SlideShare une entreprise Scribd logo

Solution Guide

•
•
G
guest1660396
Technologie
1  sur  228
Télécharger pour lire hors ligne
Solution Guide 2008
Inhaltsverzeichnis Seite I Inhaltsverzeichnis Vorwort...............................................................................1 Hinweis für alle Leser..........................................................3 Wir über uns........................................................................5 Kurzprofil..................................................................................5 Secure Networks™....................................................................5 Was die Analysten sagen…........................................................6 Weitere Informationen..............................................................7 Secure Networks™...............................................................8 Access Control.........................................................................10 Authentisierung als Maßnahme zum Schutz des Netzwerk-Ökosystems..............................11 Authentisierungsmethoden – Der technische Ansatz.....................................................13 Policy Enforcement..................................................................20 RFC 3580 - Der kleinste gemeinsame Nenner?...................20 Policys – Regeln am Rand der Zivilisation..........................20 (Multi-) User Authentication and Policy (MUA+P) im Detail. .24 Sichere Gastfreundschaft mit Default Policys......................25 RFC 3580 und Distribution Layer Security..........................27 Port Protection...............................................................28 Enterasys Networks – Solution Guide 2008
Seite II Inhaltsverzeichnis Policy Enforcement in der Praxis.......................................29 Detect and Locate....................................................................32 Angriffe.........................................................................32 IDS Erkennungstechnologien...........................................36 Hostbasierte Erkennung versus netzwerkbasierte Erkennung............................................39 Host Intrusion Detection / Prevention (HIDS/HIPS).............40 Network IDS/IPS............................................................42 IDS versus IPS versus DIRS.............................................43 System Information and Event Management......................45 Respond and Remediate..........................................................52 Proactive Prevention / NAC.....................................................54 Definition von NAC.........................................................54 Der Prozess NAC.............................................................55 Lösungsansätze..............................................................56 Enterasys NAC...............................................................59 Standard based Convergence and Availability..............................................................................66 Quality of Service im Netzwerk.........................................66 Wireless LAN..................................................................76 Power over Ethernet.......................................................84 Standard Based Availability.....................................................86 Redundanz....................................................................86 Enterasys Networks – Solution Guide 2008
Inhaltsverzeichnis Seite III IPv6..............................................................................96 MPLS...........................................................................101 Simple Network Management Protocol.............................105 Produktportfolio..............................................................106 Advanced Security Applications.............................................107 Dragon® Security Command Console...............................108 Dragon® Intrusion Defense.............................................113 Network Access Control.................................................119 Centralized Visibility and Control...........................................123 NetSight® Console.........................................................125 NetSight® Policy Manager...............................................127 Policy Control Console...................................................130 NetSight® Automated Security Manager...........................130 NetSight® Inventory Manager.........................................132 NetSight® - Komponenten im Überblick...........................133 NetSight® Lizenzierung..................................................136 Security Enabled Infrastructure.............................................137 Matrix® X-Serie............................................................138 Matrix® N-Serie............................................................146 SecureStack™ Familie...................................................167 D-Serie.......................................................................180 Enterasys Networks – Solution Guide 2008
Seite IV Inhaltsverzeichnis G-Serie.......................................................................185 I-Serie........................................................................190 Übersicht Secure Networks™/HW Kapazität......................195 Lizenzübersicht............................................................197 MGBICs, XENPAKs und XFPs...........................................198 Enterasys VDSL Optionen..............................................210 X-Pedition Security Router.............................................212 Literaturhinweise.............................................................218 Downloads............................................................................218 Enterasys GTAC.....................................................................219 Enterasys Knowledgebase.....................................................219 Enterasys Webguide..............................................................219 Impressum......................................................................221 Enterasys Networks – Solution Guide 2008
Vorwort Seite 1 Vorwort Sehr geehrte Leserin, sehr geehrter Leser, wieder einmal halten Sie die neuste Ausgabe des Enterasys Solution Guide in Ihren Händen. Seit einigen Jahren ist der Solution Guide bei unseren Kunden als umfangreiches, informatives Nachschlagewerk beliebt, das so­ wohl über Entwicklungen auf dem Netzwerkmarkt und neue Technologien, als auch über die neuen Strategien, Lösungen und Produkte von Enterasys Networks berichtet. Das Lösungsportfolio wurde zum Thema Enterasys NAC und Dragon ® Se­ curity Suite überarbeitet, hier wurden insbesondere die Integrationsmög­ lichkeiten der einzelnen Produkte untereinander beschrieben. Das Kapitel Produktportfolio zeigt einen Überblick über das gesamte Ange­ bot von Enterasys Networks. Neu hinzugekommen ist der Nachfolger des Matrix® E1 mit der G-Serie als modularem System sowie die D-Serie als Miniswitch. Des Weiteren wird das neue Enterasys NAC Portfolio mit Inline und Out-of-Band Komponenten sowie dem neuen, integrierten Enterasys Assessment vorgestellt. Ebenso sind die Enterasys VDSL-Komponenten als Long-Reach Ethernet-Extender hinzugekommen. Das Thema Lizenzierung wurde für NetSight® und Dragon® in ein eigenes Kapitel ausgegliedert, um einen Überblick über die unterschiedlichen Vari­ anten und Möglichkeiten zu geben. Wir wünschen Ihnen ein informatives Lesevergnügen. Ihr Enterasys Team Enterasys Networks Germany GmbH Solmsstr. 83 60486 Frankfurt Tel. +49 (0)69/47 860-0 Fax +49 (0)69/47 860-109 Enterasys Networks – Solution Guide 2008
Seite 2 Vorwort Enterasys Networks – Solution Guide 2008
Hinweis für alle Leser Seite 3 Hinweis für alle Leser Das Lösungsportfolio von Enterasys Networks wird kontinuierlich weiter entwickelt, deshalb kann es jederzeit zu Änderungen des bestehenden Lö­ sungsportfolio kommen. Die aktuellen Informationen der Lösungen finden Sie auf der Enterasys Networks Homepage unter http://www.enterasys.com oder http://www.enterasys.com/de/. Wir freuen uns auf ein persönliches Gespräch mit Ihnen und stehen Ihnen in unseren Niederlassungen jederzeit gerne zur Verfügung: Frankfurt /Main +49 (0)69 47860-0 Berlin +49 (0)30 39979 5 Leipzig +49 (0)341 528 5350 Wien +43 (0)1 994 60 66 05 Zürich +41 (0)44 308 39 43 Einen vollständigen Überblick über Deutschland und die europäischen Län­ der sowie deren Kontakte finden Sie unter: http://www.enterasys.com/corporate/locations/ Informationsstand: 30.04.08 Enterasys Networks – Solution Guide 2008
Seite 4 Hinweis für alle Leser Enterasys Networks – Solution Guide 2008
Wir über uns Seite 5 Wir über uns Kurzprofil Enterasys Networks ist ein globaler Anbieter von Secure Networks™ für Unternehmenskunden. Die innovativen Netzwerkinfrastrukturlösungen von Enterasys tragen den Anforderungen von Unternehmen nach Sicherheit, Leistungs- und Anpassungsfähigkeit Rechnung. Darüber hinaus bietet Enterasys umfangreiche Service und Support-Leistungen an. Das Produkt­ angebot reicht von Multilayer Switchen, Routern, Wireless LANs und Virtual Private Networks über Netzwerk Management Lösungen bis hin zu Intrusion Detection und Intrusion Prevention Systemen. Enterasys ist einer der Pioniere bei der Entwicklung von Netzwerklösungen und besitzt mehr als 600 Patente. Alle Lösungen sind standardbasiert und haben ein Ziel: Ihre Investitionen in entscheidende Geschäftsvorteile um­ zusetzen. Die Enterasys Lösungen eignen sich für alle Netzwerke unab­ hängig von Hersteller und Technologie. Über 20 Jahre Erfahrung und über 26.000 weltweite Kunden bilden das Fundament für den gemeinsamen Erfolg. Die Philosophie von Enterasys richtet sich nach dem Motto „There is nothing more important than our customer“, in dem unsere Kunden im Mittelpunkt stehen. Enterasys hat seinen Hauptsitz in Andover, USA, und betreut den globalen Kundenstamm über Niederlassungen in mehr als 30 Ländern. Das Unter­ nehmen beschäftigt weltweit mehr als 700 Mitarbeiter. Weitere Informa­ tionen zu Enterasys Secure Networks™ und den Produkten für Festnetze und drahtlose Netzwerke finden Sie unter www.enterasys.com. Secure Networks™ Sichere Netzwerke sind die Grundlage für eine flexible Infrastruktur und ein Servicemodell – Benutzer, Systeme, Applikationen, Event Manage­ ment, automatisierte Kontrolle und die Möglichkeit aktiv auf Ereignisse antworten zu können. Eine flexible Infrastruktur stellt einen authentifizier­ ten Zugang an allen Punkten zur Verfügung, an denen ein Zugriff auf Res­ sourcen erfolgt und verringert mit einer dynamischen Authorisierung die Angriffsfläche für Denial of Service Attacken. Zusätzlich sichert eine flexi­ ble und zuverlässige Infrastruktur die Verfügbarkeit von Applikationen und sichert für geschäftskritische Anwendungen die entsprechenden Bandbrei­ ten. Enterasys Networks – Solution Guide 2008
Seite 6 Wir über un Was die Analysten sagen… “Enterasys has the most tightly integrated security capabilities of any LAN switch vendor, including strong support for all IP telephony offerings” Gartner, Magic Quadrant for Global Campus LAN (März 2008) „Enterasys Secure Networks for Virtual Data Centers assures the connecti­ vity and compliance of virtualized computing and storage while reducing equipment, energy and cooling costs in data centers“ Gartner, Magic Quadrant for Global Campus LAN (März 2008) “At a product level, Enterasys was the initial innovator in embedded network security. Enterasys coined the quot;secure networksquot; approach and delivered key aspects of embedded network security before the rest of the market.” Gartner, Magic Quadrant for Global Campus LAN (Oct 2006) „The networking background of Enterasys is evident in that the Dragon IDS/IPS product line has an overall small rack space footprint, making the products well-suited for deployments such as MSSP/carrier/ISP where de­ tection is valued over blocking.“ Gartner, Magic Quadrant for Network IPS Appliances (Feb 2008) “Longtime IDS vendor Enterasys has moved to producing in-line IPS pro­ ducts. Its first customers are primarily managed security system provider (MSSP) customers who report a high degree of satisfaction with Enter­ asys' support with the IDS products and are converting over as customer demand shifts.” Gartner, Magic Quadrant for IPS (2006) “DSCC accurately detected more known attacks, as well as network an­ omalies than did Cisco Security MARS. Thus DSCC provides a level of protection of business assets exceeding that offered by Cisco…both products demonstrate that they can process flow and security network event data, though DSCC was able to correlate events into a single offen­ se. Ultimately, poor event correlation and anomaly detection in MARS could lead to missed threats.” Tolly Group White Paper (Jan 2007) Enterasys Networks – Solution Guide 2008
Wir über uns Seite 7 Weitere Informationen Unser Management Team Mike Fabiaschi President and Chief Executive Officer Chris Crowell Chief Technology Officer Gérard Vivier Vice President EMEA Edward Semerjibashian Vice President CEE/Russia & APAC Pressekontakt Enterasys Networks Markus Nispel Director Solution Architecture Solmsstraße 83 60486 Frankfurt Telefon: +49 69 47860 0 Fax: +49 69 47860 109 Enterasys Networks – Solution Guide 2008
Seite 8 Secure Networks™ Secure Networks™ Secure Networks™ ist die Strategie, die Enterasys seit Jahren erfolgreich verfolgt. Von Gartner oftmals als Technologieführer definiert, hat Entera­ sys mit der Einführung von 802.1x ein neues Zeitalter für die Sicherheit in Netzwerken eingeläutet. Secure Networks™ Komponenten Enterasys bildet die fünf wesentlichen Punkte einer holistischen IT Infra­ struktur mit eigenen Produkten ab. So wird sichergestellt, dass lediglich authentifzierte User Zugriff auf das Netzwerk erhalten. Das Sicherheitsle­ vel und das Zugriffsniveau der User wird dabei in Abhängigkeit zum Si­ cherheitslevel des benutzten Gerätes gesetzt. Angriffe, die von authentifi­ zierten oder nicht authentifzierten Usern auf Ressourcen im Netzwerk durchgeführt werden, können durch die verschiedenen Angriffserken­ nungstechnologien erkannt, verifiziert und verhindert werden. Ferner ist es möglich, nachdem der Angriff erfolgreich verhindert wurde, den Angrei­ fer aus dem Netzwerk zu verbannen oder ihm neue Zugriffsrechte zuzu­ weisen. Durch die Abbildung verschiedenster Technologien wird ein Maxi­ mum an Sicherheit erreicht, so dass auch Angriffe auf sehr komplexe und neue Technologien (wie Voice over IP) erkannt und verhindert werden können. Enterasys Networks – Solution Guide 2008
Secure Networks™ Seite 9 Im Folgenden sind einige der Kernziele der Secure Networks™ Strategie aufgeführt: Präventive Angriffsverhinderung ● Reaktionen auf Angriffe auf Userbasis (nicht nur auf Gerätebasis) ● Das Absichern von Netzwerken unterschiedlicher Hersteller ● Bereitstellen von Compliance Hilfsmitteln ● Die nachfolgenden Abschnitte zeigen die Grundzüge der 5 Säulen der Secure Networks™ Strategie auf und erklären, welchen Beiträge die ver­ schiedenen Komponenten aus diesen Bereichen zur Abbildung einer ganz­ heitlichen Security Infrastruktur leisten. Enterasys Networks – Solution Guide 2008
Seite 10 Secure Networks™ Access Control Secure Networks™ bietet mit seinem breiten Spektrum verschiedenster Funktionalitäten technische Lösungselemente für all diese Fragen. In der Praxis gilt es nun diese Elemente in ein durchgängiges Konzept zu integrieren und Schritte für die Implementierung und den Betrieb festzule­ gen. Die Frage nach der Realisierbarkeit der ermittelten Schutzmaßnahmen geht über Features und Algorithmen weit hinaus. Nicht alles was technisch möglich ist, stellt sich im Endeffekt auch als praktikabel heraus. Sicherheit und freie Kommunikation stehen sich auf den ersten Blick dia­ metral gegenüber. Eine Sicherheitspolicy, welche dem Anwender unzu­ mutbare Prozeduren auferlegt (mehrfache Anmeldung, geringe Flexiblität), hemmt die Produktivität des Unternehmens und wird sich kur­ zerhand selbst aushebeln. Befürchtungen, Netzwerksicherheit sei aufwändig, unangemessen kompli­ ziert und stelle selbst eine Gefahr für den kontinuierlichen Betrieb einer IT-Infrastruktur dar, muss hierbei durch geeignete Ansätze begegnet werden. Es hat sich gezeigt, dass sich der zusätzliche, administrative Aufwand einer sicherheitsbasierten Netzwerklösung nur kompensieren lässt, wenn gleichzeitig Werkzeuge zur Verfügung stehen, welche die Transparenz und ein möglichst einfach zu handhabendes Management garantieren. Im Gegensatz zur Administration einzelner Netzwerkkomponenten, bieten datenbankbasierte Managementsysteme die notwendige Unterstützung, um auf Basis von Templates und Policys eine flächendeckende Anpassung des Netzes an sich ändernde Anforderungen rationell vorzunehmen. Enterasys Networks – Solution Guide 2008
Secure Networks™ Seite 11 Authentisierung als Maßnahme zum Schutz des Netzwerk-Ökosystems Das Netzwerk eines Unternehmens entwickelt sich zunehmend zu der uni­ versellen Plattform für Kommunikation und Geschäftsprozesse und damit zum unternehmenskritischen Faktor. Nach Aussage von Analysten ist durch die fortlaufende Einbindung von mobilen Endgeräten, Sprachdiensten, Facility Management sowie der stei­ genden Integration industrieller Produktionsanlagen mit einer Verdopp­ lung der Endgeräte zu rechnen. Lediglich ein Teil dieser Endgeräteplattformen (PCs, Workstations und Notebooks) lässt sich mit geeigneten Sicherheitsmechanismen wie Perso­ nal Firewalls, Virenscannern und einem gehärteten Betriebssystem aus­ statten. Monolithische Komponenten, wie z.B. IP-Telefone, Webcams und Indus­ triesteuerungen liegen ebenso außerhalb des administrativen Zugriffs, wie die Notebooks externer Mitarbeiter und Studenten. Medizinische Komponenten, Analysegeräte und bildgebende Systeme (Röntgen und MRT) unterliegen eigenen Sicherheitsrichtlinien. Die Modifi­ kation des Betriebssystems durch geeignete Sicherheitsupdates erfordert in der Regel eine Neukalibrierung und Rezertifizierung des Systems und lässt sich somit in der Praxis kaum zeitnah ausführen. Enterasys Networks – Solution Guide 2008
Seite 12 Secure Networks™ Eine solch heterogene Endgerätelandschaft stellt für den Betreiber eines Unternehmensnetzwerkes also einen Risikofaktor dar, welcher in zuneh­ menden Maße außerhalb einer verlässlichen Kontrolle liegt. Die Sicherheitsbetrachtung eines Netzwerkes fokussierte bisher externe Verbindungen wie WAN und Internet als Hauptrisikofaktor. Das Absichern dieser Übergabepunkte mittels Firewall, Virenschutz und Contentfiltering gehört mittlerweile zum üblichen Standard. Von einem ganzheitlichen Ansatz ausgehend ist nun in Betracht zu ziehen, welchen Risiken interner Angriffe das Ökosystem Netzwerk ausgesetzt ist. Die Antwort liegt in intelligenten Komponenten und Lösungen, welche das Netzwerk in seiner Rolle als unternehmenskritischen Produktionsfaktor schützen. Enterasys Networks – Solution Guide 2008
Secure Networks™ Seite 13 Authentisierungsmethoden – Der technische Ansatz Die Access Control definiert sich in der Zugangskontrolle für Endgeräte zum Netzwerk. Dabei können die Endgeräte unterschiedlicher Natur sein. Ein von einem Anwender bedientes Endgerät bietet die Möglichkeit, unab­ hängig vom Betriebssystem des Endgeräts, den Anwender interaktiv zu authentifizieren. Viele Switche und die meisten Betriebssysteme für Perso­ nal Computer und Workstations unterstützen heutzutage den Authentisie­ rungsstandard IEEE 802.1x. Der ganzheitliche Lösungsansatz erfordert jedoch die lückenlose Erken­ nung von Endgeräten im Netz. Dies ist nur möglich, wenn alternative Au­ thentisierungsmethoden auch zur Verfügung stehen. Dieser Ansatz soll hier detailliert beleuchtet werden. IEEE 802.1x im Detail IEEE 802.1x liefert ein komplettes Authentication Framework, das port- basierende Zugriffskontrolle ermöglicht. Dieses Modell sieht dabei verschiedene Abstrahierungen vor: Supplicant ist das Endgerät, welches einen Netzwerkzugang an­ ● fordert. Authenticator ist das Gerät, welches den Supplicant authentifi­ ● ziert und den Netzwerkzugang versperrt oder frei gibt. Authentication Server ist das Gerät, welches den Backend-Au­ ● thentication-Dienst (z.B. RADIUS) bereitstellt. Dabei nutzt 802.1x bestehende Protokolle, wie EAP und RADIUS, die emp­ fohlen aber nicht vorgeschrieben sind. Unterstützt wird 802.1x für Ether­ net, Token Ring und IEEE 802.11. Eine Fülle von Authentifizierungsmechanismen wie Zertifikate, Smart Cards, One-Time Passwörter oder biometrische Verfahren sind ebenfalls vorgesehen. Diese Flexibilität wird durch die Nutzung des Extensible Au­ thentication Protocol (EAP) erreicht. Primär getrieben durch die Anforderung Wireless LANs mit einem sicheren Zugangs- und Verschlüsselungsmechanismus (802.11i und WiFi WPA) zu versehen, hat sich 802.1x im WLAN durchgesetzt findet aber zusehends auch Beachtung innerhalb herkömmlicher Ethernet-Netzwerke. Weiterhin erlaubt die Nutzung von EAP in der von Microsoft favorisierten Variante für RAS VPN (Remote Access Virtual Private Networks) innerhalb von IPSec/L2TP (IPSecurity, Layer 2 Tunneling Protocol) eine einheitliche Authentifizierung eines Nutzers über LAN, WLAN und WAN Infrastrukturen. Enterasys Networks – Solution Guide 2008
Seite 14 Secure Networks™ In der Praxis ist es also möglich, das Modell der Network Access Control unter Nutzung bestehender Authentisierungsinstanzen flächendeckend und benutzerfreundlich zur Verfügung zu stellen. Die eigentliche Authentisierung er­ folgt durch die Weiterleitung der EAP Pakete mittels EAP-RADIUS (RFC 2869) an einen RADIUS Server. Dieser kann wiederum je nach Hersteller Schnittstellen zu Verzeichnisdiensten wie Active Directory ADS von Microsoft oder Novell´s NDS über LDAP oder XML sowie Plug-ins für Secure ID Card Integration haben. Je nach Anforderung und Anwendung kann eine Vielzahl von EAP Protokol­ len zur Anwendung kommen. Folgende Tabelle soll eine kurze Übersicht geben: Client Server Dynamisches Authentisierung Keymanagement MD5 Klartextübertragung von Userda­ Nein Nein ten. Nur selten genutzt PEAP Einbindung von MS-CHAPv2 Ja Ja EAP-TLS Zertifikatsbasierendes Verfahren, Ja Ja benötigt PKI EAP-TTLS Aufbau eines verschlüsselten, au­ thentisierten Tunnels zwischen Ja Ja Sender und Empfänger. Enterasys Networks – Solution Guide 2008
Secure Networks™ Seite 15 Funktionsweise von MD5 Wegen der unsicheren Methode Authentisierungsdaten unverschlüsselt zu übertragen wird die unsprünglichste Methode MD5 heute nur noch in Aus­ nahmefällen genutzt. Funktionsweise von EAP-TLS EAP-TLS wurde in RFC 2716 spezifiziert und bietet eine starke kryptogra­ phische Authentisierung des Clients gegenüber dem Netzwerk. Das ge­ schieht, indem sich beide Seiten, also der Client und der Anmeldeserver, kryptographische Zertifikate vorzeigen, um ihre Identität zu beglaubigen. Diese Methode erfordert die Bereitstellung einer PKI (Public Key Infra­ structure), welche mit dem Directory in Verbindung steht. Die entsprechenden Zertifikate müssen auf dem Client verfügbar gemacht werden. Gespeichert auf einer so genannten Smart Card stellen sie ge­ meinsam mit einer mehrstelligen PIN-Nummer die optimale Sicherheitslö­ sung dar. Funktionsweise von EAP-TTLS EAP-TTLS wurde unter anderem von den Firmen Funk Software und Certi­ com aus TLS entwickelt. Die getunnelte Funktionsweise ist mit einem SSL verschlüsselten Webserver vergleichbar. Im Gegensatz zu EAP-TLS braucht nur der Anmeldeserver ein eindeutiges, digitales Zertifikat, wel­ ches der Client beim Verbindungsaufbau überprüft. Funktionsweise von PEAP Hierbei handelt es sich um die gebräuchlichere Microsoftvariante , die im Grunde die schon vorhandenen Merkmale von EAP-TTLS aufweist. Auch hier benötigt der Authentisierungsserver ein Zertifikat, auch hier wird zu­ erst die Verschlüsselung aufgebaut, bevor eine Identifizierung mit User­ name / Passwort stattfindet. Web-Authentication Endgeräte externer Mitarbeiter (Gäste, Servicepersonal, Studenten) ent­ ziehen sich dem administrativen Eingriff des Administrators. In diesem Szenario ist es also nicht praktikabel, die für die Authentisierung notwen­ dige Konfiguration vorzunehmen. Eine webbasierte Anmeldung, wie sie mittlerweile z.B. innerhalb öffentli­ cher WLAN HotSpots üblich ist, ist ohne Konfigurationsaufwand möglich und stellt somit eine akzeptable Alternative dar. Enterasys Networks – Solution Guide 2008
Seite 16 Secure Networks™ Die automatische Umleitung eines beliebigen HTTP-Aufrufes durch den Browser des Endgeräts präsentiert dem Benutzer eine Webseite mit inte­ grierter Authentisierungsabfrage. MAC-Authentication Endgeräte ohne standardbasierte Authentisierungsfunktionen, wie Dru­ cker, IP-Telefone und Industrieanlagen stellen eine weitere Herausforde­ rung dar. MAC adressbasierte Authentisierungsmethoden sowie die automatische Endgeräteklassifizierung durch Protokolle wie CEP und LLDP-MED sind grundsätzlich als schwächere Sicherheitsbarriere anzusehen, da sie sich mit verhältnismäßig einfachen Mitteln kompromittieren lassen. Dieses Manko erfordert eine dediziertere Endgerätekontrolle, welche über eine binäre Zugriffsentscheidung hinaus geht. Die im Weiteren erläuterte Kombination von Authentisierung und Access Policys ermöglicht den Zu­ griff in eingeschränkter Form. Daraus resultiert, dass der Versuch, sich z.B. mittels einer MAC Adresse eines Druckers Zugang auf das Netz zu verschaffen, lediglich die Kommu­ nikation mit dem zugewiesenen Printserver herstellt. Diese Einschränkung reduziert den Erfolg eines solchen Angriffs auf ein Minimum. Phone Detection (CEP) Die Telefonerkennung (Phone Detection) sorgt dafür, dass ein an das Netzwerk angeschlossenes IP-Phone als Solches erkannt wird. Im Netz­ werk werden dann automatisch passende Parameter für Quality of Service gesetzt. Zum Beispiel kann nach der Erkennung eines IP-Phones dessen Datenverkehr via 802.1p getagged und damit höher priorisiert werden als anderer Datenverkehr. Die Telefonerkennung kann dabei durch den LLDP-Standard oder spezielle Protokollnachrichten, wie zum Beispiel Enterasys CDP, erfolgen. Ansonsten können auch beliebige andere Protokolle, wie Cisco Discovery Protocol 2.0 oder das Snooping aller Pakete mit Ziel UDP Port 4060 wie bei Siemens, verwendet werden. Link Layer Discovery Protocol (LLDP, IEEE802.1AB) Der gegenseitige Austausch von Identität und Eigenschaften zwischen den Netzwerkkomponenten optimiert deren Zusammenspiel und ermöglicht darüber hinaus auch die Visualisierung von Layer 2 Verbindungen in grafi­ schen Netzwerkmanagmenttools. Die bisher verwendeten Discovery Protokolle (CDP, EDP) waren jedoch proprietärer Natur und boten damit eine eingeschränkte Interoperabilität. Enterasys Networks – Solution Guide 2008
Secure Networks™ Seite 17 Aus dieser Konzeption ratifizierte die IEEE im Jahre 2005 unter der Be­ zeichnung 802.1ab das herstellerunabhängige Link Layer Discovery Proto­ koll. Eine durchgängige Unterstützung von LLDP durch die Netzwerkkomponen­ ten ermöglicht die Rekonstruktion der kompletten Layer 2 Netzwerktopo­ logie sowie das Erkennen neuer Netzwerkkomponenten. Bei der Entwicklung von LLDP wurde auf eine einfache Erweiterbarkeit des Standards Wert gelegt. Ein Beispiel hierfür ist das Link Layer Discovery Protocol-Media Endpoint Discover oder LLDP-MED. Mit LLDP-MED wird es möglich Netzwerkeinstellungen von Endgeräten wie VLAN Priorität oder Diffserv-Werte automatisch zu erkennen. Dies erleichtert die Integration besonderer Endgerätetypen wie z.B. IP- Telefonen. LLDP Informationen stellen darüber hinaus auch eine Entscheidungsgrund­ lage für die automatische Zuordnung von Secure Networks™ Policys dar. Multi-User-Authentication Als Mitautor der IEEE Standards und somit Wegbereiter sicherer LANs hat Enterasys Networks schon frühzeitig damit begonnen auch bestehende Produkte nachträglich mit den erforderlichen Funktionen zu versehen. Diese Strategie reicht zurück bis zur zweiten Generation von Cabletron SmartSwitch Komponenten aus dem Jahr 1998, welche über die notwendi­ gen Authentisierungsmöglichkeiten verfügen. In gewachsenen, heterogenen Netzwerken ist damit zu rechnen, dass nicht alle Accesskomponenten über Authentisierungsfeatures verfügen. Die Matrix® N-Serie löst dieses Problem durch eine integrierte Multi-User- Authentication, welche es ermöglicht auf den Uplinks bis zu 256 Benutzer individuell zu authentisieren. Bestehende Lösungen, aber auch neue Fiber-to-the-Office Konzepte, bei welchen simple Kanalswitche im Accessbereich eingesetzt werden, lassen sich somit flächendeckend realisieren. Enterasys Networks – Solution Guide 2008
Seite 18 Secure Networks™ Dabei ist zu berücksichtigen, dass die bei der 802.1x Anmeldung verwen­ deten EAPoL Pakete von diesen „simplen“ Accessswitchen weitergeleitet werden müssen. Dies wird auch als EAP-Passthrough bezeichnet und ist bei allen Enterasys SecureStacks™ verfügbar. Bei älteren Komponenten muss sichergestellt sein, dass dies auch möglich ist; manchmal muss hier­ für Spanningtree ausgeschaltet oder ähnliche Konfigurationsänderungen vorgenommen werden. Multi-Method Authentication Mit der Matrix® N-Serie ist Enterasys Networks nicht nur in der Lage meh­ rere User gleichzeitig auf einem Port zu authentifizieren und jedem eine eigene Policy zu zu weisen, es ist auch möglich verschiedene Authentifizie­ rungsmethoden gleichzeitig auf dem Port zu betreiben. Normalerweise geht man davon aus, dass jedes Gerät sich nur einmal au­ thentifiziert; also der User an seinem PC über 802.1x, der Gast mit sei­ nem Laptop über PWA, der Drucker basierend auf MAC Authentication. Aber was passiert, wenn der PC auch über MAC Authentication authentifi­ ziert ist und sich die entsprechenden Profile auch noch widersprechen? Ab­ gesehen davon, dass dann das Security Design und die Policys überarbei­ tet werden sollten, hat Enterasys Networks dieses Problem im Griff. Die Authentifizierung läuft über so genannte Authentication Sessions. Hat ein User jetzt mehrere Authentication Sessions offen, so wird nur eine wirklich genutzt. Bis zu drei Sessions gleichzeitig sind möglich, denn ein User kann über 802.1x, PWA oder MAC Authentication angemeldet sein. Die Authentifizierungsmethoden werden nach Prioritätsregeln angewandt. Die Default-Prioritäten sehen folgendermaßen aus: 1. IEEE 802.1x 2. Port Web Authentication 3. MAC Authentication 4. CEP (Convergent Endpoint Detection) Kommen wir auf unser Beispiel zurück: Ein User hat sich über 802.1x au­ thentifiziert, aber basierend auf seiner MAC Adresse lief auch MAC Authen­ tication im Hintergrund, da beide Methoden auf dem Port aktiviert sind. Da die 802.1x Session höhere Priorität hat als die MAC Session, wird diese angewandt und die entsprechende Rolle dem User zugewiesen. Enterasys Networks – Solution Guide 2008
