Kooperative Angriffserkennung in drahtlosen Ad-hoc- und Infrastrukturnetzen: Anforderungsanalyse, Systementwurf und Umsetzung

Mit der zunehmenden Verbreitung mobiler Endgeräte und Dienste ergeben sich auch neue Herausforderungen für ihre Sicherheit. Diese lassen sich nur teilweise mit herkömmlichen Sicherheitsparadigmen und -mechanismen meistern. Die Gründe hierfür sind in den veränderten Voraussetzungen durch die inhärenten Eigenschaften mobiler Systeme zu suchen. Die vorliegende Arbeit thematisiert am Beispiel von Wireless LANs die Entwicklung von Sicherheitsmechanismen für drahtlose Ad-hoc- und Infrastrukturnetze. Sie stellt dabei den umfassenden Schutz der einzelnen Endgeräte in den Vordergrund, die zur Kompensation fehlender infrastruktureller Sicherheitsmaßnahmen miteinander kooperieren. Den Ausgangspunkt der Arbeit bildet eine Analyse der Charakteristika mobiler Umgebungen, um grundlegende Anforderungen an eine Sicherheitslösung zu identifizieren. Anhand dieser werden existierende Lösungen bewertet und miteinander verglichen. Der so gewonnene Einblick in die Vor- und Nachteile präventiver, reaktiver und angriffstoleranter Mechanismen führt zu der Konzeption einer hybriden universellen Rahmenarchitektur zur Integration beliebiger Sicherheitsmechanismen in einem kooperativen Verbund. Die Validierung des Systementwurfs erfolgt anhand einer zweigeteilten prototypischen Implementierung. Den ersten Teil bildet die Realisierung eines verteilten Network Intrusion Detection Systems als Beispiel für einen Sicherheitsmechanismus. Hierzu wird eine Methodik beschrieben, um anomalie- und missbrauchserkennende Strategien auf beliebige Netzprotokolle anzuwenden. Die Machbarkeit des geschilderten Ansatzes wird am Beispiel von infrastrukturellem WLAN nach IEEE 802.11 demonstriert. Den zweiten Teil der Validierung bildet der Prototyp einer Kooperations-Middleware auf Basis von Peer-to-Peer-Technologien für die gemeinsame Angriffserkennung lose gekoppelter Endgeräte. Dieser kompensiert bisher fehlende Mechanismen zur optimierten Abbildung des Overlay-Netzes auf die physische Struktur drahtloser Netze, indem er nachträglich die räumliche Position mobiler Knoten in die Auswahl eines Kooperationspartners einbezieht. Die zusätzlich definierte Schnittstelle zu einem Vertrauensmanagementsystem ermöglicht die Etablierung von Vertrauensbeziehungen auf Kooperationsebene als wichtige Voraussetzung für den Einsatz in realen Umgebungen. Als Beispiel für ein Vertrauensmanagementsystem wird der Einsatz von Reputationssystemen zur Bewertung der Verlässlichkeit eines mobilen Knotens diskutiert. Neben einem kurzen Abriss zum Stand der Forschung in diesem Gebiet werden dazu zwei Vorschläge für die Gestaltung eines solchen Systems für mobile Ad-hoc-Netze gemacht.The increasing deployment of mobile devices and accompanying services leads to new security challenges. Due to the changed premises caused by particular features of mobile systems, these obstacles cannot be solved solely by traditional security paradigms and mechanisms. Drawing on the example of wireless LANs, this thesis examines the development of security mechanisms for wireless ad hoc and infrastructural networks. It places special emphasis on the comprehensive protection of each single device as well as compensating missing infrastructural security means by cooperation. As a starting point this thesis analyses the characteristics of mobile environments to identify basic requirements for a security solution. Based on these requirements existing preventive, reactive and intrusion tolerant approaches are evaluated. This leads to the conception of a hybrid and universal framework to integrate arbitrary security mechanisms within cooperative formations. The resulting system design is then validated by a twofold prototype implementation. The first part consists of a distributed network intrusion detection system as an example for a security mechanism. After describing a methodology for applying anomaly- as well as misuse-based detection strategies to arbitrary network protocols, the feasibility of this approach is demonstrated for IEEE 802.11 infrastructural wireless LAN. The second part of the validation is represented by the prototype of a P2P-based cooperation middleware for collaborative intrusion detection by loosely coupled devices. Missing mechanisms for the improved mapping of overlay and physical network structures are compensated by subsequently considering the spatial position of a mobile node when choosing a cooperation partner. Furthermore, an additional interface to an external trust management system enables the establishment of trust relationships as a prerequisite for a deployment in real world scenarios. Reputation systems serve as an example of such a trust management system that can be used to estimate the reliability of a mobile node. After outlining the state of the art, two design patterns of a reputation system for mobile ad hoc networks are presented

