Angreifer dringen heute über ganz unterschiedliche Wege in Netzwerke ein. Doch egal ob der Einbruch nun über einen Konfigurationsfehler, eine Softwareschwachstelle oder über die Manipulation von Mitarbeitern z. B. per Phishing erfolgt – spätestens im Netzwerk hinterlässt ein Angreifer zwangsläufig Spuren.
Es ist daher naheliegend den Netzwerkverkehr zu beobachten, um Einbruchsversuche oder andere Auffälligkeiten möglichst frühzeitig zu erkennen.
Deutlich mehr als Intrusion Detection- and Prevention
Intrusion Detection and Prevention Systeme (IDS/IDP) arbeiten mehrheitlich signaturbasiert und können daher prinzipbedingt auch nur bekannte Angriffe erkennen und stoppen. Ähnliches gilt für SIEM Systeme, die im Wesentlichen Protokolldateien mit Hilfe von Mustern nach Auffälligkeiten durchforsten und bei einem Treffer Alarm schlagen. In die Lücke zwischen IDS und SIEM stößt daher seit kurzem eine neue Kategorie von Security Systemen, die als Inline Threat Intelligence and Protection Systeme (TIPS) bezeichnet werden. Der cognitix Threat Defender sammelt Informationen aus dem Netzwerkverkehr in Echtzeit, reichert diese mit Kontextinformationen aus unterschiedlichen Quellen an und kann so auch verborgene Muster und Verhaltensweisen erkennen.
Was ist Threat Defender?
Als sog. Inline Threat Intelligence Platform kombiniert der cognitix Threat Defender bewährte Sicherheitstechnologien wie Intrusion Detection and Prevention (IDS/IDP) und Security Incident and Event Management (SIEM) mit einer Anomalieerkennung für Netzwerkgeräte bzw. Netzwerkverkehr und aktivem "Threat Hunting". Beim Threat Hunting arbeiten Mensch und Maschine zusammen, um proaktiv Angriffsmuster zu erkennen, bevor diese einen Schaden verursachen. Der "Maschine" bzw. der Software fällt dabei die Aufgabe zu, riesige Datenmengen in kürzester Zeit zu untersuchen und dem Menschen entsprechende Hinweise auf mögliche Attacken zu liefern. Der Mensch bzw. Administrator kann mit diesen Informationen dann die richtigen Schlüsse ziehen und Strategien zum Umgang mit der Bedrohung entwickeln.
Was ist Threat Defender nicht?
Cognitix Threat Defender ist keine Firewall im herkömmlichen Sinne des Perimeterschutz. Stattdessen könnte man die Funktionalität von Threat Defender eher als Firewall für die Überwachung des internen Netzwerkverkehrs beschreiben. Anders als bei "klassischen" Firewalls sind für den Einsatz von Threat Defender auch keine Änderungen am Netzwerk wie z. B. Zoning erforderlich. Denn Threat Defender arbeitet auf Layer 2 des OSI Modells und verhält sich damit selbst wie ein Netzwerk-Switch. Daher kann er prinzipiell auch an jedem beliebigen Punkt ins Netzwerk integriert werden, doch dazu später mehr.
Die Threat Defender Core-Funktionen
Die Kernfunktion und Arbeitsweise von Threat Defender lässt sich grob in die beiden Bereiche "Inline- bzw. verhaltensbasierte Korrelation" und "Netzwerksegmentierung" unterteilen. Die verhaltensbasierte Korrelation übernimmt dabei die Aufgabe den Datenverkehr zu analysieren und Ereignisse über mehrere Verkehrsströme hinweg in Echtzeit zu korrelieren. Dafür zeichnet die Engine zunächst Kombinationen verschiedener Attribute wie beispielsweise IP- / MAC-Adressen, URLs und Netzwerkprotokolle in einer Tabelle auf und reichert diese gespeicherten Daten dann mit zusätzlichen Informationen an, die Threat Defender aus externen Quellen bezieht. Externe Quellen sind z. B. IoA und IoC-Listen sowie Signaturen für die Paketanalyse des integrierten Intrusion Detection Systems. IoCs (Indicator of Compromise) zeigen dabei an, dass ein System mit Malware infiziert sein könnte. Denn die IoC-Listen enthalten URLs, Internet-Domains und IP-Adressen, die typischerweise ausschließlich im Datenverkehr zwischen Malware und ihren C&C-Servern oder beim Exfiltrieren von Daten auftauchen. IoA (Indicator of Attack) Listen enthalten dagegen IP- bzw. Netzwerkadressen bekannter Botnetzwerke.
