Zimmer, Ephraim (2021)
Datenschutzfreundliche Erkennung und Abwehr von Insiderbedrohungen.
Fachbereich Informatik
Dissertation, Bibliographie

Kurzbeschreibung (Abstract)

Insider spielen für ihre Umgebung eine zentrale Rolle bei der Erfüllung von Aufgaben, Erbringung von Leistungen oder Aufrechterhaltung von Diensten. Spezielle Fähigkeiten, die Insidern eine herausgehobene Stellung gegenüber Outsidern verleihen, können allerdings auch einen gewollten oder versehentlichen negativen Einfluss ausüben. Diese gleichzeitige Notwendigkeit auf der einen und Gefahr auf der anderen Seite, die sich in Insidern vereinen, eröffnen ein komplexes Themenfeld, dass in seiner Problematik und Tragweite zunehmend an Bedeutung gewinnt.

In dieser Dissertation wird aufgezeigt, welche grundlegenden Probleme in der Forschung und Entwicklung von Lösungsansätzen vorliegen, die Verbesserungen der Insiderproblematik im Weg stehen. Dafür werden zunächst neue Erkenntnisse im Grundlagenbereich der Insiderthematik erarbeitet und zu einer Insiderontologie zusammengeführt. Diese beinhaltet die Identifizierung der fünf speziellen Insidercharakteristiken Credentials, Knowledge, Privileges, Trust sowie Uncertainty, mit denen die erwähnten Fähigkeiten von Insidern explizit benannt werden können. Die Insidercharakteristiken begründen jeweils unabhängige Insidertypen, die miteinander kombiniert eine eindeutige Beschreibung verschiedener Insider erlauben. Aus der Kombination von Insidertypen ergibt sich eine natürliche Insidertaxonomie, die als Grundlage für die Systematisierung von existierenden und zukünftigen Forschungsarbeiten dienen kann. Gleichzeitig wird der Unterschiedlichkeit von Insidern in verschiedenen Umgebungen Rechnung getragen, indem eine dynamische Insidermodellierung definiert wird. Aus den entwickelten Grundlagen, die sich zunächst allein auf Insider im Allgemeinen beziehen, wird anschließend der Aspekt einer Insiderbedrohung im Detail herausgearbeitet, von welchem Insidertyp welche Art von Insiderbedrohung ausgeht. Dafür werden die Insiderbedrohungen zunächst in drei verschiedene Bedrohungsklassen strukturiert. Anschließend erfolgt eine detaillierte Betrachtung des Einflusses jeder Insidercharakteristik auf jede Insiderbedrohungsklasse. Die Ergebnisse erlauben eine Zuordnung der Insiderbedrohungen zu den Insidertypen der entwickelten Insidertaxonomie.

Neben den Grundlagen bezüglich Insidern und Insiderbedrohungen befasst sich die Dissertation auch mit Erkennungs- und Abwehrmaßnahmen von Insiderbedrohungen. Zunächst erfolgt ausgerichtet auf die Insidertaxonomie und die identifizierten Klassen von Insiderbedrohungen eine Zuordnung grundlegender Sicherheitsmechanismen zu den Bedrohungen durch einzelne Insidertypen. Darüber hinaus wird ein neuer Ansatz zur detaillierten Erfassung und Analyse von Insideraktivitäten in IT-Umgebungen entworfen und umgesetzt. Dieser basiert auf Ereignisnachrichten aus der Systemaufrufebene von Betriebssystemen. Die Ereignisnachrichten werden in eine neuartige Graphenstruktur überführt, die eine signaturbasierte Erkennung und eine anschließende Abwehr von bedrohlichen Insideraktivitäten ermöglicht. Anhand von realen Angriffsproben wird zusätzlich ein definiertes Insiderbedrohungsszenario ausgeführt und die neue Erkennungs- und Abwehrtechnik damit evaluiert. Die Ergebnisse zeigen Erkennungsraten von Insiderangriffsaktivitäten im Bereich von 99,97% und 100%, wenn zuvor in einer Trainingsphase ähnlich gelagerte Aktivitäten aufgezeichnet wurden.

Die in der Dissertation betrachteten Bedrohungsaspekte umfassen nicht nur solche, die von Insidern ausgehen, sondern auch jene, die auf Insider einwirken, wenn sie Erkennungs- und Abwehrtechniken ausgesetzt sind. Der dabei im Mittelpunkt stehende Insiderdatenschutz wird rechtlich eingeordnet und abschließend durch ein neu entwickeltes Pseudonymisierungsverfahren in die umgesetzte Erkennungs- und Abwehrtechnik integriert. Dabei liegt der Fokus sowohl auf der Erhaltung der Funktionalität, welche die Verkettbarkeit verschiedener Ereignisse sowie die Identifizierung von Akteuren anhand der Ereignisse umfasst, als auch auf einer technischen Durchsetzbarkeit der wichtigsten Datenschutz-Grundprinzipien, wie etwa der Datenminimierung, der Speicherbegrenzung sowie der Zweckbindung. Zum Einsatz kommen dabei kryptographische Funktionen, deren Kombination neu definierte Pseudonymisierungs-Schutzziele bereitstellen. Dazu zählen beispielsweise die Vertraulichkeit der personenbeziehbaren Daten, die pseudonymisiert werden sollen, oder die Limitierung der Verkettbarkeit verschiedener Ereignisse anhand der gewählten Pseudonyme. Darüber hinaus werden auch schutzwürdige Aspekte herausgearbeitet, die sich erst aus der praktischen Umsetzung einer Pseudonymisierung ergeben.

Mithilfe der Ergebnisse dieser Dissertation können existierende und zukünftige Forschungs- und Entwicklungsarbeiten auf dem Gebiet der Insiderthematik systematisch aufbereitet und somit besser koordiniert werden. Daran ausgerichtet können weitere grundlegende Erkenntnisse erarbeitet und Synergieeffekte sowie Verbesserungen hervorgehoben werden. Die entwickelten Techniken zeigen darüber hinaus neue Wege für die Erkennung und Abwehr von Insiderbedrohungen auf. Gleichzeitig würdigen sie den Insiderdatenschutz und verdeutlichen, dass beides als mehrseitige Interessen und Pflichten ausbalanciert werden muss.

Frage zum Eintrag

Redaktionelle Details anzeigen