Startseite > Datacenter & Verkabelung > Schwachstellen-Scans

Sicherheit

Schwachstellen-Scans

26. März 2013, 14:10 Uhr | Gidi Cohen, CEO von Skybox Security

Fortsetzung des Artikels von Teil 1

Zu teuer, zu gefährlich, zu ineffektiv

Für die niedrige Zahl und Reichweite der Scans gibt es eine Reihe von Gründen: 57 Prozent der Befragten sagten, der klassische aktive Scanvorgang führe zu Unterbrechungen von Netzwerkdiensten und essenziellen Geschäftsanwendungen. 33 Prozent gaben an, dass Teile ihrer Netzwerke nicht gescannt werden könnten und weitere 29 Prozent berichteten, sie hätten Schwierigkeiten, die für die Scans erforderlichen Zugangs- daten zu den Systemen zu bekommen.

Ein Schwachstellen-Scanner scannt einen Host auf Basis von Tausenden von Scan-Signaturen. Eine Signatur ist typischerweise ein Skript, das den Host nach Informationen absucht, die aufzeigen, ob er gegenüber einem bestimmten Angriff gefährdet ist. Um Gewissheit zu erlangen, wird ein Angriff sehr realitätsnah simuliert. Dies verbraucht jedoch erhebliche Ressourcen. In einem Rechenzentrum mit 100.000 Hosts zum Beispiel würde ein aktiver Scan auf Basis von 1.000 Signaturen zu 100 Millionen Einzeltests führen. Noch gravierender ist jedoch, dass aktive Scans erhebliche Störungen bis hin zur Unterbrechung wichtiger Services hervorrufen können. Vor allem aus diesen beiden Gründen scheuen Administratoren völlig zu Recht vor Analysen auf Basis von gefährlichen Signaturen zurück und vermeiden entsprechende Tests in den Bereichen des Rechenzentrums, die keine Betriebsunterbrechung dulden. In manchen Fällen machen es auch die Richtlinien für den Netzwerkzugang unmöglich, einen Scan mit Zugangsdaten vorzunehmen. Scans ohne Zugangsdaten für den Host sind jedoch viel ungenauer und führen vielfach zu falschen Ergebnissen, positiven wie negativen. Auch die Firewalls können Probleme bereiten. Muss ein Scan eine Firewall passieren, könnte deren Stateful-Inspection-Funktionalität die Analyse und ihre Aussagekraft beeinträchtigen.

Hosts werden aber nicht nur zu selten und ungenügend gescannt, sondern können in einigen Fällen überhaupt nicht geprüft werden. Dazu zählen unter anderem Industriecontroller, Smart-Grid-Controller und andere Systeme, die gegenüber Scans zu empfindlich reagieren und daher gar nicht untersucht werden. Auch mobile Endgeräte, die im Rahmen des Megatrends „Bring Your Own Device“ (BYOD) explosionsartig zunehmen, stellen aufgrund ihrer wechselnden IP-Adressen und Standorte ein bewegliches Ziel dar, das nur sehr schwer gescannt werden kann.