»Automatismen helfen bei intelligenten Entscheidungen«
»Automatismen helfen bei intelligenten Entscheidungen« Cisco hat in den letzten Jahren viele Initiativen zur Sicherung des Netzwerkverkehrs lanciert. Von der »Network Admission Control« bis zum »Sich selbst verteidigenden Netz« reicht das Vokabular. Jürgen Höfling sprach mit Cisco-Manager Philippe Roggeband über die technische Basis dieser wohlklingenden Begriffe.
Herr Roggeband, ein sich selbst verteidigendes Netz muss über Intelligenz verfügen. Wo liegt diese bei dem Konzept von Cisco? Das Konzept besteht aus den drei Säulen Integration, Kommunikation und Anpassungsfähigkeit. Säule eins bedeutet, dass jedes Produkt im Netz über leistungsfähige Kontroll- und Abwehrmechanismen verfügt, Säule zwei, dass alle Geräte miteinander Informationen austauschen, das ist für NAC, die Netzwerkzugangskontrolle sehr wichtig, und Säule drei betrifft die Fähigkeit, auf neuartige Bedrohungen zeitnah zu reagieren.
Das beantwortet aber nicht die Frage nach der Intelligenz, im Gegenteil macht sie eigentlich noch dringlicher. Die Ergebnisse dieser technischen Mechanismen müssen natürlich in einem Monitoring-System zusammengeführt werden. Dahinter sitzen dann Menschen, die die automatisch konsolidierte Bedrohungslage mit den Sicherheitsrichtlinien zusammenbringen…
…und die die Entscheidung treffen, wie sich das Netz verteidigen soll. So könnte man sagen. Aber noch einmal: Zur Vorbereitung dieser Entscheidungen haben die Abwehrmechanismen des Netzes schon viel intelligente und automatisch ablaufende Vorarbeit geleistet.
Damit all diese Mechanismen gut zusammenwirken, benötigen Sie ein gutes Management. Ich nehme an, das machen Sie in erster Linie mit Ihrer Hardware-Plattform MARS. Gibt es auch Verbindungen zu den gängigen übergeordneten Programmen wie IBM Tivoli oder HP OpenView? Unsere Security Management Suite besteht aus MARS und dem Cisco Security Manager (CSM). Mit der MARS können Sie ziemlich viel im Bereich Monitoring und Reporting machen. Durch intelligente Korrelation und Mapping auf die aktuelle Netzwerktopologie kann man auf einen Rutsch Ursprung und Zielpunkt einer Bedrohung ausmachen. Die Verwaltung der Sicherheitsrichtlinien erfolgt im CSM. Die MARS zeigt an, welche Regel für den jeweiligen Event verantwortlich ist. So lässt sich das bedrohte Netzwerk mit wenigen Befehlen in Quarantäne stellen oder es werden die Problemstellen ausgebessert. Das geht alles stark automatisiert.
…und die Verbindung zu IBM Tivoli oder HP OpenView? Dazu komme ich jetzt. Man kann über eine XML-basierte Anwendungsprogrammierschnittstelle, also eine so genannte API, alle registrierten Events an andere Plattformen weitergeben. Die genannte Verbindung von der MARS in die übergeordneten Systemmanagement-Werkzeuge ist nicht zuletzt deshalb wichtig, weil mit Hilfe der MARS-Daten diese Systemmanagement-Tools viel mehr Substanz kriegen.
Wie das? Sie bekommen eine andere, und zwar positivere Sicht auf das Geschehen im Netz. Tools wie Tivoli oder OpenView signalisieren im Fall von Problemen ja lediglich die Nichtverfügbarkeit einer Netzkomponente und dadurch die zeitweilige Nichterfüllung einer Leistungsvereinbarung. Mit anderen Worten: Sie sehen, dass die Anwendung zu einem bestimmten Zeitpunkt nicht verfügbar war. Wenn Sie dagegen die Informationen, die über MARS reinkommen, integrieren, können Sie sehen, dass Leistungsvereinbarungen insofern durchgesetzt werden, als in einem Havariefall eben Sicherheits-Fragen den Aspekt Verfügbarkeit sozusagen ausstechen. Denn eine Verfügbarkeit für Schadprogramme kann ja nicht wirklich im Sinne der Leistungsvereinbarungen sein.
Wie spielen sich selbst verteidigende Netze mit SONA, der serviceorientierten Netz-Architektur, zusammen? Das Konzept des sich selbst verteidigenden Netzes ist, technisch gesehen, die Sicherheits-Komponente von SONA. Konvergente Kommunikation, also das Zusammenbringen von Sprache, Bildern und Daten, wäre eine andere technische Komponente.
Sie erwähnten vorhin schon, dass NAC, das von Cisco initiierte Konzept einer konsequenten Netzeingangskontrolle ein zentraler Baustein des sich selbst verteidigenden Netzes ist. Wie weit ist NAC heute schon wirklich im Einsatz? Wenn Sie mich vor einem halben Jahr gefragt hätten, wäre meine Antwort gewesen: Wir haben derzeit nur Pilotprojekte. Heute, Mitte 2006, gibt es verschiedene große Kunden, die NAC wirklich in ihre Systeme installieren. Namen kann ich aber leider noch nicht nennen.
