Domänentrennung ausgeweitet Bare-Metal-Netzwerke

Bare Metal-Verschlüsselung sorgt für eine sichere Mehrfach-Stream-Kommunikation im IoT.

Lynx Software Technologies will mit der Version 5.3 von »LynxSecure« die Sicherheit deutlich erhöhen von Kommunikationsprodukten für vernetzte Infrastruktur, vernetzte Fahrzeuge und weitere sicherheitskritische IoT-Anwendungen.

LynxSecure 5.3 ist ein Separation Kernel, der das Prinzip der Domänentrennung auf die Netzwerkverbindung auszuweiten. Zusätzlich ist – in Partnerschaft mit Webroot – eine Cloud-basierte Erkennung in Echtzeit von Bedrohungen für Gastbetriebssysteme realisierbar, die von LynxSecure gehostet werden.
»Der Erfolg vernetzter Fahrzeuge, vernetzter Infrastruktur und anderer sicherheitskritischer IoT-Anwendungen beruht auf der Lösung zweier wichtiger Sicherheitsprobleme«, erklärt Robert Day, VP Marketing von Lynx Software Technologie: »Erstens der robuste Schutz nicht nur der Endpunkte und Gateways, sondern auch der Kommunikationskanäle zwischen ihnen, und dann vom Gateway hinaus über das Internet. Zweitens die Erkennung von Bedrohungen und deren Eindämmung in Echtzeit.« Mit der neuen Version von LynxSecur will das Unternehmen beides bieten und so den Weg frei machen für eine neue Generation vernetzter Fahrzeuge, für sicherheitskritische Infrastrukturen mit enormer Bandbreite und weitere IT-Installationen sowohl in der Industrie als auch in mehr Mainstream-Bereichen.

Dazu vereint der »LynxSecure« Separation Kernel Hypervisor hart echtzeitfähiges Scheduling mit DoD-zertifizierter Sicherheit und bietet so einige Unterscheidungsmerkmale gegenüber herkömmlichen Virtualisierungslösungen: Der Separation Kernel und Typ-0-Hypervisor ist eine Bare-Metal-Architektur. Im Unterschied zum Typ-1-Hypervisor entfernt er unnötige Funktionen aus dem sicherheitsempfindlichen Hypervisor-Betrieb, virtualisiert jedoch Gastbetriebssysteme in einem kleinen Stand-alone-Softwarepaket. In einem IoT-Gateway sorgt LynxSecure so für eine robuste Trennung von Domänen. Das stellt sicher, dass das OT-Netzwerk (Operational Technology) für die Ablauftechnologie, die die IoT-Endpunkte hostet, sicher vom umfassenderen IT-Netzwerk isoliert ist. Mit einer vertrauenswürdigen Codebasis mit geringem Speicherbedarf bietet LynxSecure Schutz für IoT-Endpunkte und Gateways dadurch, dass die von Schädlingen ausnutzbare »Angriffsfläche« reduziert ist. So kann die Kommunikation zwischen OT- und IT-Domänen sicher gesteuert und kontrolliert werden.

Der Seperation Kernel ist auch eine Plattform für »LSA.connect«, eine Verschlüsselungskomponente für sichere Netzwerke, die Bare-Metal-Anwendungen unter LynxSecure (LSAs) nutzt. In ihrer einfachsten Konfiguration lässt sich LSA.connect einsetzen, um Netzwerkverkehr zu verschlüsseln, ohne Schädlingen eine große für sie nutzbare Angriffsfläche zu bieten. Dies erfolgt dadurch, dass sich die Netzwerkverschlüsselungsalgorithmen in einer eigenen sicheren Domäne befinden – abseits des ans Internet angeschlossenen Betriebssystems und der Kodierungsschlüssel selbst. In einer anspruchsvolleren Konfiguration lässt sich LSA.connect dazu verwenden, das Prinzip der Domänentrennung auf das Netzwerk auszuweiten. Hierzu gibt es zahlreiche isolierte Verschlüsselungstunnel über eine einzige physikalische Netzwerkverbindung, wobei wiederum jede in ihrer eigenen isolierten Domäne untergebracht ist.

»Die großen Angriffsoberflächen monolithischer Betriebssysteme wie Linux setzen die verbundenen IoT-Geräte und die Netzwerkverschlüsselungsalgorithmen einer potenziellen Ausbeutung durch Schadsoftware aus«, erläutert Will Keegan, Director of Software Security bei Lynx Software Technologies. »Die Kombination aus LynxSecure und LSA.connect bietet isolierte Domänen für jedes Netz und separate Bare-Metal-Verschlüsselung, wodurch das vernetzte IoT-Gateway vom Angriffspunkt zum Verteidigungspunkt wird.« Ein Beispiel sei Mehrfach-Stream-Kommunikation: Ein vernetztes Fahrzeug kann separate Domänen nutzen, um Firmware-Aktualisierungen auszuführen, Telematikdaten zu kommunizieren und herunterladbare Inhalte für das Board-Infotainment zu transferieren – und das alles unter Nutzung dedizierter sicherer Verschlüsselungstunnel.

Zusätzlich kombinieren Lynx Software Technologies und Webroot »LynxSecure« mit dem »IoT Security Toolkit«, um Bedrohungserkennung in Echtzeit und intelligente Cybersecurity Device Agents zum Schutz kritischer IoT- und IIoT-Systeme vor Rootkits und anderen hochentwickelten Sicherheitbedrohungen (Advanced Persistent Threats, APT) zur Verfügung zu stellen. Der Ansatz von Webroot ist es, die Cloud-basierte, kollektive Bedrohungserkennung aus Millionen von existierenden Geräten zu nutzen, um Angriffe in Echtzeit zu stoppen und die vernetzte Welt sicherer zu machen. Die »SecureAnywhere«-Endpunktlösungen und der »BrightCloud«-Bedrohungserkennungsdienst schützen aktuell 10 Mio. Geräte.

Durch die Einbettung von Komponenten des IoT Security Toolkits von Webroot innerhalb einer eigenen Domäne auf LynxSecure können Bedrohungen entdeckt, identifiziert und entfernt werden, ohne die Beschränkungen oder Risiken, die Lösungen auf Betriebssystemebene sonst zueigen sind. »Die Kombination aus LynxSecure und unserem IoT Security Toolkit, verknüpft mit der Webroot Threat Intelligence Platform, wirkt der Erkennungslücke entgegen, in der bösartige Angriffe nach der Erstinfektion noch monatelang unsichtbar bleiben«, erklärt John Sirianni, Vice President, Strategic Partnerships, IoT von Webroot. »Unsere Echtzeiterkennungstechnologie, in ihrer eigenen LynxSecure-Domäne untergebracht, identifiziert augenblicklich, wenn die Bedrohung erstmals in das System eindringt. Das erlaubt es den Sicherheitsbeauftragten und -systemen, die Bedrohung schnell einzuschätzen und zu analysieren, ehe sie Schaden anrichten kann.«

LynxSecure 5.3 ist ab sofort verfügbar für Intel-Architekturen. Die Unterstützung von ARM-Plattformen soll noch in diesem Jahr folgen.