Bleiben Sie dank Packet Slicing am Puls der Zeit

So sparen Sie Überwachungsressourcen mit Packet Slicing
und den gesetzlichen Anforderungen entsprechen

Aufgabenstellung:

Oftmals klafft zwischen der Kapazität des aufzeichnenden Analysesystems einerseits und der Menge der eingehenden Daten andererseits eine so große Lücke, dass das Analysesystem ohne entsprechende Zusatzmechanismen höchstwahrscheinlich nicht in der Lage ist, alle einzelnen Pakete verlustfrei aufzuzeichnen.

Je nach Einsatzzweck des Analysesystems stellt dies ein großes Problem dar, da gerade im Cyber ​​Security Umfeld jedes Paket zählt und ansonsten nicht sichergestellt werden kann, dass alle Angriffe und deren Auswirkungen erkannt werden.

Nicht rechtzeitig erkannte oder gar völlig unsichtbare Angriffe können für Unternehmen enorme Schäden verursachen und sogar zu Regressansprüchen möglicher Versicherer führen, wenn diese feststellen, dass ihre Kunden ihren Sorgfaltspflichten nicht nachgekommen sind.

Aber wie kommt es zu einer solchen Situation? Das kann sehr schnell passieren. networkDie Anzahl der Unternehmen wächst, oft parallel zur Geschäftsentwicklung des Unternehmens, während die oft bereits vorhandenen Analyse- und Überwachungssysteme, die bei der Beschaffung mit Reserven eingeplant wurden, immer häufiger an ihre Reservegrenzen stoßen.
Höhere Bandbreiten, immer mehr Dienste und genutzte Schnittstellen im LAN reduzieren die Kapazitäten soweit, dass die Systeme nicht mehr hinterherkommen und Pakete verwerfen müssen.

Ab diesem Zeitpunkt ist es theoretisch möglich, dass ein Angreifer im lokalen Netzwerk unentdeckt bleibt. networkDa das Analysesystem hoffnungslos überlastet ist, kann der Administrator nicht mehr sehen, welche Parteien in seinem System betroffen sind. network Sie kommunizieren miteinander, welche Protokolle sie verwenden und mit welchen Endpunkten außerhalb des LANs kommuniziert wird.

Oft sind es jedoch nicht Kapazitätsprobleme, die den Einsatz von Packet Slicing auslösen, sondern Datenschutzgründe. Je nachdem, wo, welche Daten wann abgegriffen werden, kann es für das Unternehmen verpflichtend sein, nur solche Daten aufzuzeichnen und auszuwerten, die weder personen- noch leistungsbezogene Informationen enthalten.

Während der Paketheader typischerweise lediglich Verbindungsdaten (WANN, WER, WIE, WO) enthält, enthalten die Nutzdaten, obwohl meist verschlüsselt, genau jene Inhaltsdaten, die theoretisch eine Messung der Leistung einzelner Nutzer ermöglichen. Je nach Einsatzort ist dies jedoch oft weder gewollt noch erlaubt. Es muss daher sichergestellt werden, dass es dem Administrator nicht möglich ist, aus den aufgezeichneten Daten persönliche Informationen zu rekonstruieren.

Analysedaten reduzieren durch Packet Slicing

Und genau hier kommt die Funktion „Packet Slicing“ ins Spiel: Mit diesem Verfahren ist es möglich, Veteran die eingehende Datenlast Ihres Analysesystems um bis zu 87% (mit 1518 Bytes Paketgröße und Packet Slicing bei 192 Bytes) durch einfaches Entfernen der Benutzerdaten aus jedem Paket.

Viele Analyse- und Monitoring-Ansätze benötigen für ihre Auswertungen und Analysen lediglich die im Paketheader gespeicherten Informationen, also die Metadaten, während die Nutzdaten oft keine wichtigen oder verwertbaren Informationen enthalten, da diese meist ohnehin verschlüsselt sind und somit für die Auswertung nicht verwendet werden können.
Durch das Entfernen der Nutzdaten ist eine massive Entlastung der Verarbeitungsinstanz zu erwarten und in manchen Fällen ist dadurch eine noch stärkere Abdeckung des LANs durch das Überwachungs- und Analysegerät möglich.

FCS-Prüfsummenproblem

Ein wichtiger Aspekt von Packet Slicing ist die Wiederherstellung der FCS Prüfsumme jedes geänderten Pakets. Da durch das Wegschneiden der Nutzdaten Struktur und Länge des Pakets verändert werden, ist die ursprünglich vom Absender berechnete und im FCS-Feld des Paketheaders eingetragene Prüfsumme nicht mehr korrekt.