Secure Networks™ Seite 19 MACSec IEEE 802.1ae Der MACSec Standard, der am 8. Juni 2006 verabschiedet wurde, dient in der verbindungslosen 802 Welt zur Sicherung der Integrität jedes übertra­ genen Datenpaketes, zur Sicherung der Authentizität und zur Abwehr von „Lauschangriffen“ auf die transportierten Daten. Der Standard dient hier­ bei zur „Hop by Hop“ Verschlüsselung, Authentifizierung und Integritäts­ prüfung. Er wird zwischen Endsystemen und dem nächsten Switch bzw. auch alternativ (aber wohl selten) zwischen Switchen zum Einsatz kom­ men können. Das dazu notwendige Schlüsselmanagement nach 802.1af ist jedoch noch im Draft (eine Erweiterung des 802.1x), so dass hier noch etwas Geduld notwendig ist. Die Hersteller von MAC Phy´s versprechen sich natürlich hiervon mehr Ge­ schäft, da komplexere Chips inklusive Verschlüsselung teurer werden kön­ nen. Jedoch geht man davon aus, dass eine breite Anwendung erst statt­ findet, wenn die Preise zu bestehenden MAC Phy´s vergleichbar sind. Die potentiellen Anwendungsbereiche reichen von der sicheren Trennung von Kunden in der gleichen Layer 2 Domain eines Service Providers (Ethernet First Mile etc.) über die Sicherung von MAN Netzen zwischen Unternehmungen hin zur erweiterten Sicherung von heutigen 802.1x Un­ ternehmensinstallationen mit Verschlüsselung und Integritätswahrung von Endgerät zum Switch (wie es heute auch schon in der Wireless LAN 802.11 Welt vorhanden ist) und der Sicherheit, dass man nur Verbindun­ gen zu Geräten erstellt, die einem gewissen Trust-Level entsprechen. Enterasys Networks – Solution Guide 2008
Seite 20 Secure Networks™ Policy Enforcement Die eindeutige Authentisierung eines Gerätes / Benutzers stellt einen wichtigen Teil der Access Control dar. Auf dieser Basis müssen nun Regelwerke zugewiesen werden, welche den Zugang mit allen Rechten und Einschränkungen kontrollieren. Denn bereits die unterschiedlichen Authentisierungsmöglichkeiten zeigen auf, welche differenzierte Vertrauensstellung hier abzubilden ist. RFC 3580 - Der kleinste gemeinsame Nenner? Die nähere Betrachtung zeigt, dass die verbreitete Methode aus dem Authentisierungsergebnis eine VLAN-Zuweisung (RFC 3580) abzuleiten, zahlreiche Unzulänglichkeiten birgt. Allein die Notwendigkeit einen Campus mit weitverzweigten Layer 2 Seg­ menten zu überziehen widerspricht dem allgemeinen Trend hin zu gerou­ teten Segmenten. Eine Usergruppen-/ VLAN-Assoziierung generiert in der Praxis mindestens eine umfangreiche Gruppe von Standardusern, vor welchen zwar der Netz­ werkkern durch entsprechende Accesslisten geschützt wird, die jedoch un­ tereinander frei und hemmungslos kommunizieren können. Ist eines dieser Endsysteme durch Schadsoftware kompromittiert, so ist die gesamte Gruppe einer Verbreitung ausgesetzt. Daher wäre es wünschenswert, bereits am ersten Access Port zu entschei­ den, welche Informationen überhaupt in das Ökosystem Netzwerk einge­ speist werden dürfen. Policys – Regeln am Rand der Zivilisation Diese Idee führt tief in die Historie des Enterasys-Vorläufers Cabletron Systems. Bereits mit der zweiten Generation der SmartSwitch-Familie wurde in den späten 90er Jahren die dezidierte Frameklassifizierung eta­ bliert. Die Idee, einen Layer 2 Switch zu einer Layer 2/3/4 Analyse zu be­ wegen, war zu jener Zeit aus Priorisierungsanforderungen mit Blick auf zeitkritische Applikationen wie Voice und Video heraus geboren. Später wurde klar, dass die Unterscheidung verschiedener Protokolle am Access Port die erste Grundlage darstellt, um unerwünschte Dienste und Protokolle einfach zu verwerfen. Die Idee einer skalierbaren, verteilten Sicherheitsarchitektur eines Netzwerkes hatte etwas Faszinierendes. „Das Konzept von Zugriffsregeln im Accessbereich hat lediglich akademi­ schen Wert. In der Praxis ist diese Aufgabe zu komplex, um administriert zu werden...“ Enterasys Networks – Solution Guide 2008
Secure Networks™ Seite 21 Diese Aussage eines namhaften Herstellers von Netzwerkkomponenten bringt es auf den Punkt. Das Pflegen verteilter Zugriffsinformationen mit Bordmitteln ist eine Aufgabe, vor welcher jeder Administrator zurück­ schrecken wird. Doch bereits im Jahre 2001 stellte Enterasys Networks mit dem NetSight ® Policy Manager ein Werkzeug vor, mit welchem das Erstellen und Verbrei­ ten komplexer Regelwerke zu einem Baukastenspiel wird. Der Schlüssel liegt in einer dreistufigen Hierarchie: Policys - Hierarchisches Regelwerkzeug Die oberste Ebene definiert sich zunächst aus der Rolle, welche ein Benut­ zer in der Struktur des Unternehmens selbst spielt. Da sich diese Rolle be­ reits in den Regelwerken des Usermanagements einer zentralen Betriebs­ systemplattform abzeichnet, liegt es nahe, bereits bei der Authentisierung auf diese Informationen zuzugreifen. Unterhalb dieser Ebene sind die Services definiert, welche bereits im Gro­ ben beschreiben, was der Benutzer tun darf – und was nicht. Enterasys Networks – Solution Guide 2008
Seite 22 Secure Networks™ Diese Services setzen sich nun aus einzelnen Regeln zusammen, welche den Datenverkehr zunächst nach Kriterien der Layer 2, 3 und 4 klassifizie­ ren. Trifft die Regel zu, so wird eine zugewiesene Aktion ausgeführt: Access Control – zulassen oder verwerfen • Tagging des Frames mit einer definierten VLAN ID • Redefinition von Quality of Service Parametern • Rate Limiting (Port, Applikations-Flow, Protokoll, • Nutzer - IP oder MAC) Mittels des Policy Managers ist es nun möglich ein solches Konstrukt aus Rollen und Regeln zusammenzustellen und per SNMP auf allen Netzwerk­ komponenten bekannt zu machen. Die flächendeckende Bereitstellung von Zugriffsinformationen im Access-/Distributionbereich ist ein Garant für Skalierbarkeit einer solchen Lösung. Granularität der Secure Networks™ Policys Wie in der Grafik dargestellt, liegt die Stärke von Policy Enforcement bei Secure Networks™ in der Kombination aus Authentisierung, Klassifizierung und Kontrolle. Enterasys Networks – Solution Guide 2008
Secure Networks™ Seite 23 Mit diesen Maßnahmen ist es nun möglich einem breiten Spektrum von Bedrohungen zu begegnen, von denen einige hier beispielhaft aufgezeigt werden sollen: Risiko Lösung Illegitime DHCP-Server tauchen immer Eine Deny Regel auf SourcePort TCP69 wieder in LANs auf und stören den Be­ verhindert dies. trieb durch Zuweisung eigener IP- Adresse. Portscanner versuchen das Netz aus­ Das Blockieren des ICMP Protokolls für zuspähen. Standardbenutzer unterbindet Scan- Versuche. Rogue Access Points schaffen offene Auch ein AP muss sich via 802.1x au­ WLAN-Zugänge. thentisieren bevor er am Netzverkehr teilnimmt. Priorisierte Protokolle sind anfällig für Die Kombination aus Priorisierung und Packet Flooding. Rate Limiting schützt das Netz. Nicht alle IT-Komponenten lassen einen Layer 4-Regeln filtern Dienste wie Tel­ Schutz der Managementports zu. net und SSH aus, sofern der Benutzer keine Administratorenrolle spielt. Würmer verbreiten sich exzessiv in lo­ Für zahlreiche Attacken bietet der Policy kalen Netzen. Manager vorgefertigte Filterregeln an. Enterasys Networks – Solution Guide 2008
Seite 24 Secure Networks™ (Multi-) User Authentication and Policy (MUA+P) im Detail Die bisher aufgezeigte Kommunikationskette für den Authentisierungspro­ zess wird nun also um die Managementfunktion erweitert, mit deren Hilfe Rollen und Regeln verteilt werden. Kombination von Access Control und Policy Enforcement Nun gibt das zentrale Verzeichnis neben der positiven Authentisierungsbe­ stätigung auch die Gruppenmitgliedschaften des Benutzers an den RADIUS-Server zurück. Mittels eines kleinen Filterwerks ermittelt dieser die relevante Gruppe, deren Name dem Switch nun als Schlüssel dient, um dem Port die entsprechende Policy zu zu weisen. Die Authentisierungsmethode wird also lediglich um eine Filter-ID erwei­ tert, alle weiteren Funktionen führt die verteilte Netzwerkarchitektur selbsttätig aus. Das an sich sehr schlanke Standard-RADIUS Protokoll bie­ tet damit die Grundlage für eine hoch skalierbare Gesamtlösung. Im Kontext heterogener Netze, in welchen nicht alle Accesskomponenten den Einsatz von Policys unterstützen, ist es, wie bereits beschrieben, not­ wendig mehrere Benutzer an einem Port des nachgeschalteten Distribu­ tionlayers zu authentisieren. Die Flexiblität der Matrix ® N-Serie Switche erlaubt nun eine Kopplung der benutzerabhängigen Policy an die jeweils involvierte MAC Adresse. Enterasys Networks – Solution Guide 2008
Secure Networks™ Seite 25 Die folgende Grafik verdeutlicht das Konzept der so genannten Distributi­ on Layer Security. Diese Technik erlaubt die Integration unterschiedlicher Benutzer (bis zu 256) • unterschiedlicher Authentisierungsmethoden (802.1x, MAC, • PWA, CEP) unterschiedlicher Regelwerke (Policys) • am selben Uplinkport. Multiuser Authentifizierung Sichere Gastfreundschaft mit Default Policys Gäste spielen eine wachsende Rolle in Netzen, deren Mobilitätsanforderun­ gen kontinuierlich ausgebaut werden. Schüler und Studenten, Besucher, Wartungstechniker oder einfach Mitar­ beiter fremder Firmen, die manchmal über lange Zeiträume im Unterneh­ men präsent sind – sie alle haben den Anspruch, an den Ressourcen der IT-Infrastruktur teilzuhaben. Ein Horrorszenario für jeden Administrator! Der Balanceakt, einerseits diesem Bedarf nachzukommen ohne anderer­ seits die Sicherheitsrichtlinien des Unternehmens zu kompromittieren, stellt eine echte Herausforderung dar. Ein Teil der genannten Personengruppen lässt sich organisatorisch regis­ trieren und technisch mittels Webauthentication und einer restriktiven Po­ licy in das Sicherheitskonzept integrieren. Enterasys Networks – Solution Guide 2008
Seite 26 Secure Networks™ Für die oft große Zahl sporadischer Besucher ist dieser Aufwand unange­ messen hoch. Eine einfache Lösung muss her, die ohne Eingriff des Admi­ nistrators funktioniert. Den Schlüssel hierzu stellt die Default Policy dar. Sie erlaubt einem nichtauthentisierten Benutzer den minimalen Zugriff auf die Netzwerkin­ frastruktur. Eine solche „soziale Grundversorgung“ definiert sich beispiels­ weise über den Zugriff auf VPN-, HTTP-, DHCP- und DNS-Services sowie dem Zugang zum Webproxy des Unternehmens. Ein Rate Limiting begrenzt die nutzbare Bandbreite und verhindert exzes­ siven Gebrauch. Der Gast erhält also an jedem freigegeben Port Basisdienste, ist jedoch von den internen Ressourcen der IT-Infrastuktur eindeutig ausgeschlos­ sen. Aber auch andere Szenarien lassen sich über Default Policys abbilden. Softwareverteilung findet regulär außerhalb der Bürozeiten statt. Eine angepasste Default Policy stellt den Zugriff eines Updateservers auf das Endgerät auch dann sicher, wenn der Benutzer nicht angemeldet ist. Fazit: Default Policys schaffen die nötige Flexibilität in einem sicheren Netzwerk, um Nischenszenarien zu ermöglichen ohne die Security durch manuelle Schaffung von Ausnahmen und Lücken zu kompromittieren. Enterasys Networks – Solution Guide 2008
Secure Networks™ Seite 27 RFC 3580 und Distribution Layer Security Die Einführung flächendeckender Netzwerk Security in heterogenen Net­ zen stellt den Administrator, wie bereits beschrieben, vor eine Reihe spannender Herausforderungen. Gerade im Bereich der Low-Cost Switche hat sich das Prinzip der User/ VLAN-Zuordnung gemäß Standard RFC 3580 weitgehend etabliert. Daher soll dieses Thema nochmals eingehender mit Fokus auf eine Secure Networks™ Integration beleuchtet werden. RFC 3580 ist eine Methode, welche der Authentisierungsantwort des RADIUS-Servers eine VLAN-ID beifügt, anhand welcher der Switch dem Userport ein entsprechendes VLAN zuweist. In diesem Abschnitt soll beleuchtet werden, wie sich derartige Komponen­ ten in eine policybasierte Lösung integrieren lassen. Enhanced Policy mit RFC 3580 Enterasys Networks – Solution Guide 2008
Seite 28 Secure Networks™ In dem abgebildeten Beispiel agiert der Distribution Layer Switch vom Typ Matrix® N-Serie N7 nicht als Authentisierungsinstanz, sondern weist den eingehenden Frames anhand der VLAN-ID eine entsprechende Policy zu. Damit reduziert sich das Risiko unkontrollierter Client-zu-Client Kom­ munikation auf den Bereich des VLANs innerhalb des einzelnen Access Switchs. Auch das VLAN-to-Role Mapping lässt sich an zentraler Stelle im Policy Manager konfigurieren und flächendeckend an alle Switches kommunizier­ en. VLAN Mapping im NetSight® Policy Manager Port Protection Im Gegensatz zum Policy Enforcement direkt am Access Port verbleibt bei allen Szenarien der Distributed Layer Security ein Restrisiko, da die Access Control erst in der nachgelagerten Instanz ausgeführt wird. Um diese Lücke zu schließen, haben die Entwickler von Enterasys die Funktionalität des Cabletron ELS10-27MDU (Multiple Dwelling Unit) den neuen Anforderungen angepasst und in das Portfolio der SecureStack™ Reihe integriert. Enterasys Networks – Solution Guide 2008
Secure Networks™ Seite 29 Das Port Protection oder Private VLAN Feature, welches Datenaustausch nur in Richtung definierter (Uplink-) Ports zulässt, leitet die gesamte Kom­ munikation des Switchs direkt in die Distribution Zone und das Regelwerk der Policys. Diese Schutzmaßnahme bewahrt die Enduser vor unkontrol­ liertem Verkehr innerhalb des Switchs/VLANs. Policy Enforcement in der Praxis Die Konfrontation mit einer Flut von Begriffen wie MUA+P, RFC 3580 und Distribution Layer Security impliziert die Vorstellung einer Netzwerkarchi­ tektur, welche aufgrund ihrer Komplexität einfach nicht mehr zu handha­ ben scheint. Es bietet sich daher an, die Migration eines LANs hin zu einem sicheren Netzwerk in abgestuften Phasen durchzuführen, welche szenarienbedingt variieren können. Hier ein Beispiel für die Vorgehensweise: Step 1 – Assessment Eine Bestandsaufnahme stellt den Grundstock für weitere Betrachtungen dar. Daher sollten einige Punkte im Vorfeld festgelegt werden. Welche Komponenten sind im Netz aktiv, welche Featuresets ste­ • hen zur Verfügung? Welche Verkehrsbeziehungen sind zwischen Endgeräten und Ser­ • vern etabliert? Welche Dienste werden genutzt? Welche sollten fallweise restriktiv • behandelt werden? Welche Authentisierungsmethoden können/müssen eingesetzt • werden? Was unterstützen die Betriebssystemplattformen der Endgeräte? Step 2 - Management Die Einrichtung des Netzwerkmanagements verdient ein besonderes Au­ genmerk. Die Auswertung von SNMP-Traps und Syslogmeldungen stellt Enterasys Networks – Solution Guide 2008
Seite 30 Secure Networks™ einen wichtigen Faktor für die transparente Darstellung des Betriebszu­ standes eines Netzwerks dar. Nach der Einführung redundanter Maßnahmen manifestieren sich einzelne Ausfälle nicht mehr in Form von Betriebsstörungen. Umso wichtiger ist es, diese Teilausfälle zu erkennen, um die Gesamtverfügbarkeit der Infra­ struktur erhalten zu können. Die steigende Integration intelligenter Funktionen in die Netzwerkkompo­ nenten erfordert ein Maß an Kontrolle, welches über einfaches Portmana­ gement hinaus geht. Die NetSight® Console ist in der Lage sowohl Meldungen aktiver Kompo­ nenten intelligent auszuwerten als auch Managementaufgaben flächende­ ckend und geräteübergreifend durchzuführen. Das ermöglicht dem Administrator wiederkehrende Routineaufgaben ener­ giesparend zu absolvieren und Funktionsstörungen jederzeit gezielt zu lo­ kalisieren. Die Integration des Policy Managers in die NetSight® Installation ist der erste praktische Schritt zu einem sicheren Netzwerk. Step 3 – Static Policys Es gibt verschiedene Rahmenbedingungen, welche die flächendeckende Einführung von Authentisierungsmethoden verzögern. Daher bietet es sich als Vorstufe an einen statischen Schutz zu etablieren, welcher ohne jede Authentisierung auskommt. Zu diesem Zweck werden einige wenige Policys definiert, welche den Access Ports als Default Role zugewiesen werden. Der Nachteil dieser statischen Lösung liegt in einer geringen Flexibilität. Jeder Umzug von Endgeräten erfordert eine Prüfung der dem Port zuge­ wiesenen Policy. Die Möglichkeit, unter Einsatz des Policy Managers auf einfache Weise eine Access Port Security zu etablieren, birgt – gerade in kleinen und mittleren Netzen – jede Menge Charme und ist als Zwischenstufe einer Migration durchaus betrachtenswert. Step 4 - Authentisierung Dieser Schritt erfordert einen Blick über den Netzwerktellerrand hinaus. Die Integration des RADIUS-Dienstes in Verbindung mit der zentralen Be­ nutzerverwaltung ist möglicherweise bereits im Rahmen einer VPN- oder WLAN Lösung vollzogen worden. Nun gilt es im RADIUS-Server ein Filterwerk zu etablieren, welches die Gruppenzugehörigkeit eines Users auf Betriebssystemebene auf einen ent­ sprechenden Policystring (Filter ID) destilliert. Dem folgt die Authorisie­ rung der Accessswitche als registrierte RADIUS-Clients. Enterasys Networks – Solution Guide 2008
Secure Networks™ Seite 31 Das Aktivieren der Authentisierungsfunktion auf den Switchen stellt einen wesentlichen Schritt in der Migration dar. Der Zugang zum Netz ist nun nicht mehr von der reinen LAN-Connectivity bestimmt, sondern hängt von zahlreichen Faktoren ab: Endgerätekonfiguration, Switcheinstellung, RADIUS, Directory. Um das einwandfreie Zusammenspiel dieser Kommunikationskette risiko­ frei sicherzustellen, hat sich die Durchführung einer Pilotphase bewährt. In dieser Phase ist jedem Port zunächst eine liberale Default Policy zuge­ ordnet, welche den Benutzer in seinem Tun nicht einschränkt. Ein authentisierter User erhält eine neue Rolle, welche die gleichen Frei­ heiten einräumt. Während dieser Pilotphase kann der Administrator risikofrei prüfen, ob die Authentisierungsmechanismen auch unter Volllast greifen. Ist diese Prü­ fung abgeschlossen, können die vorbereiteten Policys scharfgeschaltet werden. Step 5 – Nächste Schritte Die Integration von Authentisierungsmaßnahmen und Regelwerken im Accessbereich stellt einen großen Schritt hin zu flächendeckender Netz­ werksecurity dar. Doch das Secure Networks™ Portfolio hat weit mehr zu bieten. Die Fähigkeit, Protokolle und Dienste auf den Layern 2, 3 und 4 flächende­ ckend zu kontrollieren, schafft eine solide Basis an Präventivmaßnahmen. Der nächste Schritt, Missbrauch und Attacken innerhalb des Contents oder aufgrund von anomalem Verhalten zu erkennen und darauf zu reagieren, ist in den nachfolgenden Kapiteln „Detect and Locate“ dokumentiert. Neben der Sicherheitsüberprüfung des Benutzers stellt sich auch die Frage nach dem Vertrauensstatus des Endgeräts. Im Kapitel „Proactive Pre­ vention“ werden Techniken beleuchtet, die es ermöglichen, die wachsen­ de Zahl von PCs, Laptops, Telefonen und embedded Devices in ein erwei­ tertes Sicherheitskonzept einzubinden. Rückblickend auf zahlreiche Secure Networks™ Migrationen hat sich die Vorgehensweise bewährt, vor Ort einen auf die Bedürfnisse des Kunden abgestimmten Workshop durchzuführen, in welchem Grundlagen vermit­ telt werden, einzelne Schritte festgelegt und Konfigurationen vorab er­ stellt werden können. Enterasys Networks bietet für alle Schritte, angefangen von der Erstellung eines Pflichtenheftes, der Planung, der Implementierung und Einweisung, professionelle Unterstützung an. Enterasys Networks – Solution Guide 2008
Seite 32 Secure Networks™ Detect and Locate Secure Networks™ von Enterasys schützt die Unternehmenswerte durch einen ganzheitlichen Ansatz. Die Grundvorrausetzung hierfür ist, dass das Netzwerk in der Lage ist, Angriffe und Gefahren auf Ressourcen im Netz­ werk zu erkennen und den Angreifer zu identifizieren. Bevor jedoch Angriffen auf die IT Infrastruktur begegnet werden kann, muss verstanden werden, wie diese Attacken durchgeführt werden und welche Charakteristiken zur Erkennung genutzt werden können. Angriffe Grundsätzlich kann dabei zwischen den folgenden Angreifertypen unter­ schieden werden: Automatisierte Angriffe (Viren, Würmer, Trojaner) ● Toolbasierte Angriffe ● Gezielte, intelligente, per Hand durchgeführte Angriffe ● Automatisierte Angriffe Schafft es eine Sicherheitslücke in die Nachrichten, kann man davon aus­ gehen, dass ein Virus oder ein Wurm diese Sicherheitslücke nutzt, um IT Systeme flächendeckend zu kompromittieren. Sind diese Sicherheits­ lücken bis dato noch unbekannt oder existiert kein Patch dazu, spricht man häufig von Day Zero Attacken. Die eigentliche Herleitung dieses Begriffs, der eigentlich Zero-Day Angriff/ Exploit lautet, kommt jedoch von der kurzen Zeitspanne zwischen dem Entdecken einer Sicherheitslücke und dem Verfügbarsein eines funktionie­ renden Angriffs (zumeist eines Exploits). Unabhängig davon, ob die Si­ cherheitslücke bekannt ist und ebenfalls unabhängig davon, ob ein Patch für diese Sicherheitslücke exisitert, folgt das Schädlingsprogramm, das eine Sicherheitslücke automatisiert ausnutzen will, zumeist einem be­ stimmten Schema: 1) Netzwerkdiscovery und Zielidentifizierung (optional) Bevor ein (vernünftig programmierter) Wurm oder Virus seinen bösartigen Code an ein Zielsystem sendet, überprüft er, ob das Zielsystem überhaupt angreifbar ist. Die Palette der Möglichkei­ ten, um diese Informationen zu erlangen, reicht vom stupiden Banner Grabbing bis zum intelligten TCP Fingerprint. Enterasys Networks – Solution Guide 2008
Secure Networks™ Seite 33 2) Kompromittierung des Zielsystems Nachdem das Ziel feststeht, wird der schadhafte Code übermittelt. Dies stellt den eigentlichen Angriff dar. Da der durchgeführte An­ griff auf eine Vielzahl unterschiedlicher Systeme auf unter Um­ ständen unterschiedlichen Plattformen durchgeführt werden soll, ist der Angriff an sich meistens sehr stupide und einfach zu erken­ nen. 3) Weiterverbreitung Ist das Zielsystem kompromittiert, versucht das Schadprogramm sich weiter im Netzwerk zu verbreiten. Automatisierte Angriffe können sowohl von Systemen, die mit anomalie­ basierten Erkennungstechnologien arbeiten, als auch von signaturbasier­ ten Systemen erkannt werden. Toolbasierte Angriffe Vor einigen Jahren setzte die Durchführung von stack- oder heapbasierten Angriffe noch Programmierkenntnisse in C und Assembler voraus. Heutzu­ tage gibt es eine Vielzahl von zum Teil freien Frameworks, die das Ausfüh­ ren eines Schadprogramms per Knopfdruck ermöglichen. Diese Frameworks laden bestimmte Angriffsmodule und bieten dem An­ greifer die Möglichkeit, die dynamsichen Parameter eines Angriffs per GUI zu definieren. Dadurch werden die Hürden zum erfolgreichen Durchführen eines Angriffs enorm gesenkt. Zumeist erstellen diese Frameworks einen Exploit, der sich in die folgen­ den Unterteile aufgliedern lässt: 1) Socket Aufbau Bevor der Angriffscode übermittelt werden kann, muss eine Netz­ werkverbindung zum Zielsystem aufgebaut werden. 2) Shell Code / Angriffscode Nachdem die Verbindung zum Zielsystem initialisiert worden ist, wird der Angriffscode über den Socket verschickt. Da die Rück­ sprungadresse und das Offset nicht bekannt sind, werden sehr viele verschiedene Rücksprungadressen durchprobiert. Da bei die­ sen toolgesteuerten Angriffen oftmals auch die verschiedenen Speichergrößen unbekannt sind, werden sehr viele NOPs über das Netzwerk versendet – daraus resultiert ein großer Speicherbedarf für das NOP-Sledge. 3) Informationsaufbereitung Sobald der Angriffscode übermittelt wurde, werden die daraus re­ sultierenden Informationen (zum Beispiel der Inhalt bestimmter Dateien des Zielsystems) für den User aufbereitet. Enterasys Networks – Solution Guide 2008
Seite 34 Secure Networks™ Obwohl die Angriffe, die über diese Frameworks durchgeführt werden, ge­ zielt sind und sich somit von den automatisierten Angriffen unterscheiden, müssen die Angriffsschemata dennoch sehr offen gehalten werden. Nur so kann eine sehr hohe Erfolgsquote garantiert werden. Diese Angriffe sind unter anderem durch folgende Merkmale auffällig: Große NOP Bereiche ● Oftmaliges Übermitteln des Angriffscodes (da diese die Rück­ ● sprungadresse enthält) Auffällige Offsets ● Standard Shell Code ● Unsauberes Beenden des angegriffenen Programms (kein exit(0) ● innerhalb des Shell Codes) Diese Angriffe lassen sich am besten durch signaturbasierte Systeme er­ kennen. Gezielte Angriffe Ein gezielter Angriff zeichnet sich dadurch aus, dass der eigentliche An­ griffscode sehr schlank und sauber geschrieben ist und dass die Verbin­ dungen und die Codesprünge sauber geschlossen werden. Die Rücksprungadresse wird oftmals durch einen ersten Vorabangriff ge­ schätzt, so dass der Angriffscode nicht zu oft über den Socket geschickt werden muss. Je nach zu überschreibendem Puffer kann ein gezielter Angriff mit einem Shell Code von 179 Bytes bis 380 Bytes Gesamtlänge liegen (je nach NOP-Slegde). Angriffe der neuen Generation (wie Cross Site Scripting) sind zumeist sehr gezielt und können innerhalb eines Paketes erfolgreich übermittelt wer­ den. Aufgrund der verschiedenen Evasionsmöglichkeiten, die sich dem An­ greifer bieten, um seinen Angriff zu verschleiern, stellen diese fokusierten Attacken die größte Herausforderung an präventive Sicherheitssysteme dar. Gezielte Angriffe lassen sich am besten durch die Kombination von signa­ turbasierten Systemen und System Information Management Systemen erkennen. Zur besseren Veranschaulichung wie Angriffe funktionieren, wie sie er­ kannt und verhindert werden können, folgend die Beschreibung dreier be­ kannter und weitverbreiteter Angriffsmuster. Enterasys Networks – Solution Guide 2008
Secure Networks™ Seite 35 Denial of Service Denial of Service Attacken gelten oftmals als stupide Attacken von Angrei­ fern, die nicht in der Lage sind, ein System zu kompromittieren und es deshalb einfach „nur“ ausschalten wollen. In Wahrheit sind Denial of Ser­ vice Attacken jedoch oftmals „Vorboten“ eines stack- oder heapbasierten Angriffs (Buffer Overflow Attacke zur Übernahme des Dienstes) oder die­ nen dazu, die Netzwerkdienste, die ein ausgeschalteter Service offeriert hat, zu übernehmen. Beliebte Angriffsziele sind DHCP Server, die zumeist über Broadcasts an­ gesprochen werden und oftmals keinerlei Authentifizierung unterliegen. Schafft es ein Angreifer, einen DHCP Server auszuschalten, kann er seinen Dienst übernehmen und in die Netzwerkkonfiguration von Endsystemen eingreifen. Dies kann Einfluss auf die Access Control Listen im Netzwerk und auf Update-Verhalten haben (bestimmte Sicherheitsgatewaysysteme installieren Updates über NFS mounts, die sie vom DHCP Server erhalten). Buffer Overflow Angriffe, die mit dem Überschreiben von Puffern zusammenhängen, sind für die meisten erfolgreichen Angriffe verantwortlich. Die Tendenz geht je­ doch von pufferbezogenen Angriffen weg und hin zu Cross Site Scripting- bezogenen Angriffen. Im Folgenden sind einige Gründe hierfür aufgeführt: Sichere Frameworks für Applikationserstellung und Code Access ● Security Stack Schutz von Betriebssystemen ● Stack Schutzmechanismen für Compiler ● Um zu verstehen, wie diese Angriffe funktionieren und zu erkennen, warum diese stetig an Bedeutung verlieren, ist es wichtig den Programmablauf auf dem „Stack“ und dem „Heap“ zu verstehen. Dies würde jedoch den Rahmen dieses Kapitels sprengen. Cross Site Scripting (XSS) Cross Site Scripting Attacken gewinnen stetig an Bedeutung. Sie können zu massiven Problemen führen (bis hin zur Kompromittierung des kom­ pletten Systems), sind extrem einfach für einen Angreifer zu finden und auszunutzen und oftmals sehr schwer zu erkennen und zu verhindern. XSS Angriffe sind zumeist im HTTP, XML und SOAP Bereich beheimatet und basieren auf der Dynamik der Programmiersprache mit der bestimmte Dienste, die die genannten Protokolle nutzen, geschrieben sind. Um zu verstehen, wie Cross Site Scripting Attacken funktionieren, muss der Unterschied zwischen Hochsprachen und Skriptsprachen verdeutlicht werden. Vereinfacht gesagt wird ein Skript zeilenweise ausgeführt (vom Enterasys Networks – Solution Guide 2008
Seite 36 Secure Networks™ Interpreter). Kommt es zu einem Fehler oder einer falschen Anweisung endet das Skript in einer bestimmten Zeile. Ein in einer Hochsprache (z.B. C) geschriebenes Programm wird vor Beginn der ersten Ausführung kom­ piliert – grobe Fehler werden also schon bei der Erstellung des Programms erkannt. Ferner ist es bei Skriptsprachen möglich, Codes während der Laufzeit einzubinden. Durch Fehler innerhalb des dynamischen Codes ist der Angreifer in der Lage, den eigenen Code in die Webapplikation einzuschleusen (Skript Code oder Datenbanksteuerungsbefehle). Dies kann er zum Beispiel durch das Manipulieren bestimmter URL Variablen erreichen, die zur Laufzeit Teil des ausführenden Codes werden. Eine genauere, intensive Betrachtung der verschiedenen Angriffsmuster wird im Enterasys Networks Pre-Sales-Training vermittelt. Dort werden neben den hier genannten Angriffsschemata auch man-in-the-middle Atta­ cken und Protokollangriffe detailliert behandelt. IDS Erkennungstechnologien Intrusion Detection und Prevention Systeme sind in der Lage die beschrie­ benen Angriffsschemata zu erkennen und entsprechend zu reagieren. Wie bereits einleitend beschrieben, gibt es für die verschiedenen Angriffe ver­ schiedene Erkennungstechnologien. Vorab kann also festgehalten werden, dass der bestmögliche Schutz nur dann gegeben ist, wenn das eingesetzte IDS alle verfügbaren Erkennungstechnologien vereint und somit in der Lage ist, die jeweils beste Technologie zur Erkennung und Prävention ein­ zusetzen. Grundsätzlich kann unter folgenden Erkennungstechnologien unterschie­ den werden: Behavior Based Anomaly Detection ● Die Analyse von Verkehrsbeziehungen mittels Daten aus den  Netzwerkkomponenten, zum Beispiel via Netflow, Sflow, RMON mit dedizierten Probes oder auch mittels komponenten­ spezifischer Traps Bei hostbasierten Systemen ist hierunter meist die Analyse  der System Calls zu verstehen, um „ungültige“ Calls später heraus zu filtern oder die Analyse von CPU Last und Memory pro Applikation etc. Enterasys Networks – Solution Guide 2008
