Whitepaper. Die Schattenseite von UTM: Was Sicherheitsanbieter gern verschweigen

Transkript

1 Whitepaper Die Schattenseite von UTM: Was Sicherheitsanbieter gern verschweigen

2 Einführung Bis in die späten 90er-Jahre hinein stammten Netzwerksicherheitsbedrohungen vorwiegend von Programmierern, die entweder Anerkennung suchten oder ihre Fähigkeiten unter Beweis stellen und Spaß haben wollten, und das auf Kosten anderer Computerbenutzer. Daher waren die Auswirkungen dieser frühen Bedrohungen eher eingeschränkt, sodass sie mit einer Kombination aus Virenabwehr-Software und SPI-Firewalls (Stateful Packet Inspection) relativ problemlos erkannt und beseitigt werden konnten. Allerdings wurden die Angriffe mit der Weiterentwicklung des Internets immer ausgefeilter. Viele der modernen Bedrohungen können herkömmliche Firewalls problemlos umgehen. Um diese Bedrohungen wirkungsvoll zu bekämpfen, setzen die meisten Unternehmen eine robuste, mehrschichtige Sicherheitslösung ein, die gegen eine breite Palette von Internet- und -Angriffen Schutz bietet. Für eine solche mehrschichtige Verteidigungsstrategie ist ein komplexes System erforderlich, um den Netzwerkverkehr des Unternehmens ständig auf verdächtige Muster zu überprüfen und so alle Netzwerkkomponenten wirksam und proaktiv zu schützen. Vor allem aber erfordert eine solche Lösung erhebliche personelle und finanzielle Ressourcen in Anschaffung und Betrieb. Sicherheitsanforderungen kleiner Unternehmen Da Netzwerkbedrohungen willkürlich über das Internet verbreitet werden, sind kleine Unternehmen den gleichen Gefahren und Herausforderungen ausgesetzt wie Großunternehmen. Allerdings fehlt es kleinen Unternehmen in der Regel an den personellen und finanziellen Ressourcen, um eine komplexe Sicherheitslösung auf Enterprise-Niveau zu implementieren. Sie verfügen nicht über die erforderlichen IT-Ressourcen für eine komplizierte Installation und die Pflege mehrerer Sicherheitssoftwarepakete, umständliche Upgrades oder Schwierigkeiten mit Benutzerlizenzen. Kleinunternehmen benötigen eine Lösung, die nicht nur die gleiche Sicherheit bietet wie Lösungen für Großunternehmen, sondern zudem einfach bereitgestellt und gewartet werden kann. Automatisierte Aufgaben, eine benutzerfreundliche Oberfläche, proaktive Warnhinweise und umfassende Berichte zählen zu den idealen Eigenschaften einer solchen Lösung. Damit eine Lösung diesen Anforderungen gerecht werden kann, muss sie sich mit sämtlichen erforderlichen Sicherheitsschichten auf einem einzigen System befinden. Auf den ersten Blick scheint Unified Threat Management (UTM) die ideale Lösung für die Sicherheitsanforderungen kleiner Unternehmen zu sein die All-In-One-Geräte sind kostengünstig, benutzerfreundlich und bieten zudem Automatisierungsfunktionen. UTMs kombinieren herkömmliche Funktionen für Firewall und VPN mit zusätzlichen Sicherheitskomponenten, wie z. B. Zugriffsschutz, Virenabwehr, URL- und Spam-Abwehr. Eine einzige Appliance mit allen erforderlichen Sicherheitsfunktionen ist wirtschaftlicher und einfacher zu verwalten als entsprechende Lösungen auf Enterprise-Niveau, was UTMs für kleine Unternehmen durchaus attraktiv macht. Das Problem mit bisherigen UTMs Oberflächlich betrachtet scheinen UTMs die ideale Lösung für die Sicherheitsanforderungen kleiner Unternehmen zu sein. Allerdings haben viele Anbieter von Sicherheitslösungen nicht bedacht, welche enormen Ansprüche an die Prozessorleistung die Ausführung so vieler Sicherheitsfunktionen auf einer einzigen Hardware-Komponente stellt. Die ersten UTMs wurden auf Hardware-Plattformen erstellt, die kaum schneller waren als diejenigen für eigenständige Firewalls. Das Hinzufügen weiterer Sicherheitsfunktionen zum UTM wirkte sich deutlich negativ auf die Netzwerk- Latenzzeit aus, was sich vor allem