit. Beispielsweise haben Daten minderer Qualität beim Air France Vorfall 2013 im Einsatz zu einem falschen Alarm geführt. Auch die Anschläge bei 9/11 zeigten eine weitere Schwierigkeit der wachsenden Datenmenge, nämlich die rechtzeitige Datenaggregation und Korrelation. Laut dem Abschlussbericht von 9/11 gehören die inkonsequente Prioritätensetzung bei der Datenaggregation und die schlechten oder nicht vorhandenen Kommunikationswege zwischen den Behörden zu den kritischsten Bereichen. Um eine bestimmte Daten- und Informationsqualität gewährleisten zu können, ist eine konsequente Qualitätsbewertung essenziell. Daher beinhaltet das Kapitel eine Liste von Qualitätskriterien, die als Anforderungskatalog für die Informationssammlung für Cyber-Lagebilder dienen kann. Die weiteren Abschnitte setzen die bis dahin dargestellten theoretischen Modelle in die Praxis um und zeigen sowohl eine beispielhafte Evaluierung verschiedener Informationsquellen basierend auf einem Muster-Bewertungsschema als auch eine beispielhafte Auswahl von Informationen für Lagebilder zur Beurteilung spezieller Angriffsszenarien.

Abkürzungsverzeichnis

CDR:

Call Detail Records

CERT:

Computer Emergency Response Team

CobiT:

Control Objectives for Information and Related Technologies

COMINT:

Communication Intelligence

CVE:

Common Vulnerabilities and Exposures

DDoS:

Distributed Denial of Service

DHS:

U.S. Department of Homeland Security

DNS:

Domain Name Server

EDA:

Europäische Verteidigungsagentur

ELINT:

Electronic Signals Intelligence

ENISA:

European Network and Information Security Agenc<

FISINT:

Foreign Instrumentation Signals Intelligence

HTTP:

Hypertext Transfer Protocol

HUMINT:

Human Intelligence

IDS:

Intrusion Detection System

IKT:

Informations- und Kommunikationstechnologie

IPS:

Intrusion Prevention System

ISO:

International Organization for Standardization

ITIL:

IT Infrastructure Library

KI:

Kritische Infrastrukturen

KSÖ:

Das Kuratorium Sicheres Österreich

LDAP:

Lightweight Directory Access Protocol

MNP:

Mobile Rufnummermitnahme/Mobile Number Portability

MSC:

Mobilvermittlungszentrum/Mobile Switching Centre

NIS:

Netz- und Informationssicherheit

NIST:

National Institute of Standards and Technology

NVD:

National Vulnerability Database

NW:

Netzwerk

OSINT:

Open Source Intelligence

PSTN:

Public Switched Telephone Network

RTR:

Rundfunk und Telekom Regulierung

SCADA:

Supervisory Control and Data Acquisition

SIGINT:

Signals Intelligence

STIX:

Structured Threat Information Expression

TECHINT:

Technical Intelligence

TOR:

The Onion Router

TTP:

Tactics, Techniques, and Procedures