„Sicherheit in der IT bedeutet nicht, nur auf Bedrohungen zu reagieren – sondern eine Infrastruktur zu schaffen, die proaktiv erkennt, adaptiert und schützt.“

In der modernen IT-Sicherheitsstrategie ist Network Detection and Response (NDR) ein zentraler Baustein. NDR-Technologien wie Darktrace bieten die Möglichkeit, Bedrohungen durch die Erkennung und Analyse anormalen Netzwerkverkehrs frühzeitig zu identifizieren. Eine wirkungsvolle NDR-Lösung erfordert jedoch die strategische Platzierung und Anbindung von Sensoren, TAPs (Test Access Points), Network Packet Brokers (NPB), SPAN (Switched Port Analyzer) und die Integration virtueller Sensoren in Cloud- und virtualisierten Umgebungen, um den Netzwerkdatenfluss umfassend zu überwachen und so die Grundlage für ein effektives Security Operations Center (SOC) zu schaffen.

Die Rolle von Darktrace NDR im Sicherheitskonzept

Darktrace NDR ist eine KI-gesteuerte Lösung, die Netzwerkverkehr kontinuierlich überwacht und Bedrohungen dynamisch erkennt, indem sie das normale Netzwerkverhalten modelliert und Abweichungen identifiziert. Diese Lösung ist besonders wertvoll, da sie nicht nur auf Signaturen basiert, sondern Anomalien erkennt, die auf unbekannte Bedrohungen hindeuten könnten. Eine erfolgreiche Implementierung erfordert eine durchdachte Infrastruktur, die Datenflüsse sowohl in physischen Netzwerken als auch in virtuellen und Cloud-Umgebungen abdeckt.

Platzierung und Anbindung von Virtuellen und Physischen Sensoren

Die Wahl zwischen virtuellen und physischen Sensoren hängt stark von der Netzwerkarchitektur ab. Während physische Sensoren ideal für die Überwachung traditioneller On-Premises-Netzwerke sind, erfordern virtualisierte und Cloud-Umgebungen spezielle virtuelle Sensoren.

Virtuelle Sensoren für Cloud- und Virtualisierungssysteme: Cloud-basierte Workloads und virtuelle Umgebungen können oft nicht über physische Sensoren überwacht werden, da kein direkter Zugriff auf den zugrunde liegenden Netzwerkverkehr besteht. Stattdessen werden hier virtuelle Sensoren eingesetzt, die innerhalb der Cloud-Umgebung oder des virtuellen Netzwerks betrieben werden und so den internen Verkehr der Cloud-Instanzen sowie Ost-West-Verkehr in virtuellen Umgebungen überwachen. Dies ist entscheidend, da sich Bedrohungen in diesen Umgebungen lateral bewegen können, ohne dass sie durch herkömmliche physische Sensoren erkannt werden.

Physische Sensoren: Diese Sensoren bieten eine hohe Bandbreitenkapazität und eignen sich besonders für den Einsatz an Netzwerkübergängen, in Rechenzentren und an anderen kritischen Netzwerkverbindungen. Sie erfassen den gesamten Verkehr auf der physischen Infrastruktur und bieten somit eine besonders robuste Netzwerksicht für On-Premises-Netzwerke.

Anbindung der Darktrace-Sensoren

Um eine umfassende Überwachung zu gewährleisten, sollten Darktrace-Sensoren strategisch über TAPs oder Network Packet Brokers an das Netzwerk angebunden werden. Bei Cloud- und virtuellen Umgebungen erfolgt die Anbindung durch die Implementierung virtueller Sensoren, die speziell für die Anforderungen von Cloud-Plattformen konzipiert sind.

Physische Netzwerke: Physische Sensoren werden über TAPs oder NPBs an strategischen Netzwerkübergängen und im Rechenzentrum angebunden.

Virtuelle und Cloud-Systeme: Virtuelle Darktrace-Sensoren können direkt in die Cloud-Umgebung integriert werden, wodurch der Netzwerkverkehr von Cloud-Workloads überwacht wird. Sie können auch in virtualisierten Rechenzentren und virtuellen Netzwerksegmenten installiert werden, um den internen Ost-West-Datenverkehr innerhalb der Cloud zu erfassen.