Secure Networks™ Seite 37 Anomaly Detection ● Die Paketanalyse auf bestimmte Muster hin (bestimmte TCP  Flag Kombinationen gesetzt, etc.) Bei Host Sensoren kann man hierunter die Überwachung von  Files auf dem System verstehen („Logfiles werden nie kleiner“ oder „/etc/passwd“ wird normalerweise nicht geändert) Protocol based – Protocol Conformance Analysis und Decoding ● Die Decodierung von Protokollen und Überprüfung der Konfor­  mität im Hinblick auf Standards Signature based – Pattern Matching ● Die Analyse des Paketinhaltes in Hinblick auf verdächtige  Kombinationen (Verwendung von bekannten Exploits, Aufruf von ungültigen URLs, etc.) Bei Host Sensoren versteht man darunter zum Beispiel die  Analyse von Logdateien Eine Behavior Based Anomaly Detection basiert darauf typische Verhal­ tensmuster im Netzwerk, wie zum Beispiel die mittlere Anzahl von Flows pro Host oder den durchschnittlichen Durchsatz zu messen und bei star­ ken Abweichungen von diesen Werten Alarm zu schlagen. Wichtig hierbei ist, dass es sich dabei nicht nur um das Setzen und Messen von Schwell­ werten handelt, sondern um komplexe Algorithmen, die in der Lage sind, Systemverhalten zu erkennen, zu analysieren und normales Verhalten in bestimmten Grenzen vorher zu sagen. Bei der Anomaly Detection und der protokollbasierten Analyse werden quot;unmöglichequot; Datenpakete wie falsch zusammengebaute TCP-Pakete oder fragmentierte IP-Pakete mit nicht definierten Offsets erkannt. Außerdem werden die Sessions der einzelnen Verbindungen wieder zusammenge­ setzt und diese nach Auffälligkeiten analysiert und Abweichungen von de­ finierten Netzwerkpolicys (zum Beispiel, dass Mitarbeiter keine Peer-to- Peer Programme wie Napster, Kazaa, etc. verwenden sollten) erkannt. Eine signaturbasierte Lösung kann extrem präzisen Aufschluss über den Angriff geben, da die gesamte Paketfolge (je nach Produkt) abgespeichert wird: Damit ist auch eine schnelle Bewertung möglich, ob der Angriff er­ folgreich war. Dafür verwendet das IDS eine Datenbank, in der alle bekannten Signatu­ ren von Angriffen und Hackertechniken gespeichert sind (dabei handelt es sich um Binärabbilder bestimmter, typischer Fragmente der durch An­ griffstools oder Viren erzeugten Datenpakete). Diese werden mit dem Da­ tenteil der Pakete verglichen und so erkannt. Mit signaturbasierten Systemen ist die Erkennung völlig unbekannter An­ griffe jedoch schwierig zu realisieren. Dies gelingt in den Fällen sehr gut, in denen bestimmte (verschiedene) Angriffe einem bestimmten Muster Enterasys Networks – Solution Guide 2008
Seite 38 Secure Networks™ folgen. Gut lässt sich dies anhand von Buffer Overflow Angriffen verifizie­ ren, die sich durch das Senden von Shell Code und NOP-Sledges auszeich­ nen. Zusammenfassend kann festgehalten werden, dass Intrusion Detection und Prevention Systeme Datenpakete aufnehmen, Dateninhalte lesen und bestimmte Technologien anwenden, um festzustellen, ob ein Paket oder ein Kommunikationsfluss integer ist oder ob es sich um einen Angriff han­ delt. Zur Verifizierung eines erfolgreichen Angriffs verwendet das IDS nicht nur das Angriffspaket oder die Angriffspakete. Es bezieht in seine „Überlegung“ auch die Antworten des angegriffenen Systems ein. Enterasys Networks – Solution Guide 2008
Secure Networks™ Seite 39 Hostbasierte Erkennung versus netzwerkba­ sierte Erkennung Angriffserkennung kann, wie bereits beschrieben, auf dem Hostsystem oder im Netzwerk stattfinden. Bevor auf die verschiedenen Technologien im Detail eingegangen wird, werden im Folgenden einige Vor- und Nach­ teile der verschieden Systeme aufgeführt. Vorteile hostbasierter Erkennung: Netzwerkstream wurde bereits vom TCP Stack des Betriebssys­ ● tems zusammengesetzt Verschlüsselungsproblematiken sind nicht vorhanden ● Komplettes Systemverhalten kann in die Bewertung eines Angriffs ● einbezogen werden Nachteile hostbasierter Erkennung: Großer Verwaltungsaufwand: Muss auf jedem Host installiert wer­ ● den Verschiedene Betriebssysteme benötigen verschiedene Clients ● Betriebssystemänderungen können hostbasierte Erkennung beein­ ● flussen Vorteile netzwerkbasierter Erkennung: Änderungen am Betriebssystem des Ziels haben keinen Einfluss ● auf die netzwerkbasierte Erkennung Geringerer Verwaltungsaufwand: Ein netzwerkbasiertes System ● kann eine Vielzahl von Hosts überwachen Nachteile netzwerkbasierter Erkennung: Verschlüsselter Datenverkehr kann zu Problemen bei der Angriffs­ ● erkennung führen Single Point of Failure ● Lokale Angriffe werden nicht erkannt ● Enterasys Networks – Solution Guide 2008
Seite 40 Secure Networks™ Host Intrusion Detection / Prevention (HIDS/ HIPS) Host Intrusion Detection / Prevention Systeme haben einen komplett an­ deren Aufbau als netzwerkbasierte Systeme. Diese Systeme haben drei Hauptansatzpunkte: Kernel Schutz (System Call Hooking) ● Überwachung von Konfigurationsdateien und/oder der Registrie­ ● rung Prüfung der Systemintegrität ● Kernel Schutz Obwohl dies dem Benutzer oftmals verborgen bleibt, sind Betriebssysteme in zwei Bereiche aufgeteilt. Das Userland, in dem sich Applikationen, Be­ nutzer, Programme und Prozesse befinden und der Kernelspace, in dem das Betriebssystem und die Betriebssystemroutinen beheimatet sind. Ver­ einfacht könnte man sagen, dass die Schnittstelle zwischen Betriebssys­ tem (das die Dateien und die Hardware exklusiv verwaltet) und dem User­ land die System Calls sind. Diese Calls werden von Applikationen und Pro­ grammen genutzt, um Zugriff auf Betriebssystemressourcen zu erhalten. Ein HIDS / HIPS setzt sich jetzt als überwachende Instanz zwischen das Betriebssystem (den Kernelspace) und der Welt der Applikationen und überwacht, ob die ankommenden Anfragen valid sind oder ob es sich um Angriffe handelt. Diese Überwachung kann sich durch mehrere Leistungs­ merkmale bemerkbar machen: Verhindern des Ausführens von Code auf dem Stack ● Überschreiben von System Calls (Linux – LKM) ● Überwachung von Konfigurationsdateien und Registrie­ rung Ein weiterer wichtiger Bestandteil eines HIDS / HIPS ist die Überwachung von Systemkonfigurationsdateien und Systemregistern (Windows) bzw. Kernelkonfigurationen (Linux). So kann das HIDS sichergehen, dass wichtige Systemapplikationen (Fire­ wall, Antivirenscanner, etc.) auf dem aktuellen Stand sind und noch lau­ fen. Auch Trojaner und andere Schadprogramme lassen sich dadurch sehr gut identifizieren. Enterasys Networks – Solution Guide 2008
Secure Networks™ Seite 41 Prüfung der Systemintegrität Die Systemintegrität ist eine sehr wichtige Aufgabe von Host Intrusion De­ tection / Prevention Systemen. Dadurch kann sichergestellt werden, dass wichtige Systemprogramme bzw. der Code wichtiger Systemprogramme nicht manipuliert wurde. Das HIDS / HIPS bildet hierzu zu einem Zeit­ punkt, an dem das zu überwachende Systemtool noch integer ist, eine SHA-1 oder MD5 Checksumme des Binärcodes und agiert sobald sich die­ se Checksumme ändern. System Integrität – Kernel Schutz Enterasys Networks bietet für viele unterschiedliche Betriebssysteme Hostsensoren an, die didaktisch sehr einfach über den Dragon ® EMS zu verwalten sind. Damit können die in diesem Kapitel beschriebenen Featu­ res einfach und sicher realisiert werden. Enterasys Host Intrusion Prevention Systeme beschränken sich dabei je­ doch nicht nur auf den hier beschriebenen Betriebssystem- und Syste­ mapplikationsschutz. Für einige businessrelevante Gebiete (wie Webserver [Internet Information Server und Apache]) gibt es eigene Application In­ trusion Prevention Systeme, die für einen idealen Schutz der entsprechen­ den Applikation sorgen. Erweiterungsmöglichkeiten des HIDS Im Bereich Host Intrusion Detection bietet Enterasys ein SDK (Software Development Kit) an, das von Kunden, Partnern oder vom Enterasys Pro­ fessional Services Team genutzt werden kann, um zusätzliche Leistungs­ merkmale in die Produkte zu integrieren. Der Entwickler kann dabei auf die gesamte Bandbreite der integrierten Leistungsmerkmale zurückgreifen und somit neue Features schnell und sicher integrieren. Das Design ist dabei so realisiert, dass es Entwicklern möglich ist, zusätz­ liche Features über eine Programmiersprache ihrer Wahl (z.B. C oder C#) zu realisieren und diese dann gegen eine von Enterasys bereitgestellte Bi­ Enterasys Networks – Solution Guide 2008
Seite 42 Secure Networks™ bliothek (Library) zu linken. Dadurch muss sich der Entwickler nicht um die Kommunikation des neu erstellten Features mit der Enterasys Enter­ prise Management Suite beschäftigen oder mit sicherheitsbezogenen The­ men wie Authentifizierung und Verschlüsselung – er kann sich voll und ganz auf die Realisierung des neuen Features konzentrieren. Enterasys stellt in diesem Zusammenhang umfangreiche Beispielprogram­ me, Beispielerweiterungen und Hilfsdokumente zur Verfügung, so dass es dem Administrator oder dem Entwickler schnell möglich ist, sich in die Thematik einzulesen und effizient zu entwickeln. Durch die neu geschaffene dot net Schnittstelle ist es nun auch möglich, alle betriebssystembezogenen Sicherheitsmerkmale, die Microsoft in ihre Produkte integriert, innerhalb der Dragon® Defense Suite zu nutzen. Network IDS/IPS Netzwerkbasierte Intrusion Detection und Prevention Systeme unterschei­ den sich in allen wesentlichen Punkten von hostbasierten Systemen. Ihr interner Aufbau kann folgendermaßen beschrieben werden: Ereigniskomponente: ● Sensoren oder der eigene Netzwerkstack nehmen Raw-Daten aus dem Netzwerk auf und starten das so genannte Preprocessing, das dabei hilft, die Daten in ein einheitliches Format zu bringen (dies hat den Vorteil, dass man dadurch in der Lage ist, Signaturen in einem einheitlichen Format zu erstellen). Danach werden diese vereinheitlichten Daten an die Analysekomponente weitergege­ ben. Analysekomponente: ● An dieser Stelle werden die Daten, die von der Ereigniskomponen­ te gesammelt wurden, analysiert. Bei signaturbasierten Systemen wird der Paketinhalt gegen die verschiedenen Paketinhalte der Si­ gnaturen kreiert. Sobald eine Signatur anschlägt, wird ein Alarm ausgelöst. Dieser Alarm kann lediglich ein Logfile oder Datenbank­ eintrag sein. Sollte es sich bei dem entsprechenden Deployment um eine DIRS (Dynamic Intrusion Repsonse System) Installation handeln, kann über ein Alarmtool auch eine Aktion (Ändern der Port Policy) gestartet werden. Monitor und Darstellungskomponente: ● Nachdem die Daten intern in einem bestimmten Format vorliegen (Angriffsart, Angreifer, Ziel, Zeitinformationen, etc.) werden die Daten an dieser Stelle verständlich (zumeist grafisch) für den An­ wender / Administrator aufbereitet. Zusammenfassend kann gesagt werden, dass durch die Kombination netz­ werk- und hostbasierter Erkennung ein sehr hoher Schutzfaktor erreicht Enterasys Networks – Solution Guide 2008
Secure Networks™ Seite 43 werden kann, der vor einer Vielzahl verschiedener Angriffsszenarien schützt. IDS versus IPS versus DIRS Nachdem nun definiert wurde, wie präventive Sicherheitssysteme Angriffe erkennen können, werden die Aktionen, die aus diesen Informationen ge­ troffen werden können, diskutiert. Detection Die Erkennung von Angriffen ist die Grundlage jeglicher präventiver Si­ cherheitstechnologie (ob inline oder outline). Sollte keine proaktive Si­ cherheitsimplementierung gewünscht sein, so kann man durch die Daten, die in diesem Schritt gesammelt wurden, forensische Nachforschungen betreiben, Angriffe zurückverfolgen, Beweise auswerten, Systemverhalten überwachen und dokumentieren, Statistiken über die Sicherheitsentwick­ lungen erstellen und Datenquellen / Ressourcen für Security Information and Event Management Systeme bereitstellen, die daraus SoX-konforme Reports erstellen können. Prevention Aktive Angriffsverhinderung geschieht zumeist inline. Die Geräte (NIPS) werden also direkt in den Kommunikationsfluss integriert und entschei­ den, ob ein Paket weitergeleitet werden soll oder nicht. Intrusion Prevention ist ein sehr gutes Werkzeug, um das Netzwerk und die darin befindlichen Komponenten aktiv vor Angriffen zu schützen. Der Angreifer selbst bleibt davon jedoch unberührt und hat weiterhin Zugriff auf die Ressourcen des Netzwerks. Seine Pakete werden lediglich dann verworfen, wenn es sich dabei um schadhafte Pakete handelt. Dynamic Response Distributed IPS basiert auf Intrusion Detection und führt – basierend auf den Ergebnissen des Intrusion Detection Systems – Aktionen im Netzwerk durch. Je nach vorhandener Netzwerkinfrastruktur kann dies durch das Ändern einer Portpolicy oder durch das Verbannen eines Users aus einem bestimmten VLAN in ein Anderes geschehen. Distributed IPS reagiert da­ bei auf bestimmte Ergebnisse. Wird ein Angriff durch das Versenden eines einzelnen Paketes erfolgreich durchgeführt, wird das DIRS diesen Angriff nicht verhindern. Es werden jedoch Aktionen gegen den Angreifer gefah­ ren, die verhindern, dass dieser weiterhin Schaden im Netzwerk anrichtet. Auch hier kann zusammenfassend festgehalten werden, dass das größte Schutzpotential durch die Kombination der verschiedenen Technologien realisiert werden kann. Enterasys Networks – Solution Guide 2008
Seite 44 Secure Networks™ Dynamic Response in Multivendor Networks Enterasys Networks ist der führende Anbieter von Distributed IPS Syste­ men. Durch eine extrem hohe Anzahl unterstützter Devices von Fremdher­ stellern ist es möglich, nahezu jede Netzwerkinfrastruktur durch den Ein­ satz des Dragon® IDS in Kombination mit dem Automated Security Mana­ ger über DIRS abzusichern. Enterasys Networks – Solution Guide 2008
Secure Networks™ Seite 45 System Information and Event Management Unter SIEM (System Information and Event Management) oder SIM (Sys­ tem Information Management) versteht man die hohe Kunst, alle vorhan­ denen Daten aufzunehmen, zu korrelieren und daraus einen Rückschluss auf eine bestimmtes Ereignis zu treffen. Einsatzmöglichkeiten für Dragon® Zur besseren Veranschaulichung kann die IST Situation und die SOLL Si­ tuation (bezogen auf Security Information Management) vieler Unterneh­ men herangezogen werden: Ist Situation: Eine Vielzahl von unterschiedlichen Systemen offeriert Dienste im Netzwerk. Die entstehenden Logmessages werden in unter­ schiedlichen Formaten auf unterschiedlichen Systemen gehalten und kön­ nen sensible, wichtige Informationen enthalten. Soll Situation: Eine Vielzahl von bestehenden Systemen offeriert Dienste im Netzwerk. Die entstehenden, unterschiedlich formatierten Logmessa­ ges werden zentral ausgewertet. Die wichtigsten Daten werden in einem High Level Approach dem entsprechenden Mitarbeiter aufbereitet. Aus verschiedenen Quellen werden in Realtime sinnvolle Schlüsse gezogen (Korrelation). Im Vordergrund steht die Information und nicht die Lognachricht. Enterasys Networks – Solution Guide 2008
Seite 46 Secure Networks™ Die Technologie Technologisch wird die eben beschriebene SOLL Situation dadurch er­ reicht, dass alle Events (ein Event ist eine einzelne Nachricht eines Sys­ tems innerhalb der IT Infrastruktur; dies kann eine Lognachricht eines Syslog Servers sein, ein Alarm eines Intrusion Detection Systems oder ein Flow Record eines Layer 2 / Layer 3 Systems) in einer Datenbank gespei­ chert und korreliert werden. Aus dieser Korrelation wird ein neuer Übere­ vent generiert – der so genannte Offense. Ein Offense ist ein Alarm, der aus verschiedenen Events generiert wurde. Je mehr Events zu einem Of­ fense zusammengefasst werden, desto höher ist die Data Reduction Rate. Das SIEM kann dabei Lognachrichten oder auch Flow Daten von Netzwerk­ geräten aufnehmen und diese in Relation zueinander setzen. Durch die ganzheitliche Strategie von Secure Networks™ ist es im Umkehrschluss wiederum möglich, Aktionen basierend auf den Offenses im Netzwerk zu starten. Man könnte SIEM Systeme als technische, virtuelle CIOs im Netzwerk be­ zeichnen, die alle erdenklichen Informationen aufnehmen und den Board of Directors (den Administratoren) dann Anweisungen erteilen. Die Dragon® Security Command Console (das SIEM von Enterasys) ist in der Lage, die vorhandenen Offenses einfach und klar strukturiert darzu­ stellen. Da das System auch für sehr große Infrastrukturen ausgelegt ist, ist es mandantenfähig. Jeder Benutzer kann dabei selbst definieren, wel­ che Informationen er zu Beginn seiner Session sehen möchte. Die DSCC ist dabei wie eine Art Zwiebel aufgebaut. An der obersten Schicht befindet sich das Ergebnis, das Endresultat, der gezogene Schluss basierend auf verschiedenen korrelierten Events (Offense). Der Anwender ist jedoch in der Lage sich bis zur Kerninformation vor zu arbeiten, in dem er (im übertragenen Sinne) Schale für Schale von der Zwiebel entfernt. Was bringt Enterasys Security Management ... ... für die Finanzorganisation? Kosten werden eingespart ● Aufgaben können Mitarbeitern sinnvoll zugewiesen oder automati­ ● siert übernommen werden Die Kosten für die Analyse bzw. Aufbereitung der Daten sinkt si­ ● gnifikant Erhöhung des Return on Invests bei Software und Hardware ● Enterasys Networks – Solution Guide 2008
Secure Networks™ Seite 47 Was bringt Enterasys Security Management ... ... für das operative Geschäft? Verbesserte Antwortzeiten bei Attacken ● Attacken, Hardware- und Softwarefehler werden besser erkannt. ● Dadurch können bestimmte Fehlersituationen besser zugeordnet und Aktionen besser koordiniert und geplant werden. Verbesserte, einfachere Übersicht über Securityevents ● Signifikate Erhöhung der proaktiven und präventiven Sicherheit ● Auswirkungen bestimmter Aktionen können besser bewertet wer­ ● den; Auswirkungen besser berechnet werden. Was bringt Enterasys Security Management ... ... für das Business an sich? Erhöhung der Stabilität der IT Infrastruktur und damit bessere ● Verfügbarkeit der Geschäftsprozesse Legal Compliance ● Befolgung aller Regularien ● Minimierung der Auswirkungen für Unbeteiligte ● Risiken werden minimiert. Risiken werden überhaupt erkannt! ● Enterasys bietet mit der Dragon® Security Command Console das führen­ de System, um die eben dargestellten Leistungsmerkmale effizient abzu­ bilden Korrelationsmöglichkeiten mit DSCC Enterasys Networks – Solution Guide 2008
Seite 48 Secure Networks™ Die Enterasys DSCC ist dabei ferner in der Lage, Ergebnisse von Vulnera­ bility Assessment Systemen (Sicherheitslücken-Scannern) in die Offense Bewertung einzubeziehen. Ein intelligentes Framework macht Erweiterun­ gen möglich, die eine enorm hohe Skalierung auch bei extrem großen Netzwerken und extrem hohen Datenaufkommen garantiert. DSCC Übersicht Enterasys bietet ferner durch die Kombination der hier aufgezeigten Sys­ teme (HIDS, NIDS, SIEM, NAC, etc.) die Möglichkeit auf vielfältige Gefah­ ren mit der entsprechenden Aktion zu reagieren. Gefahren können dabei auch proaktiv aus dem Netzwerk fern gehalten werden. Ein wichtiger Be­ standteil dieser Secure Network™ Strategie ist es, dass dabei, wie bereits in diesem Kapitel über System Information und Event Management zu er­ fahren, eine Vielzahl von Fremdherstellern einbezogen werden können. Schnittstellen zu externen Systemen Eines der Ziele, die die Dragon® Security Command Console verfolgt, ist, dem Administrator bei verifizierten, schwerwiegenden Problemstellungen (Security Incident, Angriff, abfallende Verfügbarkeit eines Dienstes, aus­ gefallener Server, etc.) darzustellen, um was es sich bei diesem Vorfall genau handelt, wie kritisch dieser ist, was dadurch beeinflusst wird und wer (welche Identität) dieses Problem verursacht hat. Dabei offeriert die DSCC dem Administrator nicht nur die IP Adresse des Initiators, sondern auch weiterführende identitybezogene Informationen (Username, Usergruppe, Switchport, Switch IP Adresse, Name des Swit­ Enterasys Networks – Solution Guide 2008
Secure Networks™ Seite 49 ches, Policy, MAC Adresse, Authentifizierungsmethode und ob der Benut­ zer „nur“ wired oder wireless online ist oder mehrere Verbindungsmöglich­ keiten nutzt (z.B. wired und wireless und zusätzlich VPN). Asset-Informationen in der DSCC Der Administrator hat nun die Möglichkeit die integrierten Enterasys Schnittstellen zu nutzen, um einen bestimmten Benutzer eine neue Policy zu zu weisen oder eine MAC Adresse für eine bestimmte Zeit vom Netz­ werk zu nehmen. Gefahrenquellen mit der DSCC direkt aus dem Netzwerk entfernen Dabei kann die Lösung spielend erweitert werden, so dass zum Beispiel externe Skripte aufgerufen werden, die als Parameter die IP Adresse eines Angreifers übergeben bekommen. Die Erweiterungsmöglichkeiten, die sich dadurch ergeben, erweitern das Spektrum, innerhalb dessen die Lösung ihren Mehrwert aufzeigen kann, enorm. Enterasys Networks – Solution Guide 2008
Seite 50 Secure Networks™ Interne Erweiterungsmöglichkeiten und Schnittstellen Ein Security Information und Event Management System wie die Dragon® Security Command Console lebt davon, Events und Flows von verschie­ densten Systemen unterschiedlicher Hersteller zu lesen und diese Events zu nutzen, um sie durch das Korrelieren mit anderen Events von anderen Herstellern zu einer vernünftigen Aussage zu formen (Offense). Oftmals ist es so, dass in komplexen Kundenumgebungen exotische Applikationen nicht bekannter und kaum verbreiteter Hersteller implementiert wurden oder dass Kunden ihre eigenen Applikationen entworfen haben, die per default von den gängigen SIEM Lösungen nicht unterstützt werden. Da diese Quellen sehr wertvolle Daten enthalten können, die einen spür­ baren Mehrwert während des Korrelationsprozesses darstellen könnten, bietet die Dragon® Security Command Console einen sehr einfachen und effektiven Weg an nicht bekannte Logfile Formate zu lesen und in die Kor­ relation aufzunehmen. Dabei muss der Administrator lediglich ein generisches / universales Devi­ ce anlegen und definieren, wie die Events von diesem System interpretiert werden sollen, welches Protokoll zur Datenübertragung genutzt wird und was die Events von diesem System zu bedeuten haben. Die folgenden Screenshots zeigen, wie dieser Prozess mit Hilfe der Konfigurationsober­ fläche innerhalb weniger Minuten realisiert werden kann. Schritt 1: DSCC - Sensordevices Anlegen eines neuen generischen Devices, damit Logfiles von diesem Sys­ tem aufgenommen werden und entsprechend der Mustererkennung, die man selbst anpassen kann, gelesen und ausgewertet werden. Enterasys Networks – Solution Guide 2008
Secure Networks™ Seite 51 Schritt 2: DSCC-QidMapping Zuordnen des Events, so dass die DSCC „weiß“, in welche Kausalkette die­ ser Event gehört und wie dieser Event innerhalb des Korrelationsverlaufs zu behandeln ist. Enterasys Networks – Solution Guide 2008
Seite 52 Secure Networks™ Respond and Remediate Unter Dynamic Reponse versteht man die Möglichkeit für das Netzwerk, autonom auf auftretende Probleme zu reagieren. Dazu werden mehrere Komponenten kombiniert. Intrusion Detection Systeme erkennen auftre­ tenden Missbrauch oder Sicherheitslücken und können mit Hilfe von Re­ sponsemechanismen direkt – als IPS oder in der Secure Networks™ Archi­ tektur - mit dem ASM ins Geschehen eingreifen. Die Remediation ermöglicht es, dem so in die Quarantäne versetzten Mit­ arbeiter mitzuteilen, dass und warum er in der Quarantäne ist. Damit wird es auch möglich, eine Anleitung zur Selbsthilfe zu geben und somit das Helpdesk zu entlasten. Dynamic Response (wie bereits unter Detect and Locate beschrieben) kann aber auch auf anderem Wege erreicht werden. So unterstützt zum Beispiel die Matrix® N-Serie das so genannte Flow Setup Throttling. Man kann (vor allem auf den Userports) pro Port Schwellwerte definieren, wel­ che die maximale Anzahl von Flows in einer gewissen Zeiteinheit definie­ ren. Überschreitet der Rechner eines Users diesen Threshold, so ist das normalerweise nie auf regulären Traffic zurückzuführen, sondern ein si­ cheres Anzeichen für einen Virus oder eine sonstige Attacke. Je nach Kon­ figuration schickt der Switch dann eine Nachricht an die Managementstati­ on oder aber der entsprechende Port wird sofort deaktiviert (und auch hier wird eine Nachricht an die Managementstation geschickt). Zum besseren Verständnis kann an dieser Stelle ein klassisches und weit verbreitetes Szenario genutzt werden. Das hier beschriebene Beispiel wird durch den Einsatz der folgenden Enterasys Networks Lösungen möglich: Enterasys NAC ● NetSight® Console ● Automated Security Manager ● Dragon® IDS ● Ein User authentifiziert sich in seinem Büro über 802.1x am Netzwerk. Be­ vor er jedoch Zugriff auf die Ressourcen im Netzwerk erhält, wird eine Si­ cherheitsüberprüfung seines Endsystems realisiert. Dort wird festgestellt, dass der User die in der Firmenpolicy vorgeschriebene Antivirensoftware deaktiviert hat. Der User erhält daraufhin lediglich Zugriff auf eine von Enterasys Networks bereitgestellte Webseite, die ihm eine genaue Be­ schreibung des Fehlers offeriert. Der User wird auf dieser Webseite dar­ aufhin gewiesen, dass er die Antivirensoftware wieder aktivieren muss, um Zugriff auf das Netzwerk zu erhalten. Versucht der User interne oder externe Webseiten aufzurufen, so wird er bei jedem Versuch wieder auf die von Enterasys Networks gelieferte Webseite umgeleitet. Nachdem der User die Software wieder aktiviert hat, kann er über einfa­ ches Klicken eines Buttons auf der Webseite erneut Zugriff auf das Netz­ werk verlangen. Wichtig zu erwähnen ist hierbei, dass auf dem Endsystem Enterasys Networks – Solution Guide 2008
Secure Networks™ Seite 53 des Users keine Agentsoftware installiert ist. Die Einwahl erfolgte über Network Credentials des Sicherheitslückenscanners. Das Netzwerk und die beteiligten Systeme haben festgestellt, dass der User seine Antivirensoftware wieder aktiviert hat und weisen ihm seine Rolle im Netzwerk zu. Nach einiger Zeit startet der User einen Angriff auf einen internen Webserver. Diese Attacke wird vom Dragon® Intrusion De­ tection System erkannt. Durch die automatische Abstimmung des Dragon® IDS und des Automated Security Managers wird die Rolle des Users geän­ dert und sein Port in Quarantäne gesetzt. Der User erhält nun lediglich Zu­ griff auf die von Enterasys Networks offerierte Webseite, die ihm mitteilt, dass das Netzwerk den Angriff erkannt hat und sein System aus dem Netzwerk entfernt wurde. Assisted Remediation mit ToS-Rewrite Eine Möglichkeit diese Remediation technisch zu realisieren besteht darin, alle Pakete eines Endsystems, das sich in Quarantäne befindet bzw. per DIRS vom Netz getrennt wurde, mit einem definierten DSCP (bzw. IP Pre­ cedence) Wert zu markieren. Assisted Remediation mit Hilfe von ToS-Rewrite So markierte Pakete werden dann im Netzwerk mit Hilfe einer Policy Route von den Routern zu einem Remediation Webserver geroutet. Auf diesem läuft ein modifizierter Proxy, der in der Lage ist die Pakete an Zieladressen anderer Webserver entgegen zu nehmen und mit einer Remediation Web­ seite zu antworten. Dies setzt natürlich voraus, dass DHCP (falls verwen­ det) und DNS wie üblich gehandhabt werden oder der Remediation Server ebenfalls auf diese antwortet. Enterasys Networks – Solution Guide 2008
Seite 54 Secure Networks™ Proactive Prevention / NAC Mit proactive Prevention oder auch Network Access Control steht wieder einmal eine Technologie am Anfang des “Gartner Hype Cycles“ (http://www.gartner.com/pages/story.php.id.8795.s.8.jsp). Sowohl aus Sicht der Hersteller als auch aus Sicht der Kunden bietet NAC eine Reihe von Vorteilen und Möglichkeiten. Sie stellt aber auch eine Her­ ausforderung insbesondere an die Struktur und Organisation desjenigen Unternehmens, das eine entsprechende NAC Lösung einsetzen möchte. Definition von NAC Im Allgemeinen kann man NAC als eine benutzerfokussierte Technologie beschreiben, die ein genutztes Endgerät authorisiert und Zugriff auf Res­ sourcen gewährt auf der Basis der Authentisierung der Identität des ent­ sprechenden Benutzers (oder/und Geräts) sowie auf dem Status des Ge­ räts in Hinblick auf sicherheitsrelevante Parameter und Einstellungen - die Compliance mit entsprechenden Unternehmensvorgaben. Diese Parameter werden im so genannten Pre-Connect Assessment ermittelt, dass heißt vor Anschluss an die Infrastruktur. Es sollte aber auch dann im laufenden Betrieb eine Überprüfung erfolgen, welche dann als Post-Connect Assess­ ment bezeichnet wird. Teilweise wird auf den einen oder anderen Baustein im Rahmen einer Implementierung auch verzichtet – je nach Kundenan­ forderung. Ein Prozess zur Wiederherstellung der Compliance, der so ge­ nannten Remediation, ist hier ebenfalls enthalten. Die gilt für alle Endge­ räte und Nutzer am Netz, dass heißt eigene Mitarbeiter, Partner, Gäste, Kunden und sonstige Geräte wie Drucker, Videokameras, etc. NAC ist aber auch nicht das Allheilmittel gegen beliebige Sicherheitspro­ bleme. Insbesondere falsches Nutzerverhalten und Angriffe auf Applikati­ onsebene können mittels NAC kaum erkannt werden, es sei denn, man setzt intensiv auch Post-Connect Assessment Techniken ein. (http://media.godashboard.com/CMP/Excerpt_nwcanl06_nac.pdf) Enterasys Networks – Solution Guide 2008
Solution Guide
Solution Guide
Solution Guide
Solution Guide
Solution Guide
Solution Guide
Solution Guide
Solution Guide
Solution Guide
Solution Guide
Solution Guide
Solution Guide
Solution Guide
Solution Guide
Solution Guide
Solution Guide
Solution Guide
Solution Guide
Solution Guide
Solution Guide
Solution Guide
Solution Guide
Solution Guide
Solution Guide
Solution Guide
Solution Guide
Solution Guide
Solution Guide
Solution Guide
Solution Guide
Solution Guide
Solution Guide
Solution Guide
Solution Guide
Solution Guide
Solution Guide
Solution Guide
Solution Guide
Solution Guide
Solution Guide
Solution Guide
Solution Guide
Solution Guide
Solution Guide
Solution Guide
Solution Guide
Solution Guide
Solution Guide
Solution Guide
Solution Guide
Solution Guide
Solution Guide
Solution Guide
Solution Guide
Solution Guide
Solution Guide
Solution Guide
Solution Guide
Solution Guide
Solution Guide
Solution Guide
Solution Guide
Solution Guide
Solution Guide
Solution Guide
Solution Guide
Solution Guide
Solution Guide
Solution Guide
Solution Guide
Solution Guide
Solution Guide
Solution Guide
Solution Guide
Solution Guide
Solution Guide
Solution Guide
Solution Guide
Solution Guide
Solution Guide
Solution Guide
Solution Guide
Solution Guide
Solution Guide
Solution Guide
Solution Guide
Solution Guide
Solution Guide
Solution Guide
Solution Guide
Solution Guide
Solution Guide
Solution Guide
Solution Guide
Solution Guide
Solution Guide
Solution Guide
Solution Guide
Solution Guide
Solution Guide
Solution Guide
Solution Guide
Solution Guide
Solution Guide
Solution Guide
Solution Guide
Solution Guide
Solution Guide
Solution Guide
Solution Guide
Solution Guide
Solution Guide
Solution Guide
Solution Guide
Solution Guide
Solution Guide
Solution Guide
Solution Guide
Solution Guide
Solution Guide
Solution Guide
Solution Guide
Solution Guide
Solution Guide
Solution Guide
Solution Guide
Solution Guide
Solution Guide
Solution Guide
Solution Guide
Solution Guide
Solution Guide
Solution Guide
Solution Guide
Solution Guide
Solution Guide
Solution Guide
Solution Guide
Solution Guide
Solution Guide
Solution Guide
Solution Guide
Solution Guide
Solution Guide
Solution Guide
Solution Guide
Solution Guide
Solution Guide
Solution Guide
Solution Guide
Solution Guide
Solution Guide
Solution Guide
Solution Guide
Solution Guide
Solution Guide
Solution Guide
Solution Guide
Solution Guide
Solution Guide
Solution Guide
Solution Guide
Solution Guide
Solution Guide
Solution Guide
Solution Guide
Solution Guide
Solution Guide

