funkwerk packetalarm NG IDS-/IPS-Systeme

Transkript

1 funkwerk packetalarm NG IDS-/IPS-Systeme First Class Security. Intrusion Detection und Intrusion Prevention

2 Funkwerk IP-Appliances Unternehmens- und Behördennetze: Ein beliebtes Ziel für Angriffe Mittlerweile sind beinahe alle geschäftlichen, behördlichen und industriellen Prozesse EDV-gestützt. Dies stellt höchste Ansprüche an die permanente Verfügbarkeit der IT-Infrastruktur unabhängig davon, ob es sich z. B. um -Kommuni kation oder ERP-Systeme handelt. Ein störungsfreier Betrieb ist ein wichtiger Erfolgsfaktor. Die Zunahme von Angriffen durch Würmer, Viren, Trojanische Pferde, DoS-Attacken, Hackerangriffe, -Spam etc. stellt eine immer konkretere Gefahr für den geschäftlichen Arbeitsbetrieb dar. Erfolgreiche Angriffe verursachen mittlerweile Millionenschäden, mindern die Produktivität, verletzen Betriebs geheimnisse und gefährden so letztlich die Substanz eines Unter nehmens bzw. einer Behörde. Immer raffiniertere und intelligentere Schädlinge bedrohen jedes Netzwerk. Die Anzahl und die Art der Angriffe auf Firmen- und Behörden netzwerke sind in den vergangenen Jahren zahlreicher und komplexer geworden. Die Zeiten, in denen eine Firewall und ein Virenscanner als aus reichende Sicherheitslösung galten, sind endgültig vorbei. Es wird täglich wichtiger, sich gegen diese Gefahren zu schützen und Schaden durch Datendiebstahl oder -vernichtung vom Unternehmen bzw. von der Behörde abzuwenden. Die IP-Sicherheitssysteme der Funkwerk IP-Appliances GmbH bieten hochwertige und anpassungsfähige Lösungen zur Sicherung ganzer Netzwerke, die die genannten Risiken deutlich minimieren und somit nachhaltig die Sicherheit im Unternehmen bzw. der Behörde verbessern. Nicht zuletzt aufgrund ihrer geringen Anschaffungs- und Betriebskosten garantieren sie darüber hinaus einen schnellen RoI (Return on Investment). 2 First Class Security packetalarm IPS NG / IDS NG

3 First Class Security packetalarm IPS NG / IDS NG Intrusion Detection und Intrusion Prevention: Zuverlässige Technologien zum Schutz Ihrer Daten. Beide Produktreihen packetalarm IDS NG und packetalarm IPS NG haben durch ihre technologische Entstehung viele Gemeinsamkeiten in den grundlegenden Funktionen. Viele der nachfolgend beschriebenen Features sind in beiden Produktreihen gleichermaßen zu finden. packetalarm IDS NG: Intrusion Detection-Systeme packetalarm IPS NG: Intrusion Prevention-Systeme Intrusion Detection-System im Sniffing-Modus: Überwachung des gesamten Netz-Datenverkehrs ohne Performance-Verluste oder Reduktion der Verfügbarkeit. Intrusion Prevention-System im Inline-Modus: Höchste Sicherheit mit integrierter Firewall- und Blocking-Funktion. Sensible Infrastrukturen mit hohen Sicherheits anforde rungen benötigen eine zuverlässige Angriffserkennung, die weder Verfügbarkeit noch Performance beeinträchtigt. Hier sind die packetalarm-systeme erste Wahl. Unmerklich, im Sniffing- Modus, liest das System am Netzwerk alle vorbeifließenden Daten mit. Das packetalarm IDS NG-System erkennt auch Angriffe in internen Netzwerksegmenten und ist Spezialist für High Performance- Angriffserkennung. Das packetalarm IPS NG-System wurde speziell für die Überwachung interner Netzwerkübergänge entwickelt und wird im Bridging Mode auf Layer 2 installiert. So kann das System ohne langwierige und kostenintensive Umstellung der IP-Adressen oder Netzwerk-Topologien einfach und transparent vor internen Systemen installiert werden. Werden Angriffe und Bedrohungen auf die zu schützenden Systeme erkannt, so werden diese wenn gewünscht automatisch geblockt und aus dem Datenstrom herausgefiltert. Funkwerk IP-Appliances 3

