Welche Arten von Assessments gibt es, und was sind deren Aufgaben?

Aufgabe des Assessments ist es, das Endsystem auf Konformität und/oder Schwachstellen zu prüfen. Hierbei wird unter anderem getestet, ob die Firewall arbeitet oder wie anfällig ein System für Angriffe ist. Ein fest in den Anmeldeprozess eingebundenes Assessment ist noch nicht weit verbreitet, obwohl dieser Aspekt ebenso zu NAC gehört wie die Authentifizierung. Hier sind "Standards" wie Microsofts NAP und Trusted Network Connect (TNC) der Trusted Computing Group anzusiedeln. Auch die IETF versucht sich hier - allerdings bleibt abzuwarten, wie sich dies entwickelt. Ziel des Assessments ist, über den Port-Rand hinaus zu blicken und zu prüfen, wie es auf dem Client selbst aussieht. Unterschieden werden dabei zwei Hauptvarianten mit den dazugehörigen Unterkategorien:

Agentenlos:

• "Network based": ein Netzscanner, der das Endgerät von "außen" prüft.

• "Applet based": ein Java-Applet, das nur im Browser ausgeführt wird.

Agenten-basierend:

• "Thin Agent": ein Agent, der nur zur Laufzeit des Systems vorhanden ist.

• "Fat Agent": in der Regel eine persistente Suite mit Firewall und Host Intrusion Detection.

Welche Vor- und Nachteile haben agentenlose Lösungen?

Der Umfang der Testmöglichkeiten hängt hier stark von der Software für ein Assessment ab. Der Markt für Vulnerability-Scanner ist mittlerweile gut ausgeprägt und bietet eine Vielzahl an Programmen, die genau diese Aufgabe übernehmen und durch ständig neue Testsets aktuell gehalten werden können. Vorteile dieses Ansatzes sind eine schnelle Implementierung, häufige Signatur-Updates, umfangreiche Tests und hohe Endsystemkompatibilität. Zu den Nachteilen zählen limitierte Skalierbarkeit, hohe Netzlast und eine möglicherweise lange Scan-Dauer.