beim Scannen nach Viren bemerkbar machte. Für die Virenabwehr wird etwa 100-mal so viel Prozessorleistung benötigt wie für die normale Firewall-Paketüberprüfung. Die Aktivierung der Virenabwehr brachte daher den Netzwerkverkehr bei den meisten der frühen UTMs quasi zum Erliegen. Anbieter von UTMs erkannten dieses Problem und versuchten, mit unterschiedlichen Methoden den Ressourcenhunger ihrer Lösungen zu minimieren. Es gab zwei Hauptansätze, um das Latenzproblem in den Griff zu bekommen. Eine Methode bestand darin, die Anzahl von Sicherheitsprogrammen zu verringern, mit denen diese eingeschränkten Ressourcen verwaltet wurden. Dadurch wurden allerdings auch Leistung und Funktionalität des Produkts insgesamt drastisch reduziert. Während die Enterprise-Version eines Sicherheitssystems die hochwertigste Software und Technologie am Markt beinhaltet, fehlen dem Produkt für Kleinunternehmen unter Umständen wichtige Sicherheitskomponenten. Dringend erforderliche Sicherheitsprogramme, wie Zugriffsschutz und Spam-Abwehr, werden ausgegrenzt, um die Netzwerkverarbeitung zu beschleunigen. Außerdem umfasst die Version für kleine Unternehmen nicht immer alle Funktionen und wird dadurch weniger robust oder benutzerfreundlich. Bei der anderen Methode wird die Anzahl der von diesen Sicherheitsprogrammen bereitgestellten Prozesse durch den Einsatz funktionell eingeschränkter Sicherheitstechnologie reduziert. So umfasst beispielsweise die URL-funktion bei der Enterprise-Version eines Produkts 50 Millionen Blacklist-URLs, während diese Liste in der Version für kleine Unternehmen auf wenige Tausend Adressen gekürzt wird. In einem anderen Fall enthält vielleicht die Enterprise-Class Anti-Malware-Engine eine Million Malware-Signaturen, die Version für Kleinunternehmen dagegen nur Signaturen und keinerlei Funktionen zur heuristischen Malware-Erkennung. Oder ein Spam-Abwehrfilter für Großunternehmen, der Spam und andere Malware anhand ihres Inhalts oder Aussehens abfangen kann, wird in der abgespeckten Version auf eine statische Blacklist bekannter IP-Adressen von Spam-Versendern reduziert. Bei vielen Anbietern wurde all dies zur gängigen Praxis, und UTMs enthielten zunehmend nur noch das absolute Minimum an Sicherheitsfunktionen. Kleinunternehmen, die diese UTMs auf ihren Internet-Gateways verwendeten, setzten sich faktisch erheblichen Sicherheitsrisiken aus. Am schlimmsten war jedoch das trügerische Gefühl von Sicherheit. Viele der verfügbaren UTM-Produkte sind alles andere als perfekt und zwingen Unternehmen zu Kompromisslösungen. 2

3 Die Lösung Die Antwort auf das UTM-Dilemma besteht darin, die Sicherheit kleiner Unternehmen vollständig zu überdenken und eine speziell auf diesen Markt abgestimmte Lösung von Grund auf neu zu entwickeln. Statt ihre Enterprise-Produkte einfach nur abzuspecken und dann zu einem Kleinunternehmen als eigenständigen Markt anerkennen und ihren Anforderungen gerecht werden. Sicherheitsanbieter müssen eine Lösung bereitstellen, die umfassende, stabile Sicherheitsfunktionen mit ausreichend Netzwerkgeschwindigkeit kombiniert, und das zu einem Preis, der das übliche IT-/Sicherheitsbudget eines Kleinunternehmens nicht übermäßig belastet. Außerdem müssen eine benutzerfreundliche Oberfläche, proaktive Warnhinweise, übersichtliche Berichte und automatische Software-Updates für eine außerordentlich einfache Bedienung sorgen. Das NETGEAR ProSecure UTM nutzt zwei Elemente, die für das Überwinden des Latenzproblems wichtig sind, das die meisten anderen UTM-Anbieter bisher nicht in den Griff bekommen haben. Zum einen wird optimierte Hardware eingesetzt. Hardware mit unzureichender Verarbeitungsleistung verursacht bei der Suche nach Sicherheitsbedrohungen Behinderungen und sogar Blockierungen des Netzwerkverkehrs. Daher kommen beim