Recommandé

Bologna Kunstunis Wien Gritsch Pc Slideshare
Bologna Kunstunis Wien Gritsch Pc SlideshareBologna Kunstunis Wien Gritsch Pc Slideshare
Bologna Kunstunis Wien Gritsch Pc Slidesharebernhardgritsch
 
100sunnats
100sunnats100sunnats
100sunnatsnaeem mayet
 
Karriere bei der IT2U - Berufserfahrene
Karriere bei der IT2U - BerufserfahreneKarriere bei der IT2U - Berufserfahrene
Karriere bei der IT2U - BerufserfahreneIT2U GmbH
 
2n B- La Cloïssa Lluïsa
2n B- La Cloïssa Lluïsa2n B- La Cloïssa Lluïsa
2n B- La Cloïssa LluïsaEscolaSotdelCamp2007
 
2014.01.16 SSCGTHV INFORMA - RESUMEN REUNIÓN JP y RRHH
2014.01.16 SSCGTHV INFORMA - RESUMEN REUNIÓN JP y RRHH2014.01.16 SSCGTHV INFORMA - RESUMEN REUNIÓN JP y RRHH
2014.01.16 SSCGTHV INFORMA - RESUMEN REUNIÓN JP y RRHHSSCGTHV VILADECANS
 
diccionario hebreo biblico
diccionario hebreo biblicodiccionario hebreo biblico
diccionario hebreo biblicojesusmil
 
Apostila Matemática e Raciocínio Lógico
Apostila Matemática e Raciocínio LógicoApostila Matemática e Raciocínio Lógico
Apostila Matemática e Raciocínio LógicoValclidesGuerra
 
SINDROME DE DISTRES RESPIRATORIO DEL ADULTO. DR CASANOVA
SINDROME DE DISTRES RESPIRATORIO DEL ADULTO. DR CASANOVASINDROME DE DISTRES RESPIRATORIO DEL ADULTO. DR CASANOVA
SINDROME DE DISTRES RESPIRATORIO DEL ADULTO. DR CASANOVANEUMOVIDA (DR. RENATO CASANOVA)
 

Recommandé

Bologna Kunstunis Wien Gritsch Pc Slideshare
Bologna Kunstunis Wien Gritsch Pc SlideshareBologna Kunstunis Wien Gritsch Pc Slideshare
Bologna Kunstunis Wien Gritsch Pc Slidesharebernhardgritsch
 
100sunnats
100sunnats100sunnats
100sunnatsnaeem mayet
 
Karriere bei der IT2U - Berufserfahrene
Karriere bei der IT2U - BerufserfahreneKarriere bei der IT2U - Berufserfahrene
Karriere bei der IT2U - BerufserfahreneIT2U GmbH
 
2n B- La Cloïssa Lluïsa
2n B- La Cloïssa Lluïsa2n B- La Cloïssa Lluïsa
2n B- La Cloïssa LluïsaEscolaSotdelCamp2007
 
2014.01.16 SSCGTHV INFORMA - RESUMEN REUNIÓN JP y RRHH
2014.01.16 SSCGTHV INFORMA - RESUMEN REUNIÓN JP y RRHH2014.01.16 SSCGTHV INFORMA - RESUMEN REUNIÓN JP y RRHH
2014.01.16 SSCGTHV INFORMA - RESUMEN REUNIÓN JP y RRHHSSCGTHV VILADECANS
 
diccionario hebreo biblico
diccionario hebreo biblicodiccionario hebreo biblico
diccionario hebreo biblicojesusmil
 
Apostila Matemática e Raciocínio Lógico
Apostila Matemática e Raciocínio LógicoApostila Matemática e Raciocínio Lógico
Apostila Matemática e Raciocínio LógicoValclidesGuerra
 
SINDROME DE DISTRES RESPIRATORIO DEL ADULTO. DR CASANOVA
SINDROME DE DISTRES RESPIRATORIO DEL ADULTO. DR CASANOVASINDROME DE DISTRES RESPIRATORIO DEL ADULTO. DR CASANOVA
SINDROME DE DISTRES RESPIRATORIO DEL ADULTO. DR CASANOVANEUMOVIDA (DR. RENATO CASANOVA)
 
Final Opentrans 2.0 Rfq
Final Opentrans 2.0 RfqFinal Opentrans 2.0 Rfq
Final Opentrans 2.0 Rfqguest6f1fb4
 
53045 ba dpt 3000 v6.17
53045 ba dpt 3000 v6.1753045 ba dpt 3000 v6.17
53045 ba dpt 3000 v6.17Teo Dor
 
ERP Studie 2011 Vorschau
ERP Studie 2011 VorschauERP Studie 2011 Vorschau
ERP Studie 2011 Vorschausoftselect
 
Diplomarbeit
DiplomarbeitDiplomarbeit
DiplomarbeitThorsten Grün
 
Linux advanced
Linux advancedLinux advanced
Linux advancedheiko.vogl
 
lernOS Prozessmodellierung Guide (Version 1.0)
lernOS Prozessmodellierung Guide (Version 1.0)lernOS Prozessmodellierung Guide (Version 1.0)
lernOS Prozessmodellierung Guide (Version 1.0)Cogneon Akademie
 
Xm b
Xm bXm b
Xm bKevinQu
 
Blockchain-based access right management for private data in decentralized cl...
Blockchain-based access right management for private data in decentralized cl...Blockchain-based access right management for private data in decentralized cl...
Blockchain-based access right management for private data in decentralized cl...ArtemEger
 
Masterarbeit / Fakultät für Mathematik und Informatik / Lehrgebiet Datenverar...
Masterarbeit / Fakultät für Mathematik und Informatik / Lehrgebiet Datenverar...Masterarbeit / Fakultät für Mathematik und Informatik / Lehrgebiet Datenverar...
Masterarbeit / Fakultät für Mathematik und Informatik / Lehrgebiet Datenverar...Melanie Eibl
 
German Original
German OriginalGerman Original
German Originalguestbf6d98
 
Technologie- und Gründerzentren (TGZ) Rolle, Funktion und Finanzierung
Technologie- und Gründerzentren (TGZ) Rolle, Funktion und FinanzierungTechnologie- und Gründerzentren (TGZ) Rolle, Funktion und Finanzierung
Technologie- und Gründerzentren (TGZ) Rolle, Funktion und FinanzierungClemens Bartlome
 
NetFederation: Ergebnisse der DAI/NetFed-Umfrage 2010
NetFederation: Ergebnisse der DAI/NetFed-Umfrage 2010NetFederation: Ergebnisse der DAI/NetFed-Umfrage 2010
NetFederation: Ergebnisse der DAI/NetFed-Umfrage 2010NetFederation GmbH
 
Best Practice Guide
Best Practice GuideBest Practice Guide
Best Practice Guideguestc141a6
 
