SDN-gestützte Bedrohungsweitergabe durch Internetanbieter

F5

Gastbeitrag des Chief Executive Officer von TAG Cyber LLC, einem weltweit tätigen Unternehmen für Cybersicherheitsberatung, Schulungen, Consulting und Mediendienstleistungen, das Hunderte von Unternehmen auf der ganzen Welt unterstützt.

In unserer Sicherheits-Community ist die Überzeugung weit verbreitet, dass ein qualitativ hochwertiger Austausch von Informationen über Cyberbedrohungen Teams zugutekommt, die für Betrieb, Analyse und Reaktion zuständig sind. Voraussetzung dafür ist natürlich, dass die ausgetauschten Bedrohungsinformationen tatsächlich von hoher Qualität sind. Glücklicherweise gibt es heute gute kommerzielle Plattformen, die den Aufwand für die Einrichtung, den Betrieb und die erfolgreiche Verwaltung einer Gruppe zum Austausch von Bedrohungsinformationen reduzieren. Daher gibt es für Sicherheitsteams, die derzeit noch keine Daten austauschen, kaum Ausreden.

Eine weitere in unserer Community weitverbreitete Überzeugung ist, dass Cyberangriffe immer schneller, intelligenter und schwerer zu erkennen werden. Diese Angriffseigenschaften werden mithilfe einiger unserer eigenen, durch Risikokapital aus der Sand Hill Road finanzierten Technologien erreicht: Automatisierung, maschinelles Lernen und Autonomie. Die daraus entstehenden sogenannten synthetischen Angriffe sind zu schnell und zu schwer zu erkennen, als dass ihnen mit manuellen, von Menschen koordinierten Maßnahmen begegnet werden könnte – und das ist eine beängstigende Aussicht für Sicherheitsteams.

F5 Networks hat gemeinsam mit TAG Cyber im Rahmen der F5 Agility 2018 in Boston eine Arbeitsgruppe damit beauftragt, diese beiden Aspekte – den Austausch von Bedrohungsinformationen und synthetische Cyberangriffe – im Kontext eines weiteren Faktors zu untersuchen: Die Arbeitsgruppe sollte ihre Untersuchung im Hinblick auf einen neuen Technologietrend durchführen, der Sicherheitsteams vielversprechende Vorteile bieten könnte: softwaredefinierte Netzwerke (SDN).^[1]

Die Arbeitsgruppe, die sich aus Branchenvertretern zusammensetzte, die größtenteils aus der weltweiten Service-Provider-Community eingeladen worden waren^[2], wurde daher gebeten, sich in ihren Diskussionen und Debatten auf die folgende grundlegende Frage zu konzentrieren: Kann eine neu entstehende, SDN-gestützte Service-Provider-Infrastruktur eine gemeinsame Basisplattform für den automatisierten Austausch von Informationen über Cyberbedrohungen zwischen globalen Netzbetreibern bereitstellen, um das Risiko synthetischer Angriffe zu verringern?

Um diese vielschichtige Frage zu beantworten, formulierte die Arbeitsgruppe drei konkretere Fragen, die den Diskussionen Struktur und Fokus verleihen und zu einer zusammenfassenden Antwort beitragen sollten:

· SDN für Sicherheit – Welche relevanten Vor- und Nachteile bietet SDN für die Cybersicherheit?

· Verbesserter Austausch zwischen ISPs – Welche Strategien können verfolgt werden, um den Austausch zwischen ISPs insgesamt zu verbessern?

· Funktionale Anforderungen – Welche Plattformfunktionen unterstützen die SDN-gestützte gemeinsame Nutzung?

Während der Arbeit der Arbeitsgruppe wurden viele weitere relevante Themen angesprochen, doch diese drei gezielten Fragen erwiesen sich als hilfreich, um zu dem Schluss zu gelangen, dass eine SDN-Infrastruktur tatsächlich eine hervorragende Grundlage für den automatisierten Austausch von Bedrohungsinformationen zwischen Netzbetreibern bietet. Die Arbeitsgruppe verständigte sich auf folgenden Grundsatz: Um automatisierte, synthetische Angriffe abzuwehren, müssen Dienstanbieter auf automatisierte Abwehrmaßnahmen setzen.

