Enterasys SIEM – Schnittstellen zu Fremdsystemen und Automated Response

Anbieter zum Thema

Fsas Technologies GmbH

Extreme Networks GmbH

Automatische Reaktion auf Sicherheitsprobleme

Ein User authentifiziert sich in seinem Büro über 802.1x am Netzwerk. Bevor er jedoch Zugriff auf die Ressourcen im Netzwerk erhält, wird eine Sicherheitsüberprüfung seines Endsystems realisiert. Dort wird festgestellt, dass der User die in der Firmen-Policy vorgeschriebene Antivirensoftware deaktiviert hat.

Der User erhält daraufhin lediglich Zugriff auf eine von Enterasys Networks bereitgestellte Webseite, die ihm eine genaue Beschreibung des Fehlers offeriert. In diesem Fall wird der Anwender darauf hingewiesen, dass er die Antivirensoftware wieder aktivieren muss, um Zugriff auf das Netzwerk zu erhalten. Versucht der User interne oder externe Webseiten aufzurufen, so wird er bei jedem Versuch wieder auf die von Enterasys Networks gelieferte Webseite umgeleitet.

Nachdem der User die Software wieder aktiviert hat, kann er über einfaches Klicken eines Buttons auf der Webseite erneut Zugriff auf das Netzwerk verlangen. Wichtig zu erwähnen ist hierbei, dass auf dem Endsystem des Users keine Agentensoftware installiert ist. Die Einwahl erfolgte über Network Credentials des Sicherheitslückenscanners.

Das Netzwerk und die beteiligten Systeme haben festgestellt, dass der User seine Antivirensoftware wieder aktiviert hat und weisen ihm seine Rolle im Netzwerk zu. Nach einiger Zeit startet der User einen Angriff auf einen internen Webserver. Diese Attacke wird vom Enterasys Intrusion Detection System erkannt.

Durch die automatische Abstimmung des Enterasys IDS und des NMS Automated Security Managers wird die Rolle des Users geändert und sein Port in Quarantäne gesetzt. Der User erhält nun lediglich Zugriff auf die von Enterasys Networks offerierte Webseite, die ihm mitteilt, dass das Netzwerk den Angriff erkannt hat und sein System aus dem Netzwerk entfernt wurde.

Assisted Remediation mit ToS-Rewrite

Eine Möglichkeit diese Remediation technisch zu realisieren besteht darin, alle Pakete eines Endsystems, das sich in Quarantäne befindet bzw. per DIPS vom Netz getrennt wurde, mit einem definierten DSCP (bzw. IP Precedence) Wert zu markieren. So markierte Pakete werden dann im Netzwerk mit Hilfe einer Policy Route von den Routern zu einem Remediation-Webserver geroutet.

Auf diesem läuft ein modifizierter Proxy, der in der Lage ist, die Pakete an Zieladressen anderer Webserver entgegen zu nehmen und mit einer Remediation-Webseite zu antworten. Dies setzt natürlich voraus, dass DHCP (falls verwendet) und DNS wie üblich gehandhabt werden oder der Remediation-Server ebenfalls auf diese antwortet. Bild 3 der Bildergalerie zeigt, wie Assisted Remediation mit Hilfe von ToS-Rewrite funktioniert.

Über den Autor

Markus Nispel ist als Vice President Solutions Architecture zuständig für die strategische Produkt- und Lösungsentwicklung bei Enterasys. Sein Fokus liegt auf dem Ausbau der Sicherheits- und dort insbesondere der Network-Access-Control-Lösung (NAC) von Enterasys; hier zeichnet er als Architekt verantwortlich. Diese Position knüpft an seine vorherige Tätigkeit bei Enterasys als Director Technology Marketing an. Bereits hier war er intensiv in die weltweite Produktentwicklung und -strategie von Enterasys im Office des CTO involviert. Darüber hinaus berät er Key Accounts in Zentraleuropa, Asien und dem mittleren Osten bei strategischen Netzwerkentscheidungen und verantwortet die technischen Integrationsprojekte zwischen Enterasys und der Siemens Enterprise Communications Group.

In Zentraleuropa und Asien verantwortet er zudem das Security Business Development und steht mit einem Team an Security Spezialisten für die Implementierung von Security Projekten mit höchsten Anforderungen bereit.

Vor seiner Tätigkeit für Enterasys Networks war Markus Nispel als Systems Engineer bei Cabletron Systems aktiv. Hier führte er 1998 die ersten Layer 3Switches für den europäischen Kundenstamm ein.

Markus Nispel studierte an der Fachhochschule der Deutschen Telekom in Dieburg und schloss sein Studium 1996 als Dipl.-Ing. Nachrichtentechnik erfolgreich ab. Erste Berufserfahrung sammelte er unter anderem bei der E-Plus Mobilfunk GmbH innerhalb der Netzwerkoptimierungsgruppe für DCS Mobile Networks.

Inhalt

• Seite 1: Interne Erweiterungsmöglichkeiten und Schnittstellen
• Seite 2: Respond and Remediate
• Seite 3: Automatische Reaktion auf Sicherheitsprobleme

(ID:2048764)