Schutz bis zum Patch: Cisco Live Protect für Netzwerk-Switches im Test
Live Protect erkennt per eBPF-Agent verdächtiges Verhalten auf Netzhardware mit ungepatchtem Betriebssystem und blockiert Exploits, bevor sie Schaden anrichten.
- Benjamin Pfister
Fast täglich erscheinen im CVE-System Meldungen über neue Schwachstellen in aktiven Netzwerkkomponenten. Doch dauert es mitunter mehrere Tage oder sogar Wochen, bis die Hersteller einen Patch für das zugrunde liegende Betriebssystem bereitstellen. Anschließend müssen Administratoren für das Einspielen ein Wartungsfenster einplanen. Im Extremfall ist es womöglich zu spät und kritische Infrastrukturkomponenten sind bereits kompromittiert.
Cisco bietet mit dem Softwarefeature Live Protect kompensierende Sicherheit für die Zeit zwischen der Bekanntgabe einer Schwachstelle als CVE-Eintrag und der Installation des Patches. Live Protect installiert keine Patches, kommt ohne Downtime aus und soll auf einer Netzkomponente mit Paketfiltern verdächtiges Verhalten unterbinden, wenn es auf das Ausnutzen einer ungepatchten Schwachstelle hindeutet.
- Im ungepatchten Switch-Betriebssystem überwacht Live Protect per eBPF-Agent im Linux-Kernel verdächtiges Verhalten.
- Bei Hinweisen auf einen Exploit blockiert das Feature die Ausführung.
- Die Wirkung ist begrenzt auf Nexus-Switches und die Bereitstellung von Richtlinien hängt von Ciscos Cloud ab.
Schwachstellenmanagement ist immer ein Wettlauf gegen die Zeit: Durchschnittlich nur noch fünf Tage vergehen laut einem Mandiant-Report von 2024, bis nach Bekanntwerden einer Schwachstelle ein Exploit zur Verfügung steht (Time-to-Exploit). Folglich gilt es, möglichst schnell zu handeln. Ein Verizon-Report zeigte wiederum, dass es etwa 55 Tage dauert, 50 Prozent der kritischen Schwachstellen in einem Unternehmen zu beheben, sobald Patches verfügbar sind. Das liegt etwa an nicht vorhandenen Informationen für Administratoren über bereitstehende Patches, an verzögert verfügbaren Wartungsfenstern und Freigaben, notwendigen Tests in einer Laborumgebung, Arbeitszeitregelungen für Sonderarbeitszeiten und vielem mehr. Cisco möchte mit Live Protect die Zeit der Unsicherheit gegenüber dem konventionellen Ablauf reduzieren. Die Technik stammt zu großen Teilen von der 2023 übernommenen Firma Isovalent.
Das war die Leseprobe unseres heise-Plus-Artikels "Schutz bis zum Patch: Cisco Live Protect für Netzwerk-Switches im Test". Mit einem heise-Plus-Abo können Sie den ganzen Artikel lesen.
