Wie Netzwerk- und Host-basierte IDS- und IPS-Techniken funktionieren

Anbieter zum Thema

Fsas Technologies GmbH

FTAPI Software GmbH

Onapsis Europe GmbH

Extreme Networks GmbH

IDS vs. IPS vs. DIPS

Nachdem nun definiert wurde, wie präventive Sicherheitssysteme Angriffe erkennen können, beleuchten wir nun die Aktionen, die aus diesen Informationen getroffen werden können.

Detection

Die Erkennung von Angriffen ist die Grundlage jeglicher präventiver Sicherheitstechnologie (ob inline oder outline). Sollte keine proaktive Sicherheitsimplementierung gewünscht sein, so kann man durch die Daten, die in diesem Schritt gesammelt wurden, forensische Nachforschungen betreiben, Angriffe zurückverfolgen, Beweise auswerten, Systemverhalten überwachen und dokumentieren, Statistiken über die Sicherheitsentwicklungen erstellen und Datenquellen / Ressourcen für Security Information and Event Management Systeme bereitstellen, die daraus SoX-konforme Reports erstellen können.

Prevention

Aktive Angriffsverhinderung geschieht zumeist inline. Die Geräte (NIPS) werden also direkt in den Kommunikationsfluss integriert und entscheiden, ob ein Paket weitergeleitet werden soll oder nicht. Intrusion Prevention ist ein sehr gutes Werkzeug, um das Netzwerk und die darin befindlichen Komponenten aktiv vor Angriffen zu schützen. Der Angreifer selbst bleibt davon jedoch unberührt und hat weiterhin Zugriff auf die Ressourcen des Netzwerks. Seine Pakete werden lediglich dann verworfen, wenn es sich dabei um schadhafte Pakete handelt.

Dynamic Response

Distributed IPS basiert auf Intrusion Detection und führt – basierend auf den Ergebnissen des Intrusion Detection System – Aktionen im Netzwerk durch. Je nach vorhandener Netzwerkinfrastruktur kann dies durch das Ändern einer Portpolicy oder durch das Verbannen eines Users aus einem bestimmten VLAN in ein Anderes geschehen.

Dabei reagiert das Distributed IPS auf bestimmte Ergebnisse. Wird ein Angriff durch das Versenden eines einzelnen Paketes erfolgreich durchgeführt, wird das DIPS diesen Angriff nicht verhindern. Es werden jedoch Aktionen gegen den Angreifer gefahren, die verhindern, dass dieser weiterhin Schaden im Netzwerk anrichtet.

Auch hier kann zusammenfassend festgehalten werden, dass das größte Schutzpotential durch die Kombination der verschiedenen Technologien realisiert werden kann.

Enterasys Networks ist der führende Anbieter von Distributed IPS. Durch eine extrem hohe Anzahl unterstützter Devices von Fremdherstellern ist es möglich, nahezu jede Netzwerk-Infrastruktur durch den Einsatz des IDS in Kombination mit dem Automated Security Manager über DIPS abzusichern.

Inhalt

• Seite 1: Kernel-Schutz
• Seite 2: Systemintegrität prüfen
• Seite 3: Network IDS/IPS
• Seite 4: IDS vs. IPS vs. DIPS

Über den Autor

Markus Nispel ist als Vice President Solutions Architecture zuständig für die strategische Produkt- und Lösungsentwicklung bei Enterasys. Sein Fokus liegt auf dem Ausbau der Sicherheits- und dort insbesondere der Network-Access-Control-Lösung (NAC) von Enterasys; hier zeichnet er als Architekt verantwortlich. Diese Position knüpft an seine vorherige Tätigkeit bei Enterasys als Director Technology Marketing an. Bereits hier war er intensiv in die weltweite Produktentwicklung und -strategie von Enterasys im Office des CTO involviert. Darüber hinaus berät er Key Accounts in Zentraleuropa, Asien und dem mittleren Osten bei strategischen Netzwerkentscheidungen und verantwortet die technischen Integrationsprojekte zwischen Enterasys und der Siemens Enterprise Communications Group.

In Zentraleuropa und Asien verantwortet er zudem das Security Business Development und steht mit einem Team an Security Spezialisten für die Implementierung von Security Projekten mit höchsten Anforderungen bereit.

Vor seiner Tätigkeit für Enterasys Networks war Markus Nispel als Systems Engineer bei Cabletron Systems aktiv. Hier führte er 1998 die ersten Layer 3 Switches für den europäischen Kundenstamm ein.

Markus Nispel studierte an der Fachhochschule der Deutschen Telekom in Dieburg und schloss sein Studium 1996 als Dipl.-Ing. Nachrichtentechnik erfolgreich ab. Erste Berufserfahrung sammelte er unter anderem bei der E-Plus Mobilfunk GmbH innerhalb der Netzwerkoptimierungsgruppe für DCS Mobile Networks.

(ID:2046941)