Wachsame Spürnasen

Bessere Ergebnisse erzielen

Die Hersteller von dezidierten NIPS haben viel Entwicklungsarbeit investiert, damit ihre Systeme genauere Resultate liefern. Dazu haben sie zahlreiche Verfahren in ihren Plattformen kombiniert. Sie erkennen Anomalien in den Paketen selbst, sie decken ungewöhnliche Paketfolgen auf, mit denen Hacker eine Anwendung oder ein Betriebssystem zu einem bestimmten Verhalten zwingen wollen. Mit heuristischen Analysen lernen sie das legale Verhalten des Netzes und melden auffällige Abweichungen. Einige Systeme beherrschen zusätzlich intelligente Flow-Analysen, mit denen sie manipulierte Sessions enttarnen wollen. Die Anbieter betreiben Forschungslabore, in denen sie selbst nach Software-Fehlern in etablierten Anwendungen suchen. Ihr Ziel ist es, Erkennungssignaturen in ihre N-IPS einzupflegen, die Angriffe gegen diese Vulnerabilities anhand des Einbruchsverfahrens enttarnen. Und zwar, bevor die Vulnerability überhaupt bekannt und die Malware-Gemeinde einen entsprechenden Feindcode entwickelt hat. Anbieter wie Tippingpoint bezahlen Dritte sogar dafür, wenn sie ihnen ein bisher unbekanntes Exploit zusenden.

Unter dem Strich muss jemand alle diese komplexen Verfahren aber an das höchst individuelle Verkehrsmuster des Kundennetzes anpassen. Diese anspruchsvolle Aufgabe erfordert Wissen beim Reseller und dem Kunden. Einmal aufgesetzt muss außerdem jemand das IPS permanent betreuen und die anfallenden Warnmeldungen auswerten. Gerade Kunden aus dem Mittelstand scheuen diesen Aufwand, weil sie die damit verbundenen Kosten fürchten. »Dezidierte N-IPS-Lösungen sind für den Mittelstand zu komplex, weil ihre Bedienbarkeit noch nicht ausgereift ist«, erklärt Michael Haas, Regional Sales Manager DACH bei Watchguard.

Stand-alone-Appliances finden sich daher vor allem bei Großunternehmen, die in ihren IT-Abteilungen genügend Wissen und Ressourcen gebündelt haben, um diese Sensoren im Alltag zu betreuen. »Ich würde den Einsatz von N-IPS aber keineswegs von der Unternehmensgröße, sondern vom Risikopotenzial abhängig machen, dem die Firma ausgeliefert ist«, argumentiert Christoph Skornia, Leitung Technik bei Check Point. Ein größeres Risiko kann den Mehraufwand des N-IPS mehr als rechtfertigen.

1. Wachsame Spürnasen
2. Bessere Ergebnisse erzielen
3. Mehr Situationsverständnis
4. Versteckt, umsonst und ungenutzt