Mit der Netzwerksegmentierung erzeugt Threat Defender ein virtuelles Overlay Netzwerk über dem physischen Netzwerk. Auf diese Weise lässt sich das Netzwerk mit statischen und dynamischen Netzwerkobjekten logisch segmentieren, ohne dass dabei die physische Netzwerk-Topologie geändert werden muss. Diese Vorgehensweise gibt dem Administrator eine enorme Flexibilität bei der Anwendung von Richtlinien (Policies) auf spezifischen Datenverkehr. So lässt sich beispielsweise der Schutz zwischen den logischen Netzwerksegmenten erhöhen indem Richtlinien gezielt auf Geräte angewendet werden, die eine bestimmte Art von Netzwerkverkehr initiieren oder empfangen. Einmal definiert lassen sich Richtlinien, z. B. zur Reduktion der Bandbreite oder Unterbrechung bestimmter Netzwerkverbindungen, auch wiederverwenden. Richtlinien lassen sich also auch auf eine ganze Gruppe von Assets / Segmenten anwenden und müssen daher nicht für jedes Objekt einzeln erstellt werden.
Statische Netzwerkobjekte - kurz SNOs - werden in Threat Defender zur Gruppierung von Hosts und Geräten genutzt. Bei der Definition können einzelne IP-Adressen und / oder IP-Netzwerke sowie MAC-Adressen, ganze MAC-Bereiche und VLANs ein- und auch ausgeschlossen werden. So ist es beispielsweise möglich ein statisches Netzwerkobjekt zu definieren, das nur Geräte mit dem IP-Netzwerk 10.10.10.0/27 in VLAN 5 oder - noch granularer - nur Geräte des Herstellers "Apple" aus diesem Netzwerk in VLAN 5 umfasst.
Im Gegensatz dazu werden in dynamischen Netzwerkobjekten Hosts (IPv4/IPv6 und / oder MAC Adressen) zu einer Gruppe zusammengefasst, die eine bestimmte (nicht statische) Eigenschaft oder Charakteristik teilen. So lassen sich beispielsweise Richtlinien definieren, die automatisch alle Quell-Hosts einem dynamischen Netzwerkobjekt hinzufügen, die eine bestimmte Anzahl von Events des Intrusion Prevention Systems oder einer der anderen Threat-Engines auslösen. Damit können Policies auf dynamische Änderungen an den Assets reagieren. Im Ergebnis könnten in einem dynamischen Netzwerkobjekt gesammelte Hosts so von einer Richtlinie entweder vollständig oder - mit Hilfe der Zeitsteuerung - auch nur für einen bestimmten Zeitraum von der Kommunikation im Netzwerk isoliert werden.
Threat Defender in Aktion - Use Cases
Nachdem wir uns bisher auf einer eher abstrakten Ebene mit Threat Defender beschäftigt und mit dessen grundlegenden Arbeitsweise vertraut gemacht haben, wollen wir uns nun auch ein paar praktische Use Cases ansehen. Abhängig vom Deployment Modus - passiv am Mirror-Port oder aktiv als Network Switch - kann Threat Defender entweder als reines Auskunftssystem dienen oder eben auch aktiv in den Netzwerkverkehr eingreifen. Der Einsatz im passiven Modus ist also vor allem dann sinnvoll, wenn Threat Defender ausschließlich als mächtige Informationsquelle genutzt werden soll, mit dem sich das Netzwerk interaktiv aus verschiedenen Blickwinkeln betrachten lässt. Die mit Hilfe der Threat Intelligence Engine gewonnenen Erkenntnisse kann Threat Defender - beispielsweise per E-Mail - an einen Administrator übermitteln oder auch Aktionen per Web-Hook an anderen Sicherheitssystemen auslösen.
