Verschlüsselter Netzwerkverkehr

Verschlüsselung verschließt den Briefumschlag, nicht die Post. Absender, Empfänger, Gewicht, Uhrzeit und Häufigkeit stehen weiterhin fest. Wenn ein Gerät, das bisher ausschließlich mit zwei internen Servern gesprochen hat, plötzlich jede Nacht um dieselbe Uhrzeit eine Verbindung zu einer unbekannten Adresse im Ausland aufbaut, ist das erkennbar, ohne dass jemand den Inhalt liest.

Ausgewertet werden die Merkmale der Verbindung: beteiligte Systeme, Zeitpunkte, Dauer, übertragene Datenmengen, Regelmäßigkeit, verwendete Ports und Protokolle sowie Merkmale des Verbindungsaufbaus und der Zertifikate. Aus diesen Merkmalen entsteht über die Zeit ein Bild des normalen Betriebs. Abweichungen davon werden auffällig, unabhängig davon, was im verschlüsselten Teil steht. Auffällig regelmäßige Verbindungen in gleichbleibendem Takt sind ein bekanntes Muster für die Kommunikation zwischen einem kompromittierten System und seinem Steuerungsserver.

Der praktische Nutzen: Netzwerksicht bleibt auch bei durchgehender Verschlüsselung wirksam, ohne dass in den Datenverkehr eingegriffen oder aufgebrochen werden muss. Die Grenze ist ebenso klar: Der Inhalt bleibt verborgen. Wer wissen möchte, welche konkreten Daten übertragen wurden, braucht andere Mittel. Netzwerkanalyse beantwortet, dass etwas Ungewöhnliches passiert, und nicht in jedem Fall, was genau übertragen wurde.