[DE] PROJECT CONSULT Newsletter 20090226
[DE] PROJECT CONSULT Newsletter 20090226[DE] PROJECT CONSULT Newsletter 20090226
[DE] PROJECT CONSULT Newsletter 20090226PROJECT CONSULT Unternehmensberatung Dr. Ulrich Kampffmeyer GmbH
 
Stack- und Heap-Overflow-Schutz bei Windows XP und Windows Vista
Stack- und Heap-Overflow-Schutz bei Windows XP und Windows Vista Stack- und Heap-Overflow-Schutz bei Windows XP und Windows Vista
Stack- und Heap-Overflow-Schutz bei Windows XP und Windows Vista Johannes Hohenbichler
 
382726314 X Php5 In 14 Tagen (Ddt)
382726314 X Php5 In 14 Tagen (Ddt)382726314 X Php5 In 14 Tagen (Ddt)
382726314 X Php5 In 14 Tagen (Ddt)guest943d41
 
Die intelligente Organisation
Die intelligente OrganisationDie intelligente Organisation
Die intelligente OrganisationBusinessVillage GmbH
 
[DE] Records Management: Prinzipien, Standards & Trends | Dr. Ulrich Kampffme...
[DE] Records Management: Prinzipien, Standards & Trends | Dr. Ulrich Kampffme...[DE] Records Management: Prinzipien, Standards & Trends | Dr. Ulrich Kampffme...
[DE] Records Management: Prinzipien, Standards & Trends | Dr. Ulrich Kampffme...PROJECT CONSULT Unternehmensberatung Dr. Ulrich Kampffmeyer GmbH
 
Manual
ManualManual
ManualHoffbauer
 
SCM-Leseprobe Willkommen in der neuen Arbeitswelt
SCM-Leseprobe Willkommen in der neuen ArbeitsweltSCM-Leseprobe Willkommen in der neuen Arbeitswelt
SCM-Leseprobe Willkommen in der neuen ArbeitsweltSCM – School for Communication and Management
 

Contenu connexe

Similaire à Solution Guide

Final Opentrans 2.0 Rfq
Final Opentrans 2.0 RfqFinal Opentrans 2.0 Rfq
Final Opentrans 2.0 Rfqguest6f1fb4
 
53045 ba dpt 3000 v6.17
53045 ba dpt 3000 v6.1753045 ba dpt 3000 v6.17
53045 ba dpt 3000 v6.17Teo Dor
 
ERP Studie 2011 Vorschau
ERP Studie 2011 VorschauERP Studie 2011 Vorschau
ERP Studie 2011 Vorschausoftselect
 
Linux advanced
Linux advancedLinux advanced
Linux advancedheiko.vogl
 
lernOS Prozessmodellierung Guide (Version 1.0)
lernOS Prozessmodellierung Guide (Version 1.0)lernOS Prozessmodellierung Guide (Version 1.0)
lernOS Prozessmodellierung Guide (Version 1.0)Cogneon Akademie
 
Blockchain-based access right management for private data in decentralized cl...
Blockchain-based access right management for private data in decentralized cl...Blockchain-based access right management for private data in decentralized cl...
Blockchain-based access right management for private data in decentralized cl...ArtemEger
 
Masterarbeit / Fakultät für Mathematik und Informatik / Lehrgebiet Datenverar...
Masterarbeit / Fakultät für Mathematik und Informatik / Lehrgebiet Datenverar...Masterarbeit / Fakultät für Mathematik und Informatik / Lehrgebiet Datenverar...
Masterarbeit / Fakultät für Mathematik und Informatik / Lehrgebiet Datenverar...Melanie Eibl
 
Technologie- und Gründerzentren (TGZ) Rolle, Funktion und Finanzierung
Technologie- und Gründerzentren (TGZ) Rolle, Funktion und FinanzierungTechnologie- und Gründerzentren (TGZ) Rolle, Funktion und Finanzierung
Technologie- und Gründerzentren (TGZ) Rolle, Funktion und FinanzierungClemens Bartlome
 
NetFederation: Ergebnisse der DAI/NetFed-Umfrage 2010
NetFederation: Ergebnisse der DAI/NetFed-Umfrage 2010NetFederation: Ergebnisse der DAI/NetFed-Umfrage 2010
NetFederation: Ergebnisse der DAI/NetFed-Umfrage 2010NetFederation GmbH
 
Best Practice Guide
Best Practice GuideBest Practice Guide
Best Practice Guideguestc141a6
 
Stack- und Heap-Overflow-Schutz bei Windows XP und Windows Vista
Stack- und Heap-Overflow-Schutz bei Windows XP und Windows Vista Stack- und Heap-Overflow-Schutz bei Windows XP und Windows Vista
Stack- und Heap-Overflow-Schutz bei Windows XP und Windows Vista Johannes Hohenbichler
 
382726314 X Php5 In 14 Tagen (Ddt)
382726314 X Php5 In 14 Tagen (Ddt)382726314 X Php5 In 14 Tagen (Ddt)
382726314 X Php5 In 14 Tagen (Ddt)guest943d41
 

Similaire à Solution Guide (20)

Final Opentrans 2.0 Rfq
Final Opentrans 2.0 RfqFinal Opentrans 2.0 Rfq
Final Opentrans 2.0 Rfq
 
53045 ba dpt 3000 v6.17
53045 ba dpt 3000 v6.1753045 ba dpt 3000 v6.17
53045 ba dpt 3000 v6.17
 
ERP Studie 2011 Vorschau
ERP Studie 2011 VorschauERP Studie 2011 Vorschau
ERP Studie 2011 Vorschau
 
Diplomarbeit
DiplomarbeitDiplomarbeit
Diplomarbeit
 
Linux advanced
Linux advancedLinux advanced
Linux advanced
 
lernOS Prozessmodellierung Guide (Version 1.0)
lernOS Prozessmodellierung Guide (Version 1.0)lernOS Prozessmodellierung Guide (Version 1.0)
lernOS Prozessmodellierung Guide (Version 1.0)
 
Xm b
Xm bXm b
Xm b
 
Blockchain-based access right management for private data in decentralized cl...
Blockchain-based access right management for private data in decentralized cl...Blockchain-based access right management for private data in decentralized cl...
Blockchain-based access right management for private data in decentralized cl...
 
Masterarbeit / Fakultät für Mathematik und Informatik / Lehrgebiet Datenverar...
Masterarbeit / Fakultät für Mathematik und Informatik / Lehrgebiet Datenverar...Masterarbeit / Fakultät für Mathematik und Informatik / Lehrgebiet Datenverar...
Masterarbeit / Fakultät für Mathematik und Informatik / Lehrgebiet Datenverar...
 
German Original
German OriginalGerman Original
German Original
 
Technologie- und Gründerzentren (TGZ) Rolle, Funktion und Finanzierung
Technologie- und Gründerzentren (TGZ) Rolle, Funktion und FinanzierungTechnologie- und Gründerzentren (TGZ) Rolle, Funktion und Finanzierung
Technologie- und Gründerzentren (TGZ) Rolle, Funktion und Finanzierung
 
NetFederation: Ergebnisse der DAI/NetFed-Umfrage 2010
NetFederation: Ergebnisse der DAI/NetFed-Umfrage 2010NetFederation: Ergebnisse der DAI/NetFed-Umfrage 2010
NetFederation: Ergebnisse der DAI/NetFed-Umfrage 2010
 
Best Practice Guide
Best Practice GuideBest Practice Guide
Best Practice Guide
 
[DE] PROJECT CONSULT Newsletter 20090226
[DE] PROJECT CONSULT Newsletter 20090226[DE] PROJECT CONSULT Newsletter 20090226
[DE] PROJECT CONSULT Newsletter 20090226
 
Stack- und Heap-Overflow-Schutz bei Windows XP und Windows Vista
Stack- und Heap-Overflow-Schutz bei Windows XP und Windows Vista Stack- und Heap-Overflow-Schutz bei Windows XP und Windows Vista
Stack- und Heap-Overflow-Schutz bei Windows XP und Windows Vista
 
382726314 X Php5 In 14 Tagen (Ddt)
382726314 X Php5 In 14 Tagen (Ddt)382726314 X Php5 In 14 Tagen (Ddt)
382726314 X Php5 In 14 Tagen (Ddt)
 
Die intelligente Organisation
Die intelligente OrganisationDie intelligente Organisation
Die intelligente Organisation
 
[DE] Records Management: Prinzipien, Standards & Trends | Dr. Ulrich Kampffme...
[DE] Records Management: Prinzipien, Standards & Trends | Dr. Ulrich Kampffme...[DE] Records Management: Prinzipien, Standards & Trends | Dr. Ulrich Kampffme...
[DE] Records Management: Prinzipien, Standards & Trends | Dr. Ulrich Kampffme...
 
Manual
ManualManual
Manual
 
SCM-Leseprobe Willkommen in der neuen Arbeitswelt
SCM-Leseprobe Willkommen in der neuen ArbeitsweltSCM-Leseprobe Willkommen in der neuen Arbeitswelt
SCM-Leseprobe Willkommen in der neuen Arbeitswelt
 

