Der Standard für Netzwerksicherheitstests steht kurz vor der Hauptsendezeit

Trotz langsamer Fortschritte strebt NetSecOpen – eine Gruppe von Netzwerksicherheitsunternehmen und Hardware-Testorganisationen – an, seine Test- und Benchmark-Standards noch in diesem Jahr umzusetzen.

Die Gruppe veröffentlichte im Mai die neueste Version ihres Netzwerksicherheitsteststandards für Firewall-Technologie der nächsten Generation, um Feedback zu sammeln, während die Gruppe sich einer endgültigen Version nähert. Das Endergebnis wird eine Konsensmethode zum Testen und Benchmarking von Netzwerksicherheitsgeräten sein, die einen Vergleich der Geräte verschiedener Anbieter ermöglicht, selbst wenn diese von verschiedenen Dritten bewertet werden, sagt Brian Monkman, Geschäftsführer von NetSecOpen.

„Was wir hier erreichen wollen, ist etwas, was es noch nie gegeben hat – die Festlegung von Standardtestanforderungen, die von mehreren Laboren mit unterschiedlichen Testtools ausgeführt werden können und vergleichbare Ergebnisse erzielen“, sagt er. „Es ist etwas Ähnliches wie damals, als die Meilen pro Gallone … unterschiedliche Ansätze verfolgten und … sie die Dinge unterschiedlich testeten und so die Schaffung eines Standards erzwangen.“ Genau das machen wir hier.“

NetSecOpen wurde 2017 gegründet und zielt darauf ab, die Spannungen zwischen Produktherstellern und Testlaboren abzubauen sind gelegentlich böswillig geworden. Zu den Mitgliedern gehören große Netzwerksicherheitsfirmen – darunter Cisco Systems, Fortinet, Palo Alto Networks und WatchGuard – sowie Hersteller von Testgeräten wie Spirent und Ixia sowie Prüfinstitute wie das European Advanced Networking Test Center (EANTC) und die Universität des New Hampshire InterOperability Laboratory (UNH-IOL).

Während das neueste Standarddokument im Rahmen des IETF-Prozesses (Internet Engineering Task Force) veröffentlicht wird, handelt es sich bei den endgültigen Richtlinien nicht um einen Internetstandard, an den sich Gerätehersteller halten müssen, sondern um einen gemeinsamen Ansatz für Testmethoden und -konfigurationen, die die Reproduzierbarkeit verbessern Transparenz der resultierenden Tests.

Die aktuellen Teststandards für Firewalls, die von der IETF veröffentlicht wurden (RFC3511) sind 20 Jahre alt und die Technologie hat sich dramatisch verändert, erklärte NetSecOpen in seinem Entwurf (RFC9411).

„Die Implementierungen von Sicherheitsfunktionen haben sich weiterentwickelt und in die Bereiche Einbruchserkennung und -prävention, Bedrohungsmanagement, Analyse von verschlüsseltem Datenverkehr und mehr diversifiziert“, heißt es im Entwurf. „In einer Branche mit wachsender Bedeutung werden zunehmend klar definierte und reproduzierbare Key Performance Indicators (KPIs) benötigt, um faire und vernünftige Vergleiche von Netzwerksicherheitsfunktionen zu ermöglichen.“

Testfälle aus der realen Welt

Ziel der NetSecOpen-Tests ist es, reale Daten zu nutzen, um die neuesten Netzwerksicherheits-Appliances mit realistischen Netzwerklasten und Sicherheitsbedrohungen zu vergleichen. Das Attack-Traffic-Testset beispielsweise führt häufige Schwachstellen zusammen, die im letzten Jahrzehnt von Angreifern ausgenutzt wurden.

Der NetSecOpen-Entwurf empfiehlt spezifische Testarchitekturen, Verkehrsmischungen zwischen IPv4 und IPv6 sowie aktivierte Sicherheitsfunktionen. Zu den anderen Aspekten des Tests gehören jedoch erforderliche Elemente, etwa die Fähigkeiten emulierter Browser, Angriffsverkehr, der auf eine bestimmte Teilmenge bekannter ausnutzbarer Schwachstellen abzielt, und Tests verschiedener Durchsatzleistungen, etwa Anwendungsverkehr, HTTPS-Anfragen und schnelles UDP Protokollanforderungen für Internetverbindungen (QUIC).

Das Netzwerksicherheitsunternehmen Palo Alto Network, ein Gründungsmitglied von NetSecOpen, arbeitet aktiv mit NetSecOpen zusammen, um „die Tests zu erstellen und sich aktiv am Testen unserer Firewalls mithilfe dieser Tests zu beteiligen“, sagt Samaresh Nair, Direktor für Produktlinienmanagement bei Palo Alto Networks.

„Der Testprozess ist … standardisiert mit akkreditierten Testhäusern“, sagt er. „Kunden können damit verschiedene Produkte mit standardisierten, ähnlich getesteten Ergebnissen bewerten.“

Die Testsätze für Schwachstellen werden derzeit aktualisiert, da die Cybersecurity and Infrastructure Security Agency (CISA) gezeigt hat, dass kleinere, unkritische Schwachstellen zu effektiven Angriffen aneinandergereiht werden können. Die Organisationen hatten zuvor viele dieser Schwachstellen als geringere Bedrohung abgetan, aber die von der CISA gesammelten Angriffskettendaten zeigen, dass sich die Angreifer anpassen werden.

„Es gibt definitiv eine Klasse von CVEs, die wir in der Vergangenheit ignoriert hätten, und wir müssen ihnen Aufmerksamkeit schenken, einfach weil Schwachstellen aneinandergereiht werden“, sagt Monkman. „Das wird wirklich die größte Herausforderung sein, die wir haben, denn die Liste der CISA-KEV-Schwachstellen könnte noch länger werden.“

Cloud Up Next

Neben neuen Kombinationen von Schwachstellen – etwa der Fokussierung auf Bedrohungsgruppen, wie sie derzeit auf den Bildungs- und Gesundheitssektor abzielen – möchte NetSecOpen auch die Erkennung von Befehls- und Kontrollkanälen umfassen, die von Angreifern genutzt werden, sowie Möglichkeiten zur Abwehr Infektion und seitliche Bewegung.

Das Testen der Sicherheit von Cloud-Umgebungen – wie verteilten Cloud-Firewalls und Webanwendungs-Firewalls – steht ebenfalls auf dem Plan der Zukunft, sagt Chris Brown, technischer Manager bei UNH-IOL kam 2019 zu NetSecOpen.

„Die Cloud würde die Mission von NetSecOPEN für klar definierte, offene und transparente Standards nicht ändern, sondern vielmehr die derzeit getesteten Produkte erweitern“, sagt Brown. „In absehbarer Zukunft wird die Netzwerkperimeterverteidigung trotz der vielen Vorteile von Cloud Computing weiterhin notwendig sein.“

• SEO-gestützte Content- und PR-Distribution. Holen Sie sich noch heute Verstärkung.
• EVM-Finanzen. Einheitliche Schnittstelle für dezentrale Finanzen. Hier zugreifen.
• Quantum Media Group. IR/PR verstärkt. Hier zugreifen.
• PlatoAiStream. Web3-Datenintelligenz. Wissen verstärkt. Hier zugreifen.
• Quelle: https://www.darkreading.com/dr-tech/network-security-testing-standard-nears-prime-time