Startseite > Datacenter & Verkabelung > Sicherheit braucht sichtbare Daten

Visualisierungplattform

Sicherheit braucht sichtbare Daten

23. Oktober 2014, 10:05 Uhr | Joel Thys, General Manager von Simac ICT

Die Sicherheitsbedrohungen werden immer komplexer und es scheint, dass die traditionellen Lösungen zur Abwehr dieser Gefahren immer häufiger versagen. Dabei bieten die neuesten Generationen von Firewalls, Intrusion-Prevention- und Detection-Systeme, Malware-Schutz- oder Data-Loss-Prevention-Komponenten mehr Schutz gegen komplexe Bedrohungen als frühere Systeme. Wichtig bei diesen Lösungen ist jedoch, dass die Daten im Netzwerk sichtbar werden.

Welche Werkzeuge sorgen in den Unternehmen für eine umfassende Sicherheit? Auf diese simple Frage gibt es eine noch simplere Antwort: Kein Gerät wird alle Sicherheitsanforderungen lösen können. Aus diesem Grund werden in den Unternehmen auf mehreren Ebenen und teilweise auch auf parallelen Wegen versucht die Sicherheit zu erhöhen. Diese Sicherheitskonstruktionen teilen sich in folgende drei große Klassen auf:

Out-of-Band-Tools: Diese Werkzeuge erhalten die zur Sicherheitsanalyse notwendigen Datenpakete über SPAN- (Switch-Port-Analyser-)Ports und/oder Test-Access-Points (TAPs). Die meisten Switches unterstützen eine Spiegelung von Switch-Ports mit Hilfe der Mirror-Port-Funktion. Dadurch wird der jeweils zu untersuchende Link auf einen anderen Port des Switches, an dem der Analysator angeschlossen ist, gespiegelt. Die Weiterleitung der zu analysierenden Daten auf den SPAN-Port sollte man nur nutzen, wenn dieser die Datenmengen der gespiegelten Ports auch verkraftet. Ist dies nicht der Fall, gehen Pakete verloren. Auf der sicheren Seite ist man, wenn der SPAN-Port dieselbe Bandbreite aufweist wie der Quell-Port. Darüber hinaus beeinträchtigt das Mirroring die Switch-Performance, da der Switch für die Spiegelung alle Pakete duplizieren muss. Für die genaue Erfassung der zu überprüfenden Daten setzt man auch TAPs (manchmal „Link-Splitter“ genannt) ein. Diese Geräte werden direkt in die zu überwachende Netzverbindung aktiv eingeschleift. TAPs arbeiten in der Regel passiv und erzeugen keine Fehler und funktionieren auch bei einem Stromausfall. Ein TAP dupliziert alle Pakete die über eine Verbindung übertragen werden. Daher werden SPAN-Ports in der Praxis nur als ergänzende Messstellen für Ad-hoc-Analysen genutzt. Will man einen vollen Datenzugriff und keine Daten verlieren, dann sollten nur TAPs genutzt werden.
Inline-Tools: Diese Werkzeuge sind entweder in anderen Geräten integriert oder werden in Reihe in eine Netzwerkverbindung eingeschleift. Dadurch wird garantiert, dass Pakete analysiert werden. Diese Werkzeuge sperren den Durchfluss sofort, wenn ein verdächtiges Datenpaket ermittelt wird. Durch komplexe Filterfunktionen können diese Werkzeuge die Anwendungsleistung erheblich beeinträchtigen und die Verkehrsflüsse deutlich verlangsamen. Ohne entsprechende Bypass-Mechanismen stellen diese Werkzeuge auch eine erhebliche Fehlerquelle im Netzwerk dar.
Flow-basierte Tools: Netflow oder verwandte Technologien versuchen auf Basis der Nutzungsmuster gewisse Anomalien zu erkennen und unterscheiden sich daher von der reinen Analyse auf der Paketebene. Da die Netflow-Werkzeuge und-Mechanismen dafür bekannt sind, die Leistung ihrer Trägersysteme zu beeinträchtigen, werden diese in der Praxis auf den Switches und Router oft deaktiviert. Darüber hinaus kann die Generierung von Netflow-Informationen auf Links mit höheren Geschwindigkeiten zu einer Reduzierung der Sichtbarkeit der Daten führen.

Es ist eine der unangenehmen Wahrheiten der IT: Je mehr die Informationstechnologie in das Zentrum unserer Aufmerksamkeit rückt, desto anfälliger für Sicherheitsrisiken werden die Unternehmen. Scheinbar lauern die Hacker und Einbrecher an allen Ecken des Internets und trotz zusätzlicher Sicherheitsfunktionen scheint sich die Sicherheitslage in den Unternehmen ständig zu verschlechtern. Bei der Integration einer Sicherheitsplattform müssen die folgenden Herausforderungen aktiv adressiert werden:

Beseitigung der durch die Inline-Sicherheitswerkzeuge verursachten Probleme und Risiken eines Single Point-of-Failures.
Beseitigung der Blindstellen (vor allem in der Cloud) im Netzwerk, die sich einer Sicherheitsüberwachung entziehen.
Anpassung der Sicherheitsfunktionen an die ständig steigenden Netzwerkgeschwindigkeiten und der Anzahl der Benutzer.
Beseitigung des Konflikts zwischen hoher Netzwerksicherheit und Anwendungsleistung.

Die Sicherheitswerkzeuge entwickeln sich zwar ständig weiter, aber lassen sich nicht in allen Fällen problemlos aktualisieren beziehungsweise an die neuen Herausforderungen anpassen. Die zur Erkennung und Behandlung von Sicherheitsbedrohungen notwendigen Analyse erfordern immer höhere Geschwindigkeiten und versuchen mit den ständig steigenden Netzwerkgeschwindigkeiten (10 GBit/s, 40 GBit/s und darüber hinaus) Schritt zu halten. Obwohl viele Sicherheits-Tools eine 10-GBit/s-Schnittstellen unterstützen, sind viele dieser Komponenten nicht in der Lage, mehr als ein paar Gigabit an Verkehr zu bearbeiten. Der Sicherheitslösungen müssen deshalb so geplant werden, dass die darin zur Verfügung gestellten Werkzeuge so effizient wie möglich eingesetzt werden können:

Eine intelligente Weiterleitung der Verkehrsströme sorgt für die Übermittlung der Daten zu den für den jeweiligen Datentyp optimierten Werkzeugen.
Die Manipulation beziehungsweise die Anpassung der Pakete an die Zielwerkzeuge erspart nicht nur Verarbeitungsleistung und Speicherplatz, sondern sorgt auch für eine gesetzeskonforme Verarbeitung der Nutzdaten und den Schutz der Privatsphäre der Nutzer.
Die Kombination der Rechenleistung mehrerer Werkzeuge und die Verteilung der Datenströme auf mehrere Monitoring-Stationen garantiert die Skalierung der Sicherheitssysteme bei steigenden Netzlasten,
Zusätzliche Redundanz- und Ausfallsicherheitsmechanismen sorgen dafür, dass die Sicherheitsfunktionen in den Netzen auch in kritischen Situationen bereit stehen.

Mit Hilfe einer Visualisierungsplattform in den Netzwerken lassen sich die Verkehrsflüsse gezielt zu den für die Sicherheitsfunktion optimierten Anwendungen weiterleiten und somit entsprechende Kosten einsparen beziehungsweise die Werkzeuge besser ausnutzen. Darüber hinaus sorgt eine Visualisierung auf Netzwerkebene für die Beseitigung von blinden Flecken im Netzwerk.