Intrusion Detection During IT Security Audits

Abstract

In many public cases intruders have managed to remain undetected inside victim's network or sys-tems a very long time. Sometimes it has taken over two years until detection was made and during that that time most of the targets have most probably been monitored and audited. Whether audit or monitoring process has failed, or used tools and processes don’t cover intrusion detection. This thesis aimed at narrowing the gap between IT security audit and intrusion detection by inspect-ing attack methods and signs of intrusions. Audit tools were then developed to cover the findings and were then tested on live environments. Current audit process and it’s affects to audit results was analyzed and purpose was to find necessary changes. Thesis concentrated on finding anomalies from operating systems and network traffic within given guidelines of audit processes and applicable laws. Audit process and law was inspected from Finland's perspective, but technical research area was worldwide.

Monissa julkisuuteen tulleissa tapauksissa tunkeutujat ovat voineet toimia uhrin verkoissa tai järjestelmissä kauan aikaa. Joskus havainnon tekemiseen on mennyt jopa kaksi vuotta ja tänä aikana kohdetta on mitä luultavimmin monitoroitu ja auditoitu. Joko auditointi- tai monitorointiprosessi on pettänyt, tai käytettävät työkalut ja menetelmät eivät kata tunkeutumisen havaitsemista.

Lopputyö tähtäsi tietoturvallisuus auditoinnin ja tunkeutumishavainnoinnin välisen eron kaventamiseen tutkimalla hyökkäysmenetelmiä ja sen aiheuttamia jälkiä. Auditoinnissa käytettyjä työkaluja kehitettiin kattamaan löydetyt havainnot ja niitä testattiin oikeissa ympäristöissä. Nykyinen audit-prosessi ja sen haittavaikutukset auditointituloksiin tutkittiin ja tarkoitus oli löytää mahdolliset tarvittavat muutokset. Lopputyö keskittyi poikkeamien löytämiseen käyttöjärjestelmistä ja verkkoliikenteestä annettujen auditointi ohjeiden ja soveltuvien lakien asettamilla reunaehdoilla. Auditointi-prosessia ja lakia tutkittiin Suomen näkökulmasta, mutta teknistä osa-aluetta tutkittiin kansainvälisesti.