4 Funkwerk IP-Appliances packetalarm IDS NG: High Performance Intrusion Detection-Systeme Netzwerkbasierende Angriffserkennung ist ein unverzichtbares Instrument in einer unternehmensweiten Security-Lösung: Keine andere Technologie ermöglicht die Echtzeit-Überwachung und Angriffserkennung der Kommunikationen in kompletten Netzwerksegmenten. So können Intrusion Detection-Systeme z. B. an Core Switches oder über TAP-Devices an zentralen Stellen implementiert werden, um damit die gesamte interne Kommunikation zu überprüfen. Laut aktuellen Studien kommen rund 60 80% aller Angriffe aus dem internen Netzwerk und bleiben deshalb für Gateway- Sicherheitsprodukte unsichtbar. Die packetalarm Intrusion Detection-Systeme jedoch erkennen auch diese Angriffe zuverlässig. Passiv im Sniffing-Modus eingesetzt, wird der Datenstrom durch IDS-Systeme nicht beeinflusst das garantiert höchste Verfügbarkeit. Das packetalarm IDS NG-System wurde speziell für die Überwachung von ganzen Netzwerksegmenten konzipiert. Durch die bewährte Scan- und Detection-Technologie sowie die Sensor-/ Manager-Architektur liefert packetalarm IDS NG ein Höchstmaß an Performance und Skalierbarkeit. Sichere Überwachung, sicheres Management packetalarm IDS NG kann standardmäßig mit mehreren Interfaces zugleich sniffen und bietet dadurch die Möglichkeit, mehrere Netzwerksegmente mit einem System zu überwachen. Die Sniffing Interfaces besitzen keine eigene IP-Adresse (Stealth-Modus). Dadurch ist das IDS-System selbst nicht angreifbar. Das Management Interface kann einfach in einem z. B. durch eine Firewall geschützten Segment platziert werden. Zusätzlich kann über die Managementkonsole der Zugriff auf bestimmte IP-Adressen beschränkt werden. Die Kommunikation zwischen Browser und Manager ist dabei stets verschlüsselt. Intrusion Prevention im Sniffing Modus Wird die Intrusion Prevention Engine aktiviert, kann packetalarm IDS NG auf Angriffe reagieren und sie mittels TCP Reset oder dem Firewall Hardening verhindern. Die intelligente Korrelation zwischen gefundenen Angriffen und den Systemattributen ermittelt in Echtzeit, welche Angriffe tatsächlich relevant und gefährlich für das Netzwerk sind. Alle Angriffsdaten werden in übersichtlichen Reports ausgegeben. Damit hilft packetalarm IDS NG dem Administrator, wichtige Informationen von unwichtigen zu trennen, und schafft damit mehr Sicherheit bei geringen Administrationskosten. 4 First Class Security packetalarm IPS NG / IDS NG