Die Rolle von TAPs und SPAN für die Netzwerküberwachung

TAPs (Test Access Points) bieten eine passive Netzwerküberwachung, indem sie den Datenverkehr in Echtzeit spiegeln, ohne ihn zu beeinflussen. Dies ist besonders nützlich für sicherheitskritische Netzwerkbereiche, in denen eine manipulationssichere und unverfälschte Überwachung erforderlich ist.

SPAN (Switched Port Analyzer) oder Port Mirroring ist eine Funktion von Netzwerk-Switches, die es ermöglicht, den Datenverkehr von einem oder mehreren Ports auf einen dedizierten Überwachungsport zu duplizieren. SPAN ist eine kostengünstige Alternative zu TAPs, die sich jedoch für sicherheitskritische Umgebungen aufgrund ihrer potenziellen Performance-Einbußen und der begrenzten Datenabdeckung weniger eignet.

Network Packet Broker (NPB) – Den Datenfluss effizient managen

Network Packet Broker (NPB) sammelt, filtert und verteilt den Netzwerkverkehr an Überwachungs- und Sicherheitssysteme wie Darktrace. Der NPB optimiert die Bandbreitennutzung und stellt sicher, dass nur relevante Pakete zur Analyse an die Darktrace-Sensoren weitergeleitet werden.

Integration von virtuellen Sensoren für Cloud- und Virtualisierungssysteme

In modernen IT-Umgebungen nutzen viele Unternehmen hybride Netzwerke, die sowohl On-Premises- als auch Cloud-Komponenten umfassen. Die Überwachung solcher Umgebungen erfordert die Integration virtueller Sensoren, die speziell auf Cloud-Plattformen und virtualisierte Systeme zugeschnitten sind. Virtuelle Sensoren bieten hier mehrere Vorteile:

Umfassende Cloud-Sicht: Sie überwachen den Datenverkehr innerhalb von Cloud-Umgebungen, der für physische Sensoren unsichtbar bleibt.

Flexible Platzierung und Skalierung: Virtuelle Sensoren können schnell bereitgestellt und nach Bedarf skaliert werden, um mit dynamischen Cloud-Workloads Schritt zu halten.

Überwachung des Ost-West-Datenverkehrs: In Cloud- und Virtualisierungssystemen spielt der interne Datenverkehr eine große Rolle, da Bedrohungen sich lateral bewegen können. Virtuelle Sensoren bieten hier eine durchgängige Überwachung des internen Verkehrs.

Ideale Bedingungen für ein leistungsfähiges SOC

Ein SOC kann nur dann effektiv arbeiten, wenn es eine vollständige Sicht auf alle Netzwerkbereiche hat. Die strategische Kombination und Anbindung von physischen und virtuellen Darktrace-Sensoren sowie die Implementierung von TAPs, SPAN und NPBs schafft eine umfassende Grundlage, um Bedrohungen frühzeitig zu erkennen und gezielt darauf zu reagieren. Für hybride Umgebungen bieten virtuelle Sensoren in der Cloud und in virtualisierten Netzwerken eine zusätzliche Schutzebene, die für eine vollständige Überwachung und Bedrohungserkennung unverzichtbar ist.

Fazit

Die Implementierung von Darktrace NDR kann das Sicherheitsniveau eines Unternehmens erheblich verbessern. Eine sorgfältige Planung und Platzierung von physischen und virtuellen Sensoren, kombiniert mit TAPs, SPAN und Network Packet Brokers, stellt sicher, dass Unternehmen eine umfassende Netzwerksicht haben – sowohl für physische als auch für Cloud-Umgebungen. Diese Infrastruktur bildet die ideale Grundlage für ein leistungsfähiges SOC, das Bedrohungen in Echtzeit erkennen und abwehren kann, wodurch die Sicherheit und Effizienz des gesamten Netzwerks signifikant gesteigert wird.

Beste Grüße aus Hannover
Stefan