Heutzutage basieren die meisten Lösungenzur Netzwerkerkennung und -reaktionauf Traffic-Mirroring und Deep Packet Inspection (DPI). Traffic-Mirroring wird in der Regel auf einem Single-Core- switch eingesetzt, um eine Kopie des Netzwerkverkehrs an einen sensor weiterzuleiten, der mithilfe von DPI den Nutzdaten gründlich analysiert. Dieser Ansatz liefert zwar detaillierte Analysen, erfordert jedoch große Rechenleistung und ist bei verschlüsseltem Netzwerkverkehr blind.
Metadaten Diese Analyse wurde speziell entwickelt, um diese Einschränkungen zu überwinden. Durch den Einsatz von „ Metadaten “ zur Analyse lässt sich die Netzwerkkommunikation an jedem Erfassungspunkt beobachten und durch Informationen ergänzen, die Einblicke in die verschlüsselte Kommunikation gewähren.
NDR-Lösungen sind für die zuverlässige Überwachung und den Schutz des Netzwerkbetriebs unerlässlich geworden. Da der Netzwerkverkehr jedoch zunehmend verschlüsselt wird und das Datenvolumen weiter steigt, stoßen die meisten herkömmlichen Lösungen, die auf Deep Packet Inspection basieren, an ihre Grenzen. Dies wirft die Frage auf: Welche Erkennungstechnologien sollten Unternehmen einsetzen, um maximale Systemsicherheit zu gewährleisten?
Dieser Artikel beleuchtet das Konzept von DPI und der „ Metadaten “-Analyse. Wir werden beide Erkennungstechnologien vergleichen und untersuchen, wie moderne NDR-Lösungen Netzwerke IT/OT wirksam vor komplexen Cyberbedrohungen schützen können.
Was ist Deep Packet Inspection (DPI), und wie funktioniert sie?
Deep Packet Inspection (DPI) ist ein umfassendes Verfahren zur Überwachung des Netzwerkverkehrs, bei dem die Pakete untersucht werden, die über einen bestimmten switch oder Verbindungspunkt fließen. In den meisten Implementierungen wird der gesamte Datenverkehr von einem Kern switch auf einen DPI- sensor gespiegelt, der sowohl den Header als auch den „ Nutzdaten “ jedes Pakets untersucht. Wenn der „ Nutzdaten “ unverschlüsselt ist, kann DPI umfangreiche, detaillierte Informationen für eine fundierte Analyse liefern. Obwohl viele herkömmliche NDR-Lösungen nach wie vor auf Deep Packet Inspection setzen, zeigen die rasante Ausweitung der Angriffsflächen und sich weiterentwickelnde „ IT “-Umgebungen zunehmend deren Grenzen auf.
Warum reicht DPI nicht aus, um fortgeschrittene Cyberangriffe zu erkennen?
Unternehmen setzen zunehmend Verschlüsselung ein, um ihren Netzwerkverkehr und ihre Online-Interaktionen zu schützen. Obwohl Verschlüsselung enorme Vorteile für den Online-Datenschutz und die Cybersicherheit mit sich bringt, bietet es Cyberkriminellen gleichzeitig eine gute Gelegenheit, sich im Verborgenen zu halten, wenn sie verheerende Cyberangriffe starten.
Da die DPI-Technologie nicht für die Analyse von verschlüsseltem Datenverkehr konzipiert wurde, ist sie bei der Überprüfung verschlüsselter Paketnutzdaten machtlos. Dies stellt ein erhebliches Manko für DPI dar, da die meisten modernen Cyberangriffe, wie beispielsweise APT, ransomware und lateral movement, in ihrer Angriffsroutine in großem Umfang „ Verschlüsselung “ nutzen, um Angriffsbefehle von entfernten Command-and-Control-Servern (C2) zu empfangen, die über den gesamten Cyberspace verteilt sind. Abgesehen davon, dass es keine „ Verschlüsselung “-Funktionen gibt, erfordert DPI große Mengen an Rechenleistung und Zeit, um den Datenbereich von Paketen gründlich zu überprüfen.
Folglich kann DPI nicht alle Netzwerkpakete in datenintensiven Netzwerken untersuchen, was es zu einer unpraktikablen Lösung für Netzwerke mit hoher Bandbreite macht.
Der neue Ansatz: „ Metadaten “-Analyse
Metadaten Es wurde eine Analyseverfahren entwickelt, um die Einschränkungen von DPI zu überwinden. Durch den Einsatz von „ Metadaten “ für die Netzwerkanalyse können Sicherheitsteams den gesamten Netzwerkverkehr überwachen, der über physische, virtualisierte oder „ cloud “-Netzwerke läuft, ohne den gesamten Datenbereich jedes einzelnen Pakets überprüfen zu müssen.
Folglich wird die Analyse von „ Metadaten “ nicht von „ Verschlüsselung “ beeinträchtigt und kann den stetig wachsenden Netzwerkverkehr bewältigen. Um Sicherheitsteams „ Echtzeit “ Informationen über den gesamten Netzwerkverkehr zur Verfügung zu stellen, erfasst die Analyse von „ Metadaten “ eine Vielzahl von Attributen zur Netzwerkkommunikation, zu Anwendungen und zu Akteuren (z. B. Benutzeranmeldungen). So werden beispielsweise für jede Sitzung, die das Netzwerk durchläuft, die Quell- und Ziel-IP-Adresse, die Sitzungsdauer, das verwendete Protokoll (TCP, UDP) und die Art der genutzten Dienste erfasst.
