Security: Cisco öffnet Snort-Schnittstelle

Wenige Wochen nach der Übernahme des Snort-Entwicklers Sourcefire hat Cisco die Schnittstelle zu dem Intrusion Detection System unter dem Namen OpenAppID öffentlich gemacht. Zudem wurde der Malware-Schutz des aufgekauften Unternehmens in Ciscos Sicherheitsportfolio integriert.

Artikel veröffentlicht am 27. Februar 2014, 11:09 Uhr, Jörg Thoma

Cisco hat Snort um OpenappID aufgestockt, einer Schnittstelle für eigene Erweiterungen. (Bild: Snort)

Mit OpenappID sollen künftig Nutzer wieder die Engine des Intrusion Detection Systems (IDS) Snort verwenden können. Cisco hatte den Snort-Entwickler Sourcefire vor wenigen Monaten übernommen. Cisco will damit die unter der GPL entwickelte Software weiter der Community zur Verfügung stellen und zur Mitentwicklung zusätzlicher Applikationserkennung aufrufen. Gleichzeitig wurde dessen Malware-Erkennungssoftware in das Cisco-Portfolio aufgenommen. Mit Hilfe von Verhaltensmodellen soll sich damit Schadsoftware zuverlässiger ausfindig machen lassen.

Cisco bezeichnet OpenappID als Entwicklungssprache, mit der Anwender, Entwickler und Administratoren eigene Detektoren entwickeln können. Zudem sollen damit sowohl die Detektoren als auch weitere Funktionen zur Applikationserkennung mit anderen geteilt werden können. Neben der Anwendungserkennung gibt es Schnittstellen zu Reportingwerkzeugen, etwa um Netzwerkangriffe im Kontext bösartiger Software zu stellen. Außerdem lässt sich über die Schnittstelle bereits bekannte Malware blockieren.

Für die Entwicklung stellt Cisco eine spezielle Version der Snort-Engine zur Verfügung. Der dort integrierte OpenappID-Präprozessor erlaubt die Entwicklung eigener Anwendungen. Mit dem Präprozessor lassen sich zudem Anwendungen im Netzwerk aufspüren sowie Berichte über deren statistische Nutzung mit Hilfe dessen Datenverkehrs erstellen. Anwendungen können über eigene festgelegte Regeln nach Bedarf blockiert werden. Applikationsspezifikationen können mit der dafür erweiterten Regelsprache definiert werden. Es gibt bereits eine Bibliothek mit etwa 1.000 Erweiterungen, die der Community zur Verfügung steht.

Sourcefire steuert Malware-Schutz bei

Der ebenfalls von Sourcefire entwickelte Malware-Schutz wurde in zahlreiche Cisco-Angebote integriert, darunter in E-Mail- und Cloud-Lösungen. Die Advanced Malware Protection (AMP) soll nicht nur vor Angriffen schützen, sondern auch im Falle einer Infektion genügend Informationen über die Schadsoftware sammeln können, um künftige Angriffe zu vermeiden.

Dabei setzt Advanced Malware Protection (AMP) zum einen auf Datenklassifizierung, bei dem die Netzlast einzelner Dateien überprüft wird, die gegebenenfalls dann automatisch blockiert werden. Dazu lässt sich auf vorher definierte Richtlinien zugreifen. Zum anderen bietet AMP eine Sandboxing-Funktion, in der mögliche Schadsoftware gespeichert und analysiert werden kann. Danach werden die Auswertungen sowohl maschinell als auch menschlich analysiert, um eine Bedrohungsstufe festzulegen. Schließlich wird Malware, die sich trotz Schutzes im Netzwerk verbreitet, ebenfalls zunächst analysiert und nicht sofort blockiert. Die Daten können dann bei künftigen Angriffen helfen.