SDN für Sicherheit

Die erste Frage konzentrierte sich darauf, wie SDN eine wirksame Grundlage für die Sicherheit bieten kann – im Gegensatz zu der Frage, wie SDN selbst abgesichert werden könnte (ein Thema, das als außerhalb des Rahmens dieser Initiative liegend betrachtet wurde). Zu diesem Zweck äußerten die Teilnehmer ihre Ansichten zu den folgenden Aspekten von SDN, die als besonders geeignet für den dynamischen, automatisierten Austausch von Bedrohungsinformationen über mehrere Infrastrukturimplementierungen von Dienstanbietern hinweg eingestuft wurden:

• Controller-Sichtbarkeit – Der SDN-Controller verfügt über eine zentrale Sicht auf alle verwalteten Geräte. Diese Sichtbarkeit ermöglichte die Automatisierung der gesamten Erfassung, Verarbeitung und Bereitstellung von Telemetriedaten verwalteter Geräte zur externen Weitergabe. Dies könnte nativ durch den Controller erfolgen, indem er seine Sichtbarkeit über die Southbound-Schnittstelle nutzt, oder durch speziell eingesetzte Sensoren, die über die Northbound-Schnittstelle mit einer SDN-Anwendung zusammenarbeiten.
• Unterstützung für schnelles Scheitern – Die Automatisierung der Freigabefunktion erfordert die Fähigkeit, innovative neue Funktionen und Leistungsmerkmale zu entwickeln. Zu diesem Zweck ermöglicht eine softwaregestützte Infrastruktur die schnelle Einführung von Funktionen, die erfolgreich sein könnten – oder aber schnell scheitern dürfen (sodass dies rasch erkannt und die Funktion ersetzt werden kann). Die Softwareorientierung von SDN bietet somit ein flexibleres Umfeld für die Entwicklung neuer Funktionen.
• Potenzial zur Selbstverteidigung – Die Arbeitsgruppe befasste sich eingehend mit den Möglichkeiten, Software mit Selbstverteidigungsfähigkeiten auszustatten. Dies scheint ein wesentlicher Bestandteil jeder Sicherheitsabwehr zu sein, die der Geschwindigkeit und dem Ausmaß automatisierter synthetischer Angriffe standhalten muss. Die dynamische Erkennung von Indikatoren mit anschließender autonomer Reaktion wird eine Voraussetzung dafür sein, dass SDN den Informationsaustausch unterstützen kann.

Verbesserung des Informationsaustauschs zwischen Internetanbietern

Die zweite Frage befasste sich damit, wie globale Internetdienstanbieter den derzeitigen Austausch von Bedrohungsinformationen generell verbessern könnten. Ausführlich wurden die in der Dienstanbieter-Community eingesetzten Methoden mit den öffentlichkeitswirksamen Verfahren und Methoden zum Informationsaustausch im Finanzdienstleistungssektor verglichen.^[3] Die Arbeitsgruppe erarbeitete daher die folgenden Vorschläge für einen besseren Informationsaustausch – im Kontext der aufkommenden SDN-Technologie:

• Gruppen und Partnerschaften – Viele der besten Initiativen zum Austausch von Bedrohungsinformationen innerhalb der globalen ISP-Community sind entweder aus Ad-hoc-Arbeitsgruppen oder aus multilateralen Partnerschaften zwischen Netzbetreibern hervorgegangen, die ein bestimmtes Problem durch den Austausch von Informationen lösen wollten. Dies deutet darauf hin, dass die SDN-gestützte Automatisierung des Informationsaustauschs die Bildung von Communitys, befristeten Vereinbarungen und dynamischen Vertrauensgruppen unterstützen muss.
• Einbeziehung von Anbieterkooperativen – Die ISP-Community umfasst – ähnlich wie der Finanzdienstleistungssektor – viele Hundert kleine Dienstanbieter und Anbieter von Kommunikationsdiensten. Diese kleineren Kooperativen benötigen funktionale Unterstützung für den automatisierten Austausch über ihre Anbieterbeziehungen oder cloudbasierten As-a-Service-Beziehungen. Sie könnten durch verschiedene produktbezogene oder finanzielle Anreize in Gruppen für den automatisierten Austausch eingebunden werden.
• Normen für den globalen Austausch – Der Austausch von Bedrohungsinformationen zwischen einer nennenswerten Anzahl unterschiedlicher globaler Netzbetreiber kann nicht durch eine einzige, einheitlich durchgesetzte Richtlinie geregelt werden. Vielmehr erfordert jede Initiative zum automatisierten Austausch eine auf gemeinsamen Normen basierende Vereinbarung, bei der sich die meisten Netzbetreiber freiwillig dafür entscheiden, ausgehende und eingehende Datenfeeds in ein gemeinsames Austauschsystem einzubinden.