Metadaten kann viele weitere wichtige Merkmale erfassen, die entscheidend dazu beitragen, komplexe Cyberangriffe zu erkennen und zu verhindern:
- Host sowie Server-IP-Adresse, Portnummer und Standortdaten
- DNS sowie die Zuordnung von DHCP-Informationen zu IP-Adressen
- Zugriffe auf Webseiten mit URL und Header-Informationen
- Zuordnung von Benutzern zu Systemen anhand von DC-Protokolldaten
- Verschlüsselte Webseiten – Verschlüsselung Typ, Verschlüsselungsalgorithmus und hash, FQDN von Client/Server
- Verschiedene Objekt-Hashes - wie JavaScript und Bilder
DPI- vs. „ Metadaten “-Analyse: Welche Technologie eignet sich für moderne NDR-Anforderungen?
Die Wahl der richtigen Erkennungstechnologie ist für die Absicherung und Überwachung moderner Netzwerke von entscheidender Bedeutung. Deep Packet Inspection (DPI) ist seit langem ein zentraler Bestandteil herkömmlicher NDR-Lösungen, doch ihre Grenzen treten immer deutlicher zutage, da Netzwerke immer komplexer werden und sich das „ Verschlüsselung “ zunehmend durchsetzt. Die Analyse auf Basis von „ Metadaten “ bietet eine skalierbarere und effizientere Alternative und bewältigt die Herausforderungen, mit denen DPI zu kämpfen hat.
Nachstehend finden Sie einen detaillierten Vergleich der wichtigsten Unterschiede:
Handhabung von „ Verschlüsselung “:
DPI ist nicht in der Lage, die „ Nutzdaten “ verschlüsselter Pakete zu analysieren, wodurch „ blinde Flecken “ in der Netzwerktransparenz unberücksichtigt bleiben. Im Gegensatz dazu wird die „ Metadaten “-Analyse nicht von „ Verschlüsselung “ beeinträchtigt und liefert zuverlässige Einblicke in den gesamten Netzwerkverkehr, unabhängig vom „ Verschlüsselung “-Status.
Ressource Intensität:
DPI erfordert erhebliche Rechenleistung und Speicher, wodurch es sehr Ressource-intensiv ist und sich in Netzwerken mit hoher Bandbreite nur schwer skalieren lässt. Die Metadaten -Analyse nutzt hingegen „Lightweight Data“ und ist dadurch wesentlich effizienter und skalierbarer.
Skalierbarkeit:
Während DPI Schwierigkeiten hat, die steigenden Datenmengen und Bandbreiten zu bewältigen, ist die „ Metadaten “-Analyse darauf ausgelegt, den Anforderungen moderner Netzwerke gerecht zu werden und auch bei steigendem Datenverkehr eine nahtlose Leistung zu gewährleisten.
Daten Speicher:
Die langfristige „ Speicher “ historischer Daten ist bei DPI aufgrund der schieren Menge der erfassten Informationen oft nicht praktikabel oder unverhältnismäßig teuer. Die „ Metadaten “-Analyse ermöglicht eine kosteneffiziente „ Speicher “ und erleichtert damit forensische Untersuchungen und historische Analysen.
Echtzeit Sichtbarkeit:
In datenintensiven Umgebungen kommt es bei DPI häufig zu Verzögerungen bei der Bereitstellung von Erkenntnissen. Die „ Metadaten “-Analyse liefert „ Echtzeit “-Informationen und hilft Sicherheitsteams dabei, sofort auf Bedrohungen zu reagieren.
Kosteneffizienz:
Da DPI auf „ hardware “ und intensive Datenverarbeitung angewiesen ist, stellt es eine kostspieligere Lösung dar. Die „ Metadaten “-Analyse ist dank ihrer ressourcenschonenden Datenerfassung und -verarbeitung kostengünstiger.
Durch die Überwindung der Einschränkungen von DPI bietet die „ Metadaten “-Analyse eine zukunftssichere Lösung für moderne NDR-Anforderungen und gewährleistet umfassende Transparenz und Schutz für die dynamischen „ IT “-Umgebungen von heute.
Wie können Sicherheitsteams von „ Metadaten “ profitieren?
Die Implementierung einer „ Network Detection and Response (NDR) “-Lösung auf Basis der „ Metadaten “-Analyse liefert Sicherheitsteams zuverlässige Einblicke in die Vorgänge innerhalb ihres Netzwerks – unabhängig davon, ob der Datenverkehr verschlüsselt ist oder nicht.
Metadaten Eine Analyse, ergänzt durch System- und Anwendungsprotokolle, ermöglicht es Sicherheitsteams, Schwachstellen zu erkennen und den internen Einblick in „ blinde Flecken “ zu verbessern, wie beispielsweise Schatten IT -Geräte, die als häufiger Einstiegspunkt gelten, den Cyberkriminelle ausnutzen.
Diese ganzheitliche Transparenz ist mit DPI-basierten NDR-Lösungen nicht möglich. Darüber hinaus ermöglichen schlanke „ Metadaten “ eine effiziente Protokoll Speicher , was die Untersuchung von Forensik erleichtert. Die datenintensive DPI-Analyse macht die langfristige Speicher historischer Daten praktisch unmöglich oder sehr kostspielig.
Schließlich ermöglicht der „ Metadaten “-Ansatz den Sicherheitsteams, die Quelle des gesamten Datenverkehrs zu ermitteln, der durch Unternehmensnetzwerke fließt, und verdächtige Aktivitäten auf allen mit den Netzwerken verbundenen Geräten – wie beispielsweise Geräten mit dem „ IoT “-Standard – zu überwachen. Dies ermöglicht einen vollständigen Überblick über die Unternehmensnetzwerke.
