Netzwerksensor

Netzwerksensoren analysieren den Datenverkehr in den überwachten Netzwerksegmenten und liefern sicherheitsrelevante Ereignisse an das zentrale IDRS. Für die Erkennung können regelbasierte Verfahren auf Grundlage von Snort eingesetzt werden.

LAN und WAN Anwendung

Mehrere Sensoren lassen sich in einer gemeinsamen Verwaltungsumgebung zusammenführen. Dadurch können auch räumlich getrennte Standorte und unterschiedliche Netzwerksegmente überwacht werden, sofern die erforderliche Anbindung vorhanden ist.

Angepasste Hard- und Software

Die Netzwerksensoren basieren auf einem für ihre Aufgabe angepassten Linux-System. Die Dimensionierung der Hardware richtet sich nach dem Datenaufkommen und den Anforderungen des jeweiligen Netzwerks.

Optimaler Schutz

Die Sensoren können durch eine gehärtete Systemkonfiguration und geeignete Aktualisierungsverfahren gegen Angriffe geschützt werden. Die Wirksamkeit dieser Maßnahmen hängt unter anderem von der Konfiguration und dem laufenden Betrieb ab.

Steuerung und Wartung

Steuerung, Konfiguration und Verteilung der Signaturen erfolgen zentral über den Managementserver. Änderungen und Aktualisierungen können abhängig von der Systemausstattung während des Betriebs vorgenommen und vor ihrer Übernahme geprüft werden.

Zusätzliche Optionen

Zusätzliche Vorverarbeitungsfunktionen unterstützen die zustandsbezogene Protokollanalyse. Damit lassen sich unter anderem Hinweise auf Denial-of-Service-Angriffe, ARP-Spoofing, Portscans und andere auffällige Kommunikationsmuster erfassen.

Minimierte Fehlalarme und Lastprobleme

Eine bedarfsgerechte Konfiguration der Signaturen und Sensoren hilft, Fehlalarme zu reduzieren und die Systemlast zu steuern. Dazu können auch eigene Regeln und individuelle Filter eingesetzt werden.

Bei hoher Netzwerklast müssen Analyseleistung und Schnittstellen auf den tatsächlich zu erwartenden Datenverkehr abgestimmt sein. Optimierte Suchverfahren und die Berücksichtigung der Kommunikationsrichtung können die Verarbeitung unterstützen; eine lückenlose Erfassung ist dadurch nicht automatisch gewährleistet.

Statistik und Auswertung

Der Managementserver stellt Informationen über Last, Erkennungsereignisse und Sensorstatus bereit. Diese Daten können für Berichte, die Analyse von Auffälligkeiten und die Konfiguration möglicher Reaktionen genutzt werden.