Download 2007 - LRZ

Jahresbericht 2007 des Leibniz-Rechenzentrums, Teil II
221
Regelwerk, das den Verkehr klassifiziert. Grundsätzlich werden die Richtlinien dieses Regelwerks in
Abhängigkeit von Subnetzbereichen und Ziel-Ports festgelegt. Parameter, die in das Regelwerk eingehen,
sind z. B. Paketraten von/zu einem System, Anzahl der SMTP-Verbindungen, Verbindungsanzahl eines
Quellsystems zu vielen Zielsystemen (Zeichen für Denial-of-Service (DoS)-Angriff) und die Verbindungsanzahl von vielen Quellsystemen auf ein Zielsystem (Distributed Denial-of-Service (DDoS) oder
Bot-Net). Sowohl das Regelwerk als auch die Reaktionen bei auffälligen Systemen lassen sich feingranular und richtlinienbasiert anpassen.
Bei Regelverstößen wird in zwei Stufen reagiert. Bei kurzzeitigen Verletzungen wird ein Soft-Limit erreicht, in welchem die Bandbreite bzw. die Paketrate des Verursachers beschränkt wird. Der Betroffene
wird vom System verwarnt, sobald er einen Browser öffnet, und es werden „Strafpunkte“ vergeben. Erst
wenn die Anzahl der Strafpunkte einen Schwellwert übersteigt (Hard-Limit), wird die verursachende IPAdresse vollständig gesperrt, d. h. Pakete von dort nicht mehr durchgelassen. Sowohl die Sperrung als
auch die Benachrichtigung der Betroffenen erfolgt automatisch.
Sobald die Anzahl der Strafpunkte innerhalb eines gleitenden Zeitfensters unter das Hard-Limit fällt, hebt
der NAT-o-MAT die Sperrung eines Endsystems automatisch wieder auf. Dies ist aber nur möglich,
wenn der Datenstrom, der das Hard-Limit ausgelöst hat, beendet wird.
Abbildung 85 Anzahl gesperrter Rechner (user) im Zeitraum von 36 Stunden
Durch das automatische Sperren, die automatische Benachrichtigung der Anwender und durch die automatische Freigabe reduziert sich der Anteil der manuell zu bearbeitenden Fälle und damit der administrative Aufwand drastisch.
Der NAT-o-MAT bietet mit einer Überwachungsschnittstelle dem Administrator und Betreiber des Netzes umfangreiche Analyse- und Alarmierungsmechanismen. Er kann sich über den momentanen Zustand
des Netzes, d. h. über gesperrte Adressen, Top-Listen auffälliger Rechner, genutzte Bandbreite, Anzahl
aktiver Verbindungen und IP-Adressen bis hin zu detaillierten Benutzerdaten informieren oder sich, abhängig von eigenen Regeln, auch alarmieren lassen.
Betrieb des NAT-o-MAT
Das System wird als hochverfügbares Cluster betrieben. In diesem Cluster sind alle Nodes gleichberechtigt und können Funktionen des anderen übernehmen. Dadurch wird eine hohe Ausfallsicherheit gewährleistet. Der NAT-o-MAT befindet sich seit Juni 2005 am LRZ im Produktivbetrieb und ersetzt alle bisher
betriebenen Gateways und Proxies. Pro Einzelsystem des Clusters werden täglich ca. 3 TByte an Daten
bei Bandbreiten von bis zu 300 Mbit/s analysiert. Dabei werden gleichzeitig bis zu 60.000 Verbindungen
auf Verstöße gegen die Policies untersucht. Zu einem Zeitpunkt sind bis zu 4.500 Hosts gleichzeitig aktiv,
von denen im Mittel 0,25% auffällig oder gesperrt sind. Pro Tag nimmt der NAT-o-MAT ca. 3.500 einzelne Sperrungen vor, die zu einem späteren Zeitpunkt auch wieder automatisch entsperrt werden. Bei
weniger als fünf Fällen ist eine Benachrichtigung oder Reaktion des Administrators erforderlich. Probleme oder Beschwerden über „False Positives“, d. h. zu Unrecht gesperrte Rechner, treten äußerst selten
auf.