Logging und Troubleshooting
Assessment, wie es sich der User wünscht
Verniers Host-Scanning nutzt auf dem Netzwerk oder auf Agenten basierende Scans, um einen Host einzuschätzen. Scans laufen beim Login und anschließend periodisch. Ändern sich die Bedingungen (oder der Zustand) eines Hosts, wendet das System die entsprechende Richtlinie an. Neue Richtlinien weist das System zu, sobald sie eingestellt sind, aber ein neues Assessment der Hosts erfolgt nicht unmittelbar.
Die Edgewall nutzt die Nessus-Scanning-Engine für Netzwerk-Richtlinien-Scans oder einen sich selbst wieder entfernenden Agenten. Die Richtlinien-Scans konzentrieren sich auf die Host-Konfiguration, während Schwachstellen-(Vulnerabillity-)Scans unbekannte Schwachstellen in den Hosts suchen. Die beiden Scans getrennt zu halten, ist sinnvoll, denn es kann Zeiten geben, zu denen Richtlinien-Scans nicht ausführbar sind, Schwachstellen-Scans aber laufen können.
Sobald sich der Host im Netzwerk befindet, überwacht die Edgewall ihn auf feindliche Aktivitäten. Dazu nutzt das System Netzwerk-Intrusion-Prevention, Protokoll- und Netzwerk-Abnormitätenentdeckung. Die IDS-Funktionalität ist ein Standard-Signatur-Matching. Protokollabnormitäten sind typischerweise ungewöhnlich formatierter oder arglistiger Verkehr. Die Netzwerk-Abnormitätenentdeckung sucht nach solchen Verkehrsmustern, beispielsweise hohen Verbindungsraten und Flooding – übliche Charakteristiken, die auf Scanning, Denial-of-Service-Attacken oder Wurmaktivitäten hindeuten.
Schon Consentrys Log-Grafiken konnten nicht überzeugen, aber Verniers sind sogar noch weniger nützlich. Client-Daten sind nicht lange genug sichtbar. Und jedes Mal, wenn die Sitzungsseite des Clients aktualisiert wird, zeigt das System die aktuellsten Statistiken, und die früheren verschwinden in der Managementstation.
Als sie funktionierten, erwiesen sich zwei Werkzeuge als wertvoll: Das Simulate-User-Rights-Werkzeug zeigt die Rechte, die ein Benutzer auf Grundlage verschiedener Bedingungen, beispielsweise Benutzername, MAC-Adresse und Richtlinien-Assessment, erhalten würde. Das Trace-Transaction-Werkzeug prüft, ob Benutzer sich korrekt authentifizieren, und zeigt die Daten, die der Authentifikations-Server zurückliefert. Das Simulate-User-Rights-Tool erwartet leider, dass sich der Benutzer authentifiziert. Mit dem Fall, dass ein Benutzer dies nicht tut, weiß das Tool offenbar nichts anzufangen.
Die Komplexität der Richtlinienerzeugung auf Verniers System macht Simulationswerkzeuge zu einer Notwendigkeit.
