Cisco fehlt Kontrolle über Endgeräte: Selbstverteidigungskurse für Netzwerke

Cisco fehlt Kontrolle über Endgeräte: Selbstverteidigungskurse für Netzwerke. Netzwerke, die sich selbst verteidigen, sind die Wunschvorstellung von Cisco Systems. Problem ist nur, dass der Hersteller von Netzwerkkomponenten keinen Einfluss auf Endgeräte hat. Daher soll das Network Admission Control-Programm Drittanbieter in die Strategie einbinden. Inzwischen sind einige konforme Lösungen verfügbar und Kunden sowie Systemhäuser starten erste Pilotversuche.

Autor:Redaktion connect-professional • 22.3.2006 • ca. 3:25 Min

Cisco fehlt Kontrolle über Endgeräte: Selbstverteidigungskurse für Netzwerke

Autorin: Annette Stadler
Vor rund drei Jahren begann John Chambers, CEO von Cisco Systems, IT-Security als strategische Säule im Unternehmen aufzubauen. Seither existiert eine Security Knowledge Group auf horizontaler Ebene, die darüber wacht, dass jedes Cisco-Produkt Sicherheitsfunktionen enthält, die in der Architektur des Herstellers Sinn machen. Chambers Vision ist ein Netzwerk, das sich selbst verteidigt. Wichtiger Teil der »Cisco Self-Defending Network«-Initiative ist das Network Admission Control (NAC)-Programm, an dem das Unternehmen ebenfalls seit rund drei Jahren arbeitet.

Allmählich zeigen sich erste Ansätze in der Praxis, wie sich die Idee umsetzen lässt. Sowohl für Kunden als auch für Reseller stellt die Technologie eine Herausforderung dar. Kunden erhalten Lösungen, die mehr Sicherheit bieten, aber dem Endanwender auch Freiheiten nehmen. Reseller müssen sich tief in die Cisco-Architektur einarbeiten und gleichzeitig andere Hersteller-Technologien verstehen, da NAC erst im Zusammenspiel verschiedener Produkte richtig funktioniert.

NAC nutzt Cisco-Infrastrukturkomponenten zur Durchsetzung von Zugangsberechtigungen für Endgeräte wie PDAs, PCs oder Server. Dies erfolgt je nach Sicherheitsstatus des jeweiligen Endgerätes und der geltenden Sicherheitsrichtlinie des Unternehmens. Da Cisco aber keinen Zugriff auf die Endgeräte besitzt, ist es erforderlich, Hersteller an Bord zu nehmen, die diese Möglichkeit bieten. Im ersten Schritt hat Cisco mit führenden Anti-Virus-Softwareherstellern wie McAfee, Symantec und Trend Micro zusammengearbeitet, um Grundfunktionen zu entwickeln. Diese bestehen daraus, dass Softwareagenten überprüfen, ob eine entsprechende Antivirensoftware auf dem Endgerät installiert ist, ob diese läuft und ordnungsgemäß aktualisiert ist. Im zweiten Schritt hat Cisco die Unterstützung der eigenen Hardware auf Switches und Konzentratoren erweitert. Zudem hat der Hersteller dafür gesorgt, dass Management-Tools hinzukommen, die Richtlinien überprüfen und umsetzen können. Schließlich reicht es nicht, dass ein Softwareagent erkennt, dass ein Endgerät eine überholte Version einer Anti-Viren-Software enthält. Vielmehr muss auch der Administrator einen Überblick bekommen und möglichst über automatisierte Vorgänge in der Lage sein, Konsequenzen zu ziehen. In der Folge kann die Lösung ein Update veranlassen oder das Gerät sperren. Relativ tief hat beispielsweise IBM die Technik in die Tivoli Security and Identity Product Suite integriert. Damit sind Rechte und Rollen flächendeckend im Netzwerk durchzusetzen.

Sicherheitsrichtlinien am Arbeitsplatz kann zum Beispiel aber auch die Landesk Security Suite von Landesk Software durchsetzen. Mit ihr scannen Unternehmen Rechner vor dem Zugang zum Unternehmensnetzwerk auf sicherheitsrelevante Details wie Settings, Patch- und Antivirenstatus. Gegebenenfalls lassen sich die Rechner in einer Quarantäne-Umgebung isolieren, bis sie nach eingeleiteten Maßnahmen den Sicherheitsrichtlinien des Unternehmens entsprechen. Um dies zu ermöglichen, hat Landesk seine Technologie in den Cisco Trusted Agent (CTA) integriert. Der CTA ist eine Schlüsselkomponente des NAC-Programms und stellt als Middleware das Bindeglied zwischen Cisco-Produkten und Fremdherstellern dar. »Große Firmen testen die Technologie gerade«, teilt Detlev Lüke, Senior Technical Consultant bei Landesk, mit. Dr. Thomas Wöhrmann, Sicherheits- und Management-Experte vom Systemhaus Invent, befindet sich mit einem großen Kunden gerade in der Pilotphase und erklärt: »Die Unternehmen sind sehr vorsichtig, da das Thema großen Einfluss auf tägliche Geschäftsabläufe hat.« Offen ist, wie sehr sich Anwender kontrollieren lassen. Was passiert beispielsweise, wenn mobilen Mitarbeitern der Zugang verweigert wird, weil die Anti-Viren-Software nicht dem neuesten Update entspricht, er aber keine Möglichkeit hat, diese in kurzer Zeit zu aktualisieren? Sobald die Produktivität und die Mitarbeiterzufriedenheit sinken, entpuppt sich die Einhaltung von Sicherheitsrichtlinien als Risiko für den Unternehmenserfolg.

Doch nicht nur die Kunden müssen umdenken, auch die Systemintegratoren. Bei der Installation der Sicherheitslösung reicht es nicht mehr, dass sie sich mit Endgeräten und Sicherheitsprodukten auskennen. Sie müssen sich auch in der Netzwerkwelt zurechtfinden. »So ist tiefgehendes Wissen über das Cisco-Betriebssystem IOS notwendig. Für viele Sicherheitsexperten ist das eine andere Welt«, hat Lüke festgestellt. Zwar funktioniert die Landesk-Lösung auch mit Netzwerkkomponenten anderer Hersteller, aber auch dies erfordert Netzwerk-Know-how. Momentan realisiert das Softwareunternehmen die Alternative über das Vorschalten eines DHCP-Servers.

Während es Managementsysteme gibt, die Nutzer und Endgeräte entsprechend der Sicherheitsrichtlinie behandeln, fehlte bislang ein Managementsystem für die Sicherheitsprodukte.

Diese Lücke hat Cisco mit der Cisco Security Management Suite selbst geschlossen. Der Administrator erhält damit ein Management-Framework für alle Security-Services, die von Cisco stammen wie Firewall, Virtual Private Network und Intrusion-Prevention-Service. Er kann die Komponenten überwachen, konfigurieren und managen, um Richtlinien zu erarbeiten und durchzusetzen.

Rund 100 Hersteller haben sich dem NAC-Programm angeschlossen. Laut Informationen der Cisco-Webseite liefern 22 NAC-konforme Geräte aus. Vielleicht finden sich bald auch Hersteller, die Sicherheitskomponenten managen können, die nicht von Cisco kommen.

_____________________________________________