Netzwerksicherheitsüberwachung (NSM): Echtzeiterkennung netzwerkbasierter Bedrohungen

Netzwerksicherheitsüberwachung (NSM) ist die kontinuierliche Analyse des Netzwerkverkehrs zur Identifizierung von Bedrohungen, Anomalien und unautorisierten Aktivitäten über alle Netzwerksegmente hinweg. Die NSM- und Netzwerkerkennungs- und Reaktionsfunktionen (NDR) von Cypher Sentinel erkennen laterale Bewegung, Datenexfiltration, Command-and-Control-Kommunikation und DDoS-Angriffe in Echtzeit durch Verhaltensanalyse, Firewall-Integration und fortschrittliche Untersuchung verschlüsselten Datenverkehrs.

Die meisten Organisationen verlassen sich heute auf Firewalls und Eindringlingserkennungssysteme zum Schutz ihrer Netzwerke. Firewalls können jedoch nur Regeln durchsetzen, für die sie konfiguriert sind, und traditionelle IDS/IPS-Lösungen übersehen ausgefeilte Angriffe, die Verschlüsselung nutzen oder signaturbasierte Erkennung umgehen. Netzwerksicherheitsüberwachung (NSM) bietet einen anderen Ansatz: kontinuierliche Analyse des gesamten Netzwerkverkehrs zur Bedrohungserkennung anhand von Verhalten und Anomalien statt vordefinierter Regeln.

Eine umfassende NSM-Lösung wie Cypher Sentinel bietet vollständige Transparenz über den Netzwerkverkehr und ermöglicht die Erkennung von Angriffen innerhalb des Netzwerks, einschließlich lateraler Bewegung zwischen Systemen, Datenexfiltration und Command-and-Control-Kommunikation. Dies ist wesentlich, weil viele Angriffe stattfinden, nachdem ein Angreifer den Perimeter bereits durchbrochen hat — NSM erkennt diese internen Bedrohungen, bevor sie erheblichen Schaden verursachen können.

Was ist Netzwerksicherheitsüberwachung (NSM)?

Netzwerksicherheitsüberwachung (NSM) ist die umfassende Erfassung und Analyse des Netzwerkverkehrs zur Echtzeitidentifizierung von Sicherheitsbedrohungen, Anomalien und unautorisierten Aktivitäten. NSM-Lösungen erfassen den gesamten Netzwerkverkehr oder nehmen skalierbare Stichproben, analysieren ihn auf Kompromittierungsindikatoren und Angriffsmuster und ermöglichen schnelle Reaktion auf erkannte Bedrohungen.

NSM unterscheidet sich grundlegend von Firewalls und traditionellen IDS/IPS. Firewalls setzen Zugriffskontrolle anhand vordefinierter Regeln durch. Traditionelle IDS/IPS erkennen Angriffe anhand bekannter Signaturen oder einfacher Anomalieerkennungsregeln. NSM analysiert das tatsächliche, im Netzwerkverkehr sichtbare Verhalten und identifiziert sowohl bekannte Angriffe (durch Bedrohungsinformationen) als auch unbekannte Angriffe (durch Verhaltensanalyse und Anomalieerkennung).

• Vollständige Netzwerktransparenz — Die gesamte Netzwerkkommunikation sehen, nicht nur das, was Firewalls protokollieren oder melden.
• Bedrohungserkennung über Signaturen hinaus — Unbekannte Bedrohungen durch Verhaltensanalyse und Anomalieerkennung aufdecken.
• Erkennung lateraler Bewegung — Erkennen, wenn kompromittierte Systeme mit anderen Systemen im Netzwerk kommunizieren.
• Verhinderung von Datenexfiltration — Durch Analyse von Datenflussmustern und -größen erkennen, wenn Angreifer Daten zu stehlen versuchen.
• Erkennung verschlüsselter Bedrohungen — Metadaten verschlüsselten Datenverkehrs analysieren, um bösartige verschlüsselte Kommunikation zu erkennen.

Funktionen für Netzwerkerkennung und -reaktion (NDR)

Netzwerkerkennung und -reaktion (NDR) erweitert NSM um automatisierte Reaktionsfunktionen auf erkannte Bedrohungen. NDR-Plattformen erkennen netzwerkbasierte Angriffe nicht nur, sondern ergreifen automatisch Abwehrmaßnahmen, um Bedrohungen einzudämmen und Auswirkungen zu minimieren.

