Systeme und ihr Umfeld

Netzwerksicherheit

Feuerschneise zum internen Netz

Von Otto Kümmerlen, Heusenstamm

Im Vortragsprogramm der IT-Security Area auf der SYSTEMS taucht ein neuer Begriff auf: Air Gap. Diese Technik der physikalischen Netztrennung ergänzt das bekannte Spektrum an Schutzmechanismen wie Firewalls, Intrusion Detection oder Anti-Viren-Systemen und sorgt hinter der Verteidigungslinie "Firewall" für zusätzlichen Schutz des Netzwerkes.

Hinter der Air-Gap-Technologie verbirgt sich eine kombinierte Hard- und Softwarelösung, die das interne Netzwerk physikalisch und logisch vom unsicheren Internet trennen soll. Getreu dem Motto: "Die beste Firewall ist ein Meter Luftstrecke zwischen externem und internem Netz." Auf diesem Prinzip basiert auch das e-Gap-System von Whale Communications. e-Gap trennt das interne Netzwerk physikalisch vom Internet und überträgt unter Verwendung eines Real-Time Memory Switch Datenpakete zwischen Internet und LAN. Im Zusammenspiel beispielsweise mit PKI und Authentifizierung verhindert diese Sicherheitslösung mögliche Angriffe auf der Netzwerkebene und stellt Filtermöglichkeiten für Inhalte zur Verfügung.

Das System besteht aus drei Hauptkomponenten: einem externen Server, der typischerweise über eine "Demilitarisierte Zone" (DMZ) mit der Außenwelt verbunden ist, einem internen Server mit Anbindung an die Sicherheitszone sowie einer speziellen Hardware-Appliance. Letztere besteht aus RAM, einer e-Disk, zwei SCSI-Schnittstellen und einem schnellen Analogschalter, über den der Speicher jeweils nur mit einem SCSI-Port (nach intern oder extern) verbunden ist.

Der externe Server des Systems steht im unsicheren Bereich des Netzwerks. Seine IP-Adresse und der DNS-Name sind im Internet bekannt und für einen Anwender außerhalb des Firmennetzes verhält er sich wie ein normaler Server. Von empfangenen Datenpaketen eliminiert er alle TCP-Header und schreibt die reine Nutzlast (Payload) über das externe SCSI-Interface und den Switch auf die e-Disk. Da die Zugriffsmöglichkeiten des externen Servers auf der e-Disk enden, sind vor allem Angriffe auf den unteren Protokollebenen (Layer 2 und 3) aussichtslos, da sie eine direkte Verbindung mit dem Zielserver erfordern.

Das Air-Gap-Prinzip trennt externes und internes Netz durch wechselseitigen exklusiven Zugriff auf eine e-Disk – alle eingehenden Daten werden dort zwischengespeichert und vor der Weitergabe ins interne Netz analysiert.

Nach Umschalten des Analogschalters kann der zweite Server des e-Gap-Systems, der nur mit dem internen Netz verbunden ist, auf die zwischengespeicherten Daten zugreifen. Bevor er sie in das interne Netzwerk weiterleitet, erfolgen Authentifizierung, gegebenenfalls Entschlüsselung sowie Content Inspection.

Dabei ist zu jedem Zeitpunkt sichergestellt, dass keine physikalische Verbindung zwischen dem externen und internen Server besteht. Selbst der Administrator kann dies nicht erzwingen. Somit hat auch kein Cracker mehr eine Chance auf einen Online-Zugriff zu internen Systemen. Der zweite Server prüft den Inhalt eingehender Pakete auf Auffälligkeiten oder Angriffsmuster und leitet nur unbedenkliche Daten an den eigentlichen Zielrechner weiter. Die Antworten aus dem Backoffice werden – sofern nötig – auf dem internen Rechner verschlüsselt und über das e-Gap an den externen Rechner zurückgegeben. Dieser leitet sie dann, versehen mit dem entsprechenden TCP-Header, zum Anwender weiter, der die ursprüngliche Anfrage gestellt hat.

Shuttle-Service

Zur Umsetzung der Daten über e-Gap liefert Whale so genannte Application Shuttles: Das Web Shuttle organisiert den HTTP und HTTPS Datentransfer. Nur erwartete URLs erreichen über ihn den Webserver. Buffer Overflow Attacken (vgl. S. 6) oder Angriffe, die sich verfälschter Parameter bedienen oder auf der Änderung von URL-Parametern beruhen, hält das Shuttle vom Webserver fern.

Der Analogschalter im e-Gap gibt die Daten dann für den internen Server frei, der auch den Entschlüsselungsalgorithmus für gesicherte Daten kennt. Danach laufen intensive Sicherheitschecks: Bekannte Attacken wie DEBUG- oder TRACE-Kommandos, $DATA, .HTR Fehler (z. B. aus früheren Versionen des Microsoft Internet Information Servers) oder der .jsp%00-Fehler in vielen Versionen von WebLogix werden an dieser Stelle abgewehrt.

Whale verspricht einfache Implementierung und Konfiguration des Systems, die zusätzlich durch einen "Recorder" erleichtert wird, mit dem der Administrator den Datenverkehr aufzeichnen kann, um gültige URLs zu ermitteln und Kontrollregeln zu erstellen.

Das Mail-Shuttle-Modul stellt einen Realtime-Kommunikationspfad für das Senden und Empfangen von E-Mails zwischen der Außenwelt und dem internen Netzwerk her. Alle E-Mails landen wiederum zuerst auf dem externen Server. Dieser "virtuelle" Mailserver entfernt die TCP/IP- und SMTP-Header, extrahiert die Inhalte und sendet sie als MIME-File über SCSI an die e-Gap-Appliance. Der interne e-Gap-Server speichert die Daten in einer temporären "Quarantäne-Zone" und überprüft mit eigenen Routinen oder Third-Party-Anwendungen eventuell die digitale Unterschrift des Absenders, scannt nach Viren und verifiziert das Inhaltsformat. Erst nach der Prüfung gehen die Daten ins interne Netzwerk.

Das File Shuttle ist für den Austausch von Dateien zuständig. Seine Funktionsweise entspricht der des Mail-Shuttles, wobei der interne Server auch hier die Dateien hinter dem Air Gap zusammenfügt, entschlüsselt und untersucht. Die Files, die diese Untersuchung nicht bestehen, können automatisch gelöscht oder für weitere Überprüfungen in der Quarantäne-Zone abgelegt werden.

Zur Konfiguration und Überwachung des e-Gap-Systems steht dem Administrator der Service Policy Manager zur Verfügung. Dieses Tool ermöglicht auch die Überwachung mehrerer Systeme. In der Standardausführung arbeitet e-Gap mit einer Netto-Datenrate von 100 MBit. Für höhere Übertragungsraten lassen sich mehrere Systeme zu Arrays bündeln, bei denen die Lastverteilung durch Hard- oder Software-Load-Balancing erfolgen kann.

Aufgrund der schnellen Umschaltung des e-Disk-Zugangs eignet sich die Air-Gap-Technologie auch für Real-Time-Business-Applikationen mit unternehmenskritischen Daten. e-Gap versteht sich als effektives und kostensparendes Komplementärsystem in Internet-Sicherheitsarchitekturen und rundet mit seinem Ansatz der "kontrollierten Unterbrechung" den Security-Kanon aus Firewall, Verschlüsselung, Intrusion Detection und organisatorischem Rahmenwerk in E-Business-Umgebungen ab.

Otto Kümmerlen ist Managing Director Whale Communications, Heusenstamm ( [externer Link] www.whalecommunications.com).