1 Dipl. Ing. Wilfried Mors URZ-NURZ-Info-Tag Cisco Security Monitoring, Analysis & Response System (MARS) Cisco Security Monitoring, Analysis & Response System (MARS)

2 Dipl. Ing. Wilfried Mors URZ-N System Die Produkte des Herstellers Cisco Systems für Security Information Management haben heute die Produktbezeichnung MARS. Das signaturorientierte IDS wurde im Zuge der Technischen Entwicklung in das Systemkonzept MARS integriert. Bei dem Produkt MARS handelt es sich um eine sogenannte Appliance, welche sowohl die jeweiligen Hardware- als auch Software- und Applikationskomponenten zu einer vollständig integrierten Lösung zusammenführt Für den Betrieb einer Appliance vom Typ MARS sind daher keine weiteren zusätzlichen Hard- und/oder Software-/Applikations-Module weder optional verfügbar noch notwendig. URZ-Info-Tag Cisco Security Monitoring, Analysis & Response System (MARS) Cisco Security Monitoring, Analysis & Response System (MARS)

3 Dipl. Ing. Wilfried Mors URZ-NURZ-Info-Tag Cisco Security Monitoring, Analysis & Response System (MARS)

4 Dipl. Ing. Wilfried Mors URZ-NURZ-Info-Tag Cisco Security Monitoring, Analysis & Response System (MARS) Local Controller Insgesamt gibt es fünf unterschiedliche Modell der Mars-Appliance. Man unterscheidet sogenannte Local Controller (s. u.) vom Typ MARS20, MARS50, MARS100e, MARS100 und eine MARS200. Die Modelle unterscheiden sich ausschließlich nur in der Hardwarekonfiguration, welche ja nach Ausstattung unterschiedliche Leistungsfähigkeitenin Bezug auf Speicherkapazität und Durchsatz ermöglichen. Eine zusätzliche Limitierung wie zum Beispiel eine Lizenzierung in Bezug auf die Art und die Anzahl der mit einer MARS-Appliance zu überwachende Quell- Systeme (u. a. Firewalls, IDS, Server, Clients, Router, Switche etc.) oder ähnliches existiert nicht.

5 Dipl. Ing. Wilfried Mors URZ-NURZ-Info-Tag Cisco Security Monitoring, Analysis & Response System (MARS) Global Controller Für die Zentrale Verwaltung von mehreren MARS-Appliances innerhalb verteilter /dezentraler Umgebungen ist der Einsatz eines sogenannten Global Controllers notwendig. In diesem Fall werden einzelne und verteilt betriebene MARS-Appliances als sogenannte Local Controller bezeichnet. Diese Local Controller werden durch ein übergeordnetes System vom Typ Global Controller zentral verwaltet. Ein Global Controller ist ebenfalls eine vollständig integrierte Appliance, allerdings mit der ausschließlichen Funktion zur zentralen Verwaltung von mehreren Local Controllern. Ein Global Controller kann daher nicht gleichzeitig und zusätzlich noch als Local Controller agieren, d. h. er verfügt über keine eigenständige lokale Monitoring-Funktion, die neben einer zentralen Verwaltung von Local Controllern noch zusätzlich die direkte Überwachung von von einzelnen Qeuellsystemen /u. a. Firewall, IDS, Clients, Router, Switche etc.) ermöglichen würde.

6 Dipl. Ing. Wilfried Mors URZ-NURZ-Info-Tag Cisco Security Monitoring, Analysis & Response System (MARS) Hochverfügbarkeit Der Betrieb von MARS-Appliences kann sowohl für Local Controller als auch für Global Controller hochverfügbar erfolgen. In diesem Fall wird zusätzlich zu einem redundant bzw. hochverfügbar auszulegenden System (LC oder GC) ein weiteres System vom selben Typ (LC bzw. GC) in der Netzwerkumgebung integriert und dort aktiviert. Derzeit werden spezielle Funktionen und Lizenzen für ein sogenanntes HA-Modell entwickelt und aus heutiger Sicht noch 2005 zur Verfügung gestellt.

7 Dipl. Ing. Wilfried Mors URZ-NURZ-Info-Tag Cisco Security Monitoring, Analysis & Response System (MARS) Besondere Funktionsmerkmale Automatische Topologie-Erkennung Möglichkeit der Auswertun von Netflow – Daten securityrelevanter Vorfälle Erkennung und Abwehr von Angriffen mittels Layer2- und Layer 3- Mitigation Grafische Darstellung von Attacken Universal Device Support zur Einbindung beliebiger Geräte

8 Dipl. Ing. Wilfried Mors URZ-NURZ-Info-Tag Cisco Security Monitoring, Analysis & Response System (MARS) Entwickler / Hersteller Fa. Protego Networks INC Yosemite Drive Milpitas, CA Im 1. Quartal 2005 erfolgte die Übernahme der Firma Protego durch den führenden Hersteller von Netzwerkkomponenten Cisco Systems. Die Adaption des Produktes MARS und die Integration an das Cisco-Portfolio wurde in die Wege geleitet (erster Schritt neue Software-Version), ist aber noch nicht abgeschlossen.

9 Dipl. Ing. Wilfried Mors URZ-NURZ-Info-Tag Cisco Security Monitoring, Analysis & Response System (MARS) Vertriebspartner Die Firma Circular GmbH ist ein Netzwerksystemhaus in D mit Schwerpunkt Security. Im März 2004 erfolgte die erste Integration eines Systems MARS noch unter der Fimierung Protego Networks. Unterstützung von Evaluationsprozessen noch mit Protego bei mehreren Kunden Dadurch enge Kontakt zum Entwicklerteam bis heute Gemeinschaftsstand Protego Networks-Circular auf der CiscoNetworkers in Cannes Dezember 2004 (kurz vor Kauf durch Cisco Systems) Januar 2005 einziger Cisco-Security Partner mit eigenen Demogeräten und Erfahrungen europaweit Speziell Cisco Security ausgebildete und zertifiziete Systemexperten

10 Dipl. Ing. Wilfried Mors URZ-NURZ-Info-Tag Cisco Security Monitoring, Analysis & Response System (MARS) Teststellung MARS-50 Bis 14. September 2005 erfolgte nach entsprechenden Vorarbeiten eine 3- wöchige Teststellung für die Universität Magdeburg unter Einbeziehung einiger zentraler Netzwerkkomponenten. Die Teststellung wurde inzwischen erfolgreich abgeschlossen und führte u. a. zur Auswahl des Modells Mars-100 für die Beschaffung. Mit dem künftigen Einsatz von MARS wird die Effektivierung des Sicherheitsmanagements für das Datennetz unserer Einrichtung angestrebt.