Solution Guide

  • 2.
  • 3. Inhaltsverzeichnis Seite I Inhaltsverzeichnis Vorwort...............................................................................1 Hinweis für alle Leser..........................................................3 Wir über uns........................................................................5 Kurzprofil..................................................................................5 Secure Networks™....................................................................5 Was die Analysten sagen…........................................................6 Weitere Informationen..............................................................7 Secure Networks™...............................................................8 Access Control.........................................................................10 Authentisierung als Maßnahme zum Schutz des Netzwerk-Ökosystems..............................11 Authentisierungsmethoden – Der technische Ansatz.....................................................13 Policy Enforcement..................................................................20 RFC 3580 - Der kleinste gemeinsame Nenner?...................20 Policys – Regeln am Rand der Zivilisation..........................20 (Multi-) User Authentication and Policy (MUA+P) im Detail. .24 Sichere Gastfreundschaft mit Default Policys......................25 RFC 3580 und Distribution Layer Security..........................27 Port Protection...............................................................28 Enterasys Networks – Solution Guide 2008
  • 4. Seite II Inhaltsverzeichnis Policy Enforcement in der Praxis.......................................29 Detect and Locate....................................................................32 Angriffe.........................................................................32 IDS Erkennungstechnologien...........................................36 Hostbasierte Erkennung versus netzwerkbasierte Erkennung............................................39 Host Intrusion Detection / Prevention (HIDS/HIPS).............40 Network IDS/IPS............................................................42 IDS versus IPS versus DIRS.............................................43 System Information and Event Management......................45 Respond and Remediate..........................................................52 Proactive Prevention / NAC.....................................................54 Definition von NAC.........................................................54 Der Prozess NAC.............................................................55 Lösungsansätze..............................................................56 Enterasys NAC...............................................................59 Standard based Convergence and Availability..............................................................................66 Quality of Service im Netzwerk.........................................66 Wireless LAN..................................................................76 Power over Ethernet.......................................................84 Standard Based Availability.....................................................86 Redundanz....................................................................86 Enterasys Networks – Solution Guide 2008
  • 5. Inhaltsverzeichnis Seite III IPv6..............................................................................96 MPLS...........................................................................101 Simple Network Management Protocol.............................105 Produktportfolio..............................................................106 Advanced Security Applications.............................................107 Dragon® Security Command Console...............................108 Dragon® Intrusion Defense.............................................113 Network Access Control.................................................119 Centralized Visibility and Control...........................................123 NetSight® Console.........................................................125 NetSight® Policy Manager...............................................127 Policy Control Console...................................................130 NetSight® Automated Security Manager...........................130 NetSight® Inventory Manager.........................................132 NetSight® - Komponenten im Überblick...........................133 NetSight® Lizenzierung..................................................136 Security Enabled Infrastructure.............................................137 Matrix® X-Serie............................................................138 Matrix® N-Serie............................................................146 SecureStack™ Familie...................................................167 D-Serie.......................................................................180 Enterasys Networks – Solution Guide 2008
  • 6. Seite IV Inhaltsverzeichnis G-Serie.......................................................................185 I-Serie........................................................................190 Übersicht Secure Networks™/HW Kapazität......................195 Lizenzübersicht............................................................197 MGBICs, XENPAKs und XFPs...........................................198 Enterasys VDSL Optionen..............................................210 X-Pedition Security Router.............................................212 Literaturhinweise.............................................................218 Downloads............................................................................218 Enterasys GTAC.....................................................................219 Enterasys Knowledgebase.....................................................219 Enterasys Webguide..............................................................219 Impressum......................................................................221 Enterasys Networks – Solution Guide 2008
  • 7. Vorwort Seite 1 Vorwort Sehr geehrte Leserin, sehr geehrter Leser, wieder einmal halten Sie die neuste Ausgabe des Enterasys Solution Guide in Ihren Händen. Seit einigen Jahren ist der Solution Guide bei unseren Kunden als umfangreiches, informatives Nachschlagewerk beliebt, das so­ wohl über Entwicklungen auf dem Netzwerkmarkt und neue Technologien, als auch über die neuen Strategien, Lösungen und Produkte von Enterasys Networks berichtet. Das Lösungsportfolio wurde zum Thema Enterasys NAC und Dragon ® Se­ curity Suite überarbeitet, hier wurden insbesondere die Integrationsmög­ lichkeiten der einzelnen Produkte untereinander beschrieben. Das Kapitel Produktportfolio zeigt einen Überblick über das gesamte Ange­ bot von Enterasys Networks. Neu hinzugekommen ist der Nachfolger des Matrix® E1 mit der G-Serie als modularem System sowie die D-Serie als Miniswitch. Des Weiteren wird das neue Enterasys NAC Portfolio mit Inline und Out-of-Band Komponenten sowie dem neuen, integrierten Enterasys Assessment vorgestellt. Ebenso sind die Enterasys VDSL-Komponenten als Long-Reach Ethernet-Extender hinzugekommen. Das Thema Lizenzierung wurde für NetSight® und Dragon® in ein eigenes Kapitel ausgegliedert, um einen Überblick über die unterschiedlichen Vari­ anten und Möglichkeiten zu geben. Wir wünschen Ihnen ein informatives Lesevergnügen. Ihr Enterasys Team Enterasys Networks Germany GmbH Solmsstr. 83 60486 Frankfurt Tel. +49 (0)69/47 860-0 Fax +49 (0)69/47 860-109 Enterasys Networks – Solution Guide 2008
  • 8. Seite 2 Vorwort Enterasys Networks – Solution Guide 2008
  • 9. Hinweis für alle Leser Seite 3 Hinweis für alle Leser Das Lösungsportfolio von Enterasys Networks wird kontinuierlich weiter entwickelt, deshalb kann es jederzeit zu Änderungen des bestehenden Lö­ sungsportfolio kommen. Die aktuellen Informationen der Lösungen finden Sie auf der Enterasys Networks Homepage unter http://www.enterasys.com oder http://www.enterasys.com/de/. Wir freuen uns auf ein persönliches Gespräch mit Ihnen und stehen Ihnen in unseren Niederlassungen jederzeit gerne zur Verfügung: Frankfurt /Main +49 (0)69 47860-0 Berlin +49 (0)30 39979 5 Leipzig +49 (0)341 528 5350 Wien +43 (0)1 994 60 66 05 Zürich +41 (0)44 308 39 43 Einen vollständigen Überblick über Deutschland und die europäischen Län­ der sowie deren Kontakte finden Sie unter: http://www.enterasys.com/corporate/locations/ Informationsstand: 30.04.08 Enterasys Networks – Solution Guide 2008
  • 10. Seite 4 Hinweis für alle Leser Enterasys Networks – Solution Guide 2008
  • 11. Wir über uns Seite 5 Wir über uns Kurzprofil Enterasys Networks ist ein globaler Anbieter von Secure Networks™ für Unternehmenskunden. Die innovativen Netzwerkinfrastrukturlösungen von Enterasys tragen den Anforderungen von Unternehmen nach Sicherheit, Leistungs- und Anpassungsfähigkeit Rechnung. Darüber hinaus bietet Enterasys umfangreiche Service und Support-Leistungen an. Das Produkt­ angebot reicht von Multilayer Switchen, Routern, Wireless LANs und Virtual Private Networks über Netzwerk Management Lösungen bis hin zu Intrusion Detection und Intrusion Prevention Systemen. Enterasys ist einer der Pioniere bei der Entwicklung von Netzwerklösungen und besitzt mehr als 600 Patente. Alle Lösungen sind standardbasiert und haben ein Ziel: Ihre Investitionen in entscheidende Geschäftsvorteile um­ zusetzen. Die Enterasys Lösungen eignen sich für alle Netzwerke unab­ hängig von Hersteller und Technologie. Über 20 Jahre Erfahrung und über 26.000 weltweite Kunden bilden das Fundament für den gemeinsamen Erfolg. Die Philosophie von Enterasys richtet sich nach dem Motto „There is nothing more important than our customer“, in dem unsere Kunden im Mittelpunkt stehen. Enterasys hat seinen Hauptsitz in Andover, USA, und betreut den globalen Kundenstamm über Niederlassungen in mehr als 30 Ländern. Das Unter­ nehmen beschäftigt weltweit mehr als 700 Mitarbeiter. Weitere Informa­ tionen zu Enterasys Secure Networks™ und den Produkten für Festnetze und drahtlose Netzwerke finden Sie unter www.enterasys.com. Secure Networks™ Sichere Netzwerke sind die Grundlage für eine flexible Infrastruktur und ein Servicemodell – Benutzer, Systeme, Applikationen, Event Manage­ ment, automatisierte Kontrolle und die Möglichkeit aktiv auf Ereignisse antworten zu können. Eine flexible Infrastruktur stellt einen authentifizier­ ten Zugang an allen Punkten zur Verfügung, an denen ein Zugriff auf Res­ sourcen erfolgt und verringert mit einer dynamischen Authorisierung die Angriffsfläche für Denial of Service Attacken. Zusätzlich sichert eine flexi­ ble und zuverlässige Infrastruktur die Verfügbarkeit von Applikationen und sichert für geschäftskritische Anwendungen die entsprechenden Bandbrei­ ten. Enterasys Networks – Solution Guide 2008
  • 12. Seite 6 Wir über un Was die Analysten sagen… “Enterasys has the most tightly integrated security capabilities of any LAN switch vendor, including strong support for all IP telephony offerings” Gartner, Magic Quadrant for Global Campus LAN (März 2008) „Enterasys Secure Networks for Virtual Data Centers assures the connecti­ vity and compliance of virtualized computing and storage while reducing equipment, energy and cooling costs in data centers“ Gartner, Magic Quadrant for Global Campus LAN (März 2008) “At a product level, Enterasys was the initial innovator in embedded network security. Enterasys coined the quot;secure networksquot; approach and delivered key aspects of embedded network security before the rest of the market.” Gartner, Magic Quadrant for Global Campus LAN (Oct 2006) „The networking background of Enterasys is evident in that the Dragon IDS/IPS product line has an overall small rack space footprint, making the products well-suited for deployments such as MSSP/carrier/ISP where de­ tection is valued over blocking.“ Gartner, Magic Quadrant for Network IPS Appliances (Feb 2008) “Longtime IDS vendor Enterasys has moved to producing in-line IPS pro­ ducts. Its first customers are primarily managed security system provider (MSSP) customers who report a high degree of satisfaction with Enter­ asys' support with the IDS products and are converting over as customer demand shifts.” Gartner, Magic Quadrant for IPS (2006) “DSCC accurately detected more known attacks, as well as network an­ omalies than did Cisco Security MARS. Thus DSCC provides a level of protection of business assets exceeding that offered by Cisco…both products demonstrate that they can process flow and security network event data, though DSCC was able to correlate events into a single offen­ se. Ultimately, poor event correlation and anomaly detection in MARS could lead to missed threats.” Tolly Group White Paper (Jan 2007) Enterasys Networks – Solution Guide 2008
  • 13. Wir über uns Seite 7 Weitere Informationen Unser Management Team Mike Fabiaschi President and Chief Executive Officer Chris Crowell Chief Technology Officer Gérard Vivier Vice President EMEA Edward Semerjibashian Vice President CEE/Russia & APAC Pressekontakt Enterasys Networks Markus Nispel Director Solution Architecture Solmsstraße 83 60486 Frankfurt Telefon: +49 69 47860 0 Fax: +49 69 47860 109 Enterasys Networks – Solution Guide 2008
  • 14. Seite 8 Secure Networks™ Secure Networks™ Secure Networks™ ist die Strategie, die Enterasys seit Jahren erfolgreich verfolgt. Von Gartner oftmals als Technologieführer definiert, hat Entera­ sys mit der Einführung von 802.1x ein neues Zeitalter für die Sicherheit in Netzwerken eingeläutet. Secure Networks™ Komponenten Enterasys bildet die fünf wesentlichen Punkte einer holistischen IT Infra­ struktur mit eigenen Produkten ab. So wird sichergestellt, dass lediglich authentifzierte User Zugriff auf das Netzwerk erhalten. Das Sicherheitsle­ vel und das Zugriffsniveau der User wird dabei in Abhängigkeit zum Si­ cherheitslevel des benutzten Gerätes gesetzt. Angriffe, die von authentifi­ zierten oder nicht authentifzierten Usern auf Ressourcen im Netzwerk durchgeführt werden, können durch die verschiedenen Angriffserken­ nungstechnologien erkannt, verifiziert und verhindert werden. Ferner ist es möglich, nachdem der Angriff erfolgreich verhindert wurde, den Angrei­ fer aus dem Netzwerk zu verbannen oder ihm neue Zugriffsrechte zuzu­ weisen. Durch die Abbildung verschiedenster Technologien wird ein Maxi­ mum an Sicherheit erreicht, so dass auch Angriffe auf sehr komplexe und neue Technologien (wie Voice over IP) erkannt und verhindert werden können. Enterasys Networks – Solution Guide 2008
  • 15. Secure Networks™ Seite 9 Im Folgenden sind einige der Kernziele der Secure Networks™ Strategie aufgeführt: Präventive Angriffsverhinderung ● Reaktionen auf Angriffe auf Userbasis (nicht nur auf Gerätebasis) ● Das Absichern von Netzwerken unterschiedlicher Hersteller ● Bereitstellen von Compliance Hilfsmitteln ● Die nachfolgenden Abschnitte zeigen die Grundzüge der 5 Säulen der Secure Networks™ Strategie auf und erklären, welchen Beiträge die ver­ schiedenen Komponenten aus diesen Bereichen zur Abbildung einer ganz­ heitlichen Security Infrastruktur leisten. Enterasys Networks – Solution Guide 2008
  • 16. Seite 10 Secure Networks™ Access Control Secure Networks™ bietet mit seinem breiten Spektrum verschiedenster Funktionalitäten technische Lösungselemente für all diese Fragen. In der Praxis gilt es nun diese Elemente in ein durchgängiges Konzept zu integrieren und Schritte für die Implementierung und den Betrieb festzule­ gen. Die Frage nach der Realisierbarkeit der ermittelten Schutzmaßnahmen geht über Features und Algorithmen weit hinaus. Nicht alles was technisch möglich ist, stellt sich im Endeffekt auch als praktikabel heraus. Sicherheit und freie Kommunikation stehen sich auf den ersten Blick dia­ metral gegenüber. Eine Sicherheitspolicy, welche dem Anwender unzu­ mutbare Prozeduren auferlegt (mehrfache Anmeldung, geringe Flexiblität), hemmt die Produktivität des Unternehmens und wird sich kur­ zerhand selbst aushebeln. Befürchtungen, Netzwerksicherheit sei aufwändig, unangemessen kompli­ ziert und stelle selbst eine Gefahr für den kontinuierlichen Betrieb einer IT-Infrastruktur dar, muss hierbei durch geeignete Ansätze begegnet werden. Es hat sich gezeigt, dass sich der zusätzliche, administrative Aufwand einer sicherheitsbasierten Netzwerklösung nur kompensieren lässt, wenn gleichzeitig Werkzeuge zur Verfügung stehen, welche die Transparenz und ein möglichst einfach zu handhabendes Management garantieren. Im Gegensatz zur Administration einzelner Netzwerkkomponenten, bieten datenbankbasierte Managementsysteme die notwendige Unterstützung, um auf Basis von Templates und Policys eine flächendeckende Anpassung des Netzes an sich ändernde Anforderungen rationell vorzunehmen. Enterasys Networks – Solution Guide 2008
  • 17. Secure Networks™ Seite 11 Authentisierung als Maßnahme zum Schutz des Netzwerk-Ökosystems Das Netzwerk eines Unternehmens entwickelt sich zunehmend zu der uni­ versellen Plattform für Kommunikation und Geschäftsprozesse und damit zum unternehmenskritischen Faktor. Nach Aussage von Analysten ist durch die fortlaufende Einbindung von mobilen Endgeräten, Sprachdiensten, Facility Management sowie der stei­ genden Integration industrieller Produktionsanlagen mit einer Verdopp­ lung der Endgeräte zu rechnen. Lediglich ein Teil dieser Endgeräteplattformen (PCs, Workstations und Notebooks) lässt sich mit geeigneten Sicherheitsmechanismen wie Perso­ nal Firewalls, Virenscannern und einem gehärteten Betriebssystem aus­ statten. Monolithische Komponenten, wie z.B. IP-Telefone, Webcams und Indus­ triesteuerungen liegen ebenso außerhalb des administrativen Zugriffs, wie die Notebooks externer Mitarbeiter und Studenten. Medizinische Komponenten, Analysegeräte und bildgebende Systeme (Röntgen und MRT) unterliegen eigenen Sicherheitsrichtlinien. Die Modifi­ kation des Betriebssystems durch geeignete Sicherheitsupdates erfordert in der Regel eine Neukalibrierung und Rezertifizierung des Systems und lässt sich somit in der Praxis kaum zeitnah ausführen. Enterasys Networks – Solution Guide 2008
  • 18. Seite 12 Secure Networks™ Eine solch heterogene Endgerätelandschaft stellt für den Betreiber eines Unternehmensnetzwerkes also einen Risikofaktor dar, welcher in zuneh­ menden Maße außerhalb einer verlässlichen Kontrolle liegt. Die Sicherheitsbetrachtung eines Netzwerkes fokussierte bisher externe Verbindungen wie WAN und Internet als Hauptrisikofaktor. Das Absichern dieser Übergabepunkte mittels Firewall, Virenschutz und Contentfiltering gehört mittlerweile zum üblichen Standard. Von einem ganzheitlichen Ansatz ausgehend ist nun in Betracht zu ziehen, welchen Risiken interner Angriffe das Ökosystem Netzwerk ausgesetzt ist. Die Antwort liegt in intelligenten Komponenten und Lösungen, welche das Netzwerk in seiner Rolle als unternehmenskritischen Produktionsfaktor schützen. Enterasys Networks – Solution Guide 2008
  • 19. Secure Networks™ Seite 13 Authentisierungsmethoden – Der technische Ansatz Die Access Control definiert sich in der Zugangskontrolle für Endgeräte zum Netzwerk. Dabei können die Endgeräte unterschiedlicher Natur sein. Ein von einem Anwender bedientes Endgerät bietet die Möglichkeit, unab­ hängig vom Betriebssystem des Endgeräts, den Anwender interaktiv zu authentifizieren. Viele Switche und die meisten Betriebssysteme für Perso­ nal Computer und Workstations unterstützen heutzutage den Authentisie­ rungsstandard IEEE 802.1x. Der ganzheitliche Lösungsansatz erfordert jedoch die lückenlose Erken­ nung von Endgeräten im Netz. Dies ist nur möglich, wenn alternative Au­ thentisierungsmethoden auch zur Verfügung stehen. Dieser Ansatz soll hier detailliert beleuchtet werden. IEEE 802.1x im Detail IEEE 802.1x liefert ein komplettes Authentication Framework, das port- basierende Zugriffskontrolle ermöglicht. Dieses Modell sieht dabei verschiedene Abstrahierungen vor: Supplicant ist das Endgerät, welches einen Netzwerkzugang an­ ● fordert. Authenticator ist das Gerät, welches den Supplicant authentifi­ ● ziert und den Netzwerkzugang versperrt oder frei gibt. Authentication Server ist das Gerät, welches den Backend-Au­ ● thentication-Dienst (z.B. RADIUS) bereitstellt. Dabei nutzt 802.1x bestehende Protokolle, wie EAP und RADIUS, die emp­ fohlen aber nicht vorgeschrieben sind. Unterstützt wird 802.1x für Ether­ net, Token Ring und IEEE 802.11. Eine Fülle von Authentifizierungsmechanismen wie Zertifikate, Smart Cards, One-Time Passwörter oder biometrische Verfahren sind ebenfalls vorgesehen. Diese Flexibilität wird durch die Nutzung des Extensible Au­ thentication Protocol (EAP) erreicht. Primär getrieben durch die Anforderung Wireless LANs mit einem sicheren Zugangs- und Verschlüsselungsmechanismus (802.11i und WiFi WPA) zu versehen, hat sich 802.1x im WLAN durchgesetzt findet aber zusehends auch Beachtung innerhalb herkömmlicher Ethernet-Netzwerke. Weiterhin erlaubt die Nutzung von EAP in der von Microsoft favorisierten Variante für RAS VPN (Remote Access Virtual Private Networks) innerhalb von IPSec/L2TP (IPSecurity, Layer 2 Tunneling Protocol) eine einheitliche Authentifizierung eines Nutzers über LAN, WLAN und WAN Infrastrukturen. Enterasys Networks – Solution Guide 2008
  • 20. Seite 14 Secure Networks™ In der Praxis ist es also möglich, das Modell der Network Access Control unter Nutzung bestehender Authentisierungsinstanzen flächendeckend und benutzerfreundlich zur Verfügung zu stellen. Die eigentliche Authentisierung er­ folgt durch die Weiterleitung der EAP Pakete mittels EAP-RADIUS (RFC 2869) an einen RADIUS Server. Dieser kann wiederum je nach Hersteller Schnittstellen zu Verzeichnisdiensten wie Active Directory ADS von Microsoft oder Novell´s NDS über LDAP oder XML sowie Plug-ins für Secure ID Card Integration haben. Je nach Anforderung und Anwendung kann eine Vielzahl von EAP Protokol­ len zur Anwendung kommen. Folgende Tabelle soll eine kurze Übersicht geben: Client Server Dynamisches Authentisierung Keymanagement MD5 Klartextübertragung von Userda­ Nein Nein ten. Nur selten genutzt PEAP Einbindung von MS-CHAPv2 Ja Ja EAP-TLS Zertifikatsbasierendes Verfahren, Ja Ja benötigt PKI EAP-TTLS Aufbau eines verschlüsselten, au­ thentisierten Tunnels zwischen Ja Ja Sender und Empfänger. Enterasys Networks – Solution Guide 2008
  • 21. Secure Networks™ Seite 15 Funktionsweise von MD5 Wegen der unsicheren Methode Authentisierungsdaten unverschlüsselt zu übertragen wird die unsprünglichste Methode MD5 heute nur noch in Aus­ nahmefällen genutzt. Funktionsweise von EAP-TLS EAP-TLS wurde in RFC 2716 spezifiziert und bietet eine starke kryptogra­ phische Authentisierung des Clients gegenüber dem Netzwerk. Das ge­ schieht, indem sich beide Seiten, also der Client und der Anmeldeserver, kryptographische Zertifikate vorzeigen, um ihre Identität zu beglaubigen. Diese Methode erfordert die Bereitstellung einer PKI (Public Key Infra­ structure), welche mit dem Directory in Verbindung steht. Die entsprechenden Zertifikate müssen auf dem Client verfügbar gemacht werden. Gespeichert auf einer so genannten Smart Card stellen sie ge­ meinsam mit einer mehrstelligen PIN-Nummer die optimale Sicherheitslö­ sung dar. Funktionsweise von EAP-TTLS EAP-TTLS wurde unter anderem von den Firmen Funk Software und Certi­ com aus TLS entwickelt. Die getunnelte Funktionsweise ist mit einem SSL verschlüsselten Webserver vergleichbar. Im Gegensatz zu EAP-TLS braucht nur der Anmeldeserver ein eindeutiges, digitales Zertifikat, wel­ ches der Client beim Verbindungsaufbau überprüft. Funktionsweise von PEAP Hierbei handelt es sich um die gebräuchlichere Microsoftvariante , die im Grunde die schon vorhandenen Merkmale von EAP-TTLS aufweist. Auch hier benötigt der Authentisierungsserver ein Zertifikat, auch hier wird zu­ erst die Verschlüsselung aufgebaut, bevor eine Identifizierung mit User­ name / Passwort stattfindet. Web-Authentication Endgeräte externer Mitarbeiter (Gäste, Servicepersonal, Studenten) ent­ ziehen sich dem administrativen Eingriff des Administrators. In diesem Szenario ist es also nicht praktikabel, die für die Authentisierung notwen­ dige Konfiguration vorzunehmen. Eine webbasierte Anmeldung, wie sie mittlerweile z.B. innerhalb öffentli­ cher WLAN HotSpots üblich ist, ist ohne Konfigurationsaufwand möglich und stellt somit eine akzeptable Alternative dar. Enterasys Networks – Solution Guide 2008
  • 22. Seite 16 Secure Networks™ Die automatische Umleitung eines beliebigen HTTP-Aufrufes durch den Browser des Endgeräts präsentiert dem Benutzer eine Webseite mit inte­ grierter Authentisierungsabfrage. MAC-Authentication Endgeräte ohne standardbasierte Authentisierungsfunktionen, wie Dru­ cker, IP-Telefone und Industrieanlagen stellen eine weitere Herausforde­ rung dar. MAC adressbasierte Authentisierungsmethoden sowie die automatische Endgeräteklassifizierung durch Protokolle wie CEP und LLDP-MED sind grundsätzlich als schwächere Sicherheitsbarriere anzusehen, da sie sich mit verhältnismäßig einfachen Mitteln kompromittieren lassen. Dieses Manko erfordert eine dediziertere Endgerätekontrolle, welche über eine binäre Zugriffsentscheidung hinaus geht. Die im Weiteren erläuterte Kombination von Authentisierung und Access Policys ermöglicht den Zu­ griff in eingeschränkter Form. Daraus resultiert, dass der Versuch, sich z.B. mittels einer MAC Adresse eines Druckers Zugang auf das Netz zu verschaffen, lediglich die Kommu­ nikation mit dem zugewiesenen Printserver herstellt. Diese Einschränkung reduziert den Erfolg eines solchen Angriffs auf ein Minimum. Phone Detection (CEP) Die Telefonerkennung (Phone Detection) sorgt dafür, dass ein an das Netzwerk angeschlossenes IP-Phone als Solches erkannt wird. Im Netz­ werk werden dann automatisch passende Parameter für Quality of Service gesetzt. Zum Beispiel kann nach der Erkennung eines IP-Phones dessen Datenverkehr via 802.1p getagged und damit höher priorisiert werden als anderer Datenverkehr. Die Telefonerkennung kann dabei durch den LLDP-Standard oder spezielle Protokollnachrichten, wie zum Beispiel Enterasys CDP, erfolgen. Ansonsten können auch beliebige andere Protokolle, wie Cisco Discovery Protocol 2.0 oder das Snooping aller Pakete mit Ziel UDP Port 4060 wie bei Siemens, verwendet werden. Link Layer Discovery Protocol (LLDP, IEEE802.1AB) Der gegenseitige Austausch von Identität und Eigenschaften zwischen den Netzwerkkomponenten optimiert deren Zusammenspiel und ermöglicht darüber hinaus auch die Visualisierung von Layer 2 Verbindungen in grafi­ schen Netzwerkmanagmenttools. Die bisher verwendeten Discovery Protokolle (CDP, EDP) waren jedoch proprietärer Natur und boten damit eine eingeschränkte Interoperabilität. Enterasys Networks – Solution Guide 2008
  • 23. Secure Networks™ Seite 17 Aus dieser Konzeption ratifizierte die IEEE im Jahre 2005 unter der Be­ zeichnung 802.1ab das herstellerunabhängige Link Layer Discovery Proto­ koll. Eine durchgängige Unterstützung von LLDP durch die Netzwerkkomponen­ ten ermöglicht die Rekonstruktion der kompletten Layer 2 Netzwerktopo­ logie sowie das Erkennen neuer Netzwerkkomponenten. Bei der Entwicklung von LLDP wurde auf eine einfache Erweiterbarkeit des Standards Wert gelegt. Ein Beispiel hierfür ist das Link Layer Discovery Protocol-Media Endpoint Discover oder LLDP-MED. Mit LLDP-MED wird es möglich Netzwerkeinstellungen von Endgeräten wie VLAN Priorität oder Diffserv-Werte automatisch zu erkennen. Dies erleichtert die Integration besonderer Endgerätetypen wie z.B. IP- Telefonen. LLDP Informationen stellen darüber hinaus auch eine Entscheidungsgrund­ lage für die automatische Zuordnung von Secure Networks™ Policys dar. Multi-User-Authentication Als Mitautor der IEEE Standards und somit Wegbereiter sicherer LANs hat Enterasys Networks schon frühzeitig damit begonnen auch bestehende Produkte nachträglich mit den erforderlichen Funktionen zu versehen. Diese Strategie reicht zurück bis zur zweiten Generation von Cabletron SmartSwitch Komponenten aus dem Jahr 1998, welche über die notwendi­ gen Authentisierungsmöglichkeiten verfügen. In gewachsenen, heterogenen Netzwerken ist damit zu rechnen, dass nicht alle Accesskomponenten über Authentisierungsfeatures verfügen. Die Matrix® N-Serie löst dieses Problem durch eine integrierte Multi-User- Authentication, welche es ermöglicht auf den Uplinks bis zu 256 Benutzer individuell zu authentisieren. Bestehende Lösungen, aber auch neue Fiber-to-the-Office Konzepte, bei welchen simple Kanalswitche im Accessbereich eingesetzt werden, lassen sich somit flächendeckend realisieren. Enterasys Networks – Solution Guide 2008
  • 24. Seite 18 Secure Networks™ Dabei ist zu berücksichtigen, dass die bei der 802.1x Anmeldung verwen­ deten EAPoL Pakete von diesen „simplen“ Accessswitchen weitergeleitet werden müssen. Dies wird auch als EAP-Passthrough bezeichnet und ist bei allen Enterasys SecureStacks™ verfügbar. Bei älteren Komponenten muss sichergestellt sein, dass dies auch möglich ist; manchmal muss hier­ für Spanningtree ausgeschaltet oder ähnliche Konfigurationsänderungen vorgenommen werden. Multi-Method Authentication Mit der Matrix® N-Serie ist Enterasys Networks nicht nur in der Lage meh­ rere User gleichzeitig auf einem Port zu authentifizieren und jedem eine eigene Policy zu zu weisen, es ist auch möglich verschiedene Authentifizie­ rungsmethoden gleichzeitig auf dem Port zu betreiben. Normalerweise geht man davon aus, dass jedes Gerät sich nur einmal au­ thentifiziert; also der User an seinem PC über 802.1x, der Gast mit sei­ nem Laptop über PWA, der Drucker basierend auf MAC Authentication. Aber was passiert, wenn der PC auch über MAC Authentication authentifi­ ziert ist und sich die entsprechenden Profile auch noch widersprechen? Ab­ gesehen davon, dass dann das Security Design und die Policys überarbei­ tet werden sollten, hat Enterasys Networks dieses Problem im Griff. Die Authentifizierung läuft über so genannte Authentication Sessions. Hat ein User jetzt mehrere Authentication Sessions offen, so wird nur eine wirklich genutzt. Bis zu drei Sessions gleichzeitig sind möglich, denn ein User kann über 802.1x, PWA oder MAC Authentication angemeldet sein. Die Authentifizierungsmethoden werden nach Prioritätsregeln angewandt. Die Default-Prioritäten sehen folgendermaßen aus: 1. IEEE 802.1x 2. Port Web Authentication 3. MAC Authentication 4. CEP (Convergent Endpoint Detection) Kommen wir auf unser Beispiel zurück: Ein User hat sich über 802.1x au­ thentifiziert, aber basierend auf seiner MAC Adresse lief auch MAC Authen­ tication im Hintergrund, da beide Methoden auf dem Port aktiviert sind. Da die 802.1x Session höhere Priorität hat als die MAC Session, wird diese angewandt und die entsprechende Rolle dem User zugewiesen. Enterasys Networks – Solution Guide 2008