Network Access Control
Unbekannte Geräte im Netzwerk stellen eine latente Bedrohung für die Sicherheit von Netzwerken dar. So könnten unbedarfte Anwender auf die Idee kommen, aus Gründen der Bequemlichkeit mitgebrachte Geräte wie Wireless Access Points ans Netzwerk anzuschließen und damit auch unbefugten Dritten Zugang zum Netzwerk zu verschaffen. Da diese Geräte häufig auch einen DHCP Server beinhalten besteht darüber hinaus die Gefahr, dass falsche IP-Adressen an die Clients im Netz verteilt werden. Üblicherweise übernehmen daher Systeme für die Netzwerkzugriffskontrolle (Network Access Control, NAC) die Aufgabe, fremde Geräte im Netzwerk zu detektieren und an der Kommunikation zu hindern. Threat Defender kann diese Aufgabe übernehmen.
Unabhängig vom Installationsszenario lernt Threat Defender nach der ersten Aktivierung automatisch alle MAC-Adressen der erkannten Geräte im Netzwerk und trägt diese als Assets in die interne Datenbank ein. So lange die automatische Erkennung von Assets aktiv ist ("Inventory / Asset Setting / Auto Discovery"), erstellt Threat Defender laufend neue Datenbankeinträge, wenn bisher unbekannte Geräte im Netzwerk erkannt werden. In Kombination mit einer entsprechenden Richtlinie lässt sich der Zugriff auf das Netzwerk für diese neuen Geräte sehr elegant einschränken. Per Default werden neue Geräte von Threat Defender mit dem vordefinierten Label "#AutoDiscovered" gekennzeichnet. Damit wir neue Geräte von bereits bekannten zweifelsfrei unterscheiden können, ändern Sie daher zunächst das Label für neue Geräte unter "Inventory / Asset Setting / Auto Discovery" auf einen anderen Namen, z. B. "#NewDeviceDiscovered". Im nächsten Schritt erstellen Sie über "Policy / Rules / Add Global Rule" eine neue Richtlinie und vergeben einen Namen, z. B. "NAC" sowie eine entsprechende Beschreibung. Im Bereich "Source & Destination" wählen Sie unter Source Networks "Any" und unter Destination Networks "Internal" aus. Danach aktivieren Sie den Slider "Assets" und wählen unter Source Tags aus der Liste unser Label mit dem Namen #NewDeviceDiscovered aus. Da wir den Zugriff auf das Netzwerk für neue Geräte unterbinden möchten, wählen Sie unter "Actions / Final Action" "Drop Traffic and Stop Processing" aus und speichern die neue Policy mit Klick auf den "Save" Button. Um die neue Regel zu aktivieren klicken Sie abschließend auf den "Apply Change" Button ganz oben links im Hauptmenü.
ARP Spoofing erkennen
Neben der Problematik unbekannter bzw. fremder Geräte im Netzwerk stellen aktive Manipulationen an Netzwerkverbindungen ein weiteres großes Problem dar. So können Angreifer gefälschte ARP-Nachrichten (Adress Resolution Protocol) versenden, um Netzwerkverbindungen so zu beeinflussen, dass enthaltene Daten als "man in the middle" mitgelesen oder diese sogar verändert werden können. Auf diese Weise kann ein Angreifer beispielsweise den legitimen Download eines Benutzers durch ein Malware-Programm ersetzen oder auch Druckjobs auf ihrem Weg vom Client zum Drucker verändern. Threat Defender kann dieses sog. ARP-Spoofing erkennen und spoofende Geräte blockieren in dem er die Beziehungen zwischen IP- und MAC-Adressen überwacht. Denn eine IP-Adresse kann jeweils immer nur mit einer MAC-Adresse verknüpft werden. Wenn also mehrere IP-Adressen ihre MAC-Adress-Beziehung auf ein und dieselbe MAC-Adresse ändern, handelt es sich mit hoher Sicherheit um einen ARP-Spoofing Angriff.