Fortschrittliche NDR-Funktionen umfassen die Erkennung lateraler Bewegung durch Verhaltensanalyse von Kommunikationsmustern zwischen Systemen, die Identifizierung von Aufklärungsaktivitäten, bei denen Angreifer nach wertvollen Systemen und Diensten suchen, die Erkennung von Datenexfiltration durch Analyse ungewöhnlicher Datenflüsse und großer ausgehender Übertragungen sowie Command-and-Control-Erkennung zur Identifizierung von Kommunikation mit bösartigen Servern. NDR ermöglicht die schnelle Isolierung kompromittierter Netzwerksegmente und das Blockieren bösartiger Datenströme.

Firewall-Integration und Sicherheit der nächsten Generation

Moderne Netzwerksicherheit erfordert die Integration von Firewalls, IDS/IPS, NSM und Bedrohungsinformationen in eine koordinierte Abwehr. Während Firewalls Zugriffskontrolle und grundlegende Bedrohungserkennung durchsetzen, bietet NSM tiefen Einblick in Verkehrsinhalte und -verhalten. Diese Kombination schafft eine mehrschichtige Abwehr, die Angriffe an mehreren Punkten stoppt.

Firewalls der nächsten Generation (NGFWs) kombinieren traditionelle Firewall-Funktionen mit Eindringlingsprävention, Filterung auf Anwendungsebene und Integration von Bedrohungsinformationen. NGFWs untersuchen Datenverkehr auf Anwendungsebene und korrelieren Netzwerkaktivität mit Bedrohungsinformationen, um bekannten bösartigen Datenverkehr zu blockieren und bekannte Angriffsmuster zu verhindern.

Bei Integration mit NSM-Plattformen wie Cypher Sentinel verbinden sich Firewall-Protokolle und -Warnungen mit detaillierter Verkehrsanalyse zu umfassender Netzwerksicherheit. Cypher Sentinel kann Firewall-Regeln anhand erkannter Bedrohungen automatisch aktualisieren und neue Angriffsquellen in Echtzeit blockieren.

Systeme zur Eindringlingserkennung und -prävention (IDS/IPS)

Systeme zur Eindringlingserkennung (IDS) analysieren den Netzwerkverkehr auf Muster bekannter Angriffe und erzeugen Warnungen, wenn verdächtige Aktivität erkannt wird. Systeme zur Eindringlingsprävention (IPS) gehen weiter und blockieren erkannte Angriffe automatisch durch Verwerfen bösartiger Pakete oder Zurücksetzen von Verbindungen.

Traditionelle IDS/IPS-Systeme verlassen sich jedoch auf signaturbasierte Erkennung, die nur bekannte Angriffe identifiziert. Fortschrittliche EDR-Plattformen wie Cypher Sentinel kombinieren signaturbasierte Erkennung mit Verhaltensanalyse und maschinellem Lernen und ermöglichen die Erkennung von Zero-Day-Exploits und neuartigen Angriffstechniken, die IDS/IPS allein übersehen würden.

Die Integration von IDS/IPS mit Verhaltensanalyse bietet mehrschichtige Erkennung: Bekannte Angriffe werden durch Signaturen blockiert, während unbekannte Angriffe durch Verhaltensanalyse und Anomalieerkennung identifiziert werden.

DDoS-Schutz und Angriffsabwehr

Angriffe zur verteilten Dienstverweigerung (DDoS) versuchen, Netzwerkressourcen durch Überflutung mit Datenverkehr zu überlasten und legitimen Benutzern den Zugriff auf Dienste zu verwehren. DDoS-Schutzlösungen nutzen ausgefeilte Techniken, um Angriffe zu erkennen und abzuwehren und dabei die Dienstverfügbarkeit aufrechtzuerhalten.

DDoS-Abwehr nutzt Verkehrsanalyse, um Angriffsmuster zu identifizieren und bösartigen Datenverkehr in Echtzeit zu filtern. Volumetrische Angriffe, die das Netzwerk mit Daten überfluten, werden durch Analyse von Verkehrsvolumen und -mustern erkannt. Protokollangriffe, die Schwächen in Netzwerkprotokollen ausnutzen, werden durch Analyse von Paketstruktur und -verhalten erkannt. Angriffe auf Anwendungsebene, die bestimmte Anwendungen angreifen, werden durch Analyse anwendungsspezifischer Verkehrsmuster identifiziert.

Fortschrittlicher DDoS-Schutz nutzt Verhaltensanalyse, um ausgefeilte Angriffe zu erkennen, die einfache volumetrische Filterung umgehen könnten. Der DDoS-Schutz von Cypher Sentinel kombiniert Verkehrsfilterung, Schutz auf Protokollebene, Schutz auf Anwendungsebene und Verhaltensanalyse, um die Netzwerkverfügbarkeit auch gegen ausgefeilte DDoS-Angriffe aufrechtzuerhalten.

