NCSC fordert bessere forensische Nachvollziehbarkeit in Netzwerkgeräten

Das britische National Cyber Security Centre (NCSC) fordert Hersteller und Kunden auf, forensische Nachvollziehbarkeit zu einem Standardmerkmal von Firewalls, VPN-Gateways und anderen Netzwerkgeräten zu machen.

Diese Geräte befinden sich häufig am Rand des Netzwerks einer Organisation und werden zunehmend von leistungsfähigen Angreifern ins Visier genommen. Wird ein Gerät kompromittiert, müssen Verteidiger feststellen, was geschehen ist, das Ausmaß des Eindringens bestimmen und entscheiden, ob dem System noch vertraut werden kann. In vielen Fällen reichen die auf dem Gerät verfügbaren Informationen jedoch nicht aus.

Was forensische Nachvollziehbarkeit umfasst

Forensische Nachvollziehbarkeit bezeichnet die Möglichkeit, die aktuelle und historische Aktivität eines Geräts mithilfe verlässlicher und unterstützter Funktionen zu untersuchen. Zu den relevanten Fähigkeiten gehören detaillierte Telemetrie- und Protokolldaten, eine Konfigurationshistorie sowie die Erfassung forensischer Beweise aus Arbeitsspeicher und Speicher.

Auch Transparenz über die auf einem Gerät ausgeführte Software ist wichtig. Klare Versionsangaben und eine Software-Stückliste können Ermittlern helfen, betroffene Komponenten zu identifizieren und die für die Bewertung eines Vorfalls erforderliche Zeit zu verkürzen. Beweismittel sollten vertrauenswürdig und so konzipiert sein, dass sie Manipulationsversuchen durch Angreifer widerstehen.

Weniger Abhängigkeit von Behelfslösungen

Nach Angaben des NCSC sollte die Reaktion auf Vorfälle nicht von Reverse Engineering, improvisierten Methoden oder der Ausnutzung von Schwachstellen in dem untersuchten Produkt abhängen. Solche Ansätze können dazu führen, dass Verteidigern weniger praktische Werkzeuge zur Verfügung stehen als dem Angreifer, und die Eindämmung sowie Wiederherstellung verzögern.

Im Jahr 2025 veröffentlichte die Behörde Leitlinien zu Spezifikationen für digitale Forensik und Schutzüberwachung für Hersteller von Netzwerkgeräten und -systemen. Außerdem arbeitet sie mit internationalen Partnern an einer Referenzarchitektur, die Herstellern dabei helfen soll, einen sicheren und zuverlässigen forensischen Zugriff zu ermöglichen, ohne zentrale Sicherheitskontrollen zu schwächen.

Geteilte Verantwortung

Einige Anbieter verbessern bereits Protokollierung, Beweiserfassung und Systemtransparenz. Sophos erklärte mit Blick auf seine Pacific-Rim-Kampagne, dass die Ausweitung von Erkennung und Reaktion über Endgeräte hinaus auf Firewall-Geräte dazu beigetragen habe, den Schaden für Kunden zu verringern. Nach Angaben des Unternehmens unterstrich diese Erfahrung die Notwendigkeit, den Ausfall von Perimetersystemen einzuplanen, anstatt davon auszugehen, dass sie stets geschützt werden können.

Für Käufer sollten forensische Funktionen Bestandteil von Beschaffungs- und Sicherheitsbewertungen sein. Anbieter wiederum sollten Nachvollziehbarkeit als Produktanforderung behandeln. Eine breitere Einführung würde Organisationen helfen, schneller zu ermitteln, Herstellern klarere Einblicke in Vorfälle geben und die Wiederherstellung weniger abhängig von selten verfügbaren Spezialkenntnissen machen.