Schutz vor zielgerichteten Angriffen

Anbieter zum Thema

sysob IT-Distribution GmbH & Co. KG

Fsas Technologies GmbH

Palo Alto

Der wohl bekannteste Anbieter von Next Generation Firewalls, Palo Alto setzt auch beim Schutz gegen gezielte Angriffe auf seine Stärken, nämlich das Konzept der Applikations- anstelle der Portkontrolle, und zwar am Perimeter und am Eingang zum Rechenzentrum. Hat ein Anwender ein Zero-Trust-Netzwerk aufgebaut, also voneinander isolierte Segmente eingerichtet, so sollen die Firewalls und IPS-Funktionen an den Übergängen ebenfalls Schutz vor Angriffen liefern.

Mit App-ID lassen sich unerwünschte Anwendungen blockieren, und die eigene IPS-Engine scannt die erlaubten Applikationen auf Sicherheitslücken und Exploits. In über 400 Applikationen und FTP-Protokollen findet die Engine bekannte Bedrohungen. Hinzu kommen URL- und Datei-Filtering.

Palo Alto hat seine ursprüngliche Lösung um Wildfire erweitert, also um eine Sandboxing-Funktionalität mit einer Standardumgebung, in der alle gängigen Dateitypen, einschließlich PDF-Dateien, Office-Dokumente, Java und APKs analysiert werden können. Wildfire ist eine Cloud-Lösung, von der es zwei Varianten gibt: eine Public Cloud, die in der Amazon Cloud läuft, und eine private Cloud, die Anwender auch als Appliance implementieren können. Die Analyse-Ergebnisse münden in Signaturen, die automatisch an die Firewalls zurückgegeben werden. Bislang erhält der Administrator einen ausführlichen Bericht über die Vorfälle, einschließlich der beim Angriff vorgenommenen Änderungen. Über Partnerschaften mit Bit9 oder früher mit Mandiant wurden die Informationen für eine Remediation in einem Dokument zusammengefasst.

Dies soll laut Firmenangaben künftig nicht mehr nötig sein, denn der Hersteller hat seine Lösung durch die Übernahme des israelischen Unternehmens Cyvera um den Schutz der Endpunkte auch vor unbekannten Zero-Day-Angriffen ergänzt. Damit könne man das Eindringen jeder Malware ins Netzwerk verhindern, behauptet der Anbieter, und benötige auch keine Remediation-Funktionalität. Cyveras TRAPS (Targeted Remote Attack Prevention System) nutzt ein eigenes Verfahren, das nicht auf Signaturerkennung oder Verhaltensanalyse beruht, sondern darauf, dass die meisten Angriffe mithilfe einer bestimmten Anzahl von Methoden stattfinden, die mehr oder weniger gleich bleiben. Es geht dabei nicht mehr darum, Schädlinge zu identifizieren und dann deren Aktivität zu verhindern, sondern das Programm kennt die Methoden und blockt die Ausführung, sobald eine dieser Techniken zur Anwendung kommt.

Dennoch will Palo Alto nach eigenem Bekunden vorhandene Partnerschaften mit SIEM-Anbietern wie LogRhythm und anderen weiter nutzen, um eigene Methoden über detaillierte Log-Analysen weiter verbessern zu können.

Blue Coat

Websicherheit war bislang das Spezialgebiet von Blue Coat, das der Anbieter mithilfe der Kombination aus ProxySG-Appliances zur Filterung des Webverkehrs, ProxyAV-Appliances zur Erkennung von Malware, der erweiterten ProxyClient-Software für mobile Mitarbeiter und dem WebPulse-Dienst für URL-Bewertung realisiert hat.

In der Advanced Threat Protection-Lösung kombiniert er nun den Schutz vor bekannten Bedrohungen am Gateway mit einer selbst entwickelten Content Analysis System (CAS)-Appliance, die den Verkehr analysiert und den ProxySG dahin weiterleitet.

Im vergangenen Jahr hat Blue Coat die Lösung ebenfalls vervollständigt. Mit Norman Shark erwarb der Anbieter Sandboxing-Technologie. Neben Standard-Images lässt sich laut Anbieter auch die von Norman Shark entwickelte IntelliVM-Technik einsetzen, um eine Produktionsumgebung zu simulieren. Infolge der Integration mit CAS leitet das System automatisch verdächtige Dateien in diese Malware Analysis Appliance.

Ebenfalls vor einem Jahr kaufte Blue Coat Solera Networks und dessen Lösung für Netzwerk-Forensik. Die Security Analytics Plattform von Solera kann die verschiedene ThreatBlades (Web, Mail und Dateien) umfassen, die den Verkehr über die zugehörigen Protokolle scannen. Die Plattform liefert eine forensische Analyse der Pakete im Zusammenhang mit den beim Scanning gefundenen verdächtigen Dateien. Bei Bedarf werden diese in die Sandbox geschickt.

Die Lösung ist nicht so vollständig wie die der Wettbewerber, denn es fehlt noch eine Komponente für die Endpunkte. Auch müssen Anwender CAS mit implementieren, wenn sie die Sandboxing-Funktionalität automatisch nutzen wollen.

Weitere Hersteller, die ihre Produkte dem Schutz vor gezielten Angriffen angepasst und erweitert haben, sind auch Check Point, McAfee oder auch Sophos und Websense.

(ID:43114800)