Unternehmen in der Verteidigungsbranche haben mit hochsensiblen Daten und Dokumenten zu tun, die unter die Verschlusssachenanweisung (VSA) fallen. Um Sicherheit und Vertraulichkeit zu gewährleisten, ist ausschließlich IT zulässig, die vom BSI für den VS-Einsatz freigegeben wurde. Das interne Netzwerk muss strikt abgeschottet werden und darf nicht unmittelbar mit dem Internet verbunden sein. Viele Unternehmen sind gerade dabei, solche Air-Gapped-Umgebungen einzurichten. Denn bei Ausschreibungen gilt dies häufig als technische Voraussetzung, um sich überhaupt auf Projekte bewerben zu können. Wer kein klassifiziertes Netz vorweisen kann, verliert im Wettbewerb – ganz gleich, wie gut sein Angebot sonst auch sein mag.

Das Dilemma zwischen Abschottung und Aktualität

Aus Security-Perspektive stellen Air-Gapped-Umgebungen eine besondere Herausforderung dar. Einerseits müssen sie kompromisslos abgesichert werden und in der Lage sein, aktuelle Bedrohungen abzuwehren. Denn selbst in streng abgeschotteten Netzen gibt es immer Schnittstellen, um Daten hinein- oder hinauszuführen. Auf diesem Wege – oder auch durch Insider, die sich bereits im Netz befinden – können Gefahren eindringen. Doch um Angriffe wie Zero-Day-Exploits zu erkennen, brauchen Unternehmen moderne Security-Systeme und aktuelle Threat Intelligence. Diese setzen in der Regel Cloud-Zugang voraus, was im Widerspruch zur Air-Gapped-Anforderung steht. Um dieses Dilemma zu lösen, sind Security-Systeme gefragt, die sich komplett On-Premises betreiben lassen, ohne dabei Kompromisse bei der Bedrohungserkennung zu machen. Die Lösungen müssen außerdem in bestehende Umgebungen integrierbar sein, ohne die IT-Architektur auf den Kopf zu stellen, und dürfen nicht zu Lasten der Performance gehen.

Tiefgehende Kontrolle mit On-Premises-IPS einführen

Eine effektive Möglichkeit, moderne, hochperformante Bedrohungserkennung in klassifizierte Netze zu bringen, ist die Integration einer IPS-Appliance (Intrusion Prevention System). Ein solches System ergänzt bestehende Firewalls und erhöht den Schutz erheblich. Um Netze sauber voneinander zu trennen, wird in einem klassischen Szenario eine Firewall am Perimeter implementiert, die den ein- und ausgehenden Datenverkehr kontrolliert. Anhand von Regeln entscheidet sie, was ins Netz darf und was nicht. Ob der Datenverkehr allerdings gefährliche Pakete enthält, erkennt die Firewall nicht. Bildhaft gesehen entspricht sie einem Türsteher, der nur Personen einlässt, die auf der Gästeliste stehen – nicht aber deren Taschen durchsucht. Genau hier kommt ein IPS-System ins Spiel: Es inspiziert den Datenverkehr bis aufs kleinste Paket mit Deep Packet Inspection. Sobald es eine Bedrohung erkennt, blockiert es den Traffic. Gerade im Hochsicherheitsbereich ist dieser tiefgehende Schutz unverzichtbar und wird oft von Auftragnehmern gefordert.

Viele Hersteller bieten zwar auch Next Generation Firewalls (NGF) mit integrierter IPS-Funktion. Diese stellen in klassifizierten Netzen aber keine Alternative zu einer dedizierten Lösung dar, da sie mit deren Leistungsfähigkeit nicht mithalten können. Während eine Appliance auf speziell designter Hardware läuft und einen enormen Durchsatz ermöglicht, stößt eine NGF an ihre Grenzen, wenn es zu hohem Datenaufkommen kommt. Entweder blockiert sie den Traffic, der ihr zu viel wird, oder sie analysiert ihn nicht mehr. Dadurch entstehen Sicherheitslücken und Performance-Engpässe. Eine IPS Appliance arbeitet dagegen so schnell, dass ihre Präsenz selbst bei latenzkritischen Anwendungen nicht spürbar ist.

