Trends bei Intrusion Detection / Intrusion Prevention
Die Sicherheits-Evolution
Fortsetzung des Artikels von Teil 1
Virtuelle Firewalls
Eine dieser Weiterentwicklungen ist die Ergänzung des IPS mit einer einfachen Firewall-Funktionalität. Mittels Access-Control-Lists (ACL) auf den Sensoren wird dabei die Möglichkeit gegeben, das IPS als virtuelle Firewall innerhalb des Netzwerkes zu verwenden, um unerwünschte Verbindungen zu unterbinden.
Ein häufiger Einsatz dieser virtuellen Firewalls ist es, beim Ausbruch eines Wurms oder Bots im Netzwerk die Verbreitung durch eine temporäre Anpassung der Firewall-Regeln auf dem IPS zu unterbinden.
Dies ist dann möglich, ohne dafür auf sämtlichen Routern im Netzwerk bestimmte Ports zu blocken. Dadurch kann schnell auf eine Bedrohung reagiert und erste Gegenmaßnahmen können getroffen werden, ohne tiefgreifende Änderungen an der Infrastruktur vorzunehmen.
Zusätzlich bieten diese ACL einen einfachen Weg, um Datenverkehr von bestimmten IP-Adressen generell von der Verarbeitung durch das IPS auszunehmen, zum Beispiel Systeme, von denen aus Security-Scanner die Systeme im Netzwerk auf Schwachstellen hin untersuchen.
Scannen von SSL-verschlüsseltem Datenverkehr
Der zunehmende Einsatz von Verschlüsselung zum Schutz von Verbindungen, gerade zu Webshops, Datenbanken und anderen kritischen Systemen im Internet oder auch intern, warf die Frage auf, wie trotz Verschlüsselung der Daten nach Angriffen auf diese Server gesucht werden kann.
Eine Lösung, bei der der SSL-Tunnel immer noch auf dem Server selbst und nicht schon am Gateway terminiert wird, bietet dabei die SSL-Decryption auf dem IPS-Sensor. Hierzu wird das Zertifikat des Servers auf den Sensor eingespielt und dieses wird dann dazu verwendet, um eine entschlüsselte Kopie des Datenverkehrs innerhalb des Sensors zu erzeugen.
In diesem wird dann nach Angriffen gesucht. Werden welche gefunden, so werden diese geblockt, ansonsten werden die verschlüsselten originalen Datenpakete weitergesendet. Diese Lösung ermöglicht eine einfache Implementation eines Schutzes von Webservern und anderen Systemen auf die von außen über eine SSL-gesicherte Verbindung zugegriffen werden soll.
Dies ist möglich, ohne in zusätzliche Speziallösungen zur SSL-Terminierung vor dem Server investieren oder Kompromisse bei der Sicherheit eingehen zu müssen.