5 First Class Security packetalarm IPS NG / IDS NG packetalarm IPS NG: High Performance Intrusion Prevention-Systeme Ein reines Firewall-System ohne integrierte Intrusion Prevention bietet heute keinen zuverlässigen Schutz mehr die Angriffe durch Würmer, Trojaner, Hacker & Co. sind zu vielfältig und zu intelligent geworden. Ein nur auf IP-Adressen und Ports basiertes Sicherheitssystem stellt für Angreifer kaum noch ein echtes Hindernis dar. Auch ein einfaches Intrusion Prevention Add-on zu einer Firewall bietet nur unwesentlich mehr Schutz. Aus diesem Grund verfolgen wir mit den packetalarm IPS NG-Systemen eine ganz andere Strategie: Statt einer simplen Abschaltung von Kommunikationsmöglichkeiten werden sämtliche IP-Pakete detailliert untersucht. Nur so können Angriffe gezielt erkannt werden. Das Herz des packetalarm IPS NG-Systems ist die Intrusion Prevention Engine, ergänzt um eine Layer 2/Layer 3 Firewall. Egal, ob es sich um die Event-Korrelation, die Anomalie-Erkennung oder die Auto-Prevention handelt, es wird so immer die neueste Sicherheitstechnologie eingesetzt, die wir stetig weiterentwickeln. Das Intrusion Prevention-System packetalarm IPS NG wird im Bridging-Modus auf Layer 2 betrieben. Obwohl es damit unsichtbar direkt in der Kommunikation sitzt, sind Firewall und Prevention Engine stets aktiv. So kann das System packetalarm IPS NG auch vor WLAN-Hotspots, Serverfarmen oder einzelnen Servern eingesetzt werden an der Netzwerkkonfiguration muss nichts geändert werden. DHCP, BootP, NT-Domain-Anmeldungen oder andere Broadcast-Kommunikation laufen weiter, ohne dass ein Administrator eingreifen muss. Layer 2/Layer 3 Firewall Die erste Kontrollstation für den Datenverkehr ist die Layer 2/ Layer 3 Firewall. Sie überwacht in Echtzeit alle Datenpakete zwischen Netzwerksegmenten. Nur der tatsächlich erwünschte Datenverkehr fließt ungehindert weiter. Die Regeln der Firewall lassen sich bequem und einfach konfigurieren. Intrusion Prevention Die Intrusion Prevention Engine verfügt über mehrere tausend Regeln und Signaturen zur Erkennung von Angriffen. Das System greift aktiv in den Datenverkehr ein und blockt Angriffe, bevor sie in das Netzwerk eindringen können. Auto Prevention-Funktion Die Auto Prevention-Funktion vereinfacht die Konfiguration und erlaubt eine schnelle Klassifizierung der Regeln oder Regelgruppen an die individuellen Sicherheitsanforderungen für Ihr System. Diese Auto Prevention-Funktion gibt es nur bei den packetalarm NG-Systemen mit dem automatischen Regel-Update sind Sie schneller gegen neue Angriffe geschützt als mit anderen Systemen. Alle packetalarm NG-Produkte lassen sich in einem verteilten System beliebig kombinieren. Administration, Konfiguration und Analyse erfolgen über einen zentralen Manager. Funkwerk IP-Appliances 5

6 Funkwerk IP-Appliances packetalarm Next Generation: Analyse- und Report-Funktionen Event-Korrelation Per Event-Korrelation überprüfen die packetalarm NG-Systeme bei jedem entdeckten Angriff, ob er auf dem Zielsystem ausgeführt werden könnte. Dies wird anhand des integrierten Regelwerks und den definierten Systemattributen entschieden. Jede Übereinstimmung erhöht die Wahrscheinlichkeit, dass es sich um einen gefährlichen Angriff handelt. Bei der Ausgabe können die Angriffe mit niedriger Gefährdungswahrscheinlichkeit herausgefiltert und so Fehlalarme vermieden werden. Natürlich kann der Administrator auch eigene Systemattribute erstellen, eigene Korrelationen zwischen Regeln und Attributen bilden und bestimmen, um wie viel sich die Wahrscheinlichkeit der Gefährdung dadurch erhöht oder verringert. Die Systeme können in Echtzeit Events mit anderen Informationen korrelieren und unterstützen die Übernahme von externen Korrelationsdaten, wie z. B. aus Nessus oder prelude. Dabei wird prelude über das eigene Übertragungsprotokoll direkt unterstützt. Die von den packetalarm NG-Systemen erkannten Events können an externe Auswertungssysteme übergeben werden. Einfache Erstellung von individuellen Signaturen Die packetalarm NG-Systeme bieten die Möglichkeit, einfach und schnell eigene Signaturen über die Managementoberfläche zu erstellen. Regeln können im Regel-Editor anhand von z. B. Sourceoder Destination-Adresse, Port, Pakettyp oder -größe, Inhalt (Schlüsselwörter, Text, Hexadezimal) oder Häufigkeit des Auftretens innerhalb einer definierten Zeitspanne erstellt werden. Damit kann der Datenverkehr individuell alarmiert oder terminiert werden. Anomalie-Erkennung Angriffe oder deren Auswirkungen verursachen oft Abweichungen zum üblichen Datenverkehr. Ein plötzlicher Anstieg der Datenmenge oder der völlige Stillstand eines Dienstes können auf einen Angriff hinweisen. Mit der Anomalie-Erkennung der packetalarm NG-Systeme werden Abweichungen von als normal definierten Datenmengen angezeigt und gemeldet. Die normale Datenmenge kann vom System automatisch erlernt oder vom Administrator angepasst werden. Anomalien können für Netze, einzelne Systeme und sogar für einzelne Ports definiert werden. Gemeldet wird, wenn über eine definierte Zeitdauer eine bestimmte prozentuale Über- oder Unterschreitung eines üblichen Wertes festgestellt wird. 6 First Class Security packetalarm IPS NG / IDS NG