  • 25. Secure Networks™ Seite 19 MACSec IEEE 802.1ae Der MACSec Standard, der am 8. Juni 2006 verabschiedet wurde, dient in der verbindungslosen 802 Welt zur Sicherung der Integrität jedes übertra­ genen Datenpaketes, zur Sicherung der Authentizität und zur Abwehr von „Lauschangriffen“ auf die transportierten Daten. Der Standard dient hier­ bei zur „Hop by Hop“ Verschlüsselung, Authentifizierung und Integritäts­ prüfung. Er wird zwischen Endsystemen und dem nächsten Switch bzw. auch alternativ (aber wohl selten) zwischen Switchen zum Einsatz kom­ men können. Das dazu notwendige Schlüsselmanagement nach 802.1af ist jedoch noch im Draft (eine Erweiterung des 802.1x), so dass hier noch etwas Geduld notwendig ist. Die Hersteller von MAC Phy´s versprechen sich natürlich hiervon mehr Ge­ schäft, da komplexere Chips inklusive Verschlüsselung teurer werden kön­ nen. Jedoch geht man davon aus, dass eine breite Anwendung erst statt­ findet, wenn die Preise zu bestehenden MAC Phy´s vergleichbar sind. Die potentiellen Anwendungsbereiche reichen von der sicheren Trennung von Kunden in der gleichen Layer 2 Domain eines Service Providers (Ethernet First Mile etc.) über die Sicherung von MAN Netzen zwischen Unternehmungen hin zur erweiterten Sicherung von heutigen 802.1x Un­ ternehmensinstallationen mit Verschlüsselung und Integritätswahrung von Endgerät zum Switch (wie es heute auch schon in der Wireless LAN 802.11 Welt vorhanden ist) und der Sicherheit, dass man nur Verbindun­ gen zu Geräten erstellt, die einem gewissen Trust-Level entsprechen. Enterasys Networks – Solution Guide 2008
  • 26. Seite 20 Secure Networks™ Policy Enforcement Die eindeutige Authentisierung eines Gerätes / Benutzers stellt einen wichtigen Teil der Access Control dar. Auf dieser Basis müssen nun Regelwerke zugewiesen werden, welche den Zugang mit allen Rechten und Einschränkungen kontrollieren. Denn bereits die unterschiedlichen Authentisierungsmöglichkeiten zeigen auf, welche differenzierte Vertrauensstellung hier abzubilden ist. RFC 3580 - Der kleinste gemeinsame Nenner? Die nähere Betrachtung zeigt, dass die verbreitete Methode aus dem Authentisierungsergebnis eine VLAN-Zuweisung (RFC 3580) abzuleiten, zahlreiche Unzulänglichkeiten birgt. Allein die Notwendigkeit einen Campus mit weitverzweigten Layer 2 Seg­ menten zu überziehen widerspricht dem allgemeinen Trend hin zu gerou­ teten Segmenten. Eine Usergruppen-/ VLAN-Assoziierung generiert in der Praxis mindestens eine umfangreiche Gruppe von Standardusern, vor welchen zwar der Netz­ werkkern durch entsprechende Accesslisten geschützt wird, die jedoch un­ tereinander frei und hemmungslos kommunizieren können. Ist eines dieser Endsysteme durch Schadsoftware kompromittiert, so ist die gesamte Gruppe einer Verbreitung ausgesetzt. Daher wäre es wünschenswert, bereits am ersten Access Port zu entschei­ den, welche Informationen überhaupt in das Ökosystem Netzwerk einge­ speist werden dürfen. Policys – Regeln am Rand der Zivilisation Diese Idee führt tief in die Historie des Enterasys-Vorläufers Cabletron Systems. Bereits mit der zweiten Generation der SmartSwitch-Familie wurde in den späten 90er Jahren die dezidierte Frameklassifizierung eta­ bliert. Die Idee, einen Layer 2 Switch zu einer Layer 2/3/4 Analyse zu be­ wegen, war zu jener Zeit aus Priorisierungsanforderungen mit Blick auf zeitkritische Applikationen wie Voice und Video heraus geboren. Später wurde klar, dass die Unterscheidung verschiedener Protokolle am Access Port die erste Grundlage darstellt, um unerwünschte Dienste und Protokolle einfach zu verwerfen. Die Idee einer skalierbaren, verteilten Sicherheitsarchitektur eines Netzwerkes hatte etwas Faszinierendes. „Das Konzept von Zugriffsregeln im Accessbereich hat lediglich akademi­ schen Wert. In der Praxis ist diese Aufgabe zu komplex, um administriert zu werden...“ Enterasys Networks – Solution Guide 2008
  • 27. Secure Networks™ Seite 21 Diese Aussage eines namhaften Herstellers von Netzwerkkomponenten bringt es auf den Punkt. Das Pflegen verteilter Zugriffsinformationen mit Bordmitteln ist eine Aufgabe, vor welcher jeder Administrator zurück­ schrecken wird. Doch bereits im Jahre 2001 stellte Enterasys Networks mit dem NetSight ® Policy Manager ein Werkzeug vor, mit welchem das Erstellen und Verbrei­ ten komplexer Regelwerke zu einem Baukastenspiel wird. Der Schlüssel liegt in einer dreistufigen Hierarchie: Policys - Hierarchisches Regelwerkzeug Die oberste Ebene definiert sich zunächst aus der Rolle, welche ein Benut­ zer in der Struktur des Unternehmens selbst spielt. Da sich diese Rolle be­ reits in den Regelwerken des Usermanagements einer zentralen Betriebs­ systemplattform abzeichnet, liegt es nahe, bereits bei der Authentisierung auf diese Informationen zuzugreifen. Unterhalb dieser Ebene sind die Services definiert, welche bereits im Gro­ ben beschreiben, was der Benutzer tun darf – und was nicht. Enterasys Networks – Solution Guide 2008
  • 28. Seite 22 Secure Networks™ Diese Services setzen sich nun aus einzelnen Regeln zusammen, welche den Datenverkehr zunächst nach Kriterien der Layer 2, 3 und 4 klassifizie­ ren. Trifft die Regel zu, so wird eine zugewiesene Aktion ausgeführt: Access Control – zulassen oder verwerfen • Tagging des Frames mit einer definierten VLAN ID • Redefinition von Quality of Service Parametern • Rate Limiting (Port, Applikations-Flow, Protokoll, • Nutzer - IP oder MAC) Mittels des Policy Managers ist es nun möglich ein solches Konstrukt aus Rollen und Regeln zusammenzustellen und per SNMP auf allen Netzwerk­ komponenten bekannt zu machen. Die flächendeckende Bereitstellung von Zugriffsinformationen im Access-/Distributionbereich ist ein Garant für Skalierbarkeit einer solchen Lösung. Granularität der Secure Networks™ Policys Wie in der Grafik dargestellt, liegt die Stärke von Policy Enforcement bei Secure Networks™ in der Kombination aus Authentisierung, Klassifizierung und Kontrolle. Enterasys Networks – Solution Guide 2008
  • 29. Secure Networks™ Seite 23 Mit diesen Maßnahmen ist es nun möglich einem breiten Spektrum von Bedrohungen zu begegnen, von denen einige hier beispielhaft aufgezeigt werden sollen: Risiko Lösung Illegitime DHCP-Server tauchen immer Eine Deny Regel auf SourcePort TCP69 wieder in LANs auf und stören den Be­ verhindert dies. trieb durch Zuweisung eigener IP- Adresse. Portscanner versuchen das Netz aus­ Das Blockieren des ICMP Protokolls für zuspähen. Standardbenutzer unterbindet Scan- Versuche. Rogue Access Points schaffen offene Auch ein AP muss sich via 802.1x au­ WLAN-Zugänge. thentisieren bevor er am Netzverkehr teilnimmt. Priorisierte Protokolle sind anfällig für Die Kombination aus Priorisierung und Packet Flooding. Rate Limiting schützt das Netz. Nicht alle IT-Komponenten lassen einen Layer 4-Regeln filtern Dienste wie Tel­ Schutz der Managementports zu. net und SSH aus, sofern der Benutzer keine Administratorenrolle spielt. Würmer verbreiten sich exzessiv in lo­ Für zahlreiche Attacken bietet der Policy kalen Netzen. Manager vorgefertigte Filterregeln an. Enterasys Networks – Solution Guide 2008
  • 30. Seite 24 Secure Networks™ (Multi-) User Authentication and Policy (MUA+P) im Detail Die bisher aufgezeigte Kommunikationskette für den Authentisierungspro­ zess wird nun also um die Managementfunktion erweitert, mit deren Hilfe Rollen und Regeln verteilt werden. Kombination von Access Control und Policy Enforcement Nun gibt das zentrale Verzeichnis neben der positiven Authentisierungsbe­ stätigung auch die Gruppenmitgliedschaften des Benutzers an den RADIUS-Server zurück. Mittels eines kleinen Filterwerks ermittelt dieser die relevante Gruppe, deren Name dem Switch nun als Schlüssel dient, um dem Port die entsprechende Policy zu zu weisen. Die Authentisierungsmethode wird also lediglich um eine Filter-ID erwei­ tert, alle weiteren Funktionen führt die verteilte Netzwerkarchitektur selbsttätig aus. Das an sich sehr schlanke Standard-RADIUS Protokoll bie­ tet damit die Grundlage für eine hoch skalierbare Gesamtlösung. Im Kontext heterogener Netze, in welchen nicht alle Accesskomponenten den Einsatz von Policys unterstützen, ist es, wie bereits beschrieben, not­ wendig mehrere Benutzer an einem Port des nachgeschalteten Distribu­ tionlayers zu authentisieren. Die Flexiblität der Matrix ® N-Serie Switche erlaubt nun eine Kopplung der benutzerabhängigen Policy an die jeweils involvierte MAC Adresse. Enterasys Networks – Solution Guide 2008
  • 31. Secure Networks™ Seite 25 Die folgende Grafik verdeutlicht das Konzept der so genannten Distributi­ on Layer Security. Diese Technik erlaubt die Integration unterschiedlicher Benutzer (bis zu 256) • unterschiedlicher Authentisierungsmethoden (802.1x, MAC, • PWA, CEP) unterschiedlicher Regelwerke (Policys) • am selben Uplinkport. Multiuser Authentifizierung Sichere Gastfreundschaft mit Default Policys Gäste spielen eine wachsende Rolle in Netzen, deren Mobilitätsanforderun­ gen kontinuierlich ausgebaut werden. Schüler und Studenten, Besucher, Wartungstechniker oder einfach Mitar­ beiter fremder Firmen, die manchmal über lange Zeiträume im Unterneh­ men präsent sind – sie alle haben den Anspruch, an den Ressourcen der IT-Infrastruktur teilzuhaben. Ein Horrorszenario für jeden Administrator! Der Balanceakt, einerseits diesem Bedarf nachzukommen ohne anderer­ seits die Sicherheitsrichtlinien des Unternehmens zu kompromittieren, stellt eine echte Herausforderung dar. Ein Teil der genannten Personengruppen lässt sich organisatorisch regis­ trieren und technisch mittels Webauthentication und einer restriktiven Po­ licy in das Sicherheitskonzept integrieren. Enterasys Networks – Solution Guide 2008
  • 32. Seite 26 Secure Networks™ Für die oft große Zahl sporadischer Besucher ist dieser Aufwand unange­ messen hoch. Eine einfache Lösung muss her, die ohne Eingriff des Admi­ nistrators funktioniert. Den Schlüssel hierzu stellt die Default Policy dar. Sie erlaubt einem nichtauthentisierten Benutzer den minimalen Zugriff auf die Netzwerkin­ frastruktur. Eine solche „soziale Grundversorgung“ definiert sich beispiels­ weise über den Zugriff auf VPN-, HTTP-, DHCP- und DNS-Services sowie dem Zugang zum Webproxy des Unternehmens. Ein Rate Limiting begrenzt die nutzbare Bandbreite und verhindert exzes­ siven Gebrauch. Der Gast erhält also an jedem freigegeben Port Basisdienste, ist jedoch von den internen Ressourcen der IT-Infrastuktur eindeutig ausgeschlos­ sen. Aber auch andere Szenarien lassen sich über Default Policys abbilden. Softwareverteilung findet regulär außerhalb der Bürozeiten statt. Eine angepasste Default Policy stellt den Zugriff eines Updateservers auf das Endgerät auch dann sicher, wenn der Benutzer nicht angemeldet ist. Fazit: Default Policys schaffen die nötige Flexibilität in einem sicheren Netzwerk, um Nischenszenarien zu ermöglichen ohne die Security durch manuelle Schaffung von Ausnahmen und Lücken zu kompromittieren. Enterasys Networks – Solution Guide 2008
  • 33. Secure Networks™ Seite 27 RFC 3580 und Distribution Layer Security Die Einführung flächendeckender Netzwerk Security in heterogenen Net­ zen stellt den Administrator, wie bereits beschrieben, vor eine Reihe spannender Herausforderungen. Gerade im Bereich der Low-Cost Switche hat sich das Prinzip der User/ VLAN-Zuordnung gemäß Standard RFC 3580 weitgehend etabliert. Daher soll dieses Thema nochmals eingehender mit Fokus auf eine Secure Networks™ Integration beleuchtet werden. RFC 3580 ist eine Methode, welche der Authentisierungsantwort des RADIUS-Servers eine VLAN-ID beifügt, anhand welcher der Switch dem Userport ein entsprechendes VLAN zuweist. In diesem Abschnitt soll beleuchtet werden, wie sich derartige Komponen­ ten in eine policybasierte Lösung integrieren lassen. Enhanced Policy mit RFC 3580 Enterasys Networks – Solution Guide 2008
  • 34. Seite 28 Secure Networks™ In dem abgebildeten Beispiel agiert der Distribution Layer Switch vom Typ Matrix® N-Serie N7 nicht als Authentisierungsinstanz, sondern weist den eingehenden Frames anhand der VLAN-ID eine entsprechende Policy zu. Damit reduziert sich das Risiko unkontrollierter Client-zu-Client Kom­ munikation auf den Bereich des VLANs innerhalb des einzelnen Access Switchs. Auch das VLAN-to-Role Mapping lässt sich an zentraler Stelle im Policy Manager konfigurieren und flächendeckend an alle Switches kommunizier­ en. VLAN Mapping im NetSight® Policy Manager Port Protection Im Gegensatz zum Policy Enforcement direkt am Access Port verbleibt bei allen Szenarien der Distributed Layer Security ein Restrisiko, da die Access Control erst in der nachgelagerten Instanz ausgeführt wird. Um diese Lücke zu schließen, haben die Entwickler von Enterasys die Funktionalität des Cabletron ELS10-27MDU (Multiple Dwelling Unit) den neuen Anforderungen angepasst und in das Portfolio der SecureStack™ Reihe integriert. Enterasys Networks – Solution Guide 2008
  • 35. Secure Networks™ Seite 29 Das Port Protection oder Private VLAN Feature, welches Datenaustausch nur in Richtung definierter (Uplink-) Ports zulässt, leitet die gesamte Kom­ munikation des Switchs direkt in die Distribution Zone und das Regelwerk der Policys. Diese Schutzmaßnahme bewahrt die Enduser vor unkontrol­ liertem Verkehr innerhalb des Switchs/VLANs. Policy Enforcement in der Praxis Die Konfrontation mit einer Flut von Begriffen wie MUA+P, RFC 3580 und Distribution Layer Security impliziert die Vorstellung einer Netzwerkarchi­ tektur, welche aufgrund ihrer Komplexität einfach nicht mehr zu handha­ ben scheint. Es bietet sich daher an, die Migration eines LANs hin zu einem sicheren Netzwerk in abgestuften Phasen durchzuführen, welche szenarienbedingt variieren können. Hier ein Beispiel für die Vorgehensweise: Step 1 – Assessment Eine Bestandsaufnahme stellt den Grundstock für weitere Betrachtungen dar. Daher sollten einige Punkte im Vorfeld festgelegt werden. Welche Komponenten sind im Netz aktiv, welche Featuresets ste­ • hen zur Verfügung? Welche Verkehrsbeziehungen sind zwischen Endgeräten und Ser­ • vern etabliert? Welche Dienste werden genutzt? Welche sollten fallweise restriktiv • behandelt werden? Welche Authentisierungsmethoden können/müssen eingesetzt • werden? Was unterstützen die Betriebssystemplattformen der Endgeräte? Step 2 - Management Die Einrichtung des Netzwerkmanagements verdient ein besonderes Au­ genmerk. Die Auswertung von SNMP-Traps und Syslogmeldungen stellt Enterasys Networks – Solution Guide 2008
  • 36. Seite 30 Secure Networks™ einen wichtigen Faktor für die transparente Darstellung des Betriebszu­ standes eines Netzwerks dar. Nach der Einführung redundanter Maßnahmen manifestieren sich einzelne Ausfälle nicht mehr in Form von Betriebsstörungen. Umso wichtiger ist es, diese Teilausfälle zu erkennen, um die Gesamtverfügbarkeit der Infra­ struktur erhalten zu können. Die steigende Integration intelligenter Funktionen in die Netzwerkkompo­ nenten erfordert ein Maß an Kontrolle, welches über einfaches Portmana­ gement hinaus geht. Die NetSight® Console ist in der Lage sowohl Meldungen aktiver Kompo­ nenten intelligent auszuwerten als auch Managementaufgaben flächende­ ckend und geräteübergreifend durchzuführen. Das ermöglicht dem Administrator wiederkehrende Routineaufgaben ener­ giesparend zu absolvieren und Funktionsstörungen jederzeit gezielt zu lo­ kalisieren. Die Integration des Policy Managers in die NetSight® Installation ist der erste praktische Schritt zu einem sicheren Netzwerk. Step 3 – Static Policys Es gibt verschiedene Rahmenbedingungen, welche die flächendeckende Einführung von Authentisierungsmethoden verzögern. Daher bietet es sich als Vorstufe an einen statischen Schutz zu etablieren, welcher ohne jede Authentisierung auskommt. Zu diesem Zweck werden einige wenige Policys definiert, welche den Access Ports als Default Role zugewiesen werden. Der Nachteil dieser statischen Lösung liegt in einer geringen Flexibilität. Jeder Umzug von Endgeräten erfordert eine Prüfung der dem Port zuge­ wiesenen Policy. Die Möglichkeit, unter Einsatz des Policy Managers auf einfache Weise eine Access Port Security zu etablieren, birgt – gerade in kleinen und mittleren Netzen – jede Menge Charme und ist als Zwischenstufe einer Migration durchaus betrachtenswert. Step 4 - Authentisierung Dieser Schritt erfordert einen Blick über den Netzwerktellerrand hinaus. Die Integration des RADIUS-Dienstes in Verbindung mit der zentralen Be­ nutzerverwaltung ist möglicherweise bereits im Rahmen einer VPN- oder WLAN Lösung vollzogen worden. Nun gilt es im RADIUS-Server ein Filterwerk zu etablieren, welches die Gruppenzugehörigkeit eines Users auf Betriebssystemebene auf einen ent­ sprechenden Policystring (Filter ID) destilliert. Dem folgt die Authorisie­ rung der Accessswitche als registrierte RADIUS-Clients. Enterasys Networks – Solution Guide 2008
  • 37. Secure Networks™ Seite 31 Das Aktivieren der Authentisierungsfunktion auf den Switchen stellt einen wesentlichen Schritt in der Migration dar. Der Zugang zum Netz ist nun nicht mehr von der reinen LAN-Connectivity bestimmt, sondern hängt von zahlreichen Faktoren ab: Endgerätekonfiguration, Switcheinstellung, RADIUS, Directory. Um das einwandfreie Zusammenspiel dieser Kommunikationskette risiko­ frei sicherzustellen, hat sich die Durchführung einer Pilotphase bewährt. In dieser Phase ist jedem Port zunächst eine liberale Default Policy zuge­ ordnet, welche den Benutzer in seinem Tun nicht einschränkt. Ein authentisierter User erhält eine neue Rolle, welche die gleichen Frei­ heiten einräumt. Während dieser Pilotphase kann der Administrator risikofrei prüfen, ob die Authentisierungsmechanismen auch unter Volllast greifen. Ist diese Prü­ fung abgeschlossen, können die vorbereiteten Policys scharfgeschaltet werden. Step 5 – Nächste Schritte Die Integration von Authentisierungsmaßnahmen und Regelwerken im Accessbereich stellt einen großen Schritt hin zu flächendeckender Netz­ werksecurity dar. Doch das Secure Networks™ Portfolio hat weit mehr zu bieten. Die Fähigkeit, Protokolle und Dienste auf den Layern 2, 3 und 4 flächende­ ckend zu kontrollieren, schafft eine solide Basis an Präventivmaßnahmen. Der nächste Schritt, Missbrauch und Attacken innerhalb des Contents oder aufgrund von anomalem Verhalten zu erkennen und darauf zu reagieren, ist in den nachfolgenden Kapiteln „Detect and Locate“ dokumentiert. Neben der Sicherheitsüberprüfung des Benutzers stellt sich auch die Frage nach dem Vertrauensstatus des Endgeräts. Im Kapitel „Proactive Pre­ vention“ werden Techniken beleuchtet, die es ermöglichen, die wachsen­ de Zahl von PCs, Laptops, Telefonen und embedded Devices in ein erwei­ tertes Sicherheitskonzept einzubinden. Rückblickend auf zahlreiche Secure Networks™ Migrationen hat sich die Vorgehensweise bewährt, vor Ort einen auf die Bedürfnisse des Kunden abgestimmten Workshop durchzuführen, in welchem Grundlagen vermit­ telt werden, einzelne Schritte festgelegt und Konfigurationen vorab er­ stellt werden können. Enterasys Networks bietet für alle Schritte, angefangen von der Erstellung eines Pflichtenheftes, der Planung, der Implementierung und Einweisung, professionelle Unterstützung an. Enterasys Networks – Solution Guide 2008
  • 38. Seite 32 Secure Networks™ Detect and Locate Secure Networks™ von Enterasys schützt die Unternehmenswerte durch einen ganzheitlichen Ansatz. Die Grundvorrausetzung hierfür ist, dass das Netzwerk in der Lage ist, Angriffe und Gefahren auf Ressourcen im Netz­ werk zu erkennen und den Angreifer zu identifizieren. Bevor jedoch Angriffen auf die IT Infrastruktur begegnet werden kann, muss verstanden werden, wie diese Attacken durchgeführt werden und welche Charakteristiken zur Erkennung genutzt werden können. Angriffe Grundsätzlich kann dabei zwischen den folgenden Angreifertypen unter­ schieden werden: Automatisierte Angriffe (Viren, Würmer, Trojaner) ● Toolbasierte Angriffe ● Gezielte, intelligente, per Hand durchgeführte Angriffe ● Automatisierte Angriffe Schafft es eine Sicherheitslücke in die Nachrichten, kann man davon aus­ gehen, dass ein Virus oder ein Wurm diese Sicherheitslücke nutzt, um IT Systeme flächendeckend zu kompromittieren. Sind diese Sicherheits­ lücken bis dato noch unbekannt oder existiert kein Patch dazu, spricht man häufig von Day Zero Attacken. Die eigentliche Herleitung dieses Begriffs, der eigentlich Zero-Day Angriff/ Exploit lautet, kommt jedoch von der kurzen Zeitspanne zwischen dem Entdecken einer Sicherheitslücke und dem Verfügbarsein eines funktionie­ renden Angriffs (zumeist eines Exploits). Unabhängig davon, ob die Si­ cherheitslücke bekannt ist und ebenfalls unabhängig davon, ob ein Patch für diese Sicherheitslücke exisitert, folgt das Schädlingsprogramm, das eine Sicherheitslücke automatisiert ausnutzen will, zumeist einem be­ stimmten Schema: 1) Netzwerkdiscovery und Zielidentifizierung (optional) Bevor ein (vernünftig programmierter) Wurm oder Virus seinen bösartigen Code an ein Zielsystem sendet, überprüft er, ob das Zielsystem überhaupt angreifbar ist. Die Palette der Möglichkei­ ten, um diese Informationen zu erlangen, reicht vom stupiden Banner Grabbing bis zum intelligten TCP Fingerprint. Enterasys Networks – Solution Guide 2008
  • 39. Secure Networks™ Seite 33 2) Kompromittierung des Zielsystems Nachdem das Ziel feststeht, wird der schadhafte Code übermittelt. Dies stellt den eigentlichen Angriff dar. Da der durchgeführte An­ griff auf eine Vielzahl unterschiedlicher Systeme auf unter Um­ ständen unterschiedlichen Plattformen durchgeführt werden soll, ist der Angriff an sich meistens sehr stupide und einfach zu erken­ nen. 3) Weiterverbreitung Ist das Zielsystem kompromittiert, versucht das Schadprogramm sich weiter im Netzwerk zu verbreiten. Automatisierte Angriffe können sowohl von Systemen, die mit anomalie­ basierten Erkennungstechnologien arbeiten, als auch von signaturbasier­ ten Systemen erkannt werden. Toolbasierte Angriffe Vor einigen Jahren setzte die Durchführung von stack- oder heapbasierten Angriffe noch Programmierkenntnisse in C und Assembler voraus. Heutzu­ tage gibt es eine Vielzahl von zum Teil freien Frameworks, die das Ausfüh­ ren eines Schadprogramms per Knopfdruck ermöglichen. Diese Frameworks laden bestimmte Angriffsmodule und bieten dem An­ greifer die Möglichkeit, die dynamsichen Parameter eines Angriffs per GUI zu definieren. Dadurch werden die Hürden zum erfolgreichen Durchführen eines Angriffs enorm gesenkt. Zumeist erstellen diese Frameworks einen Exploit, der sich in die folgen­ den Unterteile aufgliedern lässt: 1) Socket Aufbau Bevor der Angriffscode übermittelt werden kann, muss eine Netz­ werkverbindung zum Zielsystem aufgebaut werden. 2) Shell Code / Angriffscode Nachdem die Verbindung zum Zielsystem initialisiert worden ist, wird der Angriffscode über den Socket verschickt. Da die Rück­ sprungadresse und das Offset nicht bekannt sind, werden sehr viele verschiedene Rücksprungadressen durchprobiert. Da bei die­ sen toolgesteuerten Angriffen oftmals auch die verschiedenen Speichergrößen unbekannt sind, werden sehr viele NOPs über das Netzwerk versendet – daraus resultiert ein großer Speicherbedarf für das NOP-Sledge. 3) Informationsaufbereitung Sobald der Angriffscode übermittelt wurde, werden die daraus re­ sultierenden Informationen (zum Beispiel der Inhalt bestimmter Dateien des Zielsystems) für den User aufbereitet. Enterasys Networks – Solution Guide 2008
  • 40. Seite 34 Secure Networks™ Obwohl die Angriffe, die über diese Frameworks durchgeführt werden, ge­ zielt sind und sich somit von den automatisierten Angriffen unterscheiden, müssen die Angriffsschemata dennoch sehr offen gehalten werden. Nur so kann eine sehr hohe Erfolgsquote garantiert werden. Diese Angriffe sind unter anderem durch folgende Merkmale auffällig: Große NOP Bereiche ● Oftmaliges Übermitteln des Angriffscodes (da diese die Rück­ ● sprungadresse enthält) Auffällige Offsets ● Standard Shell Code ● Unsauberes Beenden des angegriffenen Programms (kein exit(0) ● innerhalb des Shell Codes) Diese Angriffe lassen sich am besten durch signaturbasierte Systeme er­ kennen. Gezielte Angriffe Ein gezielter Angriff zeichnet sich dadurch aus, dass der eigentliche An­ griffscode sehr schlank und sauber geschrieben ist und dass die Verbin­ dungen und die Codesprünge sauber geschlossen werden. Die Rücksprungadresse wird oftmals durch einen ersten Vorabangriff ge­ schätzt, so dass der Angriffscode nicht zu oft über den Socket geschickt werden muss. Je nach zu überschreibendem Puffer kann ein gezielter Angriff mit einem Shell Code von 179 Bytes bis 380 Bytes Gesamtlänge liegen (je nach NOP-Slegde). Angriffe der neuen Generation (wie Cross Site Scripting) sind zumeist sehr gezielt und können innerhalb eines Paketes erfolgreich übermittelt wer­ den. Aufgrund der verschiedenen Evasionsmöglichkeiten, die sich dem An­ greifer bieten, um seinen Angriff zu verschleiern, stellen diese fokusierten Attacken die größte Herausforderung an präventive Sicherheitssysteme dar. Gezielte Angriffe lassen sich am besten durch die Kombination von signa­ turbasierten Systemen und System Information Management Systemen erkennen. Zur besseren Veranschaulichung wie Angriffe funktionieren, wie sie er­ kannt und verhindert werden können, folgend die Beschreibung dreier be­ kannter und weitverbreiteter Angriffsmuster. Enterasys Networks – Solution Guide 2008
  • 41. Secure Networks™ Seite 35 Denial of Service Denial of Service Attacken gelten oftmals als stupide Attacken von Angrei­ fern, die nicht in der Lage sind, ein System zu kompromittieren und es deshalb einfach „nur“ ausschalten wollen. In Wahrheit sind Denial of Ser­ vice Attacken jedoch oftmals „Vorboten“ eines stack- oder heapbasierten Angriffs (Buffer Overflow Attacke zur Übernahme des Dienstes) oder die­ nen dazu, die Netzwerkdienste, die ein ausgeschalteter Service offeriert hat, zu übernehmen. Beliebte Angriffsziele sind DHCP Server, die zumeist über Broadcasts an­ gesprochen werden und oftmals keinerlei Authentifizierung unterliegen. Schafft es ein Angreifer, einen DHCP Server auszuschalten, kann er seinen Dienst übernehmen und in die Netzwerkkonfiguration von Endsystemen eingreifen. Dies kann Einfluss auf die Access Control Listen im Netzwerk und auf Update-Verhalten haben (bestimmte Sicherheitsgatewaysysteme installieren Updates über NFS mounts, die sie vom DHCP Server erhalten). Buffer Overflow Angriffe, die mit dem Überschreiben von Puffern zusammenhängen, sind für die meisten erfolgreichen Angriffe verantwortlich. Die Tendenz geht je­ doch von pufferbezogenen Angriffen weg und hin zu Cross Site Scripting- bezogenen Angriffen. Im Folgenden sind einige Gründe hierfür aufgeführt: Sichere Frameworks für Applikationserstellung und Code Access ● Security Stack Schutz von Betriebssystemen ● Stack Schutzmechanismen für Compiler ● Um zu verstehen, wie diese Angriffe funktionieren und zu erkennen, warum diese stetig an Bedeutung verlieren, ist es wichtig den Programmablauf auf dem „Stack“ und dem „Heap“ zu verstehen. Dies würde jedoch den Rahmen dieses Kapitels sprengen. Cross Site Scripting (XSS) Cross Site Scripting Attacken gewinnen stetig an Bedeutung. Sie können zu massiven Problemen führen (bis hin zur Kompromittierung des kom­ pletten Systems), sind extrem einfach für einen Angreifer zu finden und auszunutzen und oftmals sehr schwer zu erkennen und zu verhindern. XSS Angriffe sind zumeist im HTTP, XML und SOAP Bereich beheimatet und basieren auf der Dynamik der Programmiersprache mit der bestimmte Dienste, die die genannten Protokolle nutzen, geschrieben sind. Um zu verstehen, wie Cross Site Scripting Attacken funktionieren, muss der Unterschied zwischen Hochsprachen und Skriptsprachen verdeutlicht werden. Vereinfacht gesagt wird ein Skript zeilenweise ausgeführt (vom Enterasys Networks – Solution Guide 2008
  • 42. Seite 36 Secure Networks™ Interpreter). Kommt es zu einem Fehler oder einer falschen Anweisung endet das Skript in einer bestimmten Zeile. Ein in einer Hochsprache (z.B. C) geschriebenes Programm wird vor Beginn der ersten Ausführung kom­ piliert – grobe Fehler werden also schon bei der Erstellung des Programms erkannt. Ferner ist es bei Skriptsprachen möglich, Codes während der Laufzeit einzubinden. Durch Fehler innerhalb des dynamischen Codes ist der Angreifer in der Lage, den eigenen Code in die Webapplikation einzuschleusen (Skript Code oder Datenbanksteuerungsbefehle). Dies kann er zum Beispiel durch das Manipulieren bestimmter URL Variablen erreichen, die zur Laufzeit Teil des ausführenden Codes werden. Eine genauere, intensive Betrachtung der verschiedenen Angriffsmuster wird im Enterasys Networks Pre-Sales-Training vermittelt. Dort werden neben den hier genannten Angriffsschemata auch man-in-the-middle Atta­ cken und Protokollangriffe detailliert behandelt. IDS Erkennungstechnologien Intrusion Detection und Prevention Systeme sind in der Lage die beschrie­ benen Angriffsschemata zu erkennen und entsprechend zu reagieren. Wie bereits einleitend beschrieben, gibt es für die verschiedenen Angriffe ver­ schiedene Erkennungstechnologien. Vorab kann also festgehalten werden, dass der bestmögliche Schutz nur dann gegeben ist, wenn das eingesetzte IDS alle verfügbaren Erkennungstechnologien vereint und somit in der Lage ist, die jeweils beste Technologie zur Erkennung und Prävention ein­ zusetzen. Grundsätzlich kann unter folgenden Erkennungstechnologien unterschie­ den werden: Behavior Based Anomaly Detection ● Die Analyse von Verkehrsbeziehungen mittels Daten aus den  Netzwerkkomponenten, zum Beispiel via Netflow, Sflow, RMON mit dedizierten Probes oder auch mittels komponenten­ spezifischer Traps Bei hostbasierten Systemen ist hierunter meist die Analyse  der System Calls zu verstehen, um „ungültige“ Calls später heraus zu filtern oder die Analyse von CPU Last und Memory pro Applikation etc. Enterasys Networks – Solution Guide 2008
