Hinter InternetSecurityWatch stecken drei Teilprojekte, die Dienste im Internet, deren Sicherheit und das Verhalten von Angreifern untersuchen. Wir betrachten das Internet aus verschiedenen Sichten:

• Als Host mit angreifbaren Services (Honeypot)
• Als Host, der auf unbenutztem IP-Adressen lauscht (Network Telescope)
• Als Internet-Scanner

Im Folgenden beschreiben wir alle drei Projekte im Detail.

Honeypot

Ein Großteil der weltweiten Internetkommunikation basiert auf öffentlich erreichbaren Diensten, wie zum Beispiel Web- und Mailservern. Manche Dienste davon sind ungewollt im Internet erreichbar oder werden nur unregelmäßig aktualisiert. Angreifer sind an solchen Diensten besonders interessiert. Aber auch Forschende interessieren sich für die Vielfalt an im Internet erreichbaren Diensten. Um einen Überblick über Dienste im Internet zu gewinnen, nutzen Angreifer und Forschende Scanner, die den IP-Adressraum auf erreichbare Dienste scannen.

Um herauszufinden, wer Internet-Scanner einsetzt, haben wir Dienste auf Servern im Internet installiert, die nur dazu dienen, gescannt und angegriffen zu werden - sogenannte Honeypots. Um die Honeypots für Scanner und Angreifer interessant zu machen, sind diese außerdem unsicher konfiguriert oder bilden eine für Angreifer interessante Infrastruktur ab. Alle Scans und Interaktionen mit den Honeypots werden aufgezeichnet, sodass wir diese im Nachgang analysieren können. Hierbei analysieren wir, wer unsere Honeypots scannt und wie Scanner dies tun, z.B. in welchen Abständen und welche Ports gescannt werden.

Publikationen:

• M. Schramm, N. Lohmiller, S. Kaniewski, and T. Heer, “I Still Know Who You Scanned Last Summer: An Update on the Landscape of Internet Scanners,” in Computation and Communication for Smart Systems Symposium (C2S3), Esslingen, Germany, Apr. 2025.
• J. Mayer, M. Schramm, L. Bechtel, N. Lohmiller, S. Kaniewski, M. Menth, and T. Heer, “I Know Who You Scanned Last Summer: Mapping the Landscape of Internet-Wide Scanners,” in IFIP Networking, Thessaloniki, Greece, Jun. 2024, doi: 10.23919/IFIPNetworking62109.2024.10619808. PDF

Network Telescope

Network Telescopes beobachten den ungenutzten IP-Adressraum. Ungenutzt bedeutet, dass hier eigentlich keine Pakete zu erwarten sind, da hier kein Dienst läuft, der diese verarbeiten könnte. Es kommen hier jedoch sehr wohl Pakete an. Diese müssen folglich von Internet-Scans, Backscatter von DDoS-Angriffen oder Fehlkonfigurationen stammen. Wir betreiben einen Server, der auf ungenutztem IP-Adressraum eigehende Pakete mitschneidet. Die mitgeschnittenen Pakete analysieren wir, um das Verhalten von Internet-Scannern und Angreifern besser zu verstehen.

Internet-Scanner

Wer Dienste, wie zum Beispiel Web- oder Mailserver im Internet betreibt, sollte darauf achten, diese immer auf dem neuesten Stand zu halten und sicher zu konfigurieren. Ansonsten besteht die Gefahr, dass Angreifer Sicherheitslücken ausnutzen, um die dahinterliegende Infrastruktur zu übernehmen.

In diesem Projekt beobachten wir, ob Administratoren im Internet angebotene Dienste regelmäßig aktualisieren und ob Aktualisierungen zeitnah nach der Veröffentlichung eines Updates oder nach Bekanntwerden einer Sicherheitslücke installiert werden. Außerdem untersuchen wir, welche Algorithmen zur Absicherung der Verbindung (Verschlüsselung, Signatur, …) von den Servern beim Verbindungsaufbau angeboten werden und ob diese dem Stand der Technik entsprechen oder sogar darüber hinausgehen. Dies erlaubt es uns, Schlüsse über die Sicherheit der Dienste im Internet zu ziehen. Um Informationen über Dienste im Internet zu sammeln, nutzen wir einen Internet-Scanner, den wir ständig erweitern. Eine Herausforderung ist es, mit den großen Datenmengen umzugehen, die dabei anfallen.

Publikationen:

• R. Müller, J. Ruppert, K. Will, L. Wüsteney, and T. Heer, “Analyzing the Software Patch Discipline Across Different Industries and Countries,” 球探比分网 und Datensicherheit — DuD, vol. 46, no. 5, May 2022, doi: 10.1007/s11623-022-1602-y.
• R. Müller, J. Ruppert, K. Will, L. Wüsteney, and T. Heer, “Analyzing the Software Patch Discipline Across Different Industries and Countries,” in Sicherheit, Karlsruhe, Germany, Apr. 2022, doi: 10.18420/sicherheit2022_10.

