Verhaltensbasierte Erkennung
Was auf diesem Server normal ist
Jeder andere Teil von NODE64 prüft gegen einen Massstab, der überall gilt. Timbre kennt nur einen Massstab: diesen Server, gestern.
Timbre ist das, was zwei Instrumente unterscheidet, die denselben Ton spielen. Gleiche Tonhöhe, gleiche Lautstärke — man hört trotzdem sofort, ob Geige oder Klarinette.
Genau so verhält es sich mit Servern. Zwei Maschinen mit derselben Software, demselben Betriebssystem, denselben Paketen verhalten sich verschieden — weil auf der einen ein Shop läuft und auf der anderen ein Backup-Ziel. Fünfhundert geänderte Dateien sind auf einem Bauserver der Alltag und auf einem Mailserver ein Vorfall.
Deshalb gibt es keine allgemeingültige Normalität, die man einbauen könnte. Es gibt nur die Geschichte dieses einen Systems — und Timbre führt sie. Jede Zahl steht neben dem Wert, der hier üblich ist, und der Zahl der Messungen, aus denen dieser Wert stammt. Nachrechenbar, und damit widerlegbar.
Was der Agent liest
Fünf Bereiche, dieselben wie im Dashboard. Links steht, was gelesen wird; rechts, woran es gemessen wird.
Dateien
Gelesen wird
Wie viele Dateien sich in den Datenverzeichnissen geändert haben und in welchen Ordnern. Von frisch geänderten Dateien der Informationsgehalt je Byte, die Dateiendung und eine Handvoll fester Muster — Code, der Netzeingaben ausführt, Verschleierung, Versandskripte. Dazu die Prüfsummen der wichtigen Systemdateien und, wo vorhanden, von Dateien, die seit über neunzig Tagen niemand angefasst hat.
Gemessen wird daran
Am eigenen Median über die letzten Läufe. An den Dateiendungen, die es auf DIESEM System schon einmal gab — nicht an einer festen Liste, denn ein Verschlüsselungstrojaner wählt seine Endung gerade deshalb frei. Und an statistischen Merkmalen, gegen die Umschreiben nicht hilft.
Netz
Gelesen wird
Welche Ports lauschen. Welcher Prozess mit welchem Zielnetz auf welchem Port spricht — als Beziehung, nicht als einzelne Verbindung.
Gemessen wird daran
Am Beobachtungsbeginn: Ist diese Gegenstelle neu, oder war sie schon einmal da? Und daran, ob der Prozess selbst lauscht — wer einen Dienst anbietet, gehört seltener ins offene Internet als ein Werkzeug. Gemeldet wird das Zielnetz, nicht die Adresse.
Konten und Zugänge
Gelesen wird
Welche Konten sich anmelden können, welche sudo dürfen, welche SSH-Schlüssel hinterlegt sind. Und erfolgreiche Anmeldungen als Paar aus Konto und Herkunftsnetz.
Gemessen wird daran
Daran, ob dieses Konto sich von dieser Herkunft schon einmal angemeldet hat. Die Herkunft wird dabei auf die Netzbetreiber-Nummer geglättet — ein Anschluss zu Hause wechselt regelmässig die Adresse, aber selten den Anbieter.
Prozesse
Gelesen wird
Welche Prozesse laufen. Und, wenn eingeschaltet, meldet der Kernel jeden Start, jede Verzweigung, jedes Ende — dadurch werden auch Programme sichtbar, die nur Millisekunden leben.
Gemessen wird daran
An vier Regeln, die keine Vorgeschichte brauchen: eine Shell unter dem Webserver ist immer falsch, egal wie oft sie vorkam. Dazu die Zahl der Programmstarts und der verschiedenen Eltern-Kind-Ketten gegen den eigenen Median.
System
Gelesen wird
Laufende Dienste, Container und deren Abweichung vom eigenen Abbild — was zur Laufzeit dazugekommen ist, liegt in einer eigenen Schicht und ist abfragbar.
Gemessen wird daran
Am Beobachtungsbeginn und an Laufzeitregeln: ein Programm, das in einem Programmverzeichnis auftaucht, ein gelaufener Paketmanager, etwas Ausführbares in einem Zwischenverzeichnis.
