Am 2. November 1992 veröffentlichte ein Student der Purdue University ein Werkzeug, an dem er etwas mehr als zwei Monate gearbeitet hatte — und das, ohne dass er es ahnte, in den folgenden zehn Jahren zum De-facto-Standard für die Erkennung von Eindringlingen auf Unix-Systemen werden sollte. Dass er genau dieses Datum wählte, war kein Zufall: Es war auf den Tag genau der vierte Jahrestag des Cyberangriffs, der ihn überhaupt erst dorthin gebracht hatte.
Der Student, der Purdue aus einem einzigen Grund wählte
Gene Kim entschied sich, an der Purdue University zu studieren, größtenteils weil er ein ganz bestimmtes Dokument gelesen hatte: die technische Analyse, die Professor Eugene Spafford über den Morris-Wurm verfasst hatte — jenes Programm, das 1988 in einer einzigen Nacht fast 10 % des gesamten Internets lahmlegte. Spafford war einer der Forscher, die den Wurm noch während seiner Verbreitung untersuchten, und seine Analyse wurde zur Pflichtlektüre für jeden, der sich für Computersicherheit interessierte.
Ein unabhängiges Studienprojekt, kein Start-up
1992, noch als Bachelor-Student, absolvierte Kim einen Kurs für unabhängiges Studium mit Spafford selbst als Betreuer. Daraus entstand Tripwire: ein Programm, das etwas konzeptionell sehr Einfaches tat — den Fingerabdruck jeder wichtigen Datei eines Unix-Systems berechnen und als Referenz speichern —, das aber zuvor niemand als Werkzeug verpackt hatte, das jeder Administrator tatsächlich nutzen konnte. Er brauchte etwas mehr als zwei Monate, um es zu schreiben.
Warum dieses Datum kein Zufall war
Tripwire wurde am 2. November 1992 öffentlich veröffentlicht und an über hundert Betatester weltweit verteilt. Dieses Datum wurde nicht zufällig gewählt: Es war genau der vierte Jahrestag des Morris-Wurms — genau der Grund, warum Kim überhaupt nach Purdue gekommen war. Innerhalb weniger Jahre wurde Tripwire zu einem der meistgenutzten Intrusion-Detection-Tools der Unix-Welt, und 1997 machte Kim gemeinsam mit Wyatt Starnes daraus ein Unternehmen.
Die Idee, die 34 Jahre später noch lebt
Was Tripwire 1992 tat, ist im Kern genau das, was heute jedes System zur Dateiintegritätsüberwachung (FIM) tut: den Fingerabdruck einer Datei berechnen, speichern und Alarm schlagen, sobald sich dieser Fingerabdruck ändert. Die Idee musste nie neu erfunden werden — nur schneller, automatischer gemacht und auf Systeme angewendet werden, die 1992 noch gar nicht existierten, wie WordPress.
Und was hat das mit deinem WordPress zu tun?
- Die Idee ist in über drei Jahrzehnten nicht gealtert. Den Fingerabdruck einer Datei mit dem von gestern zu vergleichen, ist immer noch eine der zuverlässigsten Methoden, um zu wissen, ob jemand ohne Erlaubnis etwas angefasst hat — 1992 wie 2026.
- Sie entstand aus der Untersuchung eines echten Angriffs, nicht aus der Theorie. Tripwire kam nicht aus einem abstrakten Labor: Es kam von jemandem, der genau untersucht hatte, wie ein echtes Eindringen abläuft und welche Spuren es hinterlässt.
- Erkennen ist nicht dasselbe wie die Bedrohung zu erkennen. Tripwire musste nie wissen, um welche Art von Angriff es sich handelte — es musste nur wissen, dass sich etwas geändert hatte. Das ist immer noch der entscheidende Vorteil eines guten FIM gegenüber dem alleinigen Verlass auf bekannte Malware-Signaturen.
Vierunddreißig Jahre nach jener Novembernacht in Purdue ist die Frage, die sich Tripwire stellte, immer noch dieselbe, die sich jedes System zur Dateiintegritätsüberwachung auf einem WordPress heute stellt: Ist diese Datei noch dieselbe wie gestern? Solange sich die Antwort in Minuten statt in Tagen überprüfen lässt, bleibt die Idee eines Studenten aus dem Jahr 1992, ganz ohne Neukonzeption, eine der einfachsten und wirksamsten Verteidigungen, die es gibt.