Netzwerk-Monitoring-Software – ein unterschätztes Sicherheitstool Monitoring als zentrales Security-Element

Anbieter zum Thema

Mimecast Germany GmbH

TXOne Networks

PROGRESS SOFTWARE GmbH

Netzwerk-Monitoring-Lösungen sind eigentlich nicht primär für IT-Sicherheit gedacht. Mit ihren spezifischen Eigenschaften eignen sie sich aber hervorragend dafür. Sie können innerhalb mehrschichtiger Security-Architekturen die Rolle der zentralen Sicherheitsüberwachung spielen.

Die Frage ist nicht mehr ob, sondern nur noch wann: Früher oder später wird jedes Unternehmensnetzwerk von Cyberkriminellen attackiert. Sie verbessern permanent ihr Vorgehen, erfinden neue Methoden und nutzen modernste Automatisierungstechnologien, um Informationen zu stehlen, Daten zu verschlüsseln oder Systeme zu sabotieren. Zur Abwehr ihrer ausgefeilten Angriffe braucht es tiefgehende, mehrschichtige Verteidigungskonzepte. Wichtige technologische Bausteine dafür sind etwa Antiviren-Tools, Firewalls, Intrusion-Detection- und -Prevention-Lösungen oder Systeme für Security Information and Event Management (SIEM).

Einen entscheidenden Beitrag zur Stärkung der Sicherheit können aber auch Netzwerk-Monitoring-Lösungen leisten. Sie sind zwar eigentlich nicht primär für IT-Security-Aufgaben gedacht, sondern helfen Unternehmen vor allem dabei, durch die permanente Überwachung ihres Netzwerks langsame oder fehlerhafte Komponenten zu finden und so Probleme und Ausfälle proaktiv zu verhindern. Die Fähigkeiten, die sie dafür mitringen, eigenen sich aber auch hervorragend dafür, potenziell bösartige Aktivitäten zu registrieren. Damit können sie so manche Sicherheitslücke schließen.

So erkennen viele klassische Security-Tools vor allem bereits bekannte Schadcodes und Angriffsmethoden. Zero-Day-Attacken und bis dato unbekannte Schwachstellen können dadurch zunächst unentdeckt bleiben – und es verstreicht zu viel Zeit, um die Ausbreitung eines Angriffs noch rechtzeitig zu verhindern.

Änderungen des Log-Volumens beobachten

Moderne Netzwerk-Monitoring-Lösungen enthalten ein integriertes Log-Management. Damit lassen sich für jedes Gerät Logs – also Protokolle über dessen Aktivitäten im Netzwerk – sammeln, archivieren und analysieren. Zudem besteht die Möglichkeit, Megatrends wie Änderungen des Log-Volumens zu beobachten. Das erlaubt den Systemen, Zugriffe auf sensible Dateien zu überwachen und zu auditieren und bei anormalen Aktivitäten, die auf böswillige Absichten hindeuten, Alarm zu schlagen.

Konfigurations-Management ist ein weiteres zentrales Feature von Netzwerk-Monitoring-Lösungen. Mit ihm können IT-Teams Konfigurationen von Routern, Switches und Firewalls zentral verwalten. Das System archiviert und überwacht die Konfigurationen und meldet Änderungen. Damit können Unternehmen sicherstellen, dass auf sämtlichen Geräten nur autorisierte und sichere Konfigurationen ausgeführt werden. Über Konfigurationsänderungen, die darauf hindeuten, dass Hacker in das Netzwerk eingedrungen sind, können sie sich automatisch informieren lassen.

Ungewöhnlichen Datenverkehr erkennen

Zudem liefern moderne Netzwerk-Monitoring-Lösungen detaillierte Einblicke in den Datenverkehr des Firmennetzwerks. Sie überwachen, wieviel Bandbreite einzelne Benutzer, Anwendungen und Protokolle verbrauchen und sind in der Lage, ungewöhnliche Verbrauchswerte zu erkennen, die sich nicht durch normale Muster wie etwa den morgendlichen Arbeitsbeginn erklären lassen. Hinter solchen Anomalien könnten stattdessen Cyberangriffe wie DDoS-Attacken stecken (Distributed Denial of Service). Außerdem verfolgen Netzwerk-Monitoring-Lösungen auch den Datenverkehr zwischen Netzwerkelementen wie Knoten und Anwendungen. Hier können ungewöhnliche Spitzen ebenfalls ein Hinweis auf ein ernsthaftes Sicherheitsproblem sein. Überschreitet der Datenverkehr zwischen solchen Komponenten kritische Schwellenwerte, verschickt das System eine automatische Warnmeldung, in der die Anomalie exakt lokalisiert wird.

Um sich schnell und einfach den Kontext von Alarmen zu erschließen, steht Unternehmen idealerweise eine übersichtliche Darstellung ihrer Netzwerke zur Verfügung. Moderne Netzwerk-Monitoring-Systeme sind mit einer automatischen Discovery-Lösung ausgestattet, die jedes angeschlossene Geräte erkennt, eine Karte des Netzwerks mit sämtlichen Verbindungen erstellt und es unkompliziert ermöglicht, Geräteinventuren durchzuführen. Dadurch verfügen IT-Teams über eine detaillierte und stets aktuelle interaktive Karte ihrer gesamten vernetzten Infrastruktur – einschließlich Geräten, Wireless-Controllern, Servern, virtuellen Maschinen, Cloud-Umgebungen, Anwendungen, Datenverkehrsflüssen und Konfigurationen. Sie können sehen, wie alles miteinander verbunden ist und damit schnell und unkompliziert die potenziellen Auswirkungen eines sicherheitsrelevanten Ereignisses ermitteln.

Intelligentes Warnsystem erforderlich

Diese gesamten Funktionen sind aber relativ nutzlos, wenn das Netzwerk-Monitoring seine Warnmeldungen und Berichte nicht zielgerichtet versendet. Die Software benötigt ein robustes und intelligentes Warnsystem. Es muss dafür sorgen, dass die IT-Teams nach der Entdeckung von Problemen schnell alarmiert werden, damit eine potentielle Sicherheitsbedrohung möglichst wenig Zeit hat, sich weiter auszubreiten.

Dazu gehört, dass die Lösung nicht alle Netzwerkprobleme gleichbehandelt, sondern Alarme einstufen kann, um wichtige sicherheitsrelevante Ereignisse zu priorisieren. Wenn solche Ereignisse außerhalb der Geschäftszeiten auftreten, sollte sie die Alarme dagegen verzögern können, damit sie nicht am nächsten Morgen in der allgemeinen E-Mail-Flut untergehen.

Bei der Konfiguration der Alarmierungen sollten Unternehmen dem Motto „weniger ist mehr“ folgen. Erhalten die IT-Teams überflüssige und irrelevante Warnmeldungen, überlastet sie das. Sie sollten immer nur dann alarmiert werden, wenn auch wirklich Aktionen von ihnen erforderlich sind. Ansonsten werden sie die Meldungen irgendwann als Spam betrachten und nicht mehr ernst nehmen – und das kann im Fall der Fälle schwerwiegende Folgen haben.

Werkzeug für die zentrale Sicherheitsüberwachung

Network-Monitoring-Lösungen sind daher eine perfekte Ergänzung der klassischen Security-Tools. Im Gegensatz zu den meisten von ihnen eröffnen sie Unternehmen eine ganzheitliche Sicht auf ihre Netzwerke. Dadurch können sie innerhalb mehrschichtiger Architekturen als Werkzeug für die zentrale Sicherheitsüberwachung fungieren.

Über den Autor

Thomas Schuller ist Regional Director DACH bei Progress.

(ID:48607590)