NETGEAR ProSecure UTM spezielle Prozessoren zum Einsatz, die für den Netzwerkbetrieb optimiert sind und so das Risiko nicht vertretbarer Netzwerk-Latenzzeiten deutlich verringert. Zudem ist auch die Software des NETGEAR UTM für die Verarbeitung von Netzwerkverkehr optimiert. Die meisten Sicherheitslösungen von Desktop- bis hin zu Gateway-Appliances nutzen Scantechnologie mit Stapelverarbeitung. Der Ansatz ist der gleiche wie bei älterer Virenabwehrsoftware, bei der die Datei die Grundeinheit für die Scanfunktion darstellt. Das bedeutet, dass eine Datei erst gescannt wird, wenn sie vollständig empfangen wurde, und die Ausgabe erst beginnt, wenn die gesamte Datei gescannt wurde. Aus diesem Grund stellen Endbenutzer häufig lange Verzögerungen zwischen Übertragung und Scannen einer Datei fest. Abbildung 1. Virenabwehr-Durchsatz bei UTMs im Vergleich* Abbildung 2. Vergleich der Bibliotheksgröße für Malware-Signaturen bei UTMs 3 * Basierend auf internen Durchsatzmessungen von NETGEAR im April 2009

4 Wirksamkeit von Spam-Abwehr Lösung A Lösung B Lösung C Lösung D NETGEAR ProSecure UTM Keine Cloud-basierte Spam-Erkennung Hybrid In-the-Cloud Spam-Erkennung Insgesamt Keine Schwach Einfach Schwach Hervorragend Abbildung 3. Spam-Abwehr bei UTMs im Vergleich Im Gegensatz dazu basiert die zum Patent angemeldete Stream Scanning-Technologie, die im NETGEAR ProSecure UTM zum Einsatz kommt, auf der einfachen Beobachtung, dass Netzwerkverkehr auf Datenströmen beruht. Statt zu warten, bis die Datei vollständig geladen wurde, scannt und verarbeitet NETGEAR ProSecure UTM Datenströme beim Eintreffen im Netzwerk. Der Scanvorgang wird eingeleitet, sobald die Mindestanzahl von Bytes eingegangen ist. Die Scan-Engine verarbeitet alle weiteren eingehenden Bytes, während ein anderer Thread die bereits gescannten Bytes ausgibt. Durch diesen auf mehreren Threads basierenden Ansatz in Kombination mit den komplexen Stream Scanning-Algorithmen zur Datenstromverarbeitung kann das NETGEAR ProSecure UTM vollständige Scans nahezu ohne Beeinträchtigung der Netzwerkgeschwindigkeit durchführen und so die meisten bei älteren UTM-Lösungen auftretenden Latenzzeitprobleme beseitigen. Genügend Durchsatz allein reicht nicht aus. UTM-Lösungen müssen auch mit umfangreicher Sicherheitstechnologie ausgestattet sein, um Kleinunternehmen wirksamen Schutz gegen die zahlreichen Bedrohungen aus verschiedenen Bereichen bieten zu können. Im NETGEAR ProSecure UTM kommt eine umfassende Enterprise-Class Malware-Scan-Engine zum Einsatz, die Datenströme auf Viren, Spyware, Würmer, Trojaner, Keylogger und andere web- und -basierte Malware überprüft. Es umfasst fortschrittliche Scan-Algorithmen mit einer umfangreichen Viren-/Malware-Bibliothek, die bis zu 200-mal größer ist als bei älteren UTM-Lösungen. Die Funktionen zur Spam-Abwehr sind bei den meisten älteren UTM-Lösungen unzureichend. Viele verfügen nur über s (Realtime Blacklists bzw. Echtzeit-Blacklists), während andere wiederum ganz auf Spam-Abwehr verzichten. Das NETGEAR ProSecure UTM ist mit In-The-Cloud Distributed Spam Analysis -Technologie ausgestattet, die auf einer hybriden In-The-Cloud -Architektur basiert. Diese Art der Spam-Erkennung passt sich äußerst flexibel und nahezu ohne Falschmeldungen an neue Spam-Typen an und erreicht ihr volles Potenzial, ohne dass der Benutzer zusätzliche Einstellungen vornehmen müsste. Aufgrund dieses Vorgehens kann NETGEAR kleinen Unternehmen die gleichen Sicherheitsfunktionen bieten wie Großunternehmen, ohne jedoch ihre Netzwerke unnötigen Belastungen auszusetzen. Das NETGEAR ProSecure UTM räumt mit den Kompromisslösungen aktueller UTMs auf und setzt stattdessen auf umfassende, robuste Sicherheitsfunktionen mit minimaler Beeinträchtigung der Netzwerkbandbreite. Fazit Die modernen internetbasierten