Größere Projekte

IT Incident Response

Publikationen

PGP-Schlüssel

Impressum

1.2.4 Hybride Systemanomalien

Die verschiedenen Arten der Systemanomalien sind geeignet, jeweils unterschiedliche Ziele zu erreichen. Während Systemanomalien erster Art zu schwer zu entdeckenden Fehlfunktionen und Störungen führen können, werden bei Systemanomalien zweiter Art zusätzliche Funktionen abhängig von bestimmten Bedingungen ausgeführt. Zusätzlich verfügen Systemanomalien dritter Art über die Möglichkeit, durch die Selbstreproduktion ihren Wirkungskreis auszudehnen. Diese Eigenschaften müssen bei der Entscheidung für Sicherheitsverfahren und Sicherheitsmechanismen berücksichtigt werden. Die größte Bedrohung geht nicht in jedem Fall von den zahlenmäßig häufigsten Systemanomalien, den Computer-Viren, aus, sondern eventuell von den Trojanischen Pferden, die durch legitimierte Benutzer eingepflanzt werden können und unauffällig bis zum Zeitpunkt ihrer Aktivierung 'schlafen'.

Unter Berücksichtigung der oben genannten Unterschiede muß auch damit gerechnet werden, daß unterschiedliche Arten von Systemanomalien kombiniert eingesetzt bzw. miteinander verschmolzen werden. [Fußnote 1] Dies betrifft auch die Kombination von Hardware-Systemanomalien mit Software-Systemanomalien. Der Begriff der Systemanomalie wird heute vielfach für Veränderungen von Programmen verwendet und damit gleichgesetzt. [Fußnote 2] Es gibt jedoch zahlreiche Beispiele für Systemanomalien erster Art im Bereich der Hardware, und auch für Systemanomalien zweiter Art sind Fälle aus diesem Bereich dokumentiert. Außerdem sind beispielsweise auch Hardware-Viren [Fußnote 3] denkbar, die sich bei dem Entwurf oder der Produktion eines neuen Chips reproduzieren können. Ebenfalls den hybriden Systemanomalien zuzuordnen wäre ein Hardware-Virus, der CAD-Programme manipuliert (Einfügung einer verdeckten Funktion oder eines Computer-Virus) und ihre Funktion so verändert, daß bei der Entwicklung eines Chips dieser Hardware-Virus in den Entwurf eingebettet wird.

Ein historisches Beispiel für eine Kombination ist die Existenz eines Trojanischen Pferdes [Fußnote 4] in dem C-Compiler des UNIX-Betriebssystems, das bei jeder Kompilierung eines C-Compilers (eines gängigen Verfahrens beim Compiler- Bootstrapping) seinen Code wieder einfügte. Diese Selbstreproduktion diente jedoch nur dazu, bei der Kompilierung des Login-Programms dieses um eine Hintertür erweitern zu können, die den Zugang mit einem bestimmten Paßwort ermöglichte [Thompson 1984].

Es gibt bereits heute Trojanische Pferde, sogenannte Virus-Dropper, bei deren Ausführung Computer-Viren freigesetzt werden und umgekehrt werden Trojanische Pferde durch Computer-Viren installiert. Auch die Wank-Würmer haben primitive Computer-Viren eingepflanzt, um bestimmte Aufgaben lokal auf den Rechner auszuführen, die der Wurm durch die Ausbreitung innerhalb des Netzwerks erreichte [Oberman 1989].

Für die Verschmelzung von Systemanomalien zu einem neuen Typ, der nicht in das zuvor aufgestellte Schema der drei vorgestellten Arten einzuordnen ist, müssen insbesondere Computer-Viren und Computer-Würmer berücksichtigt werden. Der dadurch entstehende neue Typ würde die charakteristischen Fähigkeiten vereinen, nämlich die lokale Ausbreitung als Computer-Virus und die Ausbreitung innerhalb des Netzwerks als Computer-Wurm. Dadurch wird der Einflußbereich bzw. der Aktionsradius noch erweitert. Die Entdeckung auf lokalen Rechnern wird erschwert und die erneute Aktivierung durch den Aufruf der infizierten Programme erleichtert. Die Weitergabe infizierter Programme kann für die Einpflanzung genutzt werden und dazu führen, daß auch Netzwerke, zwischen denen keine direkte Kommunikationsverbindung besteht, betroffen sind. Dieser Typ ist bisher noch nicht aufgetreten und wird als viral worm bezeichnet [Desmedt 1991, S. 601].