Heute (nach zugegeben langer Funkstille) mal etwas ganz anderes, das aber gleichzeitig auch einen ziemlich guten Hinweis darauf gibt, was ich so die letzten Jahre gemacht habe 😉

Ich möchte euch heute meine Bachelorarbeit vorstellen, die auf folgenden Titel hört:

„Implementierung und Analyse einer automatisierten Reaktion auf Vorfälle mithilfe des Security Orchestration Automation and Response (Cortex-XSOAR) Tools von Palo Alto Networks“

Wie der Titel nahelegt, beschreibe ich darin die Einbindung des SOAR-Tools „Cortex XSOAR“ von Palo Alto Networks in ein virtuelles Organisationsnetzwerk und den anschließenden Prozess, um einen simulierten Angriff erkennen und automatisch abwehren zu können. Die Arbeit ist komplett auf Englisch geschrieben, sollte aber nicht zu schwer zu verstehen sein. In diesem Artikel werde ich mich allerdings auf eine deutschsprachige Beschreibung beschränken, da ich den Blog jetzt nicht in zwei Sprachen führen möchte und ich ohnehin stark bezweifle, hier ein internationales Publikum anzusprechen. Nichtsdestotrotz habe ich sehr wenig unabhängige Literatur zu SOAR gefunden, daher ist meine Arbeit eventuell für den Einen oder Anderen von Interesse.

Bei dem in der Arbeit simulierten Netzwerkangriff handelt es sich um einen Data-Extraction Angriff. Bei einem solchen Angriff versucht ein böser Akteur Daten aus dem Firmennetzwerk auf ein von ihm kontrolliertes Ziel im Internet zu übertragen. Diese Art von Angriff ist relativ weit verbreitet und kann extrem viel Schaden anrichten – und auch große Unternehmen mit entsprechenden Ressourcen für IT-Sicherheit sind offenkundig nicht sicher. Aktuelle Beispiele, von denen die Tech- und die Spielebranche betroffen war, sind sicherlich die Hacks der Gruppe „Lapsus$“, von denen unter anderem Microsoft, Nvidia und Rockstar Games betroffen waren. Bemerkenswert ist hierbei, dass keine ausgeklügelten Exploits ausgenutzt wurden, sondern die Angriffe primär auf Social Engineering aufbauten, um Zugangsdaten zu erlangen. Diese Zugangsdaten wurden dann verwendet, um die Daten zu entwenden.

Das große Problem bei solchen Angriffen ist, dass sie sich mit den traditionell eingesetzten Werkzeugen der Netzwerksicherheit kaum bis gar nicht verhindern lassen. Eine Firewall wie z.B. die auch in meiner Arbeit eingesetzte Next-Generation Firewall von Palo Alto ist in der Lage, auch komplexe Netzwerkangriffe zu erkennen und zu verhindern, wenn der Angreifer sich jedoch mit gültigen Zugangsdaten im Netzwerk anmelden kann und/oder sich bereits im Inneren des Netzwerks befindet ist sie nahezu machtlos. Ein SIEM-Tool (Security Information and Event Management) wie z.B. Splunk Enterprise kann verwendet werden, um Auffälligkeiten im Netzwerk zu erkennen und Warnungen (Alerts) auszugeben, allerdings müssen diese manuell geprüft und bearbeitet werden, was bei einer entsprechenden Netzwerkgröße kaum noch praktikabel möglich ist.

Genau an dieser Stelle kommen SIEM-Tools (Security Information & Event Management), wie in diesem Fall Cortex-XSOAR, zum Tragen. Sie ermöglichen es, auf Alerts aus einem SIEM-Tool automatisiert zu reagieren. Dafür können die Vorfälle komplett automatisch analysiert, mit zusätzlichen Informationen angereichert und letztlich bearbeitet werden, wodurch beispielsweise ein Datenleck ohne manuelles Zutun geschlossen werden kann – gerade bei diesem Thema ist die Reaktionszeit natürlich auch sehr relevant, denn je länger das Leck besteht, desto mehr Daten können dadurch extrahiert werden.