Service-Interoperabilität für naturwissenschaftliche Anwendungen : Identifikation und Anpassung von komponentenbasierten Service-Mediatoren

In der Softwareentwicklung wird die Serviceorientierung als neues Realisierungsparadigma propagiert. Sie erlaubt lose gekoppelte Services bedarfsbezogen in Workflows zu aggregieren. Hierbei ist die Überbrückung der Heterogenität dieser Services ein anerkanntes Problem von hohem wirtschaftlichem Interesse. Es besteht der Bedarf die Service-Interoperabilität weitestgehend automatisch herzustellen. In dieser Arbeit wurde ein Konzept für Service-Mediatoren entwickelt, die über eine offene und erweiterbare, software-unterstützte Prozedur (semi-)automatisch identifiziert und problembezogen in einen Workflow eingebettet werden können. Service-Mediatoren über\-brücken die Heterogenität der einzelnen Services und erzielen so die geforderte Service-Interoperabilität. Die offene Architektur und Entwicklung dieser Prozedur erlaubt erstmals die Vorteile gängiger Ansätze zu integrieren. Um einmal entwickelte Service-Mediatoren in verschiedenen Workflows einsetzen und wiederverwenden zu können, bedarf es ihrer gezielten Identifikation und Anpassung. Leider stellt gerade die Suche nach benötigten Service-Mediatoren ein besonders schwieriges Problem da. Dies gilt insbesondere, wenn erst mehrere geeignet verknüpfte Service-Mediatoren zusammen die Service-Interoperabilität erreichen und bereits bei der Suche diese Kombination identifiziert werden muss. Die Aspekte der Suche und der Anpassung erfordern eine Beschreibungssprache, die die Fähig\-keiten eines Service-Mediators sowohl syntaktisch als auch semantisch beschreiben kann. Mit der Mediator Profile Language (MPL) wurde eine derartige, auf OWL basierende Beschreibungssprache entwickelt, die die Grundlage des entworfenen Komponentenmodells der Service-Mediatoren bildet. Sie erlaubt u. a. die Beschreibung der Komposition mehrerer Service-Mediatoren, sowie deren Konfiguration über zustandsbehaftete Eigenschaftsfelder. Die semantische Annotation eines Service-Mediators geschieht hierbei über Konzepte einer Domänenontologie. Im Rahmen dieser Arbeit wurden Matchmaking-Algorithmen zur Suche entwickelt, die eine Identifikation adäquater Service-Mediatoren und deren Komposition erlauben. Durch den Einsatz von Ontologien zur semantischen Annotation der Service-Mediatoren kann die Suche auch über rein syntaktische Merkmale hinaus durchgeführt werden. Trotz der den Servicebeschreibungen innewohnenden Unschärfe wurde ein Verfahren realisiert, welches die Servicebeschreibungen auf MPL abbildet und dabei eine automatische Annotation durch die Konzepte einer Ontologie vornimmt. Die Matchmaking-Algorithmen wurden auch auf das Problem der semantischen Suche nach Service-Operationen übertragen. Die entwickelten ontologiebasierten Matchmaking-Verfahren liefern im Vergleich zu Standard-IR-Techniken signifikant bessere Ergebnisse, wie durch entsprechende Benchmarks mit anschließender Messung von Precision und Recall gezeigt werden konnte.Service Interoperability for Science Applications - Identification and Adaptation of Component-Based Service MediatorsService-orientation is a new software paradigm for building distributed, component-based software. It allows the aggregation of loosely coupled services into value-added workflows. In this context the gap between heterogeneous services is an accepted problem with particular commercial interest. Thus, there is the need to create service interoperability semi-automatically. In this thesis the concept of service mediators is developed. Through a software-aided procedure service mediators are identified, adapted and integrated into workflows in order to bridge the heterogeneity of different services. Service mediators are software components realizing for instance transformation facilities. The open architecture of the developed procedure allows the integration of benefits from current approaches. The discovery of relevant service mediators is a difficult problem, especially if several service mediators have to be combined adequately to reach the desired service interoperability. One major challenge is that such compositions have to be identified during discovery. The discovery and adaptation phases of the software-aided procedure require a suitable description of the capabilities of service mediators. Such a description should contain both syntactical and semantical information. The OWL-based Mediator Profile Language (MPL) addresses these issues. MPL permits among other things the description of compositions of service mediators as well as their customization by stateful properties. Semantical information is assigned by concepts of a domain ontology. In this dissertation different matchmaking algorithms were developed supporting the user in identifying relevant service mediators as well as new compositions of service mediators. Requirements for service mediators are derived from service descriptions and represented by query profiles in MPL. Even though the service descriptions are fuzzy the query generation algorithm automatically creates semantical annotations by mapping syntactical information to concepts of the domain ontology. These annotations are also stored within the query profile. Due to the application of the domain ontology the discovery process enables not only syntactical matchmaking but also semantical matchmaking. Furthermore, the matchmaking algorithms were transferred to the problem of discovering service operations. By measuring precision and recall it could be shown that ontology-based matchmaking is advantageously over standard information retrieval techniques

