Enterasys SIEM – Schnittstellen zu Fremdsystemen und Automated Response

Anbieter zum Thema

Fsas Technologies GmbH

Extreme Networks GmbH

Respond and Remediate

Unter Dynamic Reponse versteht man die Möglichkeit für das Netzwerk, autonom auf auftretende Probleme zu reagieren. Dazu werden mehrere Komponenten kombiniert. Intrusion Detection Systeme erkennen auftretenden Missbrauch oder Sicherheitslücken und können mit Hilfe von Responsemechanismen direkt – als IPS oder in der Secure-Networks-Architektur – mit dem ASM ins Geschehen eingreifen.

Die Remediation ermöglicht es, dem so in die Quarantäne versetzten Mitarbeiter mitzuteilen, dass und warum er in der Quarantäne ist. Damit wird es auch möglich, eine Anleitung zur Selbsthilfe zu geben und somit das Helpdesk zu entlasten.

Dynamic Response kann aber auch auf anderem Wege erreicht werden. So unterstützt zum Beispiel die N-Serie das so genannte Flow Setup Throttling. Man kann (vor allem auf den Userports) pro Port Schwellwerte definieren, welche die maximale Anzahl von Flows in einer gewissen Zeiteinheit definieren.

Überschreitet der Rechner eines Users diesen Threshold, so ist das normalerweise nie auf regulären Traffic zurückzuführen, sondern ein sicheres Anzeichen für einen Virus oder eine sonstige Attacke. Je nach Konfiguration schickt der Switch dann eine Nachricht an die Managementstation oder aber der entsprechende Port wird sofort deaktiviert (und auch hier wird eine Nachricht an die Managementstation geschickt).

Zum besseren Verständnis kann an dieser Stelle ein klassisches und weit verbreitetes Szenario genutzt werden. Das auf der nächsten Seite beschriebene Beispiel wird durch den Einsatz der folgenden Enterasys-Networks-Lösungen möglich:

• Enterasys NAC
• NMS Console
• NMS Automated Security Manager
• Enterasys IDS

Inhalt

• Seite 1: Interne Erweiterungsmöglichkeiten und Schnittstellen
• Seite 2: Respond and Remediate
• Seite 3: Automatische Reaktion auf Sicherheitsprobleme

(ID:2048764)