Sobald ein solches Paket im Analysesystem eintrifft, wird es verworfen oder als fehlerhaft deklariert, da die Prüfsumme im FCS-Feld noch auf der ursprünglichen Paketlänge basiert. Um dem entgegenzuwirken, ist es zwingend erforderlich, die FCS-Prüfsumme für jedes Paket, aus dem die Nutzdaten entfernt wurden, neu zu berechnen und zusätzlich einzutragen, da die Analysesysteme diese Pakete sonst als fehlerhaft und/oder manipuliert einstufen würden.

Network Packet Broker als Paket-Slicer

Generell gibt es mehrere Möglichkeiten, wie das oben genannte Packet Slicing in der vom Kunden genutzten Visibility-Plattform aktiviert werden kann. Dies ist einerseits eine Einzelfallentscheidung, andererseits aber auch eine technische.

Angenommen, der Benutzer hat mehrere Messpunkte in seinem networkherunter, eine Network Packet Brokerwird häufig verwendet. Dieses Gerät stellt eine weitere Aggregationsebene dar und wird typischerweise als letzte Instanz direkt vor dem Überwachungssystem verwendet. Ein Network Packet Broker ist optisch sehr nah an einem Schalter und ermöglicht dem Anwender die zentrale Zusammenführung der Daten mehrerer Messpunkte (Network TAPs oder SPAN-Ports) und senden diese aggregiert in einem oder mehreren Datenströmen an das zentrale Analysesystem.

So können beispielsweise die Daten von 10 verteilten Messpunkten, die in 1 Gigabit-Linien angeordnet sind, an ein Analysesystem mit einem einzigen 10 Gigabit-Port gesendet werden. Network Packet Broker Aggregieren dieser 1-Gigabit-Signale und erneutes Ausgeben als einzelnes 10-Gigabit-Signal.

An dieser Stelle erfährt der Anwender allerdings auch einen Haken an der Sache: Oftmals sind die Analysesysteme zwar mit einer 10Gigabit-Anbindung ausgestattet, jedoch nicht in der Lage, auch Bandbreiten von 10Gigabit/Sekunde zu verarbeiten.

Dies kann vielfältige Gründe haben, die jedoch nicht Thema dieses Blogeintrags sein sollen. Die Ausgangssituation ist jedoch prädestiniert für den Einsatz von Packet Slicing; während man normalerweise seine Monitoring-Infrastruktur mit immensem Aufwand erweitern müsste, kann man durch das Einschalten von Packet Slicing die eingehende Datenflut massiv reduzieren und so seine bestehenden Systeme weiter nutzen; man benötigt lediglich eine entsprechende Instanz mit ebendieser Funktion, die in der Regel nur einen Bruchteil dessen kostet, was man für ein Upgrade der Analysesysteme veranschlagen würde.

Analysesysteme als Paketschneider

Eine weitere Möglichkeit bietet sich dem Anwender auf den Analysesystemen selbst. Je nach Hersteller, Aufbau und eingesetzten Komponenten ist es möglich, die Nutzdaten direkt auf den Systemen selbst zu entfernen und die Prüfsumme neu zu berechnen, bevor die Pakete intern an die entsprechenden Analysemodule weitergeleitet werden.

In den allermeisten Fällen ein FPGA-basiertes network Hierfür ist eine spezielle Karte erforderlich, da sichergestellt werden muss, dass keine CPU-Ressourcen zur Modifizierung einzelner Pakete verwendet werden. Nur durch die Nutzung der Hardwarekapazitäten kann der Benutzer sicher sein, dass jedes Paket korrekt verarbeitet wird; jede andere Vorgehensweise könnte erneut zu den eingangs erwähnten Fehlern und Problemen führen.

Packet Slicing zur Erfüllung gesetzlicher Anforderungen

Ein weiterer erwähnenswerter Aspekt ist die Erfüllung gesetzlicher Anforderungen. Insbesondere im Rahmen der Datenschutzkann es notwendig sein, die Benutzerdaten zu entfernen, da die Metadaten oft für eine Analyse ausreichen.

Möchte man beispielsweise VoIP analysieren, kann man mit Packet Slicing dafür sorgen, dass Unbefugte das Gespräch nicht mithören können, man die Sprachübertragung aber dennoch technisch auswerten und auf Quality-of-Service-Merkmale untersuchen kann. So lassen sich Leistungswerte bewerten, die Privatsphäre schützen und gesetzliche Anforderungen wie die DSGVO erfüllen.

Fazit

Wir sehen also, dass es tatsächlich verschiedene Möglichkeiten gibt, die Last auf die Analyse- und Überwachungssysteme zu verteilen oder sogar, wie in diesem Beispiel, zu reduzieren, ohne die wichtigsten Informationen für die Erstellung von Performance-Charts, Top-Talkern und mehr zu verlieren. Packet Slicing ist daher eine valide Lösung für den Anwender, die sich in fast allen Fällen einfach implementieren lässt und brauchbare Ergebnisse erzielt.