Architektur und Werkzeuge für dynamisches Identitätsmanagement in Föderationen

Federated Identity Management (FIM) hat die Motivation, Identitätsdaten eines Benutzers von einer Heimatorganisation, d. h. Identity Provider (IdP), einem Dienstbetreiber, Service Provider (SP) genannt, bereitzustellen. Dies ermöglicht zum einen die Vermeidung von Redundanzen und Inkonsistenzen und zum anderen kann der Benutzer viele weitere Dienste nutzen, ohne sich zusätzliche Benutzerkonten merken zu müssen. Mit der Security Assertion Markup Language (SAML) und dem Protokoll OpenID Connect haben sich in Wirtschaft und Research & Education (R&E) zwei Standards etabliert. Durch die vermehrte Vernetzung zeigen sich zunehmend die Grenzen der aktuell eingesetzten Architektur. In dieser Arbeit wird zunächst eine umfangreiche Anforderungsanalyse anhand verschiedener Szenarien durchgeführt, die unterschiedliche Perspektiven auf die Architektur und ihre Anforderungen ermöglicht. Die Schwerpunkte dieser mehr als 70 strukturierten und gewichteten Anforderungen liegen dabei auf der Automatisierung und der Skalierbarkeit, Vertrauen sowie der Interoperabilität. Zudem sollen organisatorische Randbedingungen wie Sicherheits- und Datenschutzaspekte eingehalten werden. Im Rahmen eines umfassenden, gesamtheitlichen Architekturkonzepts wird anschließend eine Managementplattform für dynamisches Federated Identity Management erarbeitet. Neben der Spezifikation des orchestrierten, technischen Metadatenaustausches, der den bestehenden Ansätzen fehlt, fokussiert diese Arbeit auf die organisatorische Eingliederung hinsichtlich des IT Service Managements. Hierbei liegt der Fokus auf Security Management und Change Management. Zur Kompensation weiterer Defizite bisheriger Ansätze werden zwei zusätzliche Werkzeuge spezifiziert, die auf eine optimierte Interoperabilität bestehender FIM-Systeme sowie die Automatisierung und Skalierbarkeit existierender Abläufe abzielen. Eine Beschreibung der prototypischen Implementierung der Managementplattform und der Werkzeugkonzepte mit einer Diskussion ihrer Skalierbarkeit und die methodische Anwendung auf ein realistisches Szenario runden diese Arbeit ab.Federated Identity Management (FIM) has the motivation to provide identity data of users from their home organisation, also called Identity Provider (IdP), to a Service Provider (SP). This facilitates the prevention of redundancy and inconsistency, while users can re-use their home account for other services, without remembering further user accounts and passwords. The Security Assertion Markup Language (SAML) and the protocol OpenID Connect are two well-known standards within the industry sector and research & education (R&E) environment. Due to the ongoing interconnectedness, the limitations of the current architecture are increasingly revealed. In the first part of the thesis, a profound and comprehensive analysis is presented, in order to illustrate different perspectives on the architecture and the requirements. The focus of the more than seventy structured and weighted requirements in the categories function, non-functional, organizational as well as privacy- and security-specific categories lays in the automation and scalability of the approach as well as trust implications and interoperability. As part of the holistic, integrated architecture conceived in this thesis, a management platform for dynamic FIM has been developed. Besides the precise specification of the orchestrated, technical metadata exchange, special emphasis has been put on the organizational integration concerning the IT service management. Dependencies and effects on the security management and change management have been investigated in detail. To compensate further shortcomings of existing approaches, two new FIM components have been specified, which enhance the interoperability between FIM systems in heterogeneous identity federations, as well as the scalability and automation of existing workflows. The thesis is concluded with a description of the prototypical implementation of the management platform and the tool concepts as well as a discussion on their scalability characteristics and the application of the architecture to a realistic scenario

