Exploits auf Web-Sites erkennen:
IronPort erweitert Security-Appliances um Web-Exploit-Filter

von Werner Veith (werner.veith@networkcomputing.de)

Share
25.09.2008

In ihre Web-Security-Appliances der »S-Serie« integriert Iron Port die eigene Web-Reputation-Technologie. Reine URL-Filter reichen nicht mehr aus, um Bedrohungen durch infizierte Web-Sites abzuwehren.

URL-Filter sind sinnvoll, um den Zugriff auf bestimmte Kategorien von Web-Site zu verhindern beziehungsweise zu erlauben. Da jedoch etwa zunehmend auch beliebte Web-Sites von Hackern missbraucht werden, reichen URL-Filter nicht aus. Deswegen hat IronPort [1], eine Geschäftseinheit von Cisco [2], in ihre Web-Security-Appliance »S-Serie [3]« einen Exploit-Filter eingebaut. Dieser greift auf Iron Ports Web-Reputation-Filter-System zurück. Der Online-Web-Service des Herstellers beantwortet Anfragen von Web-Browsern zu Web-Sites, ob diese infiziert sind.

Mit dem Web-Security-Manager der S-Serie-Appliances von Iron Port weist der Administrator verschiedenen Gruppen unterschiedliche Regelwerke zu.

Das Web-Reputation-System untersucht bei einem Web-Aufruf nicht nur den ersten Html-Request, sondern auch alle nachfolgen Datenanfragen, auch von anderen Domänen. Letzteres ist wichtig, weil Hacker den Schadcode nicht immer direkt auf einer Seite einfügen, sondern etwa nur eine URL, die auf diesen Code verweist.

Hat das System eine Infizierung oder Schwachstellen (Exploits) festgestellt, teilt es die Site in eine von drei Kategorien ein: »Exploits ausgenutzt und aktive Malware«, »Exploits ausgenutzt« und »Schwachstellen vorhanden«. Letzteres bedeutet, dass sich die Web-Site leicht hacken lässt, aber noch nicht infiziert ist. Solche beliebten Seiten beobachtet dann das Iron-Port-eigene Threat-Operations-Center.

Hat ein Hacker einen Exploit ausgenutzt, dann kann der Schadcode bereits arbeiten (aktive Malware) oder der zugehörige Command-and-Control-Server des Hackers ist noch nicht aktiv. In beiden Fällen wird die Site für den Zugriff des Anwenders geblockt.

Die S-Serie-Geräte verfügen neben dem Exploit- auch über einen URL-Filter. Danben arbeiten sie als Web-Proxy und bieten ein Traffic-Monitor auf Layer 4. Weiter gibt es Anti-Malware-System, das verschiedene Scan-Engines vereint. Schließlich entschlüsselt die Appliance Https-Verkehr, um ihn ebenfalls zu scannen. Ähnliche Systeme haben auch Blue Coat [4] und Websense [5] im Programm, wie Network Computing berichtete.

[1] http://www.ironport.com/
[2] http://www.cisco.de/
[3] http://www.ironport.com/resources/datasheet_ironport_s_series.html
[4] blue-coat-stellt-boese-web-sites-schneller-an-den-pranger/
[5] websense-schuetzt-vor-boesen-guten-web-seiten/

Verwandte Artikel