Using benchmarking to improve IDS configurations

NORSK: Benchmarking av Intrusion Detection Systems (IDS) kan være en viktig metode for å finne ut om IDSen fungerer som den skal. Da IDS fungerer som en vaktbikkje mot angrep, skadelig programvare eller andre potensielle trusler fra datanettverkene, er det veldig viktig at IDSen fungerer som den skal. Høye rater av false-positives og falsenegatives kan være en medvirkende årsak til argumentasjon mot å bruke IDS. Falsepositives opptar både tid og resurser fra IT personell når IDSen genererer falske alarmer. False-negatives er enda verre, siden dette er angrep som IDSen ikke klarer å detektere. Slike feilrater gjør det vanskelig å rettferdiggjøre bruken av IDSer. Årsaken til slik slike feilrater, kan ligge i begrensingene til IDS-arkitekturen og i konfigurasjonen. Å konfigurere en IDS slik at den virker som den skal, kan være vanskelig med mindre en er ekspert på området. Benchmarking er en metode for hvordan man skal teste en IDS, og dens funksjonalitet. Benchmarking av IDSer blir stort sett utført av eksperter med en ganske så stiv prislapp. Hvis en ikke har råd til dyrt utstyr og leie av konsulenttjenester, er en overlatt til seg selv. Arbeid innen IDS benchmarking gir ikke noen entydig metode for IT personell og andre amatører med begensede resurser til å teste IDSer. Det er mye programvare og metodikker å velge mellom, men sannsynligheten for å lykkes er ikke stor. Det er mange feller som fører til dårlig eller lite tilstrekkelige resultater. Måten å angripe det på kan da være å finne en benchmarking metodikk som kan brukes medfokus på å teste IDSens konfigurasjon. Ved å teste ulike konfigurasjoner av IDSen, kan vi finne hvilken elementer, eller deler av konfigurasjoen som reduserer feilratene. Ved å bruke eksisterende og gratis programvare med grunnlag i en god metodikk, kan denne oppgaven brukes til å hjelpe IT personell og andre med små tilgjengelige resurser, slik at også denne gruppen kan gjenmnomføre en IDS benchmark selv, eller som hjelp til å vise hva som bør vektlegges i en IDS konfigurasjon. Dette vil forhåpentligvis føre til forbedret konfigurasjon, slik at feil-ratene blir redusert, og IT personellet kan fokusere på andre viktige arbeidsoppgaver