Service-basierte Infrastruktur für pervasive Lehr- und Lernarrangements

Diese Dissertationsschrift analysiert die infrastrukturellen Herausforderungen für pervasive Hochschulen. Sie bewertet die Eignung heutiger Kommunikationsmodelle als infrastrukturelle Basis und motiviert den Einsatz Service-orientierter Architekturen (SOA). Sie stellt ferner bekannte Interoperabilitätsansätze vor und bewertet diese hinsichtlich ihrer Eignung zur Interoperabilität in pervasiven Umgebungen. Es wird anschließend ein systematischer Interoperabilitätsansatz vorgestellt. Für die klassifizierten SOA-Implementierungen werden Strategien zu deren Integration in diesen Ansatz erarbeitet

Architektur und Werkzeuge für dynamisches Identitätsmanagement in Föderationen

Federated Identity Management (FIM) hat die Motivation, Identitätsdaten eines Benutzers von einer Heimatorganisation, d. h. Identity Provider (IdP), einem Dienstbetreiber, Service Provider (SP) genannt, bereitzustellen. Dies ermöglicht zum einen die Vermeidung von Redundanzen und Inkonsistenzen und zum anderen kann der Benutzer viele weitere Dienste nutzen, ohne sich zusätzliche Benutzerkonten merken zu müssen. Mit der Security Assertion Markup Language (SAML) und dem Protokoll OpenID Connect haben sich in Wirtschaft und Research & Education (R&E) zwei Standards etabliert. Durch die vermehrte Vernetzung zeigen sich zunehmend die Grenzen der aktuell eingesetzten Architektur. In dieser Arbeit wird zunächst eine umfangreiche Anforderungsanalyse anhand verschiedener Szenarien durchgeführt, die unterschiedliche Perspektiven auf die Architektur und ihre Anforderungen ermöglicht. Die Schwerpunkte dieser mehr als 70 strukturierten und gewichteten Anforderungen liegen dabei auf der Automatisierung und der Skalierbarkeit, Vertrauen sowie der Interoperabilität. Zudem sollen organisatorische Randbedingungen wie Sicherheits- und Datenschutzaspekte eingehalten werden. Im Rahmen eines umfassenden, gesamtheitlichen Architekturkonzepts wird anschließend eine Managementplattform für dynamisches Federated Identity Management erarbeitet. Neben der Spezifikation des orchestrierten, technischen Metadatenaustausches, der den bestehenden Ansätzen fehlt, fokussiert diese Arbeit auf die organisatorische Eingliederung hinsichtlich des IT Service Managements. Hierbei liegt der Fokus auf Security Management und Change Management. Zur Kompensation weiterer Defizite bisheriger Ansätze werden zwei zusätzliche Werkzeuge spezifiziert, die auf eine optimierte Interoperabilität bestehender FIM-Systeme sowie die Automatisierung und Skalierbarkeit existierender Abläufe abzielen. Eine Beschreibung der prototypischen Implementierung der Managementplattform und der Werkzeugkonzepte mit einer Diskussion ihrer Skalierbarkeit und die methodische Anwendung auf ein realistisches Szenario runden diese Arbeit ab.Federated Identity Management (FIM) has the motivation to provide identity data of users from their home organisation, also called Identity Provider (IdP), to a Service Provider (SP). This facilitates the prevention of redundancy and inconsistency, while users can re-use their home account for other services, without remembering further user accounts and passwords. The Security Assertion Markup Language (SAML) and the protocol OpenID Connect are two well-known standards within the industry sector and research & education (R&E) environment. Due to the ongoing interconnectedness, the limitations of the current architecture are increasingly revealed. In the first part of the thesis, a profound and comprehensive analysis is presented, in order to illustrate different perspectives on the architecture and the requirements. The focus of the more than seventy structured and weighted requirements in the categories function, non-functional, organizational as well as privacy- and security-specific categories lays in the automation and scalability of the approach as well as trust implications and interoperability. As part of the holistic, integrated architecture conceived in this thesis, a management platform for dynamic FIM has been developed. Besides the precise specification of the orchestrated, technical metadata exchange, special emphasis has been put on the organizational integration concerning the IT service management. Dependencies and effects on the security management and change management have been investigated in detail. To compensate further shortcomings of existing approaches, two new FIM components have been specified, which enhance the interoperability between FIM systems in heterogeneous identity federations, as well as the scalability and automation of existing workflows. The thesis is concluded with a description of the prototypical implementation of the management platform and the tool concepts as well as a discussion on their scalability characteristics and the application of the architecture to a realistic scenario

