Was ist die Sicherheit der Netzwerkinfrastruktur?

Die Sicherheit der Netzwerkinfrastruktur ist der Schutz von Netzwerkressourcen wie Hardware, Software und Daten vor Bedrohungen. Diese Bedrohungen können von außen kommen, z. B. durch Cyberangriffe, die zu Datendiebstahl führen, oder von innen, z. B. durch unvorsichtige oder unvorsichtige Mitarbeiter.

Zum Schutz der Netzwerkinfrastruktur gehören Firewalls, Antivirenprogramme, Systeme zur Verhinderung und Erkennung von Eindringlingen, E-Mail-Sicherheit, Zugriffskontrollen und Schutz vor Datenverlust. Diese Technologien spielen ihre eigene Rolle beim Schutz des Netzwerks und werden zu einem ganzheitlichen Abwehrsystem zusammengefügt.

Arten des Netzwerksicherheitsschutzes

1. Firewall

Die uralte Firewall ist eine der ältesten Schutzmaßnahmen für die Netzwerksicherheit. Firewalls fungieren als Frontlinie der Netzwerkverteidigung, indem sie regeln, was in das Netzwerk eintritt und was es verlässt. Indem sie ein- und ausgehende Datenpakete überwachen und filtern, blockieren Firewalls auf der Grundlage vorkonfigurierter Firewall-Regeln das, was als bösartig angesehen wird.

2. Endpunkt-Sicherheit

Die Endpunktsicherheit umfasst herkömmliche Antivirensoftware und neuere EDR-Lösungen (Endpoint Detection and Response), die auf Endpunkten wie PCs, mobilen Geräten und Servern installiert werden, um diese zu schützen. Diese Lösungen erkennen und entfernen Malware, die die Firewall umgangen hat, um auf dem Endpunkt zu landen, oder die von innerhalb des Netzwerks oder von Wechselmedien auf den Endpunkt geladen wurde.

3. E-Mail-Sicherheit

E-Mail-Sicherheit bezieht sich auf die verschiedenen Technologien und Mechanismen zum Schutz von E-Mail-Konten und -Kommunikation, einschließlich Authentifizierung, Inhaltsfilter und Inhaltsverschlüsselung. Phishing-E-Mails sind eine der häufigsten Arten, wie Angreifer in ein Netzwerk eindringen. Durch die Gestaltung von E-Mail-Inhalten, die sehr authentisch aussehen, locken Angreifer E-Mail-Empfänger dazu, auf eine URL zu klicken, um Malware herunterzuladen oder sie zu einer anderen Website für böswillige Zwecke, wie den Diebstahl von Zugangsdaten, umzuleiten.

4. Zero Trust Sicherheit

Zero Trust ist ein Sicherheitskonzept, das davon ausgeht, dass alle Benutzer standardmäßig nicht vertrauenswürdig sind. Das bedeutet, dass alle Benutzer, egal ob sie sich innerhalb oder außerhalb des Netzwerks befinden, jedes Mal authentifiziert und autorisiert werden müssen, wenn sie auf Netzwerkanwendungen und -daten zugreifen wollen. Zero Trust wurde entwickelt, um die Herausforderungen moderner Netzwerkzugriffsszenarien zu meistern, einschließlich des Remote-Netzwerkzugriffs von Mitarbeitern und des Netzwerkzugriffs von Drittanbietern, wie z.B. Lieferanten, und um den ausgeklügelten Fähigkeiten von Angreifern zum Diebstahl oder zur Umgehung von Zugangsdaten entgegenzuwirken.

5. Prävention von Datenverlust

Data Loss Prevention (DLP)-Lösungen sollen die sensiblen Daten von Unternehmen vor Verlust, Missbrauch und unbefugtem Zugriff schützen. DLP-Lösungen überwachen Daten im Einsatz (auf Endgeräten), in Bewegung (Netzwerkverkehr) und im Ruhezustand (Datenbankserver) und erkennen Verstöße gegen die vom Unternehmen festgelegten Datenrichtlinien oder Datenschutzgesetze wie HIPAA und GDPR. Sobald Verstöße festgestellt werden, ergreift DLP Abhilfemaßnahmen wie Warnmeldungen, Zugriffssperren und Datenverschlüsselung.

6. Sandboxing

In der Cybersicherheit ist Sandboxing die Praxis, ungetestete oder nicht vertrauenswürdige Programme und Code in einer Umgebung auszuführen, die vom Rest des Betriebssystems, auf dem sie installiert sind, isoliert ist. Durch die Ausführung von Programmen und Code in einer isolierten Umgebung verhindert Sandboxing, dass bösartige Programme und Code das eigentliche Betriebssystem beschädigen oder sich auf andere Rechner im Netzwerk ausbreiten.

Die Grenzen des signaturbasierten und passiven Schutzes

Die oben genannten und die meisten anderen Netzwerkschutzmaßnahmen sind signaturbasiert und/oder passiv. Sie spielen zwar eine wichtige Rolle bei der Sicherung des Netzwerks, aber die zunehmende Raffinesse von Cyberangriffen und die wachsende Angriffsfläche (mehr Angriffspunkte) bedeuten, dass sie nicht mehr ausreichen, weder einzeln noch in Kombination. Lassen Sie uns untersuchen, warum.

