schwerpunkt - Midrange Magazin

48
MARKTüBERSICHT SECuRITy APPLIANCE
werden heute in der Regel nicht mehr
großflächig eingesetzt. Unter Intrusion
Prevention hingegen versteht man das
aktive Blockieren eines Angriffs und
zwar ehe er sein Ziel erreicht. Hierbei
unterscheidet man zwischen aktiven
und passiven Angriffen. Ein aktiver
Angriff besteht häufig aus dem Ausnutzen
einer Schwachstelle, um Zugriff auf
Systeme zu bekommen oder die Verfügbarkeit
des Systems zu kompromittieren.
Passive Angriffe haben in erster
Linie die Aufgabe den Datenverkehr zu
überwachen, um sensitive Informationen
zu erlangen. In beiden Fällen handelt
es sich um eine Intrusion – egal
ob nur die Verfügbarkeit von Systemen
beeinträchtigt wird oder Daten und Informationen
ausgespäht werden.
Intrusion Prevention-Systeme (IPS)
sind meist eine Kombination aus sogenannten
Netzwerksensoren und einem
Managementsystem. Die Sensoren werden
hierbei an neuralgischen Punkten
im Netzwerk integriert. Diese Punkte
sind von Unternehmen zu Unternehmen
unterschiedlich. Viele Organisationen
implementieren ein Intrusion
Prevention-System hinter den VPN-Zugängen
(Virtual Private Network) oder
an Verbindungen zu anderen Standorten.
VPN-Zugänge bilden hierbei häufig
den Einfallspunkt für Angriffe, da die
verbundenen Systeme oftmals ohne
größere Schutzmechanismen mit dem
Internet verbunden sind, aber eine vertrauenswürdige
Kommunikation in das
interne Netzwerk haben. Oft werden
MIDRANGE MAgAZIN · 06/2012
Intrusion Prevention-Systeme auch eingesetzt,
um Verbindungen zu Zulieferern
zu sichern oder Netzwerksegmente
voneinander zu trennen. Viele IPS
bieten im Netzwerk zusätzlich zur reinen
Angriffserkennung auch Firewall-
Funktionalitäten für die Kontrolle der
erlaubten Kommunikation.
Um den größtmöglichen Schutz
zu ermöglichen, müssen IPS „inline“
betrieben werden. Nur in dieser Betriebsart
– bei der die Sensoren aktiv
in einen Netzwerk-Link eingeschleift
Eine Appliance-basierte Intrusion-Prevention-Lösung spielt ihre Vorteile im täglichen Betrieb aus.
Quelle: McAfee
werden – ist ein aktives Blocken von
Angriffen möglich. Die Hersteller von
Intrusion Prevention-Systemen bieten
hierzu in der Regel verschiedene Möglichkeiten
der Implementierung. Beim
sogenannten „Inline Fail Close“-Betrieb
wird die Netzwerkkommunikation unterbrochen,
sollte es zu einem Totalausfall
des Sensors kommen. Im häufiger
genutzten „Inline Fail Open“-Modus
werden in der Regel Bypass Units verwendet,
die den Netzwerklink aufrecht
erhalten, sollte es zu einem Ausfall des
Sensors kommen.
Vorteile einer Appliance-Lösung
für die Intrusion Prevention
Das ideale Netzwerk-IPS ist eine Appliance,
die ohne hohen administrativen
Aufwand Angriffe gegen das eigene
Netzwerk aufzeigt, sie aktiv blockt und
keinen Einfluss auf die Performance
des Netzwerks hat. Zusätzlich sollten
derartige Systeme nicht nur die Sicherheit
im Netzwerk allgemein erhöhen,
sondern auch Attacken aufzeigen beziehungsweise
stoppen, nicht erwünschten
Netzwerkverkehr unterbinden und das
Netzwerk vor Zero Day Exploits schützen.
Ferner müssen die Sensoren eines
IPS in der Lage sein, Denial of Service-
oder Distributed Denial of Service-Angriffe
zu stoppen sowie Bot-Netze und
Würmer zu erkennen. Herkömmliche
IPS setzen hierzu mehrere Verfahren
ein. Eine Mischung aus signaturbasierender
und Anomalie-basierender
Erkennung sorgt für hohe Erkennungsraten.
Regelmäßige Signatur-Updates
sind hierbei genauso wichtig wie bei einem
Virenscanner. Nur so sind die Sensoren
in der Lage, auch neue Angriffe
zuverlässig zu erkennen. Zusätzlich
verfügen viele Produkte über die Möglichkeit,
Access Control Lists zu implementieren,
um Port-basierend die Netzwerkkommunikation
zu unterbinden
oder die IP-Kommunikation zwischen
verschiedenen Netzwerkbereichen einzuschränken.
Klassische IPS konnten in der Vergangenheit
eine gute Absicherung
gewährleisten. Für die Zukunft sind
jedoch intelligentere Mechanismen
nötig. Dazu hat beispielsweise Gartner
Research neue Anforderungen an
IPS gestellt, und diese mit dem Zusatz
„Next Generation“ versehen.
Anforderungen an
Next Generation IPS
Um den Anforderungen an die aktuellen
Bedrohungen gerecht zu werden,
müssen Next Generation IPS um neue
Mechanismen zur Angriffserkennung
und zur Reputation erweitert werden.
Eine dieser Funktionen ist die Application
Awareness. Die Erkennung der
Anwendung erfolgt hierbei auf Anwendungsschicht
und nicht basierend auf
dem Port und dem genutzten Protokoll.
Dadurch können Angriffe auf Anwendungen
zuverlässig erkannt und blockiert
werden. Die Herausforderung an
die Next Generation IPS ist zudem, den
administrativen Aufwand trotz zusätzli-