Monitoring und Analyse von Netflows

Das RUS-CERT erhält vom TIK von den Borderroutern zwischen Uninetz und Internet sowie von den Gebietsroutern Metadaten zum Netzwerktraffic, sogenannte (Net-)Flows.

Diese werden von uns genutzt, um Angriffsversuche von außen sowie auffälliges Verhalten von Systemen im Uninetz zu erkennen.

Was sind Flows?

Flows sind Metadaten von Netzwerkverbindungen. Sie beinhalten vor allem die IP-Adressen der Kommunikationspartner sowie Daten zum verwendeten Protokoll.

Was erfassen wir da genau... und was nicht?

Mit NetFlows werden folgende Verbindungs-Metadaten erfasst:

• Zeitstempel
• Protokolltyp (TCP, UDP, ...)
• Quell- und Ziel-IP
• Quell- und Ziel-Port im Falle von UDP- oder TCP-Verbindungen
• bei TCP-Verbindungen: gesetzte Flags (SYN, ACK, ...)
• Menge der übertragenen Daten
• Anzahl der übertragenen Pakete

Folgende Daten werden insbesondere also nicht erfasst:

• Inhalt der übertragenen Pakete wie URLs, Login-Daten, ...
• Nutzerdaten der Endgeräte

Mithilfe von Flow-Daten lässt sich also zum Beispiel erkennen, wenn eine Verbindung von einem System im Uninetz zu einem Webserver der Deutschen Bahn aufgebaut wurde, aber nicht welche Verbindung angefragt oder ob ein Ticket gebucht wurde.

Warum erfassen wir Flows?

Mithilfe der Flow-Daten können wir auf verschiedene Arten die Informationssicherheit an der Uni Stuttgart erhöhen und unsere Ansprechpersonen gezielt unterstützen:

• Alarmierung, wenn ein System aus dem Uninetz sich seltsam verhält, u.a.
  • Zugriff auf Botnetz-IPs, bekannte Honeypots, etc.
  • massenhafter Versand von E-Mails
  • Portscans
  In diesen Fällen informieren wir zeitnah die zuständigen Ansprechpersonen für das betroffene System.
• Überprüfung von externen Abuse-Meldungen
• Nachträgliche Analyse bei Sicherheitsvorfällen
  • Analyse bei ungewöhnlichem Datenverkehr, z.B. (D)DoS-Angriffe oder Portscans von außen
  • Ursachenforschung bei Kompromittierung
• Unterstützung unserer Ansprechpersonen bei Freischaltungsproblemen

Wie lange werden Flows gespeichert?

Die Flowdaten werden für 15 Tage gespeichert und danach automatisch gelöscht. Im Falle von Sicherheitsvorfällen, die eine manuelle Auswertung der Flows erfordern, können die für die Vorfallsbearbeitung relevanten Flows länger gespeichert werden.