7 First Class Security packetalarm IPS NG / IDS NG Optimales Monitoring, forensische Analyse und Auto Reporting Die packetalarm NG-Systeme ermöglichen eine detaillierte forensische Analyse der Angriffe auf das Netzwerk. Eine einfach zu bedienende Abfrage- und Anzeigeoption listet innerhalb eines frei definierbaren Zeitraums die Vorfälle nach unterschiedlichen Kategorien auf. In der Anzeige wird die Gefährlichkeit der Events ausgewiesen (High, Medium, Low, Info). Dargestellt werden alle Angriffe, standard mäßig sogar inklusive des gesamten Angriffspakets. Die packetalarm NG-Systeme können Angriffe sortiert nach Angriffsziel und Angreifer darstellen. Alle Daten, die für die Analyse genutzt werden, lassen sich problemlos exportieren. Über die Auto Report-Funktion werden automatisch die wichtigsten Angriffe und Regelverstöße in einem übersichtlichen -Report zusammengefasst täglich, wöchentlich oder monatlich. Auch die Ausgabediagramme und -tabellen können nach individuellen Wünschen zusammengestellt werden. So haben Management, IT-Leiter und Administrator die Möglichkeit, sich genau die Daten anzeigen zu lassen, die für sie am wichtigsten sind. Automatisches Software-Update Durch das automatische Software- und Pattern-Update sind die packetalarm NG-Systeme immer auf dem neuesten Stand. SNMP-Schnittstelle Die packetalarm NG-Systeme verfügen über eine integrierte SNMP- Schnittstelle, mit der man Daten von allen Systemen abrufen kann, um sich z. B. über CPU-Auslastung und Festplatten kapazität zu informieren. Regel-Übersicht und -Definition Funkwerk IP-Appliances 7

8 Funkwerk IP-Appliances packetalarm NG Grafische Benutzeroberfläche Die neue grafische Benutzeroberfläche der Next Generation- Systeme: Administration intuitiv, anwenderfreundlich, flexibel. Für die neue Generation der packetalarm-systeme wurde eine neue Administrationsoberfläche (GUI) entwickelt, die sich durch intuitive Bedienerführung, flüssige Bedienung und Anzeige sowie optimale Übersichtlichkeit auszeichnet insbesondere für den Betrieb in großen Netzwerken mit vielen IDS- bzw. IPS-Sensoren und Managern. Das neue Dashboard erlaubt eine individuelle Gestaltung, damit die jeweils wichtigsten Informationen auf einen Blick verfügbar sind. Die Teamorientierung des Bedienerkonzeptes hilft Ihnen bei der Administration großer Netzwerke. Ein granulares Rollenkonzept für die Benutzerrechte ist darin ebenso verwirklicht wie ein Read Only -Modus, der Konflikte durch doppelte Administration vermeidet. Selbst für einzelne Benutzergruppen können Rechte auf Aktionsebene definiert werden. Selbstüberwachung für optimale Einsatzsicherheit Alle Appliances der packetalarm Next Generation sind mit einer Hardware-Überwachungsfunktion ausgestattet damit sind Sie jederzeit über Verfügbarkeit und Zustand Ihrer IDS/IPS-Installation informiert. 8 First Class Security packetalarm IPS NG / IDS NG