In der Bachelorarbeit habe ich zunächst ein virtuelles Unternehmensnetzwerk aufgebaut und konfiguriert. Das Netzwerk setzt auf die Next-Generation Firewall von Palo Alto Networks und Splunk Enterprise als SIEM, welches die Netzwerk-Logs direkt von der Firewall bezieht – die Arbeit geht auf die detaillierte Konfiguration ein. Dann habe ich eine Software geschrieben, die einen Data-Extraction Angriff simuliert (zugegeben, meisterhaftes Coding sieht anders aus, aber sie erfüllt ihren Zweck). Wenn der simulierte Angriff ausgeführt wird, erkennt Splunk diesen mittels eines entsprechend konfigurierten Alerts und sendet diesen an Cortex-XSOAR. XSOAR arbeitet den Vorfall anhand eines speziell hierfür erstellten Playbooks ab und unterbindet automatisch mithilfe der Firewall den Angriff. Anschließend informiert es den Netzwerkadministrator, der die getroffenen Maßnahmen auf Knopfdruck rückgängig machen kann, falls es sich um einen autorisierten (aber nicht angemeldeten) Upload gehandelt haben sollte und der wütende Chef gerade am Telefon ist, weshalb das „Internet schon wieder nicht funktioniert“.

Die Arbeit kommt letztlich zu dem Schluss, dass SOAR-Tools das Potenzial haben, die Netzwerk- und Datensicherheit erheblich zu erhöhen, was Unternehmen erheblichen Schäden bewahren kann, sowohl finanziell als auch bei der Reputation.

Bei Interesse könnt ihr die Arbeit hier als PDF herunterladen. Wenn ich dazu komme, würde ich die Arbeit auch gerne noch über die Hochschulbibliothek veröffentlichen, dann würde sie auch auf Google Scholar gelistet – dafür benötige ich aber noch diverse Unterschriften, und man kennt das ja, wie das läuft, mit Dingen die man sich vornimmt 😀

Seit AMD im Jahr 2017 die Ryzen-Prozessoren der ersten Generation auf den Markt gebracht hat, ist im CPU-Markt einiges an Bewegung eingekehrt. So waren 8-Kern CPUs noch vor wenigen Jahren Servern und HEDT-Systemen vorbehalten, heute sind sie jedoch im Mainstream sowohl bei AMD als auch bei Intel weit verbreitet.

Heute stellen wir uns deshalb die Frage, wie gut 8-Kern CPUs aus dem damaligen Server bzw. HEDT-Segment mit diesen neuen Mainstream-Prozessoren mithalten können. Dabei ziehen wir den Intel Xeon E5 1680v2 heran, eine Ivy-Bridge CPU für den Sockel LGA2011. Diese CPU hat im Unterschied zu anderen Xeon-Prozessoren für diesen Sockel einen offenen Multiplikator, lässt sich also frei übertakten, was wir uns selbstverständlich zunutze machen.

Zusammengefasst lässt sich sagen, dass der Xeon in Anbetracht seines Alters eine beachtliche Leistung abliefert, auch wenn er natürlich nicht an die aktuelle Generation der 8-Kern CPUs heranreicht, da ihm hierzu schlicht die nötige IPC bzw. Single-Core-Leistung fehlt. Eine Interessante Alternative für ein AM4-System ist er dadurch nur in Ausnahmefällen, wenn man auch von den restlichen Vorteilen der X79-er Plattform profitiert: der großen Anzahl an PCIe-Lanes, dem Quad-Channel Speicher und der Möglichkeit, ECC-Speicher zu verwenden. Wer jedoch wie ich noch ein gut ausgestattetes LGA2011 System sein Eigen nennt und gerne etwas mehr Leistung möchte, für den ist der 1680v2 die beste (und einzig sinnvolle) Aufrüstmöglichkeit, um aus dem alten System noch das letzte bisschen Potential herauszukitzeln.

Nachdem wir uns im letzten Beitrag den aktuellen Stand von integrierten Grafikeinheiten, kurz iGPUs, in Notebooks angesehen haben, wiederholen wir dies heute bei Desktoprechnern. Dafür ziehen wir auch dieses mal eine AMD Ryzen APU heran, und zwar den Ryzen 3 2200G, einen Quadcore mit 4 Threads und der integrierten Radeon Vega 8 Grafikeinheit. Dem aufmerksamen Leser dürfte auffallen, dass es sich dabei um die selbe Grafikeinheit handelt, die auch schon in dem zuletzt getesteten Notebook verbaut war – allerdings darf man sich im Desktop tendenziell eine etwas höhere Leistung erhoffen, da die APU hier aus einem großzügigeren thermischen Budget schöpfen kann und sich schnellerer RAM verwenden lässt. In diesem Fall verwende ich ein 8GB Dual-Channel Kit von G.Skill mit 2800MHz (von der Verwendung nur eines Moduls im Single-Channel rate ich dringend ab!).