Aktuelle Threat Intelligence über Drehstuhlsystem integrieren

Anders als häufig angenommen erfordert eine IPS Appliance keinen Cloud-Zugang, sondern lässt sich komplett offline und BSI-compliant betreiben. Aktuelle Threat Intelligence können Administratoren über ein Drehstuhlsystem einspielen. Dafür laden sie die Daten von der Plattform des Security-Anbieters auf ein externes Speichermedium, etwa einen USB-Stick oder eine Festplatte, und bringen diese manuell in die gesicherte Zone. Dort können die Informationen über die zentrale Management-Oberfläche auf die Systeme verteilt werden. Alternativ ist auch eine hybride Lösung möglich: Der Threat-Intelligence-Download erfolgt dann direkt im System in einem klar separierten Online-Bereich, während der hochsensible Kernbereich isoliert bleibt.

Aktuelle Threat Intelligence ist entscheidend, um neue Bedrohungen und besonders gefährliche Zero Day-Angriffe zu erkennen. Bei einer hybriden Lösung werden die Daten in Echtzeit eingespielt, beim Drehstuhl-System zeitverzögert. Auf diese Weise erhält das IPS zum Beispiel Informationen zu neuen Schwachstellen und wird mit entsprechenden Filtern und virtuellen Patches versorgt. Letztere können Schwachstellen wie ein Pflaster abdecken, sodass sie nicht mehr von außen angreifbar sind. So sind Systeme sofort geschützt, noch bevor ein Hersteller-Patch verfügbar ist. Da Virtual Patching direkt an der Schwachstelle ansetzt und nicht an einzelnen Exploits, hilft die Technologie auch gegen bisher unbekannte Zero-Day-Exploits, die bekannte Schwachstellen ausnutzen.

So spielen IPS und Firewall zusammen

Integrieren lässt sich ein IPS ganz einfach, indem man es an die Netzwerkleitung anschließt. Dafür ist kein neues Routing und keine Änderung der Netzwerkkonfiguration erforderlich. Daher kann ein IPS auch mit jeder beliebigen Firewall zusammenarbeiten. In der Regel wird die IPS-Appliance hinter der Firewall platziert, sodass sie nur noch den Datenverkehr analysiert, der bereits die erste Zugangskontrolle passiert hat. Für manche Use Cases kann es zusätzlich sinnvoll sein, das System vor die Firewall zu schalten. Das hat einen einfachen Grund: Da ein Hochleistungs-IPS enorme Datenmengen innerhalb von Millisekunden verarbeitet, schützt es die Firewall vor DDoS-Angriffen. So können Cyberkriminelle die äußere Sicherheitsschicht nicht durch gezielte Überlastung außer Kraft setzen. Darüber hinaus ist es empfehlenswert, IPS auch netzwerkintern einzusetzen, um den Ost-West-Verkehr zu inspizieren. Auf diese Weise lassen sich Bedrohungen aufdecken, die sich bereits im Netzwerk befinden und dort lateral bewegen.

Übergreifende Bedrohungserkennung etablieren

Noch mehr Sichtbarkeit bringen Unternehmen in ihre Angriffsfläche, indem sie die Telemetriedaten aus dem IPS in eine zentrale Security-Plattform einspeisen und mit den Daten anderer Security-Systeme korrelieren. Auch solche Plattformen können komplett On-Premises und VS-konform bereitgestellt werden. Auf diese Weise lässt sich zum Beispiel EDR (Endpoint Detection & Response) On Premises in klassifizierten Netzen umsetzen. Anhand der übergreifenden Datenkorrelation und Analyse gewinnen Security-Teams ein ganzheitliches Bild von Bedrohungen und Risiken über alle Vektoren der IT-Umgebung hinweg. Sie können komplexe Zusammenhänge schnell erfassen und Angriffspfade nachvollziehen. Gleichzeitig erhöhen sie die Reaktionsgeschwindigkeit. So kann die zentrale Security-Plattform zum Beispiel automatisch Filter im IPS aktivieren und Traffic blockieren, sobald sie ein Angriffsszenario erkennt. Darüber hinaus liefern die Reports aus der Plattform eine faktenbasierte Entscheidungsgrundlage für künftige Sicherheitsinvestitionen, da sie klar aufzeigen, welche Schwachstellen und Risiken die Geschäftskontinuität gefährden.

Fazit

Auch in abgeschotteten Umgebungen müssen Unternehmen nicht auf moderne Bedrohungserkennung verzichten. Security-Systeme, die sich vollständig On-Premises betreiben lassen, machen Isolation und Schutzniveau miteinander vereinbar. Für die Verteidigungsindustrie wird das zunehmend zum strategischen Faktor – denn wer heute in eine skalierbare, integrierbare IPS- und EDR-Infrastruktur investiert, ist nicht nur auf aktuelle Ausschreibungen vorbereitet, sondern kann auch künftigen Sicherheits- und Compliance-Anforderungen im Rüstungssektor begegnen.