9 First Class Security packetalarm IPS NG / IDS NG Administration und Management in komplexen Netzwerken Zentrales Management durch Sensor-Manager-Betrieb Verteilte Unternehmensnetzwerke oder landesweite Behörden- bzw. Regierungsnetzwerke sind Angriffen besonders ausgesetzt. Derartige Netze erfordern den Einsatz vieler Sensoren zur Angriffserkennung und -abwehr. Die packetalarm NG-Systeme lassen sich deshalb problemlos als verteiltes System mit einer hohen Anzahl an Sensoren betreiben. Sämtliche über die Infrastruktur verteilten Sensoren können mit einem zentralen Manager konfiguriert, administriert und überwacht werden. Die Sensoren können dabei nicht nur lokal, sondern auch via Internet oder VPN in Außenstellen mit dem zentralen Manager kommunizieren. Die Kommunikation der packetalarm-systeme untereinander erfolgt über ein verschlüsseltes Protokoll auf TLS-Basis. Für die Kommunikation mit externen Systemen stehen verschlüsselte Protokolle wie HTTPS, SMTP via TLS, SNMP v.3 und SCP zur Verfügung. Administration von Sensoren neue Features bei packetalarm NG Alle Einstellungen zum Scannen von Netzwerkpaketen und zur Erkennung von Angriffen werden auf dem neuen packetalarm NG Manager über ein webbasiertes User Interface vorgenommen. Neben den umfassenden Konfigurations- und Auto-Reporting- Funktionen wird dem Administrator ein einfach zu handhabendes, automatisiertes und anwenderfreundliches Updateverfahren bereitgestellt. Der integrierte Update-Mechanismus erlaubt es u. a., mehrere Updates automatisiert einzuspielen oder beim Betrieb mehrerer Sensoren ein Update auch auf einzelnen, dedizierten Sensor- Systemen durchzuführen. Auch die Software-Distribution von Daten ist beim packetalarm NG Manager besonders einfach. Die am Manager bereitstehenden Updates können nach Wahl der Version auf die Sensoren verteilt und installiert werden. Die parallele Ausführung von Updates reduziert die Aktionszeiten. Für die Administration vieler Sensoren können gleichartige Signaturen und Regeln in Templates zusammengefasst werden. Eine Distribution dieser Templates für IDS-/IPS-Policies kann dann auf die jeweiligen Sensoren übertragen werden. Funkwerk IP Appliances: Netzwerksicherheit für Netze jeder Art und Größe. *) HA-Manager können an beliebigen, auch weit entfernten Standorten platziert werden (z.b. externe Rechenzentren) Funkwerk IP-Appliances 9

10 Funkwerk IP-Appliances packetalarm NG Appliances packetalarm NG: optimiert auf Einsatzzweck und Geschwindigkeit. Aus den über viele Jahre gesammelten Erfahrungen, auch in sehr großen Umgebungen, wurde die neue Generation der packetalarm NG-Systeme für eine optimale Skalierbarkeit und die Bedürfnisse des jeweiligen Einsatzzweckes hin optimiert. Die packetalarm NG Sensoren und Sensor/Manager wurden für die schnelle Verarbeitung von hohen Datenaufkommen entwickelt. Die packetalarm NG Manager sind speziell auf die Speicherung vieler Events und einer schnellen Verarbeitung der anfallenden Daten ausgelegt. Die gesamte Appliance-Modellreihe verfügt über eine in der Betriebssoftware integrierte Fehler diagnose für alle Hardware- Komponenten. Die Appliances der Modellreihe 500 NG und höher sind mit RAID sowie redundant ausgelegten Lüftern und Festplatten ausgestattet. packetalarm IDS NGx High Speed-Sensoren Für den Einsatz in großen Netzwerken mit extrem hohem Datenaufkommen wurden die packetalarm IDS 1000 NGx-Sensoren entwickelt. Mittels der eigens entwickelten packetalarm NG Stream Distribution Technology sind sie auf die Verarbeitung höchster Datenmengen konzipiert. Die Beschleunigung in der Verarbeitung und Analyse der Daten erfolgt durch die parallele Nutzung mehrerer IDS-Kerne. High Availability Alle Sensoren, Sensor/Manager und Manager der packetalarm Next Generation verfügen über HA-Funktionalitäten und können redundant ausgelegt werden. Das High Availability Feature hält dafür ein paralleles, redundantes System bereit, das im Falle einer Störung sofort, automatisch und unterbrechungs frei sämtliche Aufgaben des Hauptsystems übernimmt. Die redundante Auslegung ist auch bei einer räumlichen Trennung zum Hauptsystem möglich, zum Beispiel für ein entferntes Backup- Rechenzentrum. Modellübersicht packetalarm NG Modellübersicht Modell Empf. Bandbreite und RAID Sensor Sensor/ Manager IDS IPS Hardware-Redundanz integr. Manager 200 NG Bis zu 200 MBit/s* Speicherung bis 55 Mio. Events** 500 NG Bis zu 500 MBit/s* Speicherung bis 55 Mio. Events** Redundante Lüfter und HDD 1000 NGx Bis zu MBit/s* Speicherung bis 55 Mio. Events** Redundante Lüfter und HDD Konsequente Auslegung auf die Verarbeitung extrem großer Datenmengen durch die gleichzeitige Nutzung mehrerer IDS-Kerne Manager Manager NG Speicherung bis 55 Mio. Events** Redundante Lüfter und HDD Ultra Speicherung bis 195 Mio. Events** Manager NG Redundante Lüfter und HDD, Hot Spare HDD Konsequente Auslegung zur Speicherung großer Datenmengen und Management großer Netzwerke *) Die Leistung kann in Abhängigkeit von der Konfiguration variieren **) Die tatsächliche Anzahl gespeicherter Events kann in Abhängigkeit der Konfiguration variieren 10 First Class Security packetalarm IPS NG / IDS NG

