Einschränkungen und Fallstricke

Zeiträume, in denen keine Daten erfasst wurden oder diese nicht an alle Stellen gelangten. Die Liste wird aus der Analyse von Vorfällen generiert und nicht manuell gepflegt – jede Lücke verweist auf den Vorfall, der sie verursacht hat. Als maßgebliche Quelle dienen die Dateien aus dem Archiv, nicht die Zahlen im laufenden Syslog.

Quelle: data_gaps aller Vorfälle in diesem Abschnitt Vorfälle

Nicht alle Daten stammen von Angreifern. Diese Werte sind Teil der Überwachung und der Tests während der Bereitstellung und müssen vor der Analyse aussortiert werden.

Fehler, die bei Daten leicht unterlaufen können – wie man sie erkennt und wie man sie umgeht.

• Das Präfix ::ffff: bei IPv4-Adressen Cowrie speichert IPv4-Adressen im Format ::ffff:203.0.113.5. Ohne das Entfernen des Präfixes wird derselbe Angreifer doppelt gezählt – einmal von Cowrie, ein zweites Mal von den anderen Sensoren.
• Auf srv4 umgeleitete Ports Cowrie auf srv4 erkennt die Ports 42222 und 42223, hpweb die Ports 42280 und 42443. Dies sind nicht die Ports, auf die der Angreifer abzielte, sondern das Umleitungsziel in nftables. Den tatsächlichen Zielport kennt nur hptcp. Bei Cowrie und hpweb auf srv4 sollten Sie den Port ignorieren oder ihn aus der Sitzung ableiten.
• Eigener Betrieb Überwachungssonden, Testdaten aus dem Einsatz sowie Diagnosebefehle der Agenten und des Bedieners. Die konkreten Werte, die herausgefiltert werden sollen, sind in der obigen Tabelle aufgeführt.
• Kampagnen Einzelne Kampagnen haben den Großteil des täglichen Datenverkehrs verursacht. Ohne die Kampagnen vom Grundrauschen zu trennen, sieht das Diagramm zum Datenvolumen wie ein Trend oder wie ein Ausfall der Datenerfassung aus.
• Zeitpunkt des Ereignisses, nicht Zeitpunkt der Verarbeitung Verwenden Sie für Zeitanalysen den Zeitstempel innerhalb des Ereignisses. Die Kopien der Protokolle auf dem Sammelserver enthalten auch den Empfangszeitpunkt, der um Stunden bis Tage verspätet sein kann.
• Nicht vergleichbare Server srv4 bot eine um ein Vielfaches größere Fläche als srv3. Die absoluten Zahlen beider Server lassen sich nicht vergleichen, sondern lediglich ihre Struktur und Reihenfolge.
• Änderung des Formats während der Ausführung Die Agenten haben bei den Überprüfungen die Konfiguration angepasst, sodass sich das Format einiger Datensätze während der Ausführung ändern konnte. Die konkreten Änderungen werde ich nach der Datenauswertung ergänzen; ihre Spuren finden Sie im Ausführungsprotokoll.

Es ist besser, die Grenzen dessen, was die Daten verkraften können, gleich festzulegen.

• Zwei Server sind keine Statistik Die Ergebnisse beschreiben, was auf zwei bestimmte Server eingegangen ist. Daraus lassen sich keine allgemeinen Schlussfolgerungen für das gesamte Internet ziehen.
• Ein Anbieter, ein Standort Beide Server wurden beim selben Anbieter betrieben. Die Angreifer zielen unterschiedlich auf Adressbereiche ab, und an anderer Stelle könnte die Struktur des Datenverkehrs anders aussehen.
• Knapp einen Monat Die Analyse erfasste die gerade laufenden Kampagnen – nicht jedoch langfristige Trends oder saisonale Schwankungen.
• Das Land der Adresse ist nicht der Herkunftsort des Angreifers Die Geolokalisierung gibt an, wo die Quelladresse registriert ist. Angriffe werden in der Regel über gemietete Server, Proxys und kompromittierte Geräte durchgeführt, sodass das Land, in dem die Adresse registriert ist, keinen Aufschluss darüber gibt, woher der Angreifer stammt.
• Vergleich von Sprachmodellen Jeder Server verwaltete ein anderes Modell, aber zwei Durchläufe reichen nicht aus, um zu beurteilen, welches Modell besser ist. Die Unterschiede in den Daten können viele Ursachen haben, von der angebotenen Fläche bis hin zu einzelnen technischen Entscheidungen.

Die Quell-IP-Adresse gilt gemäß der DSGVO als personenbezogene Daten. Für die Analyse wurde sie in ihrer vollständigen Form erfasst; in den Ergebnissen erscheint sie jedoch nur in aggregierter Form.

Die Art und Weise der Pseudonymisierung der veröffentlichten Rohdaten und die damit verbundenen Informationsverluste werde ich zusammen mit der Veröffentlichung der Daten ergänzen.