Der signaturbasierte Schutz bezieht sich auf die Erkennung von Malware und bösartigen Aktivitäten anhand bekannter Indikatoren für eine Gefährdung (IoC). Zu den bekannten IoCs gehören Malware-Hashes (die eindeutige ID einer Malware, ähnlich wie ein Fingerabdruck), die IoCs der gegnerischen Infrastruktur, wie z. B. die bei einem Angriff verwendeten bösartigen IP-Adressen und Domänen, bekannte Anwendungsschwachstellen und bekannte Angriffsmuster.

Zu den Netzwerksicherheitslösungen, die auf signaturbasierter Erkennung beruhen, gehören Firewalls, IDS und IPS, Endpunktsicherheitslösungen, Anwendungsfirewalls und Sandboxing. Die Wirksamkeit dieser Schutzmaßnahmen wird durch die folgenden Herausforderungen eingeschränkt.

• Neue Malware: Bei über 500.000 neuen Schadprogrammen, die jeden Tag erstellt werden, ist es praktisch unmöglich, jede einzelne Malware mit bekannten Malware-Signaturen zu erkennen. Zugegeben, ein großer Teil der neu geschaffenen Malware sind Varianten, die auf bereits vorhandener Malware basieren und immer noch mit dem Fingerabdruck erkannt werden können, aber es braucht nur eine einzige Malware, um Schaden anzurichten.
• Neue Angriffsarchitektur: Angreifer aktualisieren ihre Infrastruktur in der Regel von Angriff zu Angriff, so dass nicht alle neu verwendeten bösartigen IP-Adressen und Domänen bekannt sind und blockiert werden.
• Verzögerte Bedrohungsinformationen: Viele Sicherheitslösungen unterstützen die Integration von Live-Bedrohungsdaten, um die IoC-Bibliotheken zu aktualisieren und den aktuellsten Schutz zu gewährleisten. Das ist sicherlich hilfreich. Aber wenn man bedenkt, dass es im Durchschnitt 212 Tage dauert, bis eine Sicherheitsverletzung entdeckt wird, [1] sind diese Feeds nicht gerade „live“ und es besteht immer die Möglichkeit, dass das Netzwerk bereits kompromittiert wurde, wenn die IoCs aktualisiert werden.

• Verschlüsselung des Datenverkehrs: Angreifer können bösartigen Code durch Verschlüsselung des Datenverkehrs verbergen, um Sicherheitslösungen zu umgehen, die keine Entschlüsselung und Deep Packet Inspection-Funktionen unterstützen.
• Legitime Tools und Dienste: Angreifer nutzen oft legitime systemeigene Tools und Dienste, um ihre Angriffe zu erleichtern, was bedeutet, dass ihre bösartigen Operationen von den Endgeräten möglicherweise nicht erkannt werden.
• Legitimer Verkehr: Firewalls können sich nicht gegen verteilte Denial-of-Service-Angriffe (DDoS) schützen. Bei einem DDoS-Angriff überschwemmen Angreifer das Netzwerk des Opfers mit legitimem Datenverkehr (daher die Möglichkeit, die Firewall zu überwinden), um die Netzwerksysteme und Anwendungen durch Erschöpfung lahmzulegen.

Beschränkungen des passiven Schutzes

Passiver Schutz bezieht sich auf Sicherheitstools, -mechanismen und -prozesse, die Bedrohungen erkennen und auf sie reagieren, wenn sie auftauchen, aber nicht aktiv nach ihnen suchen.

Bei signaturbasierten Schutzmaßnahmen handelt es sich im Wesentlichen um passive Schutzmaßnahmen, ebenso wie bei regelbasierten Schutzmaßnahmen wie Zugriffskontrollen, Zero Trust Access und Data Loss Prevention. Die Wirksamkeit dieser Schutzmaßnahmen wird durch die folgenden Herausforderungen eingeschränkt.

• Kein 100%iger signaturbasierter Schutz: Da es so viele Möglichkeiten gibt, wie Angreifer die signaturbasierte Erkennung unterlaufen können, ist es keine Frage des „ob“, sondern des „wann“ ein Einbruch erfolgt. Vor diesem Hintergrund reicht passiver Schutz nicht aus. Was wir brauchen, ist ein Mechanismus, der aktiv nach Bedrohungen sucht, die sich bereits im Netzwerk befinden.
• Diebstahl von Zugangsdaten: Angreifer können Tools einsetzen, um legitime Zugangsdaten zu stehlen, um sich bei Netzwerksystemen und -anwendungen zu authentifizieren, vor allem, wenn es keine Multi-Faktor-Authentifizierung gibt. Angreifer können beispielsweise Tools verwenden, um Passwort-Hashes zu erhalten, um sich bei Konten anzumelden, ohne das Klartextpasswort zu kennen, oder sie können Keylogging-Tools verwenden, um die Eingabewerte von Passwortfeldern zu erfassen. Ohne eine kontinuierliche Überwachung und Prüfung des Benutzerverhaltens nach einem unbefugten Zugriff können Angreifer unbemerkt agieren.