11 First Class Security packetalarm IPS NG / IDS NG Leistungsmerkmale packetalarm packetalarm IDS NG IPS NG Integration Layer 2 (Bridging Mode) Passiv (Sniffing Mode) Dynamic Intrusion Detection und Intrusion Prevention IDS-/IPS-Signaturen > 6000 > 6000 Individuelle Signaturen Korrelation Auto Prevention Forensische Analyse Anomalie-Erkennung Traffic Trace Port Scans DoS Buffer Overflow Packet Fragmentation-Angriff UDP-Angriff Application Anomaly-Angriff Application Protocol-Analyse RFC Compliance-Prüfung System Management Sensor-Management Anzahl Sensoren unlimitiert unlimitiert Monitoring via SNMP Hardware-Diagnostik via SNMP (v1, v2, v3) High Availability Logging Interne Festplatte Log an entferntem Syslog-Server Log an SNMP-Server -Aussendung bei Angriffen Administration Auto-Reporting Automatisches Echtzeit-Update Konsolen-Interface Web-GUI (HTTPS) Firewall-Modi und -Features Layer 2/Layer 3 Firewall NAT, PAT Threshold Analyse Stateful Pattern Matching FAZIT Die neue Produktfamilie packetalarm IDS/IPS NG von Funkwerk ist mit ihrem Funktionsumfang eine technisch ausgereifte, hoch performante Sicherheitslösung für Netzwerke aller Größen skalierbar und wirtschaftlich. Der flexible Einsatz und die einfache Installation und Administration erfüllen auch hohe Ansprüche professioneller IT-Administratoren. Durch den Einsatz mehrerer Systeme kann ein umfassendes Sicherheitskonzept unkompliziert und wirtschaftlich ausgebaut werden. Die einzigartige packetalarm NG-Management-Technologie ermöglicht eine einfache zentrale Administration auch für große, verteilte Infrastrukturen. Investitionssicherheit, technologischer Vorsprung bei Angriffserkennung und -vermeidung: Mit packetalarm IDS/IPS NG sind Sie immer auf der sicheren Seite. Funkwerk IP-Appliances 11

12 Funkwerk: Passt genau. S P R A C H E, D A T E N, S I C H E R H E I T. Copyright für alle Inhalte 2011 by Funkwerk IP-Appliances / Funkwerk Enterprise Communications. Alle Rechte vorbehalten. Bildnachweis: Funkwerk IP-Appliances, Funkwerk Enterprise Communications, istockphoto, fotolia, Kilovolt Werbeagentur. Nessus ist ein eingetragenes Warenzeichen der enable Network Security. Technische Änderungen vorbehalten. Funkwerk IP-Appliances GmbH Mönchhaldenstraße 28 D Stuttgart Telefon: Telefax: info@funkwerk-ip-appliances.com 02/2011