Bewakingsystemen zien bepaalde zaken wel en anderen niet - dat is inherent aan iedere vorm van geautomatiseerde detectie. In feite zijn er twee manieren om te bewaken: de eerste het is signaleren van vooraf gedefinieerde foutsituaties (het herkennen van een virus-signature of een reeks verdachte instructies in verder onbekende trojan, maar ook zoals iets te hard rijden). De tweede is een aanpak om situaties door hun ongebruikelijkheid op te laten vallen. Denk hierbij het uitproberen van meerdere IP adressen in een subnet of het slingeren over de hele rijbaan. Dit is een vorm van anomaliedetectie. Bij IDS systemen zie je vaak dat beide benaderingen mogelijk zijn, zodat de kans dat een gevoelige situatie opvalt, groter is. Dat is reuze handig.

De praktijk van anomaliedetectie is echter weerbarstiger: om een anomalie terug te vertalen naar een concreet incident, moet er onderzocht worden wat er aan de hand is. En daar wreekt de gladde interface van de mooi vormgegeven appliances zich - de bedienende mens moet complexe patronen kunnen analyseren, terwijl het apparaat en bijgevoegde salespitch de indruk wekt dat een aapje het trucje wel zal kunnen. Je treft dan ook zelden een beheerder of eigenlijk IDS operator aan die in staat is de onbekende situaties te herkennen. En nog schaarser zijn die, die het ook daadwerkelijk en met enige regelmaat dóen.

Wat ook niet helpt bij IDS-en is het kunnen finetunen van het instelbare alarmniveau, waarbij je bij foutsituaties een rood stoplicht kunt laten tonen. Dat moet, omdat sommige patronen voor het specifieke netwerk dat je moet bewaken daadwerkelijk een bedreiging zijn en anderen foutsituaties weer niet. Het is heel verleidelijk dit zeer spaarzaam in te stellen, omdat rode stoplichten ertoe leiden dat je iets moet gaan doen. Daarbij vraagt de analyse van een verdachte reeks packets veel kennis van kwetsbaarheden en het eigen netwerk. Zoek je een patroon uit, dan kan het zijn dat deze verwijst naar een aanval die systeemspecifiek is. Zo lang je niet weet wat voor applicaties je feitelijk allemaal hebt, weet je niet waar je gevoelig voor bent. Het is heel verleidelijk om te veronderstellen dat je een bepaald script nergens hebt. In de gemiddelde CMDB vind je de informatie niet, dus....

Er zijn nog andere showstoppers. Veel incident-tickets staat behoorlijk beroerd in de SLA rapportage, en een paar onduidelijke meldingen in een bewakingssysteem zijn geen moeilijk gesprek met de service manager waard....

Bedenk je dat in veel organisaties incidenten waarbij geen storing in de dienstverlening optreedt, helemaal niet kúnnen bestaan, volgens het servicemodel. Zonder ticket heb je geen werkorder, en mag je er helemaal geen tijd aan besteden.

De laatste nagel in de doodskist is de natuur van een techneut. Een echte automatiseerder streeft er naar om bij voorkeur niets met het handje te hoeven doen, dus een waarschuwingsysteem zó instellen dat er vaak bellen afgaan, is tegennatuurlijk. Omdat het IDS-systeem zélf gewoon werkt, is het uitsluiten van een wazige foutmelding een prima manier om een incident te sluiten.

De consequentie is dat de overgrote meerderheid van de IDS systemen alleen bekende issues zal detecteren, waar je veelal - als je een beetje bij blijft met patchen en virussignaturen - toch niet gevoelig voor bent. Dit leidt tot een complete vervreemding van de werkelijke situatie op de perimeter. Meten is weten, maar zolang je alleen meet wat je al weet, weet je niet wat je niet weet. En dan weet je dus niets. Bij security-managementinformatie geldt helaas ook het bekende adagium van garbage in en garbage out.

De resulterende "veilige" situatie is in feite die waarbij de bestuurder die 's nachts met 97 km/h over de randweg Eindhoven rijdt, een prent krijgt, en die andere chauffeur die stomdronken met alleen stadslichten op de middenbaan slingert met 70 km/h, ongezien door mag. Intussen meldt de politieke leiding een toename van de veiligheid op het baanvak. Dat doel kan echter alleen gerealiseerd worden door ook een ouderwets concept als een agent die zelf kijkt in te zetten. Maar daar is helaas geen budget of mankracht meer voor.

Peter Rietveld, Senior Security consultant bij Traxion - The Identity Management Specialists -

Vorige columns van Peter