Integrität des TCP-Streams
Verstöße gegen TCP-Zustandsautomat, Sequenz und Reassemblierung — frühe Anzeichen für Session Hijacking und IDS-Umgehung.
- TCP-Zeitstempel-Anomalie Segmente, deren TCP-Zeitstempel-Option im Widerspruch zum Sitzungskontext steht.
- Übermäßige erneute Übertragungen Dasselbe Segment wird über dem Schwellenwert erneut übertragen.
- FIN/Segment außerhalb des Fensters FIN oder Segmente außerhalb des TCP-Empfangsfensters.
- Falsche Sequenznummer Pakete mit unerwarteter seq während Handshake oder Verbindungsabbau.
- Ungültiges ACK Pakete mit einer ACK-Nummer, die nicht zum Sitzungszustand passt.
- Handshake-Umgehung Manipulierte seq/ack im Drei-Wege-Handshake, die die Reassemblierung des IDS stört.
- Auffälliges erneutes Senden von SYN Wiederholte SYN mit abweichender seq beim Verbindungsaufbau.
- Übermäßig viele verschiedene SYN Verbindungsversuche mit vielen unterschiedlichen SYN / SYN-ACK.
- Verdacht auf RST-Injection RST, die außerhalb des Sitzungsablaufs eingeschleust werden.
- Überlappung bei der Reassemblierung Segmente mit abweichendem Inhalt, die sich am selben Offset überlappen.
Paketdekodierung
Integrität der Paket- und Header-Dekodierung (Prüfsumme, Optionen, Länge). Meist Rauschen, gelegentlich Fälschung oder Fingerprinting.
- TCP-Prüfsummenfehler TCPv4-Pakete mit ungültiger Prüfsumme.
- UDP-Prüfsummenfehler UDPv4-Pakete mit ungültiger Prüfsumme.
- Anomale Länge der TCP-Optionen Länge des TCP-Optionsfelds außerhalb der Spezifikation.
- Anomale Header-Länge TCP/IP-Header-Länge zu klein oder spezifikationswidrig.
Protokollanomalie
Abweichungen auf Anwendungsebene — Portmaskierung, Tunneling und Hinweise auf verdeckte Kanäle.
- Protokoll nur in einer Richtung Anwendungsprotokoll nur in einer Richtung beobachtet.
- Nicht passendes Protokoll Anwendungsprotokoll weicht von der Erwartung für Port bzw. Richtung ab.
- Erste Daten in falscher Richtung Die ersten Daten fließen entgegen der Erwartung.
- Unerwartetes Protokoll Ein Protokoll, das in dieser Sitzung nicht legitim auftreten kann.
- STARTTLS-Downgrade Nach der STARTTLS-Aushandlung erfolgt kein Wechsel auf TLS.
HTTP-Konformität
Verstöße gegen das HTTP-Protokoll — Request Smuggling, WAF-Umgehung und Angriffsfläche über den Host-Header.
- Antwort-Desync (Smuggling) HTTP-Fluss, in dem sich Anfrage und Antwort nicht zuordnen lassen.
- Unerwarteter Anfragerumpf Ein Rumpf bei einer Methode, die keinen tragen sollte.
- Unvollständige Anfragezeile Eine Anfragezeile, die nicht spezifikationsgemäß endet.
- Spezifikationswidriges Zeichen Spezifikationswidrige Zeichen in Methode oder URI.
- Anomalie im Host-Header Anfragen mit fehlendem oder fehlerhaftem Host-Header.
TLS-Anomalie
Anomalien bei TLS-Handshake und -Records — Angriffsfläche für Downgrade, Scans und Exploits (Heartbleed).
- Anomalie im TLS-Record Fehlerhaft aufgebaute TLS-Records oder TLS-Verkehr.
- Anomaler TLS-Record-Typ Ein unzulässiger TLS-Record-Typ.
- TLS-Fehlermeldung (Alert) Ein TLS-Fehler (Alert) während des Handshakes.
- Ungültiger TLS-Handshake Verstoß gegen Länge oder Struktur der Handshake-Nachrichten.
- Heartbleed-Verdacht Auffälliger Heartbeat, der Speicherinhalte abfließen lassen soll (CVE-2014-0160).
DNS-Anomalie
Anomalien in DNS-Antworten — Cache Poisoning, Spoofing und Hinweise auf Reflection.
- Unaufgeforderte DNS-Antwort Eine DNS-Antwort, die ohne vorherige Anfrage eintrifft.
E-Mail (SMTP)
Anomalien in SMTP-Sitzungen — Spam, Relay-Missbrauch und Ausspähen von Mailservern.
- SMTP-DATA abgelehnt Der Server hat den DATA-Befehl abgelehnt.
- Fehlende SMTP-Begrüßung Die Sitzung läuft ohne die Begrüßung des Servers (220) weiter.
- Ungültige SMTP-Antwort Eine SMTP-Antwort außerhalb der Spezifikation.
Web-Angriffsmuster
Angriffsmuster auf Webanwendungen — verdächtige nginx-Anfragen, eingeteilt in Aufklärung, Injection und RCE.
- Suche nach Geheimnisdateien Verdächtige Anfragen auf .env, .git, Konfigurations- und Schlüsseldateien.
- Path Traversal Dateizugriff über ../, Kodierungen und Systempfade.
- SQL-Injection SQL-Nutzlasten mit UNION, information_schema sowie boolean- und zeitbasierte Varianten.
- Cross-Site-Scripting Script-Tags, Event-Handler und Nutzlasten, die auf Cookies zugreifen.
- Sondierung auf Remote Code Execution Nutzlasten für Shell, Befehlsausführung, Deserialisierung und JNDI.
- Angriff auf Administrationsseiten Wiederholte Zugriffe auf wp-login, phpMyAdmin und Pfade von Verwaltungskonsolen.
- UA bösartiger Bots/Scanner User-Agents von Angriffswerkzeugen wie sqlmap, nikto und masscan.
- Sonstige verdächtige Anfragen Übrige is_suspicious-Anfragen, die auf keines der obigen Muster passen.
ML-Anomalie
Anomalieerkennung per maschinellem Lernen — ein unüberwachter Autoencoder erfasst Abweichungen von der erlernten Baseline.
- Kitsune-Autoencoder-Anomalie Ein unüberwachtes Autoencoder-Ensemble markiert auffällige IPs anhand des Rekonstruktionsfehlers gegenüber dem Normalzustand.
Heuristischer Scan
Regelbasierte Heuristik — Scanner, Brute-Force, Bots und Ratenanomalien, die durch explizite Regeln blockiert werden.
- srct-Heuristikerkennung Treffer bei den Regeln für Aufklärungsscanner, Brute-Force auf Verwaltungsseiten, Bot-UA, 4xx-Flut, JA3-Vielfalt und kurze TCP-Scans.
JA3-Fingerabdruck
Analyse des TLS-Client-Fingerabdrucks (JA3) — Rotation von Fingerabdrücken, Botnetze und Erkennung von Automatisierung.
- JA3-Rotation/Botnetz Eine einzelne Quelle wechselt über ihre TLS-Verbindungen hinweg viele JA3-Fingerabdrücke.
Verfolgen Sie diese Versionen auf Ihren eigenen Servern
InfraGuard erfasst die installierten Softwareversionen auf jedem Server und markiert diejenigen mit bekannten Schwachstellen. Self-Hosted – nichts verlässt Ihr Netzwerk.