◀ Prev · Parts · Full · Next ▶

Generell ist die Kontrolle der Netzwerkzugänge etwas, das seit der Existenz von ebendiesen Zugängen thematisiert wird. Dabei gab es Ansätze und Produkte, die mehr oder weniger erfolgreich waren. Heterogene Netzwerkinfrastrukturen, unzureichende Netzwerkabdeckungen, hohe Komplexität und hohe Kosten sind die häufigsten Gründe für fehlgeschlagene Ansätze. Der größte Teil der Unternehmen hat dafür noch keine Lösung. Ergänzend gibt es keine klare Definition des Begriffes „Network-Access-Control“, so dass die damit verbundenen Angebote ebenfalls stark variieren. Weitere Begriffe, die ebenfalls zu Verwirrungen beigetragen haben, da sie prinzipiell das gleiche Thema betreffen, sind unter anderen „Network-Admission-Protokoll“ (NAP), „Network-Admission-Control“ (NAC).

Bei dieser Technologie wird das Netzwerk nach verwendeten IP-Adressen gescannt, indem die Adressräume gepingt werden oder die ARP-Caches der Router ausgelesen werden. Dadurch erkannte Endgeräte werden dann in der Regel durch weitere Scans genauer identifiziert, um zu überprüfen, ob es sich um bekannte und zugelassene Geräte handelt.

Werden fremde Geräte erkannt, so werden diese durch verschiedene Technologien in der Kommunikation gestört oder zum Beispiel auf ein Gästeportal umgeleitet. Teilweise kommt dafür sogar ARP-Spoofing zum Einsatz, was eigentlich eher eine Angriffstechnologie ist.

Für die Trafficanalyse wurden von verschiedenen Herstellern Appliances geschaffen, die inline den Netzwerkverkehr überprüfen und dadurch auch jedes Gerät sehen, welches im Netzwerk kommuniziert. Datenpakete von unerwünschten Systemen können dabei einfach „gedropped“ werden, wodurch die Eindringlinge nicht mehr ungehindert im Netzwerk kommunizieren können. Problematisch dabei ist, dass diese Appliances überall im Netzwerk verteilt werden müssen, um jeden Teilbereich abdecken zu können. Das heißt, in jedem Subnetz muss ein Fühler stehen und den Traffic anschauen. Das macht diese Projekte in der Regel sehr aufwendig, komplex und vor allem sehr teuer, da je nach Größe des Unternehmens auch eine ganze Menge Geräte gekauft werden müssen. Die Überprüfung muss natürlich in Echtzeit geschehen, da sonst ein Flaschenhals erzeugt wird, der die Kommunikation im Netzwerk bremst und damit das tägliche Arbeiten stört. Eine weitere Schwachstelle dieser Technologie ist, dass Eindringlinge, die nur lauschen und dementsprechend keine Datenpakete versenden, nicht erkannt werden. Spionieren durch einfache Lauschangriffe ist also weiterhin uneingeschränkt möglich.

Selbst jedoch, wenn überall entsprechende Appliances verteilt wurden, gibt es Bereiche, die nicht erfasst werden können. Die Geräte, die an einem Switch hängen, können in der Regel miteinander kommunizieren, ohne dass der Datenverkehr durch eine NAC-Appliance läuft. Damit sind zumindest die direkten Nachbarn angreifbar und auch ausnutzbar, um von diesen Geräten aus ins weitere Netzwerk vorzudringen.

◀ Prev · Parts · Full · Next ▶