Analyse verschlüsselten Datenverkehrs und Erkennung verborgener Bedrohungen

Da Verschlüsselung allgegenwärtig wird, nutzen Angreifer sie zunehmend, um bösartige Kommunikation zu verbergen. Während Verschlüsselung die Vertraulichkeit von Daten schützt, verbirgt sie auch bösartige Command-and-Control-Kommunikation und Datenexfiltration vor traditionellen NSM-Werkzeugen.

Die Analyse verschlüsselten Datenverkehrs überwindet diese Herausforderung, indem sie Metadaten und Verhalten verschlüsselter Kommunikation analysiert, auch wenn der Inhalt selbst verschlüsselt ist. Dazu gehören Verbindungsmuster, Paketgrößen, Kommunikationshäufigkeit und Zeitinformationen. Bösartige verschlüsselte Kommunikation weist häufig charakteristische Muster auf, die sich von legitimem verschlüsseltem Datenverkehr unterscheiden.

Command-and-Control-Kommunikation umfasst beispielsweise häufig regelmäßige Kontaktmeldungen (Kommunikation in festen Intervallen), die sich von normalen Anwendungsverkehrsmustern unterscheiden. Datenexfiltration über Verschlüsselung umfasst oft große, anhaltende Übertragungen, die von typischer verschlüsselter Anwendungsnutzung abweichen. Durch Analyse dieser Verhaltensmuster können NSM-Plattformen bösartigen verschlüsselten Datenverkehr ohne Entschlüsselung erkennen.

Integration von Bedrohungsinformationen und Kontext

Netzwerksicherheit verbessert sich erheblich, wenn NSM-Plattformen Bedrohungsinformationsfeeds integrieren, die bekannte bösartige IP-Adressen, Domains und Angriffsmuster identifizieren. Bedrohungsinformationen ermöglichen die sofortige Identifizierung bekannter Bedrohungen und liefern Kontext für die Netzwerkanalyse.

Die Integration von Bedrohungsinformationen mit verschiedenen Bedrohungserkennungswerkzeugen ermöglicht NSM, Kommunikation mit bekannten bösartigen Servern zu identifizieren, Angriffe anhand bekannter Bedrohungsmuster zu erkennen, kompromittierte Systeme mit Verbindungen zur Botnet-Infrastruktur zu identifizieren und Angriffsmuster bekannter Bedrohungsakteure zu erkennen. Dies beschleunigt die Erkennung bekannter Bedrohungen drastisch, während Verhaltensanalyse unbekannte Angriffe behandelt.

Cypher Sentinel integriert mehrere Bedrohungsinformationsfeeds und ermöglicht Organisationen, eigene Bedrohungsinformationen auf Grundlage ihrer Sicherheitsvorfälle und Bedrohungsbewertungen hinzuzufügen.

Netzwerksegmentierung und Zero-Trust-Architektur

Netzwerksegmentierung teilt das Netzwerk in separate Zonen mit eingeschränkter Kommunikation zwischen ihnen auf und begrenzt laterale Bewegung bei Kompromittierung eines Systems. Zero-Trust-Architektur geht weiter und verlangt Authentifizierung und Autorisierung für jede Netzwerkkommunikation unabhängig von der Quelle.

NSM- und NDR-Plattformen bieten wesentliche Transparenz über die Netzwerksegmentierung, erkennen Kommunikation über Segmentgrenzen hinweg und identifizieren Verstöße gegen Segmentierungsrichtlinien. Dies ermöglicht die Durchsetzung von Netzwerksegmentierungsrichtlinien und die Erkennung unautorisierter Kommunikationsmuster.

Die Zero-Trust-Cybersicherheitsfunktionen von Cypher Sentinel setzen Netzwerksegmentierung durch und erkennen Verstöße. Zusammen mit NSM erkennen und verhindern sie laterale Bewegung.

NSM-Bereitstellungsmodelle und Datensouveränität

Netzwerksicherheitsüberwachung kann in verschiedenen Architekturen passend zu den Anforderungen einer Organisation bereitgestellt werden. Cloudbasiertes NSM bietet verwaltete Dienste und einfache Bereitstellung, leitet Netzwerktelemetrie jedoch über externe Server. NSM vor Ort in den Rechenzentren der Organisation bietet vollständige Datensouveränität und Kontrolle. Hybrides NSM kombiniert lokale Erkennung mit selektiver Integration cloudbasierter Bedrohungsinformationen.

Für Behörden und Organisationen, die sensible Daten verarbeiten, stellt eine souveräne NSM-Bereitstellung sicher, dass sämtliche Netzwerkverkehrsanalysen und Bedrohungsdaten unter organisatorischer Kontrolle bleiben und Anforderungen an die Datenresidenz erfüllen.