Funktionale Anforderungen

Die dritte Frage konzentrierte sich auf die Ermittlung funktionaler Anforderungen an SDN-Plattformen und Anbieterlösungen, die den automatisierten Austausch von Bedrohungsinformationen zwischen Netzbetreibern unterstützen würden. In der Arbeitsgruppe bestand Einigkeit darüber, dass Anbieter bestrebt sind, die Anforderungen ihrer Kunden zu erfüllen, und am besten reagieren, wenn Nutzergruppen ihre Anforderungen in Form praxistauglicher Standards formulieren. Für den SDN-gestützten Informationsaustausch wurden folgende wesentliche funktionale Merkmale ermittelt:

• Threat-Bus-Architektur – Die Arbeitsgruppe entwickelte ein sogenanntes Threat-Bus-Konzept, das als abstraktes funktionales Ziel für gemeinsam genutzte Bedrohungsinformationen diente. Der Threat Bus müsste die Informationen ordnungsgemäß verarbeiten und schützen sowie Attribute wie den Grad der Zuordnung, das Konfidenzniveau und Ähnliches berücksichtigen. In weiteren Arbeiten müsste festgelegt werden, wie der Bus implementiert werden soll.
• Standardprotokolle und -schnittstellen – Die Arbeitsgruppe kam zu dem Schluss, dass standardbasierte Protokolle für den Austausch von Bedrohungsinformationen für den ordnungsgemäßen Betrieb jedes automatisierten Ökosystems unerlässlich sind. Die bekannten Protokolle STIX und TAXII dienten als beispielhafte Standards für die Einbindung in neue SDN-Architekturen. Zwar steht nichts in SDN solchen Arbeiten entgegen, doch waren sie bislang kein ausdrücklicher Schwerpunkt der der Gruppe bekannten SDN-Aktivitäten.
• Anwendungsfallorientierte Unterstützung – Die Arbeitsgruppe bestand darauf, dass funktionale Konzepte an konkreten Anwendungsfällen ausgerichtet werden. Dies ermöglicht eine schrittweise Einführung des automatisierten Austauschs. Ein erörterter Anwendungsfall sah vor, dass verschiedene Netzbetreiber einander automatisiert warnen, wenn ein erkannter Angriff offenbar von der Infrastruktur des jeweils anderen Netzbetreibers ausging.

Das Arbeitsteam empfahl folgende nächste Schritte: (1) Veröffentlichung dieses aus der Gruppendiskussion hervorgegangenen Artikels, um andere damit zusammenhängende Initiativen bei ihrer Planung zu unterstützen; (2) Weitergabe der Studienergebnisse an die jeweils beteiligten Organisationen, um Ideen für einen SDN-basierten Austausch zu fördern und Einfluss auf die Normungsarbeit zu nehmen; und (3) Aufnahme von Gesprächen mit den Anbietern, um zu empfehlen, diesem wichtigen Bereich mehr Aufmerksamkeit zu widmen.

Die Schlussfolgerung dieser Arbeitsgruppe lässt sich einfach formulieren: Die Mitglieder waren sich einig, dass neu entstehende SDN-fähige Infrastrukturen von Dienstanbietern eine gemeinsame zugrunde liegende Plattform für den automatisierten Austausch von Informationen über Cyberbedrohungen zwischen globalen Netzbetreibern bereitstellen können, um das Risiko synthetischer Angriffe zu verringern. Angesichts der allgemein anerkannten Intensität automatisierter synthetischer Angriffe war es für das Team eine spannende Aussicht, zu einer solchen Schlussfolgerung zu gelangen.

Erstellt von TAG Cyber LLC: https://www.tag-cyber.com/

[1] Lesern, die sich eingehend mit den Grundlagen von Software-Defined Networking (SDN) befassen möchten, sei folgendes Werk empfohlen: Software Defined Networks – A Comprehensive Approach von Paul Goransson und Chuck Black (Morgan Kaufman, 2014).

[2] Um die Privatsphäre der Teilnehmenden und ihrer Organisationen zu wahren, werden in diesem Beitrag lediglich die während der Sitzung der Arbeitsgruppe erarbeiteten Schlussfolgerungen und Empfehlungen zusammenfassend wiedergegeben; die Namen der an der Studie beteiligten Fachleute oder vertretenen Gruppen werden nicht genannt. Die Teilnehmenden hatten Gelegenheit, diesen Beitrag zu prüfen und Änderungen vorzuschlagen – für etwaige verbleibende Fehler ist jedoch der Autor verantwortlich.

[3] Eine wichtige Schlussfolgerung der Arbeitsgruppe lautet, dass der Finanzdienstleistungssektor seine Instrumente und Methoden für den Austausch von Bedrohungsinformationen sowie sein FS-ISAC-Ökosystem im Vergleich zu allen anderen Sektoren am wirksamsten öffentlich vermarktet.

Über den Autor

F5

Weitere Blogbeiträge von F5