Wachsame Spürnasen

Die im Netzwerk platzierten Intrusion- Prevention-Scanner (N-IPS) sollen bekannte und bisher unbekannte Angriffe aufspüren und aufhalten. Weil Firewall-Hersteller N-IPS standardmäßig in ihre Appliances einbauen, sagt Gartner für dezidierte N-IPS trotz eines moderaten Wachstums nur noch eine Nischenrolle voraus.

Es ist leise geworden um die »Network- based Intrusion-Prevention- Scanner« (IPS). Noch im Jahr 2004 galten sie als das wichtigste Mittel gegen unbekannte Zero-Day-Attacken. Als technische Weiterentwicklung von Intrusion-Detection- Scannern (IDS) sollten sie unbekannte, frische Feindströme nicht nur aufspüren, sondern selbst Gegenmaßnahmen einleiten und sie aufhalten. Ihr Vorgänger IDS hat dazu noch die Mithilfe von Firewalls oder Router in Anspruch nehmen müssen.

Die N-IPS-Welt sollte insgesamt das Abwehrniveau steigern, indem sie dank ihrer Analysemethoden genauere Resultate erzielt. Denn anders als der Vorgänger IDS gleichen diese Scanner die Pakete nicht nur mit Angriffsmustern ab, die in ihrer lokalen Signaturdatenbank hinterlegt sind. Auch nach Verhalten, Anomalien, Session-Ungereimtheiten und mehr wird geforscht. Die Hersteller haben ihre Scanner auch auf gesonderten Appliances platziert, um selbst Datenströme von mehreren 100 MBit/s zu verkraften. Das ist auch nötig, da N-IPS »inline« arbeiten und selbst mit schnellen Backbone- Leitungen Schritt halten müssen. Weil 10-GBit/s-Ethernet im Core des LANs in Aussicht steht, haben erste Hersteller ihre IPS-Plattformen bereits für diese Bandbreiten aufgestellt.

Trotz der gestiegenen Analyseund Erkennungsqualitäten sehen Analysten wie Gartner oder IDC die Zukunft von Stand-alone- IPS in gedämpftem Licht. Nach Gartners Bericht wird der Markt von 2006 bis 2009 wachsen, mit einem geschätzten Umsatz von rund 700 Millionen Dollar im vergangenen Jahr. Im Jahr 2010 wird er aber auf ein Niveau von 1,58 Milliarden zurückfallen. Bis dahin, so Gartner, ist N-IPS in die Firewall eingezogen. Auch IDC ist überzeugt, dass die IPS-Funktion auf lange Sicht zwar als wichtige, dennoch als eine Unterdisziplin in »Unified Threat Management«- Systemen (UTM) aufgeht.

In den vergangenen Jahren und auch 2007 zeigen mehrere Übernahmen in die gleiche Richtung, hier die prominentesten: Der Firewall-Hersteller Check Point hat den N-IPS-Hersteller NFR Security übernommen, nachdem die Akquisition von Source-Fire Ende 2005 fehlgeschlagen war. IBM hat vergangenes Jahr Internet Security Systems (ISS) aufgekauft, während sich 3Com Anfang 2005 Tippingpoint einverleibt hat. Daneben sind Cisco, Juniper, Symantec, McAfee, Radware und Top Layer auf dem Markt aktiv, um die größeren Hersteller zu nennen.

1. Wachsame Spürnasen
2. Bessere Ergebnisse erzielen
3. Mehr Situationsverständnis
4. Versteckt, umsonst und ungenutzt