Die Vorteile von Network Detection and Response (NDR)

Wenn alles andere versagt, bieten Netzwerkerkennung und -reaktion eine robuste letzte Verteidigungslinie.

Was ist Network Detection and Response?

Network Detection and Response (NDR) ist eine aufstrebende Cybersicherheitslösung, die Echtzeit netzwerkweiten Datenverkehr analysiert, um Malware und verhaltensbasierte verhaltensbasiert bösartige Aktivitäten im Netzwerk.

Die beiden Schlüsselwörter sind Echtzeit und verhaltensbasiert.

NDR analysiert aktiv den Echtzeit-Datenverkehr im gesamten Netzwerk, um nach Bedrohungen zu suchen, die die signatur- und regelbasierten Schutzmechanismen durchbrochen haben. NDR erkennt verhaltensbasierte Bedrohungen, die legitime Tools, Dienste und Datenverkehr nutzen, um die Erkennung zu umgehen. Zu diesem Zweck nutzt NDR das maschinelle Lernen, um Basismodelle für normale Netzwerkaktivitäten zu erstellen und kontinuierlich zu optimieren. Der Netzwerkverkehr wird mithilfe von KI-gestützter Verhaltensanalyse analysiert und die Ergebnisse werden mit den Basismodellen korreliert, um Anomalien zu erkennen. Anomalien in der Netzwerkaktivität sind ein guter Hinweis auf Bedrohungen, da legitime Konten, Tools, Dienste und Daten auf eine Art und Weise genutzt werden, die von normalen Nutzungsmustern abweicht. So kann NDR beispielsweise den legitimen Datenverkehr von DDoS-Angriffen erkennen, indem es eine Spitze in der Anzahl der eingehenden Anfragen feststellt.

Die Vorteile von NDR

• Aktive Bedrohungsjagd: Der NDR ist ständig auf der Suche nach Bedrohungen, die den Perimeterschutz und die Zugangskontrollen durchbrochen haben könnten.
• Nicht-signaturbasierte Erkennung: NDR erkennt unbekannte Bedrohungen und verhaltensbasierte Bedrohungen durch anomales Verhalten. Das bedeutet, dass die böswillige Nutzung legitimer systemeigener Tools erkannt werden kann, da sie in einer Weise genutzt werden, die nicht den normalen Nutzungsmustern entspricht (z. B. Identität, Umfang, Zeit, Dauer, Zweck).
• Netzwerkweite Sichtbarkeit von Bedrohungen: NDR korreliert den Echtzeit-Verkehr im gesamten Netzwerk, von Systemen, Endpunkten, Anwendungen und Benutzern, um anormale Aktivitäten zu kontextualisieren und zu erkennen, ob sie eine Bedrohung darstellen. Sicherheitsverantwortliche erhalten einen vollständigen Einblick in die Aktivitätskette, um Angriffe bis zum Eintrittspunkt zurückzuverfolgen und gefährdete Ressourcen wie Benutzer, Endpunkte und Systeme zu identifizieren.
• Agentenlose Erkennung: Im Gegensatz zu Sicherheitslösungen für Endgeräte ist NDR nicht auf einen auf einem Endgerät installierten Agenten angewiesen, so dass Angreifer nicht erkennen können, ob ihre Aktivitäten überwacht werden. Dies trägt dazu bei, die Wachsamkeit der Angreifer zu verringern und sie zu ermutigen, Aktivitäten durchzuführen, die zu ihrer Entdeckung führen werden. Ohne einen Agenten zu arbeiten bedeutet auch, dass Angreifer NDR nicht deaktivieren können.

• Entschlüsselung in Echtzeit: NDR unterstützt die Entschlüsselung des Datenverkehrs in Echtzeit, um im verschlüsselten Datenverkehr versteckte bösartige Aktivitäten aufzudecken.
• Automatisierte korrelierte Reaktion: NDR kann auch mit anderen Sicherheitslösungen integriert werden, um automatisierte korrelierte Reaktionen zu initiieren, indem Befehle an diese ausgegeben werden.

Ein vielschichtiger Ansatz

Aktive, verhaltensbasierte Schutztechnologien wie NDR sind passiven, signaturbasierten Schutzmaßnahmen nicht überlegen. Passive, signaturbasierte Schutzmaßnahmen bieten eine robuste erste Verteidigungslinie, die die meisten Bedrohungen herausfiltert. Ohne sie werden Netzwerke links, rechts und in der Mitte von Bedrohungen überflutet. So können sich aktive, verhaltensbasierte Schutzmechanismen wie NDR darauf konzentrieren, das zu bereinigen, was durchgeschlüpft ist. Sie sind im Grunde ein Doppelpack, das im Tandem arbeitet, um die Netzwerkinfrastruktur mit einem mehrschichtigen, ganzheitlichen Schutz zu versehen.