Startseite > Datacenter & Verkabelung > Gebündelte kommunale Kompetenz

Anwenderbericht: Palo Alto Networks

Gebündelte kommunale Kompetenz

17. Dezember 2013, 11:23 Uhr | Quelle: Palo Alto Networks

Fortsetzung des Artikels von Teil 1

Beeindruckende Ergebnisse

Wie üblich implementierte DTS Systeme eine Palo Alto Networks-Teststellung bei Regio IT. „Die Ergebnisse waren beeindruckend“, erinnert sich Ounsal Ouzeir. „Bereits zwei Stunden nach Beginn der Test-Installation hat das Palo Alto Networks-System schon die ersten Threats erkannt, die das bestehende Intrusion-Prevention-System (IPS-System) nicht hinreichend identifiziert hatte. Das IPS-Modul von Palo Alto Networks schützt vor Schwachstellen beziehungsweise Exploits und erkennt sowohl bekannte als auch unbekannte Sicherheitslücken in der Netzwerk- und Anwendungsschicht. Es verhindert Pufferüberläufe und Denial-of-Service-Attacken und blockiert Port Scans.“ Zu weiteren Testzwecken erhielt Regio IT die Lösung für zusätzliche vier Wochen.

Im August 2011 wurden schließlich mehrere Palo Alto Networks-Firewalls innerhalb der Netzwerkinfrastruktur von Regio IT implementiert. Dabei übernehmen die Firewalls hauptsächlich das Steuern der Kommunikationswege sowie die Prüfung auf Threats. DTS Systeme verantwortete dabei die gesamte Implementierung - von der Einbindung des Setups der Systeme mit einer Schulung über die Beratung und Unterstützung bei der Migration der Regelwerke bis hin zum Remote Support.

Intelligente Segmentierung der Netze und Applikationskontrolle

Achim Kraus, Senior Systems Engineer bei Palo Alto Networks: „Die Architektur moderner Rechenzentren muss eine strikte Trennung zwischen öffentlichen, nicht öffentlichen und sogar geheimen Bereichen ermöglichen. Web-Server, die einen Zugriff von außen erlauben, müssen beispielsweise durch Firewalls von allen Firmendaten abgeschottet werden. Mail-Server gehören ebenfalls in das öffentliche Segment und sollten gesondert geschützt werden. Durch die Sende- und Empfangsfunktion verbinden sie vertrauenswürdige und nicht-vertrauenswürdige Bereiche. Die Segmentierung kann natürlich auch nach funktionalen Kriterien erfolgen.“

Diese intelligente Segmentierung gelingt durch umfassende Applikationskontrollen, mit deren Hilfe sehr einfach ein optimales Regelwerk aufgesetzt werden kann. Die Funktion vereinfacht die Administration des Regelwerks der Firewall. Die Applikationskontrolle ist auch in der Lage, unerwünschte Kommunikation zu unterbinden. Klassische Firewalls können dies nicht gewährleisten. Mit Hilfe von bis zu vier verschiedenen Mechanismen zur Klassifizierung des Datenverkehrs identifiziert die Funktion „App-ID“, welche Anwendungen im Netzwerk ausgeführt werden – unabhängig von Port, Protokoll, SSL-Verschlüsselung oder möglichen Umgehungsmethoden. Die eindeutige Identifizierung der Anwendung ist die erste Aktion der Firewall und wird anschließend als Basis für weitere Entscheidungen innerhalb des Regelwerks herangezogen. Neben der Identifizierungstechnik App-ID verwendet die Firewall von Palo Alto Networks auch „Content-ID“. Ein „stream-basiertes“ Überprüfungsmodul erkennt und blockiert Bedrohungen und begrenzt nicht autorisierte Übertragungen von Dateien und vertraulichen Daten. Gleichzeitig kontrolliert eine URL-Datenbank die Internetnutzung.

Die Wiederherstellung von Transparenz und Kontrolle über die Nutzung von Anwendungen ist jedoch nur ein Teil der heutigen Herausforderung an IT-Abteilungen. Die Prüfung des zulässigen Datenverkehrs wird zur nächsten wichtigen Aufgabe. Hierzu ist ein Modul zur Erkennung von Sicherheitsrisiken nahtlos in die Firewall integriert. Die Erkennung beruht auf Signaturen und kombiniert diese mit einem stream-basierten Scan, um Sicherheitslücken, Viren und Spyware in einem einzigen Durchlauf zu blockieren.