Intrusion Detection
Eindringlinge mit Sourcefire aufspüren
Intrusion Detection ist wichtig für den Netzwerkschutz. Sensoren analysieren den Verkehr und alarmieren bei verdächtigen Mustern. Wir haben die Sourcefire IDS/IPS-Lösung getestet.
Intrusion Detection-Systeme verfolgen den Netzwerkverkehr und schlagen Alarm, wenn sie ein Angriffsmuster oder ein verdächtiges Verhalten wahrnehmen, das auf einen Hackerangriff hinweist. Zusammen mit Intrusion Prevention kann man mit solchen Systemen auch Gegenmaßnahmen einleiten, wie dieser Artikel unserer Schwesterpublikation Tecchannel zeigt.
Wir machten den Praxistest mit einem Überwachungssystem von Sourcefire. Dessen Gründer ist der geistige Vater von Snort, einem der bekanntesten Open-Source-Intrusion-Prevention-Systeme überhaupt.
Für unsere Testumgebung verwenden wir ein Defence Center DC1000 als Management-Server sowie einen Sensor vom Typ 3D1000. Hinweis: Betreibt man den Sensor alleine, so verliert man einige Komfortfunktionen. Der Sensor wird per One Time Password am Defence Center angemeldet, danach wurde eine erste Policy erstellt und auf das Test-System ausgerollt.
Um das Testszenario realistisch zu gestalten, bespielten wir den Sensor mit eigens aufgezeichnetem Datenverkehr, der diverse Attacken und Exploit-Versuche enthielt.
Bildergalerie: Sourcefire.
Sourcefire wertet sämtliche Informationen aus dem Netzwerk aus und bereitet sie über das Webinterface auf.
Die Dashboards lassen nahezu beliebig anpassen und erweitern.
Das Asset-Dashboard im Defence Center.
Überblick auf den Systemstatus.
Das Compliance-Dashboard.
Das System bietet eine Reihe an Optionen bei der Erstellung von Berichten an.
Richtlinien lassen sich zentral anlegen und werden im Defense Center gespeichert. Anschließend kann man sie auf die Sensoren übertragen.
Sourcefire bringt eine Reihe von Standardrichtlinien mit, die sich weiter verfeinern lassen.
Auch die Alamierung bei entsprechenden Vorfällen lässt sich regeln....
... hier als Beispiel die E-Mail-Alarmierung.
RNA legt eine Karte aller Geräte im Netzwerk an. Dadurch kann man unter anderem sehen, für welche Schwachstellen das LAN anfällig ist.
Über die Suchfunktion lassen sich gezielt Berichte auswählen.
Aufgaben werden gesammelt und abgearbeitet. Auch nachträglich kann man die Liste noch einsehen, etwa um Zugriffe oder Änderungen zu prüfen oder um sich über den Status zu informieren.
Das Defense Center überwacht auch den Zustand der Sensoren. Hier meldet beispielsweise ein Sensor, dass er keine Pakete empfangen kann.
Überblick über die Detection Engines.
Sensoren werden direkt über das Webinterface hinzugefügt. Auch lokale Agents sind möglich.
Aktualisierungen für Firmware und die Schwachstellendatenbank werden zentral gesteuert und ausgerollt.
Die mit dem Defense Center verbundenen Sensoren lassen sie sich leicht steuern und auswerten. Die einzelnen Sensoren selbst benötigen nur wenig Speicherplatz, weil das Defense Center die Informationen zentral verwaltet. Die Auswertung zeigt ein vollständiges Bild der Netzwerk-Vorgänge, der Angreifer kann den Speicher der Sensoren nicht gezielt vollschreiben, um seine eigenen Spuren zu verdecken.
Um den gesamten Netzwerkverkehr mitschneiden zu können, werden Mirror-Ports verwendet, auf denen der gesamte Verkehr des LANs gespiegelt wird. Bei einer sehr großen virtuellen Infrastruktur lässt sich der virtuelle Traffic aber nur schwer auf ein physikalisches Gerät spiegeln. Hier fehlen derzeit noch passende Lösungen, erst Neuentwicklungen bei Virtualisierungssoftware wie etwa VMware vSphere sollen dieses Problem lösen.
Lesen Sie auf der nächsten Seite:
Vorherige Seite
Seite 1 von 5
Nächste Seite