Um ARP-Spoofing Angriffe erkennen und blockieren zu können analysiert Threat Defender die MAC-IP- sowie die IP-MAC Adressbeziehung zunächst in jeweils einer eigenen Tracking-Tabelle. Verdächtige Geräte werden anschließend in einem dynamischen Netzwerkobjekt gesammelt auf welches Threat Defender dann mit einer passenden Regel (z. B. Drop Traffic and Stop Processing) reagiert.
Zugriff auf Applikationen oder andere Ressourcen sperren
Das Erkennen und Abwehren der eben beschriebenen und weiterer Arten von Angriffen auf das Netzwerk gehört ohne Zweifel zu den wichtigsten Aufgaben von Threat Defender. Risiken gehen jedoch nicht immer nur von Angriffen auf das Netzwerk aus. Viel häufiger werden Sicherheitsmechanismen – ob bewusst oder unbewusst – von den Anwendern umgangen oder gleich ganz außer Kraft gesetzt. Ein gutes Beispiel dafür ist die unkontrollierte Nutzung von Fernwartungssoftware wie TeamViewer, AnyDesk oder anderen Werkzeugen.
Neben der Fernsteuerungsfunktion enthalten viele dieser Programme auch ein File-Transfer Modul, mit dessen Hilfe im Rahmen von Fernwartungssitzungen Dateien in beide Richtungen ausgetauscht werden können. Da diese Verbindungen verschlüsselt sind, könnte Malware oder anderer Schadcode auf diesem Wege ins Netzwerk gelangen. Ein anderes Problem sind sog. "Support Scam" Angriffe, bei denen Angreifer sich am Telefon z. B. als Microsoft Techniker ausgeben und versuchen das Opfer zu einer Fernwartungssitzung zu bewegen. Es ist daher eine gute Idee, den Einsatz von Fernwartungssoftware im Unternehmensnetzwerk zu reglementieren. Threat Defender kann die Nutzung dieser und anderer Protokolle (z. B. Cloudspeicher, Streamingdienste oder Tunneling-Software) zuverlässig verhindern oder einschränken.
Dazu erstellen Sie zunächst eine neue Regel ("Policy / Rule"), wählen unter Source und Destination jeweils "Any" und aktivieren in der Sektion "Classification" die Rubrik "Remote Control" im Feld "Applications/Protocols". Stellen Sie unter "Final Action" nun "Drop Traffic and Stop Processing" ein. Nachdem Sie die Regel gespeichert und die neue Konfiguration aktiviert haben, wird Threat Defender zuverlässig die Nutzung der in der Rubrik "Remote Control" enthaltenen Softwareprodukte unterbinden, während aller sonstiger Verkehr weiterhin ungehindert bzw. im Rahmen der sonstigen Szenarien und Regeln passieren kann.
Fazit
Threat Defender ergänzt IT-Sicherheitseinrichtungen wie Firewalls und Virenscanner auf äußerst sinnvolle Weise. Denn durch die kontinuierliche Analyse und Auswertung des Netzwerkverkehrs erkennt der Threat Defender auch Angriffe, die anderen Sicherheitssystemen verborgen bleiben und und stoppt diese, bevor sie Schaden anrichten können. Zusätzlich kann Threat Defender mit Hilfe von Richtlinien den Netzwerkverkehr auch für Benutzer, Geräte und / oder Applikationen einschränken. Administratoren erhalten damit ein mächtiges Werkzeug, um beispielsweise fremde Geräte im Netzwerk zu identifizieren und zu blocken oder die Nutzung bestimmter Protokolle und Anwendungen zu unterbinden.
Links
https://www.genua.de/loesungen/threat-defender.html
https://core.dpdk.org/supported/