Robuste und kontextbezogene Ausführung mobiler Aktivitäten in Prozessumgebungen

IT-Trendanalysten sehen das Thema "Mobilität" als eine wichtige Säule nachhaltiger IT-Lösungen. Der Trend in Richtung mobiler IT-Anwendungen wird maßgeblich durch Millenials getrieben, d.h. Menschen die mit dem digitalen Zeitalter aufgewachsen sind. Diese erwarten insbesondere auch eine Integration von Smart-Mobilgeräten in bestehende IT-Lösungen. In Bezug auf Prozess-Management-Technologie bedeutet dieser Trend, dass Smart-Mobilgeräte in IT-gestützte Arbeits- bzw. Prozessabläufe nahtlos integriert werden können müssen. Insbesondere sollten sowohl einzelne Aktivitäten (d.h. Prozessschritte) als auch ganze Prozessfragmente (d.h. Ausschnitte eines Prozesses) auf Smart-Mobilgeräten ausführbar sein. Die vorliegende Arbeit adressiert eine solche Integration von Prozess-Management-Technologie und Smart-Mobilgeräten. Konkret wird untersucht, wie ausgewählte Aktivitäten eines Prozesses robust und kontextbezogen auf Smart-Mobilgeräten ausgeführt werden können und welche weitergehenden Anforderungen sich für mobil ausgeführte Aktivitäten im Vergleich zur Ausführung von Aktivitäten auf stationären Systemen ergeben. Da Smart-Mobilgeräte beschränkte Ressourcen besitzen und das Risiko eines Ausfalls höher als bei stationären Systemen ist, erfordern diese Aspekte tiefergehende Untersuchungen. Darüber hinaus erfordert die Unterstützung mobiler Aktivitäten eine technische Umgebung, in der Prozesse ausgeführt werden (sog. Prozessumgebung). Die Arbeit zeigt, dass die nahtlose Integration von Smart-Mobilgeräten in eine Prozessumgebung einen mobilen Kontext (d.h. Attribute wie z.B. Ausführungsort, Geräteeigenschaften und Netzverbindung) erfordert. Auf dessen Basis wird ein umfassendes Rahmenwerk eingeführt, mit dem sich mobile Aktivitäten robust und kontextbezogen in einer Prozessumgebung ausführen lassen. Das Rahmenwerk fußt auf fünf technischen Säulen, deren Konzepte die robuste und kontextbezogene Ausführung bewerkstelligen. Darüber hinaus wird gezeigt, wie sich die vorgestellte Lösung in existierende Prozess-Management-Technologie integrieren lässt. Insgesamt eröffnet eine robuste und kontextbezogene Ausführung mobiler Aktivitäten in einer Prozessumgebung neue Perspektiven für die Einbindung von Endanwendern in ihre Prozesse

Peer-to-Peer-Technologie in der Automatisierung

Peer-to-Peer (P2P)-Technologie hat sich seit ihrem ursprünglichen Einsatz für das Filesharing weiterentwickelt und Einzug in neue Einsatzgebiete erhalten. Die positiven Eigenschaften der P2P-Technologie sind die hohe Flexibilität, Skalierbarkeit und Ausfallsicherheit. Ob P2P-basierte Anwendungen auch für den Einsatz im Umfeld der industriellen Automatisierung sinnvoll sind, wurde in dieser Arbeit untersucht. Das im Laufe dieser Arbeit entstandene Verfahren HaRTKad mit seinem für das Umfeld neuen Netzwerkparadigma erfüllt diese Anforderungen, womit es sich in diesem Umfeld einsetzen lässt