  • 43. Secure Networks™ Seite 37 Anomaly Detection ● Die Paketanalyse auf bestimmte Muster hin (bestimmte TCP  Flag Kombinationen gesetzt, etc.) Bei Host Sensoren kann man hierunter die Überwachung von  Files auf dem System verstehen („Logfiles werden nie kleiner“ oder „/etc/passwd“ wird normalerweise nicht geändert) Protocol based – Protocol Conformance Analysis und Decoding ● Die Decodierung von Protokollen und Überprüfung der Konfor­  mität im Hinblick auf Standards Signature based – Pattern Matching ● Die Analyse des Paketinhaltes in Hinblick auf verdächtige  Kombinationen (Verwendung von bekannten Exploits, Aufruf von ungültigen URLs, etc.) Bei Host Sensoren versteht man darunter zum Beispiel die  Analyse von Logdateien Eine Behavior Based Anomaly Detection basiert darauf typische Verhal­ tensmuster im Netzwerk, wie zum Beispiel die mittlere Anzahl von Flows pro Host oder den durchschnittlichen Durchsatz zu messen und bei star­ ken Abweichungen von diesen Werten Alarm zu schlagen. Wichtig hierbei ist, dass es sich dabei nicht nur um das Setzen und Messen von Schwell­ werten handelt, sondern um komplexe Algorithmen, die in der Lage sind, Systemverhalten zu erkennen, zu analysieren und normales Verhalten in bestimmten Grenzen vorher zu sagen. Bei der Anomaly Detection und der protokollbasierten Analyse werden quot;unmöglichequot; Datenpakete wie falsch zusammengebaute TCP-Pakete oder fragmentierte IP-Pakete mit nicht definierten Offsets erkannt. Außerdem werden die Sessions der einzelnen Verbindungen wieder zusammenge­ setzt und diese nach Auffälligkeiten analysiert und Abweichungen von de­ finierten Netzwerkpolicys (zum Beispiel, dass Mitarbeiter keine Peer-to- Peer Programme wie Napster, Kazaa, etc. verwenden sollten) erkannt. Eine signaturbasierte Lösung kann extrem präzisen Aufschluss über den Angriff geben, da die gesamte Paketfolge (je nach Produkt) abgespeichert wird: Damit ist auch eine schnelle Bewertung möglich, ob der Angriff er­ folgreich war. Dafür verwendet das IDS eine Datenbank, in der alle bekannten Signatu­ ren von Angriffen und Hackertechniken gespeichert sind (dabei handelt es sich um Binärabbilder bestimmter, typischer Fragmente der durch An­ griffstools oder Viren erzeugten Datenpakete). Diese werden mit dem Da­ tenteil der Pakete verglichen und so erkannt. Mit signaturbasierten Systemen ist die Erkennung völlig unbekannter An­ griffe jedoch schwierig zu realisieren. Dies gelingt in den Fällen sehr gut, in denen bestimmte (verschiedene) Angriffe einem bestimmten Muster Enterasys Networks – Solution Guide 2008
  • 44. Seite 38 Secure Networks™ folgen. Gut lässt sich dies anhand von Buffer Overflow Angriffen verifizie­ ren, die sich durch das Senden von Shell Code und NOP-Sledges auszeich­ nen. Zusammenfassend kann festgehalten werden, dass Intrusion Detection und Prevention Systeme Datenpakete aufnehmen, Dateninhalte lesen und bestimmte Technologien anwenden, um festzustellen, ob ein Paket oder ein Kommunikationsfluss integer ist oder ob es sich um einen Angriff han­ delt. Zur Verifizierung eines erfolgreichen Angriffs verwendet das IDS nicht nur das Angriffspaket oder die Angriffspakete. Es bezieht in seine „Überlegung“ auch die Antworten des angegriffenen Systems ein. Enterasys Networks – Solution Guide 2008
  • 45. Secure Networks™ Seite 39 Hostbasierte Erkennung versus netzwerkba­ sierte Erkennung Angriffserkennung kann, wie bereits beschrieben, auf dem Hostsystem oder im Netzwerk stattfinden. Bevor auf die verschiedenen Technologien im Detail eingegangen wird, werden im Folgenden einige Vor- und Nach­ teile der verschieden Systeme aufgeführt. Vorteile hostbasierter Erkennung: Netzwerkstream wurde bereits vom TCP Stack des Betriebssys­ ● tems zusammengesetzt Verschlüsselungsproblematiken sind nicht vorhanden ● Komplettes Systemverhalten kann in die Bewertung eines Angriffs ● einbezogen werden Nachteile hostbasierter Erkennung: Großer Verwaltungsaufwand: Muss auf jedem Host installiert wer­ ● den Verschiedene Betriebssysteme benötigen verschiedene Clients ● Betriebssystemänderungen können hostbasierte Erkennung beein­ ● flussen Vorteile netzwerkbasierter Erkennung: Änderungen am Betriebssystem des Ziels haben keinen Einfluss ● auf die netzwerkbasierte Erkennung Geringerer Verwaltungsaufwand: Ein netzwerkbasiertes System ● kann eine Vielzahl von Hosts überwachen Nachteile netzwerkbasierter Erkennung: Verschlüsselter Datenverkehr kann zu Problemen bei der Angriffs­ ● erkennung führen Single Point of Failure ● Lokale Angriffe werden nicht erkannt ● Enterasys Networks – Solution Guide 2008
  • 46. Seite 40 Secure Networks™ Host Intrusion Detection / Prevention (HIDS/ HIPS) Host Intrusion Detection / Prevention Systeme haben einen komplett an­ deren Aufbau als netzwerkbasierte Systeme. Diese Systeme haben drei Hauptansatzpunkte: Kernel Schutz (System Call Hooking) ● Überwachung von Konfigurationsdateien und/oder der Registrie­ ● rung Prüfung der Systemintegrität ● Kernel Schutz Obwohl dies dem Benutzer oftmals verborgen bleibt, sind Betriebssysteme in zwei Bereiche aufgeteilt. Das Userland, in dem sich Applikationen, Be­ nutzer, Programme und Prozesse befinden und der Kernelspace, in dem das Betriebssystem und die Betriebssystemroutinen beheimatet sind. Ver­ einfacht könnte man sagen, dass die Schnittstelle zwischen Betriebssys­ tem (das die Dateien und die Hardware exklusiv verwaltet) und dem User­ land die System Calls sind. Diese Calls werden von Applikationen und Pro­ grammen genutzt, um Zugriff auf Betriebssystemressourcen zu erhalten. Ein HIDS / HIPS setzt sich jetzt als überwachende Instanz zwischen das Betriebssystem (den Kernelspace) und der Welt der Applikationen und überwacht, ob die ankommenden Anfragen valid sind oder ob es sich um Angriffe handelt. Diese Überwachung kann sich durch mehrere Leistungs­ merkmale bemerkbar machen: Verhindern des Ausführens von Code auf dem Stack ● Überschreiben von System Calls (Linux – LKM) ● Überwachung von Konfigurationsdateien und Registrie­ rung Ein weiterer wichtiger Bestandteil eines HIDS / HIPS ist die Überwachung von Systemkonfigurationsdateien und Systemregistern (Windows) bzw. Kernelkonfigurationen (Linux). So kann das HIDS sichergehen, dass wichtige Systemapplikationen (Fire­ wall, Antivirenscanner, etc.) auf dem aktuellen Stand sind und noch lau­ fen. Auch Trojaner und andere Schadprogramme lassen sich dadurch sehr gut identifizieren. Enterasys Networks – Solution Guide 2008
  • 47. Secure Networks™ Seite 41 Prüfung der Systemintegrität Die Systemintegrität ist eine sehr wichtige Aufgabe von Host Intrusion De­ tection / Prevention Systemen. Dadurch kann sichergestellt werden, dass wichtige Systemprogramme bzw. der Code wichtiger Systemprogramme nicht manipuliert wurde. Das HIDS / HIPS bildet hierzu zu einem Zeit­ punkt, an dem das zu überwachende Systemtool noch integer ist, eine SHA-1 oder MD5 Checksumme des Binärcodes und agiert sobald sich die­ se Checksumme ändern. System Integrität – Kernel Schutz Enterasys Networks bietet für viele unterschiedliche Betriebssysteme Hostsensoren an, die didaktisch sehr einfach über den Dragon ® EMS zu verwalten sind. Damit können die in diesem Kapitel beschriebenen Featu­ res einfach und sicher realisiert werden. Enterasys Host Intrusion Prevention Systeme beschränken sich dabei je­ doch nicht nur auf den hier beschriebenen Betriebssystem- und Syste­ mapplikationsschutz. Für einige businessrelevante Gebiete (wie Webserver [Internet Information Server und Apache]) gibt es eigene Application In­ trusion Prevention Systeme, die für einen idealen Schutz der entsprechen­ den Applikation sorgen. Erweiterungsmöglichkeiten des HIDS Im Bereich Host Intrusion Detection bietet Enterasys ein SDK (Software Development Kit) an, das von Kunden, Partnern oder vom Enterasys Pro­ fessional Services Team genutzt werden kann, um zusätzliche Leistungs­ merkmale in die Produkte zu integrieren. Der Entwickler kann dabei auf die gesamte Bandbreite der integrierten Leistungsmerkmale zurückgreifen und somit neue Features schnell und sicher integrieren. Das Design ist dabei so realisiert, dass es Entwicklern möglich ist, zusätz­ liche Features über eine Programmiersprache ihrer Wahl (z.B. C oder C#) zu realisieren und diese dann gegen eine von Enterasys bereitgestellte Bi­ Enterasys Networks – Solution Guide 2008
  • 48. Seite 42 Secure Networks™ bliothek (Library) zu linken. Dadurch muss sich der Entwickler nicht um die Kommunikation des neu erstellten Features mit der Enterasys Enter­ prise Management Suite beschäftigen oder mit sicherheitsbezogenen The­ men wie Authentifizierung und Verschlüsselung – er kann sich voll und ganz auf die Realisierung des neuen Features konzentrieren. Enterasys stellt in diesem Zusammenhang umfangreiche Beispielprogram­ me, Beispielerweiterungen und Hilfsdokumente zur Verfügung, so dass es dem Administrator oder dem Entwickler schnell möglich ist, sich in die Thematik einzulesen und effizient zu entwickeln. Durch die neu geschaffene dot net Schnittstelle ist es nun auch möglich, alle betriebssystembezogenen Sicherheitsmerkmale, die Microsoft in ihre Produkte integriert, innerhalb der Dragon® Defense Suite zu nutzen. Network IDS/IPS Netzwerkbasierte Intrusion Detection und Prevention Systeme unterschei­ den sich in allen wesentlichen Punkten von hostbasierten Systemen. Ihr interner Aufbau kann folgendermaßen beschrieben werden: Ereigniskomponente: ● Sensoren oder der eigene Netzwerkstack nehmen Raw-Daten aus dem Netzwerk auf und starten das so genannte Preprocessing, das dabei hilft, die Daten in ein einheitliches Format zu bringen (dies hat den Vorteil, dass man dadurch in der Lage ist, Signaturen in einem einheitlichen Format zu erstellen). Danach werden diese vereinheitlichten Daten an die Analysekomponente weitergege­ ben. Analysekomponente: ● An dieser Stelle werden die Daten, die von der Ereigniskomponen­ te gesammelt wurden, analysiert. Bei signaturbasierten Systemen wird der Paketinhalt gegen die verschiedenen Paketinhalte der Si­ gnaturen kreiert. Sobald eine Signatur anschlägt, wird ein Alarm ausgelöst. Dieser Alarm kann lediglich ein Logfile oder Datenbank­ eintrag sein. Sollte es sich bei dem entsprechenden Deployment um eine DIRS (Dynamic Intrusion Repsonse System) Installation handeln, kann über ein Alarmtool auch eine Aktion (Ändern der Port Policy) gestartet werden. Monitor und Darstellungskomponente: ● Nachdem die Daten intern in einem bestimmten Format vorliegen (Angriffsart, Angreifer, Ziel, Zeitinformationen, etc.) werden die Daten an dieser Stelle verständlich (zumeist grafisch) für den An­ wender / Administrator aufbereitet. Zusammenfassend kann gesagt werden, dass durch die Kombination netz­ werk- und hostbasierter Erkennung ein sehr hoher Schutzfaktor erreicht Enterasys Networks – Solution Guide 2008
  • 49. Secure Networks™ Seite 43 werden kann, der vor einer Vielzahl verschiedener Angriffsszenarien schützt. IDS versus IPS versus DIRS Nachdem nun definiert wurde, wie präventive Sicherheitssysteme Angriffe erkennen können, werden die Aktionen, die aus diesen Informationen ge­ troffen werden können, diskutiert. Detection Die Erkennung von Angriffen ist die Grundlage jeglicher präventiver Si­ cherheitstechnologie (ob inline oder outline). Sollte keine proaktive Si­ cherheitsimplementierung gewünscht sein, so kann man durch die Daten, die in diesem Schritt gesammelt wurden, forensische Nachforschungen betreiben, Angriffe zurückverfolgen, Beweise auswerten, Systemverhalten überwachen und dokumentieren, Statistiken über die Sicherheitsentwick­ lungen erstellen und Datenquellen / Ressourcen für Security Information and Event Management Systeme bereitstellen, die daraus SoX-konforme Reports erstellen können. Prevention Aktive Angriffsverhinderung geschieht zumeist inline. Die Geräte (NIPS) werden also direkt in den Kommunikationsfluss integriert und entschei­ den, ob ein Paket weitergeleitet werden soll oder nicht. Intrusion Prevention ist ein sehr gutes Werkzeug, um das Netzwerk und die darin befindlichen Komponenten aktiv vor Angriffen zu schützen. Der Angreifer selbst bleibt davon jedoch unberührt und hat weiterhin Zugriff auf die Ressourcen des Netzwerks. Seine Pakete werden lediglich dann verworfen, wenn es sich dabei um schadhafte Pakete handelt. Dynamic Response Distributed IPS basiert auf Intrusion Detection und führt – basierend auf den Ergebnissen des Intrusion Detection Systems – Aktionen im Netzwerk durch. Je nach vorhandener Netzwerkinfrastruktur kann dies durch das Ändern einer Portpolicy oder durch das Verbannen eines Users aus einem bestimmten VLAN in ein Anderes geschehen. Distributed IPS reagiert da­ bei auf bestimmte Ergebnisse. Wird ein Angriff durch das Versenden eines einzelnen Paketes erfolgreich durchgeführt, wird das DIRS diesen Angriff nicht verhindern. Es werden jedoch Aktionen gegen den Angreifer gefah­ ren, die verhindern, dass dieser weiterhin Schaden im Netzwerk anrichtet. Auch hier kann zusammenfassend festgehalten werden, dass das größte Schutzpotential durch die Kombination der verschiedenen Technologien realisiert werden kann. Enterasys Networks – Solution Guide 2008
  • 50. Seite 44 Secure Networks™ Dynamic Response in Multivendor Networks Enterasys Networks ist der führende Anbieter von Distributed IPS Syste­ men. Durch eine extrem hohe Anzahl unterstützter Devices von Fremdher­ stellern ist es möglich, nahezu jede Netzwerkinfrastruktur durch den Ein­ satz des Dragon® IDS in Kombination mit dem Automated Security Mana­ ger über DIRS abzusichern. Enterasys Networks – Solution Guide 2008
  • 51. Secure Networks™ Seite 45 System Information and Event Management Unter SIEM (System Information and Event Management) oder SIM (Sys­ tem Information Management) versteht man die hohe Kunst, alle vorhan­ denen Daten aufzunehmen, zu korrelieren und daraus einen Rückschluss auf eine bestimmtes Ereignis zu treffen. Einsatzmöglichkeiten für Dragon® Zur besseren Veranschaulichung kann die IST Situation und die SOLL Si­ tuation (bezogen auf Security Information Management) vieler Unterneh­ men herangezogen werden: Ist Situation: Eine Vielzahl von unterschiedlichen Systemen offeriert Dienste im Netzwerk. Die entstehenden Logmessages werden in unter­ schiedlichen Formaten auf unterschiedlichen Systemen gehalten und kön­ nen sensible, wichtige Informationen enthalten. Soll Situation: Eine Vielzahl von bestehenden Systemen offeriert Dienste im Netzwerk. Die entstehenden, unterschiedlich formatierten Logmessa­ ges werden zentral ausgewertet. Die wichtigsten Daten werden in einem High Level Approach dem entsprechenden Mitarbeiter aufbereitet. Aus verschiedenen Quellen werden in Realtime sinnvolle Schlüsse gezogen (Korrelation). Im Vordergrund steht die Information und nicht die Lognachricht. Enterasys Networks – Solution Guide 2008
  • 52. Seite 46 Secure Networks™ Die Technologie Technologisch wird die eben beschriebene SOLL Situation dadurch er­ reicht, dass alle Events (ein Event ist eine einzelne Nachricht eines Sys­ tems innerhalb der IT Infrastruktur; dies kann eine Lognachricht eines Syslog Servers sein, ein Alarm eines Intrusion Detection Systems oder ein Flow Record eines Layer 2 / Layer 3 Systems) in einer Datenbank gespei­ chert und korreliert werden. Aus dieser Korrelation wird ein neuer Übere­ vent generiert – der so genannte Offense. Ein Offense ist ein Alarm, der aus verschiedenen Events generiert wurde. Je mehr Events zu einem Of­ fense zusammengefasst werden, desto höher ist die Data Reduction Rate. Das SIEM kann dabei Lognachrichten oder auch Flow Daten von Netzwerk­ geräten aufnehmen und diese in Relation zueinander setzen. Durch die ganzheitliche Strategie von Secure Networks™ ist es im Umkehrschluss wiederum möglich, Aktionen basierend auf den Offenses im Netzwerk zu starten. Man könnte SIEM Systeme als technische, virtuelle CIOs im Netzwerk be­ zeichnen, die alle erdenklichen Informationen aufnehmen und den Board of Directors (den Administratoren) dann Anweisungen erteilen. Die Dragon® Security Command Console (das SIEM von Enterasys) ist in der Lage, die vorhandenen Offenses einfach und klar strukturiert darzu­ stellen. Da das System auch für sehr große Infrastrukturen ausgelegt ist, ist es mandantenfähig. Jeder Benutzer kann dabei selbst definieren, wel­ che Informationen er zu Beginn seiner Session sehen möchte. Die DSCC ist dabei wie eine Art Zwiebel aufgebaut. An der obersten Schicht befindet sich das Ergebnis, das Endresultat, der gezogene Schluss basierend auf verschiedenen korrelierten Events (Offense). Der Anwender ist jedoch in der Lage sich bis zur Kerninformation vor zu arbeiten, in dem er (im übertragenen Sinne) Schale für Schale von der Zwiebel entfernt. Was bringt Enterasys Security Management ... ... für die Finanzorganisation? Kosten werden eingespart ● Aufgaben können Mitarbeitern sinnvoll zugewiesen oder automati­ ● siert übernommen werden Die Kosten für die Analyse bzw. Aufbereitung der Daten sinkt si­ ● gnifikant Erhöhung des Return on Invests bei Software und Hardware ● Enterasys Networks – Solution Guide 2008
  • 53. Secure Networks™ Seite 47 Was bringt Enterasys Security Management ... ... für das operative Geschäft? Verbesserte Antwortzeiten bei Attacken ● Attacken, Hardware- und Softwarefehler werden besser erkannt. ● Dadurch können bestimmte Fehlersituationen besser zugeordnet und Aktionen besser koordiniert und geplant werden. Verbesserte, einfachere Übersicht über Securityevents ● Signifikate Erhöhung der proaktiven und präventiven Sicherheit ● Auswirkungen bestimmter Aktionen können besser bewertet wer­ ● den; Auswirkungen besser berechnet werden. Was bringt Enterasys Security Management ... ... für das Business an sich? Erhöhung der Stabilität der IT Infrastruktur und damit bessere ● Verfügbarkeit der Geschäftsprozesse Legal Compliance ● Befolgung aller Regularien ● Minimierung der Auswirkungen für Unbeteiligte ● Risiken werden minimiert. Risiken werden überhaupt erkannt! ● Enterasys bietet mit der Dragon® Security Command Console das führen­ de System, um die eben dargestellten Leistungsmerkmale effizient abzu­ bilden Korrelationsmöglichkeiten mit DSCC Enterasys Networks – Solution Guide 2008
  • 54. Seite 48 Secure Networks™ Die Enterasys DSCC ist dabei ferner in der Lage, Ergebnisse von Vulnera­ bility Assessment Systemen (Sicherheitslücken-Scannern) in die Offense Bewertung einzubeziehen. Ein intelligentes Framework macht Erweiterun­ gen möglich, die eine enorm hohe Skalierung auch bei extrem großen Netzwerken und extrem hohen Datenaufkommen garantiert. DSCC Übersicht Enterasys bietet ferner durch die Kombination der hier aufgezeigten Sys­ teme (HIDS, NIDS, SIEM, NAC, etc.) die Möglichkeit auf vielfältige Gefah­ ren mit der entsprechenden Aktion zu reagieren. Gefahren können dabei auch proaktiv aus dem Netzwerk fern gehalten werden. Ein wichtiger Be­ standteil dieser Secure Network™ Strategie ist es, dass dabei, wie bereits in diesem Kapitel über System Information und Event Management zu er­ fahren, eine Vielzahl von Fremdherstellern einbezogen werden können. Schnittstellen zu externen Systemen Eines der Ziele, die die Dragon® Security Command Console verfolgt, ist, dem Administrator bei verifizierten, schwerwiegenden Problemstellungen (Security Incident, Angriff, abfallende Verfügbarkeit eines Dienstes, aus­ gefallener Server, etc.) darzustellen, um was es sich bei diesem Vorfall genau handelt, wie kritisch dieser ist, was dadurch beeinflusst wird und wer (welche Identität) dieses Problem verursacht hat. Dabei offeriert die DSCC dem Administrator nicht nur die IP Adresse des Initiators, sondern auch weiterführende identitybezogene Informationen (Username, Usergruppe, Switchport, Switch IP Adresse, Name des Swit­ Enterasys Networks – Solution Guide 2008
  • 55. Secure Networks™ Seite 49 ches, Policy, MAC Adresse, Authentifizierungsmethode und ob der Benut­ zer „nur“ wired oder wireless online ist oder mehrere Verbindungsmöglich­ keiten nutzt (z.B. wired und wireless und zusätzlich VPN). Asset-Informationen in der DSCC Der Administrator hat nun die Möglichkeit die integrierten Enterasys Schnittstellen zu nutzen, um einen bestimmten Benutzer eine neue Policy zu zu weisen oder eine MAC Adresse für eine bestimmte Zeit vom Netz­ werk zu nehmen. Gefahrenquellen mit der DSCC direkt aus dem Netzwerk entfernen Dabei kann die Lösung spielend erweitert werden, so dass zum Beispiel externe Skripte aufgerufen werden, die als Parameter die IP Adresse eines Angreifers übergeben bekommen. Die Erweiterungsmöglichkeiten, die sich dadurch ergeben, erweitern das Spektrum, innerhalb dessen die Lösung ihren Mehrwert aufzeigen kann, enorm. Enterasys Networks – Solution Guide 2008
  • 56. Seite 50 Secure Networks™ Interne Erweiterungsmöglichkeiten und Schnittstellen Ein Security Information und Event Management System wie die Dragon® Security Command Console lebt davon, Events und Flows von verschie­ densten Systemen unterschiedlicher Hersteller zu lesen und diese Events zu nutzen, um sie durch das Korrelieren mit anderen Events von anderen Herstellern zu einer vernünftigen Aussage zu formen (Offense). Oftmals ist es so, dass in komplexen Kundenumgebungen exotische Applikationen nicht bekannter und kaum verbreiteter Hersteller implementiert wurden oder dass Kunden ihre eigenen Applikationen entworfen haben, die per default von den gängigen SIEM Lösungen nicht unterstützt werden. Da diese Quellen sehr wertvolle Daten enthalten können, die einen spür­ baren Mehrwert während des Korrelationsprozesses darstellen könnten, bietet die Dragon® Security Command Console einen sehr einfachen und effektiven Weg an nicht bekannte Logfile Formate zu lesen und in die Kor­ relation aufzunehmen. Dabei muss der Administrator lediglich ein generisches / universales Devi­ ce anlegen und definieren, wie die Events von diesem System interpretiert werden sollen, welches Protokoll zur Datenübertragung genutzt wird und was die Events von diesem System zu bedeuten haben. Die folgenden Screenshots zeigen, wie dieser Prozess mit Hilfe der Konfigurationsober­ fläche innerhalb weniger Minuten realisiert werden kann. Schritt 1: DSCC - Sensordevices Anlegen eines neuen generischen Devices, damit Logfiles von diesem Sys­ tem aufgenommen werden und entsprechend der Mustererkennung, die man selbst anpassen kann, gelesen und ausgewertet werden. Enterasys Networks – Solution Guide 2008
  • 57. Secure Networks™ Seite 51 Schritt 2: DSCC-QidMapping Zuordnen des Events, so dass die DSCC „weiß“, in welche Kausalkette die­ ser Event gehört und wie dieser Event innerhalb des Korrelationsverlaufs zu behandeln ist. Enterasys Networks – Solution Guide 2008
  • 58. Seite 52 Secure Networks™ Respond and Remediate Unter Dynamic Reponse versteht man die Möglichkeit für das Netzwerk, autonom auf auftretende Probleme zu reagieren. Dazu werden mehrere Komponenten kombiniert. Intrusion Detection Systeme erkennen auftre­ tenden Missbrauch oder Sicherheitslücken und können mit Hilfe von Re­ sponsemechanismen direkt – als IPS oder in der Secure Networks™ Archi­ tektur - mit dem ASM ins Geschehen eingreifen. Die Remediation ermöglicht es, dem so in die Quarantäne versetzten Mit­ arbeiter mitzuteilen, dass und warum er in der Quarantäne ist. Damit wird es auch möglich, eine Anleitung zur Selbsthilfe zu geben und somit das Helpdesk zu entlasten. Dynamic Response (wie bereits unter Detect and Locate beschrieben) kann aber auch auf anderem Wege erreicht werden. So unterstützt zum Beispiel die Matrix® N-Serie das so genannte Flow Setup Throttling. Man kann (vor allem auf den Userports) pro Port Schwellwerte definieren, wel­ che die maximale Anzahl von Flows in einer gewissen Zeiteinheit definie­ ren. Überschreitet der Rechner eines Users diesen Threshold, so ist das normalerweise nie auf regulären Traffic zurückzuführen, sondern ein si­ cheres Anzeichen für einen Virus oder eine sonstige Attacke. Je nach Kon­ figuration schickt der Switch dann eine Nachricht an die Managementstati­ on oder aber der entsprechende Port wird sofort deaktiviert (und auch hier wird eine Nachricht an die Managementstation geschickt). Zum besseren Verständnis kann an dieser Stelle ein klassisches und weit verbreitetes Szenario genutzt werden. Das hier beschriebene Beispiel wird durch den Einsatz der folgenden Enterasys Networks Lösungen möglich: Enterasys NAC ● NetSight® Console ● Automated Security Manager ● Dragon® IDS ● Ein User authentifiziert sich in seinem Büro über 802.1x am Netzwerk. Be­ vor er jedoch Zugriff auf die Ressourcen im Netzwerk erhält, wird eine Si­ cherheitsüberprüfung seines Endsystems realisiert. Dort wird festgestellt, dass der User die in der Firmenpolicy vorgeschriebene Antivirensoftware deaktiviert hat. Der User erhält daraufhin lediglich Zugriff auf eine von Enterasys Networks bereitgestellte Webseite, die ihm eine genaue Be­ schreibung des Fehlers offeriert. Der User wird auf dieser Webseite dar­ aufhin gewiesen, dass er die Antivirensoftware wieder aktivieren muss, um Zugriff auf das Netzwerk zu erhalten. Versucht der User interne oder externe Webseiten aufzurufen, so wird er bei jedem Versuch wieder auf die von Enterasys Networks gelieferte Webseite umgeleitet. Nachdem der User die Software wieder aktiviert hat, kann er über einfa­ ches Klicken eines Buttons auf der Webseite erneut Zugriff auf das Netz­ werk verlangen. Wichtig zu erwähnen ist hierbei, dass auf dem Endsystem Enterasys Networks – Solution Guide 2008
  • 59. Secure Networks™ Seite 53 des Users keine Agentsoftware installiert ist. Die Einwahl erfolgte über Network Credentials des Sicherheitslückenscanners. Das Netzwerk und die beteiligten Systeme haben festgestellt, dass der User seine Antivirensoftware wieder aktiviert hat und weisen ihm seine Rolle im Netzwerk zu. Nach einiger Zeit startet der User einen Angriff auf einen internen Webserver. Diese Attacke wird vom Dragon® Intrusion De­ tection System erkannt. Durch die automatische Abstimmung des Dragon® IDS und des Automated Security Managers wird die Rolle des Users geän­ dert und sein Port in Quarantäne gesetzt. Der User erhält nun lediglich Zu­ griff auf die von Enterasys Networks offerierte Webseite, die ihm mitteilt, dass das Netzwerk den Angriff erkannt hat und sein System aus dem Netzwerk entfernt wurde. Assisted Remediation mit ToS-Rewrite Eine Möglichkeit diese Remediation technisch zu realisieren besteht darin, alle Pakete eines Endsystems, das sich in Quarantäne befindet bzw. per DIRS vom Netz getrennt wurde, mit einem definierten DSCP (bzw. IP Pre­ cedence) Wert zu markieren. Assisted Remediation mit Hilfe von ToS-Rewrite So markierte Pakete werden dann im Netzwerk mit Hilfe einer Policy Route von den Routern zu einem Remediation Webserver geroutet. Auf diesem läuft ein modifizierter Proxy, der in der Lage ist die Pakete an Zieladressen anderer Webserver entgegen zu nehmen und mit einer Remediation Web­ seite zu antworten. Dies setzt natürlich voraus, dass DHCP (falls verwen­ det) und DNS wie üblich gehandhabt werden oder der Remediation Server ebenfalls auf diese antwortet. Enterasys Networks – Solution Guide 2008
  • 60. Seite 54 Secure Networks™ Proactive Prevention / NAC Mit proactive Prevention oder auch Network Access Control steht wieder einmal eine Technologie am Anfang des “Gartner Hype Cycles“ (http://www.gartner.com/pages/story.php.id.8795.s.8.jsp). Sowohl aus Sicht der Hersteller als auch aus Sicht der Kunden bietet NAC eine Reihe von Vorteilen und Möglichkeiten. Sie stellt aber auch eine Her­ ausforderung insbesondere an die Struktur und Organisation desjenigen Unternehmens, das eine entsprechende NAC Lösung einsetzen möchte. Definition von NAC Im Allgemeinen kann man NAC als eine benutzerfokussierte Technologie beschreiben, die ein genutztes Endgerät authorisiert und Zugriff auf Res­ sourcen gewährt auf der Basis der Authentisierung der Identität des ent­ sprechenden Benutzers (oder/und Geräts) sowie auf dem Status des Ge­ räts in Hinblick auf sicherheitsrelevante Parameter und Einstellungen - die Compliance mit entsprechenden Unternehmensvorgaben. Diese Parameter werden im so genannten Pre-Connect Assessment ermittelt, dass heißt vor Anschluss an die Infrastruktur. Es sollte aber auch dann im laufenden Betrieb eine Überprüfung erfolgen, welche dann als Post-Connect Assess­ ment bezeichnet wird. Teilweise wird auf den einen oder anderen Baustein im Rahmen einer Implementierung auch verzichtet – je nach Kundenan­ forderung. Ein Prozess zur Wiederherstellung der Compliance, der so ge­ nannten Remediation, ist hier ebenfalls enthalten. Die gilt für alle Endge­ räte und Nutzer am Netz, dass heißt eigene Mitarbeiter, Partner, Gäste, Kunden und sonstige Geräte wie Drucker, Videokameras, etc. NAC ist aber auch nicht das Allheilmittel gegen beliebige Sicherheitspro­ bleme. Insbesondere falsches Nutzerverhalten und Angriffe auf Applikati­ onsebene können mittels NAC kaum erkannt werden, es sei denn, man setzt intensiv auch Post-Connect Assessment Techniken ein. (http://media.godashboard.com/CMP/Excerpt_nwcanl06_nac.pdf) Enterasys Networks – Solution Guide 2008