Sicherheitsbedrohungen verlangen nach einer robusten, mehrschichtigen Sicherheitslösung, um das Unternehmensnetzwerk wirksam schützen zu können. UTM-Anbieter, bei denen umfassender Schutz dem Streben nach höheren Einnahmen zum Opfer fällt, setzen Kunden mit Kleinunternehmen unzumutbaren Risiken aus. Um deren realen Sicherheitsanforderungen gerecht werden zu können, müssen Anbieter UTM-Lösungen mit echtem, umfassendem Schutz bereitstellen. Mit einer vollständigen Suite aus erstklassigen Sicherheitskomponenten stattet NETGEAR ProSecure UTM kleine Unternehmen mit genau dem Komplettschutz aus, den sie brauchen und verdienen. Durch fortschrittliche Hardware und die zum Patent angemeldete Stream Scanning-Technologie wird die lähmende Netzwerk-Latenzzeit vermieden, die bei herkömmlichen UTM-Lösungen auftritt. All diese Vorteile in Kombination mit einer benutzerfreundlichen Oberfläche für einfache Einrichtung und Verwaltung machen das NETGEAR ProSecure UTM zur idealen Lösung für Kleinunternehmen. 4

5 NETGEAR ProSecure Gateway Security Appliance-Lösungen Die ProSecure STM und UTM Appliances für Gateway-Sicherheit beinhalten zum Patent angemeldete Stream Scanning-Technologie, die so konzipiert ist, dass sie eingehende Datenströme scannt. Die Stream Scanning-Technologie ermöglicht es NETGEAR STM und UTM, große Datenmengen in Echtzeit und in einem einzigen Vorgang nach Spam, Malware, Systemeinbrüchen oder unnötigen Anwendungen abzusuchen. So ist sichergestellt, dass die Netzwerkbenutzer s und Internetinhalte schad- und verzögerungsfrei erhalten. Die ProSecure STM und UTM Appliances für Gateway-Sicherheit verwenden eine hybride In-The-Cloud Distributed Web Analysis -Architektur, die nicht nur lokal zwischengespeicherte URLs aufruft, sondern auch Hunderte Millionen von URLs in der Cloud, sodass die Abdeckung nahezu grenzenlos ist. URLs werden analysiert und in 64 verschiedene Kategorien eingestuft. Benutzer werden am Aufrufen von Websites gehindert, die als ungeeignet gekennzeichnet sind, sodass die Gefahr, Bedrohungen herunterzuladen, reduziert und die Produktivität der Mitarbeiter gesteigert wird. Die ProSecure STM und UTM Gateway Security Appliance-Lösungen nutzen ein proaktives, verhaltensbasiertes Abwehrsystem, das die Lücke zwischen dem Erkennen einer Gefahr und ihrer Beseitigung schließt. Die NETGEAR-Lösung beruht auf forensischen Analysen zur Erkennung verdächtiger Eigenschaften von ein- und ausgehenden Netzwerkdaten und neutralisiert diese, bis sie genauer untersucht werden können. Die ProSecure STM und UTM Gateway Security Appliance-Lösungen setzen auf eine einzigartige Technologie, die Ausbrüche anhand ihrer raschen, weit gestreuten Verbreitung erkennt und abblockt. Durch diesen Ansatz werden Spam- und Malware-Ausbrüche beim ersten Auftreten erkannt, und alle damit verbundenen Nachrichten werden in Echtzeit abgeblockt. Installation und Wartung der ProSecure STM und UTM Gateway Security Appliance-Lösungen sind völlig problemlos. Das STM ist eine transparente Bridge, die sich nahtlos in vorhandene Netzwerkarchitekturen integrieren lässt. Das UTM ist eine All-in-One-Lösung für die Netzwerksicherheit, die alle vorhandenen Firewalls und Router ersetzt. Jede dieser Lösungen ist mit der gesamten für Ihr Unternehmen erforderlichen Sicherheitssoftware ausgestattet und kommt ohne Lizenzierung auf Benutzerbasis aus. NETGEAR, das NETGEAR-Logo, Connect with Innovation und ProSecure sind Marken und/oder eingetragene Marken von NETGEAR, Inc. und/oder seiner Tochtergesellschaften in den USA und/oder anderen Ländern. Andere Markennamen in diesem Dokument dienen nur zu Identifizierungszwecken und können Marken der jeweiligen Inhaber sein. Informationen können ohne vorherige Ankündigung geändert werden NETGEAR, Inc. Alle Rechte vorbehalten.