Ein solches System ist durchaus interessant, weil sich mit dieser APU ein komplettes System für unter 300€ zusammenstellen lässt (näheres dazu im Video), welches sich vielseitig einsetzen lässt – aber auch zum spielen? Das versuche ich in diesem Video zu klären.

Zusammengefasst lässt sich feststellen, dass die APU zwar wie erwartet eine etwas höhere Performance abliefert als das zuletzt getestete Gegenstück im Notebook, dennoch würde ich sie für einen Gaming-Desktop nur sehr eingeschränkt empfehlen, da hier die Ansprüche in der Regel schlicht höher sind als bei einem Laptop. Den Hauptverwendungszweck der APU sehe ich eher in Multimedia-Anwendungen, wie zum Beispiel als HTPC im Wohnzimmer, aber auch für normale Arbeitsrechner, in denen eine dedizierte Grafikkarte schlicht unnötige Kosten und/oder Komplexität bedeuten würde. Allein für Gelegenheitsspieler, oder solche, die eher Strategietitel bevorzugen, kann ich die APU darüber hinaus uneingeschränkt empfehlen.

iGPUs, kurz für integrierte Grafikeinheiten, werkeln heutzutage in zunehmend vielen Rechnern, egal ob Desktop oder Notebook. Technisch bieten sie einige Vorteile, wie geringeren Stromverbrauch, einfachere Kühlung und auch geringere Kosten. Für normale Arbeiten wie Surfen oder Office reichen iGPUs in jedem Fall aus, darüber hinaus bieten sie mittlerweile in der Regel ebenfalls hardwarebasierte Videobeschleunigung, und auch Opas 3D-Aquariumbildschirmschoner bringt sie längst nicht mehr ins Schwitzen.

Eine Ausnahme war bis jetzt immer Gaming. Wer beabsichtigte, mehr als Minecraft auf seinem Computer zu spielen, dem war bis jetzt stets nahezulegen, um integrierte Grafiklösungen einen großen Bogen zu machen. In letzter Zeit hat sich hier jedoch einiges getan – erst mischten AMDs Ryzen-basierte APUs mit Vega-Grafikchip den Markt auf, und nun hat auch Intel einen deutlichen Leistungssprung der nächsten IGP-Generation angekündigt. Grund genug, dem Zocken auf intgrierten Grafiklösungen wieder einen Besuch abzustatten? Genau darum soll es in diesem Video gehen.

Das in diesem Video gezeigte Gerät ist ein Acer Swift 3 mit der wunderschön von der Zunge rollenden Modellnummer SF315-41-R4W1. Man kann seine Performance jedoch durchaus exemplarisch für alle Notebooks mit AMD Ryzen™ 5 2500U und der integrierten Radeon™ Vega8 Mobile Grafikeinheit sehen – sofern deren Kühlkonzept sinnvoll umgesetzt ist (hier ist bei manchen Geräten wohl Vorsicht geboten, am besten ihr checkt vor dem Kauf die Reviews speziell dieses Geräts).

Zusammengefasst lässt sich sagen, dass die Performance der iGPU dieses Geräts in etwa doppelt so hoch ist, wie die einer zum Kaufzeitpunkt gleichwertigen Intel-CPU – ein deutlich bemerkbarer Unterschied. Was man jedoch auch nicht verschweigen darf, die Leistung liegt damit immer noch nur knapp unterhalb derer von Einsteiger-Grafikchips für Notebooks. Für ein Gerät, dessen Hauptnutzen Gaming ist, sind sie daher zumindest momentan noch keine gute Wahl. Wer jedoch zwischen der Arbeit mal den einen oder anderen Indie- oder älteren Titel spielen möchte und im Zweifel bereit ist, auch mal Auflösung oder Grafikeinstellungen runterzustellen, der könnte hiermit glücklich werden. Für mich persönlich passt es perfekt.

Momentan steht bereits die nächste Generation der Ryzen-APUs in den Startlöchern. Das bedeutet einerseits, dass Geräte mit dieser Generation günstig im Abverkauf oder auch gebraucht zu haben sind – oder, dass Geräte mit dem Nachfolger (in diesem Fall der Ryzen™ 5 3500U) und damit nochmal ein wenig gesteigerter Performance im Handel sind.