Durch das Zusammenwachsen von IT- und OT-Netzwerken werden Industrienetzwerke immer komplexer, sodass Administratoren nicht diese mehr ohne weiteres überblicken können. Ein Aspekt der Komplexität sind die Abhängigkeiten zwischen Geräten und Diensten im Netzwerk. Eine Abhängigkeit besteht, wenn beispielsweise die Steuerung eines Industrieroboters Informationen über das zu verarbeitende Teil von einem anderen Dienst im Netzwerk bezieht. Es ist wichtig, die Abhängigkeiten im Netzwerk zu kennen, um deren Auswirkungen auf die Produktion im Fehlerfall zu untersuchen und präventiv Maßnahmen zur Vermeidung von Ausfällen ergreifen zu können. Sollte dennoch ein Fehler auftreten und die Produktion beeinträchtigt sein, kann mit dem Wissen über die Abhängigkeiten das Problem schneller identifiziert und gelöst bzw. umgangen werden.

Ziel dieses Projekts ist es, die im Netzwerk übertragenen Daten zu analysieren, um Kommunikationsbeziehungen und somit Abhängigkeiten zwischen Geräten und Diensten im Netzwerk zu erkennen und zu analysieren. Der Fokus liegt hierbei auf den in Industrienetzwerken zunehmend vertretenen Kommunikationsstandards MQTT, OPC UA und OPC UA PubSub. Außerdem entwickeln wir ein Testbed mit einem simulierten industriellen Prozess, um Netzwerkverkehr für die Analyse zu generieren.

Die zunehmende Verbreitung von Large Language Models (LLMs), z. B. ChatGPT und Github Copilot, hat die Effizienz in der Softwareentwicklung, insbesondere bei der Codegenerierung, verbessert. Trotz ihrer Vorteile enthält der von LLMs generierte Code oft Sicherheitslücken, die von Angreifern ausgenutzt werden können. Gleichzeitig steigt die Gesamtzahl der Schwachstellen: Im Jahr 2024 wurden über 40.000 öffentlich bekannt gewordene Cybersicherheitsschwachstellen gemeldet.
Um die Qualität und Sicherheit von Software zu gewährleisten, sind effiziente und skalierbare Prozesse zum Schwachstellenmanagement notwendig. Ein vielversprechender Ansatz besteht darin, die Sprachverständnisfähigkeiten von LLMs für das Schwachstellenmanagement zu nutzen.

Im Rahmen dieses Forschungsprojekts untersuchen wir Ansätze, um LLM-basiert Schwachstellen in Projektcodes zu erkennen. Dabei untersuchen wir beispielsweise 

• wie man Code und Schwachstellen am besten für die Sprachverständnisfähigkeiten von LLMs aufbereitet,
• wie man mit dem Lernen neuer Schwachstellen umgeht, und

• wie man über verschiedene Codestrukturen und -stile hinweg verschiedene Arten von Schwachstellen effizient erkennen kann.

   

Publikationen:

• S. Kaniewski, D. Holstein, F. Schmidt, and T. Heer, “Vulnerability Handling of AI-Generated Code – Existing Solutions and Open Challenges,” in Conference on Artificial Intelligence x Science, Engineering, and Technology (AIxSET), Laguna Hills, California, USA, Oct. 2024, doi: 10.1109/AIxSET62544.2024.00026. PDF

Drahtlose Kommunikation ist heute aus vielen Bereichen nicht mehr wegzudenken, etwa im industriellen Internet der Dinge (IIoT), in Unternehmensnetzwerken oder im privaten Alltag. Da Daten hierbei über Funk übertragen werden, sind solche Systeme grundsätzlich anfälliger für Abhören und gezielte Angriffe, insbesondere wenn keine geeigneten Sicherheitsmechanismen eingesetzt werden.   

Zur Absicherung verwenden die meisten drahtlosen Systeme derzeit asymmetrische kryptografische Verfahren wie RSA, Diffie-Hellman oder elliptische Kurven, vor allem für den Schlüsselaustausch und die Authentifizierung. Diese Verfahren gelten jedoch als unsicher gegenüber zukünftigen Quantencomputern, da diese mithilfe des Shor-Algorithmus die zugrunde liegenden mathematischen Probleme effizient lösen könnten. Aus diesem Grund besteht ein dringender Bedarf an sogenannten Post-Quantum-Kryptografie-Verfahren (PQC).   

PQC-Algorithmen sind gegen Angriffe durch Quantencomputer ausgelegt, bringen jedoch häufig einen höheren Rechen- und Kommunikationsaufwand mit sich. Dies stellt insbesondere für drahtlose Systeme mit begrenzten Ressourcen eine Herausforderung dar.   

Ziel dieser Arbeit ist es, zu untersuchen, welche Post-Quantum-Kryptografie-Algorithmen sich besonders gut für verschiedene drahtlose Protokolle wie WLAN, Zigbee oder Bluetooth eignen. Dazu werden ausgewählte PQC-Alternativen in diesen Protokollen implementiert und getestet, um ein besseres Verständnis für die praktische Umstellung auf Post-Quantum-Kryptografie zu gewinnen.