Wie ein Befund aussieht
Vier Zahlen, die einzeln nichts sagen — und zusammen eine Installation beschreiben. Genau dafür ist Timbre gebaut: nicht für den einen grossen Ausschlag, sondern für mehrere kleine zur selben Zeit.
Vier Merkmale weichen gleichzeitig ab
- laufende Dienste 44 statt sonst 40
- lauschende Ports 11 statt sonst 8
- Konten mit Anmeldung 5 statt sonst 3
- SSH-Schlüssel 4 statt sonst 2
Jede Zahl für sich ist eine Achselzucken wert. Alle vier in derselben Stunde sind jemand, der sich einrichtet.
Nicht behauptet, nachgezählt
Was das Netz bisher gelernt hat
Jede Installation lernt für sich, was auf ihrem Server normal ist. Was dabei herauskommt, wird zu Mustern verdichtet — und die stehen hier, so wie sie heute sind. Übertragen werden Merkmale, keine Inhalte: Zahlen und Kennungen, nie Dateiinhalte, nie Befehlszeilen, nie Namen.
5
Muster in der Wissensbasis
355
Beobachtungen darin
2
unabhängige Installationen (grösstes Muster)
256
Lagen in der Vektorablage
49
Merkmalsachsen je Lage
| Muster | Vorgang | Zustand | Beobachtungen | Installationen |
|---|---|---|---|---|
| P-0e38163e | Prozesse · prozessstarts | korreliert | 71 | 2 |
| P-75504913 | Dateien · datenverzeichnisse | korreliert | 71 | 2 |
| P-77ca4e62 | System · systemzustand | korreliert | 71 | 2 |
| P-c14c86df | Konten und Zugänge · anmeldungen | korreliert | 71 | 2 |
| P-ebd93d6b | Netz · ausgehende_verbindungen | korreliert | 71 | 2 |
Ein Muster wächst in drei Stufen. Beobachtet heisst: gesehen, mehr nicht. Korreliert heisst: mindestens 20 Beobachtungen, aber noch zu wenige unabhängige Quellen. Bestätigt heisst: 20 Beobachtungen aus 5 unabhängigen Installationen — und keine einzelne Quelle stellt mehr als 25 % davon. Die letzte Bedingung ist die wichtigste: Zwanzig aus fünf klingen belastbar; wenn achtzehn aus einer stammen, sind sie es nicht.
In dieser Tabelle steht kein Pseudonym, kein Gerät, kein Konto und kein Zeitpunkt. Was bleibt, ist die Art des Vorgangs und wie oft er gesehen wurde — genau der Datensatz, der auch dann noch auswertbar ist, wenn alle Rohbeobachtungen gelöscht sind.
Was Timbre nicht tut
- Keine Signaturdatenbank im Agenten. Er trägt keine Liste bekannter Schadsoftware mit sich und lädt keine nach. Was er erkennt, erkennt er am Verhalten.
- Kein neuronales Netz, keine Blackbox. Median, Streuung, Perzentil — Verfahren, die man nachrechnen kann. Jeder Befund nennt die Zahlen, aus denen er entstand.
- Keine Gegenmassnahmen. Timbre löscht nichts, beendet keinen Prozess und sperrt keine Verbindung. Es erkennt und erklärt. Wer ein Eingreifen in Sekunden braucht, braucht zusätzlich ein Werkzeug, das eingreifen darf.
- Keine Dateiinhalte, keine Kommandozeilen. Beides bleibt auf deinem Server — in Kommandozeilen stehen regelmässig Kennwörter, und der Agent kann nicht unterscheiden, wann. Übertragen werden Prüfsummen, Zählwerte und Beziehungen.
- Keine Gesamtnote. Es gibt keine Punktzahl von 0 bis 100. Wir hatten eine und haben sie gestrichen, weil niemand sagen konnte, was 73 bedeutet.
- Kein Urteil ohne Grundlage. Wo die Geschichte für einen Vergleich noch nicht reicht, steht das da — statt einer Null, die wie Entwarnung aussieht.