OSI-Schicht 3: Kernfunktionen, Protokolle und bewährte Sicherheitspraktiken

Was ist die OSI-Schicht 3 (die Netzwerkschicht)?

Die Netzwerkschicht (Schicht 3) im OSI-Modell ist für die logische Adressierung (z. B. IP-Adressen) und das Routing von Datenpaketen über verschiedene Netzwerke hinweg zuständig, um die Ende-zu-Ende-Kommunikation zu ermöglichen. Zu ihren Hauptfunktionen gehören die Ermittlung des optimalen Datenpfads mithilfe von Routing-Algorithmen, die Kapselung der Daten in Pakete mit Quell- und Ziel-IP-Adressen und deren Weiterleitung über Netzwerkgeräte wie Router.

Zu den Hauptfunktionen der OSI-Schicht 3 gehören:

• Logische Adressierung: Weist logische Adressen zu, wie z. B. IP-Adressen (IPv4 oder IPv6), die zur Identifizierung von Netzwerken und Hosts verwendet werden.
• Routing: Bestimmt den besten Pfad für Datenpakete vom Quellnetzwerk zum Zielnetzwerk.
• Weiterleitung: Leitet Pakete anhand ihrer Ziel-IP-Adresse an den richtigen nächsten Hop weiter.
• Kapselung: Schicht-3-Pakete werden mit einem Header umhüllt, der Quell- und Ziel-IP-Adressen enthält. Dadurch entsteht eine „Hülle“ um die Daten.
• Internetworking: Verbindet verschiedene Arten von Netzwerken, um die Kommunikation zwischen ihnen zu ermöglichen und so größere Netzwerke wie das Internet zu bilden.
• Fragmentierung und Reassemblierung: Ermöglicht die Kommunikation zwischen Netzwerken durch das Aufteilen und Wiederzusammensetzen von Datenpaketen.

Dies ist Teil einer Artikelserie über OSI-Schichten.

Die Rolle der Schicht 3 im OSI-Modell

Die Netzwerkschicht fungiert als Brücke zwischen der Sicherungsschicht (Schicht 2) und der Transportschicht (Schicht 4) und übersetzt die lokale Kommunikation auf Sicherungsschichtebene in die netzwerkweite Datenübertragung. Während Schicht 2 die Kommunikation innerhalb eines einzelnen Netzwerksegments mithilfe von physischen Adressen (MAC-Adressen) abwickelt, führt Schicht 3 logische Adressen wie IP-Adressen ein, die den Datenaustausch über verschiedene Netzwerke hinweg ermöglichen.

Diese Trennung zwischen physischer und logischer Adressierung ermöglicht die Verbindung heterogener Netzwerktypen (Ethernet, WLAN oder Mobilfunk) zu einem einheitlichen Kommunikationssystem. Schicht 3 übernimmt zudem das Routing und bestimmt so den optimalen Pfad für Datenpakete durch zwischengeschaltete Geräte wie Router.

Diese Router nutzen Routingtabellen und -algorithmen (z. B. OSPF, BGP, RIP), um dynamisch Entscheidungen zu treffen und sich so an Netzwerkänderungen und -ausfälle anzupassen. Zusätzlich sorgt die Netzwerkschicht für die Fragmentierung und Wiederzusammensetzung von Paketen, wenn Daten Netzwerke mit unterschiedlichen maximalen Übertragungseinheiten (MTUs) durchlaufen müssen.

Durch die Abstraktion der physikalischen Netzwerkdetails ermöglicht Schicht 3 skalierbare Vernetzung, Fehlerisolierung und effizienten Datentransport. Sie stellt sicher, dass sich höhere Schichten auf Anwendungslogik und Sitzungsmanagement konzentrieren können, ohne sich mit den komplexen Details der physikalischen Konnektivität oder des Routings auseinandersetzen zu müssen.

Kernfunktionen der Netzwerkschicht

Logische Adressierung und IP-Zuweisung

Die logische Adressierung auf Schicht 3 ermöglicht die eindeutige Identifizierung jedes Geräts in einem Netzwerk. Dies geschieht primär durch die Verwendung von Internetprotokoll-Adressen (IP-Adressen), die sich von den auf Schicht 2 verwendeten physischen Adressen (MAC-Adressen) unterscheiden. Die IP-Adressvergabe kann statisch oder dynamisch erfolgen, sodass Netzwerkadministratoren Adressen manuell oder über automatische Protokolle wie DHCP zuweisen können.

Dynamische Adresszuweisungsverfahren (wie DHCP für IPv4 oder SLAAC für IPv6) spielen eine Schlüsselrolle für eine effiziente Administration und unterstützen das Netzwerkwachstum. Die effiziente Verwaltung logischer Adressen beugt Konflikten vor, unterstützt hierarchische Netzwerkmodelle und optimiert die Routing-Effizienz. Diese Adressierungsschemata helfen, Netzwerke in Subnetze zu segmentieren, sie an die Organisationsstruktur anzupassen und effektives Routing, Sicherheitssegmentierung und Fehlerbehebung zu ermöglichen.

Routing und Pfadbestimmung

Routing ist der Mechanismus, mit dem Geräte der Schicht 3, typischerweise Router, Pfade für Daten auswählen, die über miteinander verbundene Netzwerke von der Quelle zum Ziel übertragen werden. Router verwalten Routing-Tabellen und verwenden Protokolle (wie OSPF oder BGP), um Netzwerktopologien zu analysieren und die besten verfügbaren Pfade zu bestimmen. Die Pfadbestimmung berücksichtigt Metriken wie Hop-Anzahl, Bandbreite, Latenz und administrative Richtlinien, um die Netzwerkeffizienz und -zuverlässigkeit zu optimieren.

Ein wesentlicher Vorteil des Routings auf Schicht 3 liegt in seiner Fähigkeit, komplexe, hierarchische Netzwerkstrukturen abzubilden und so die Skalierbarkeit und Ausfallsicherheit von Unternehmens- und globalen Netzwerken zu gewährleisten. Routing-Protokolle können sich dynamisch an Verbindungsabbrüche, Überlastung oder Topologieänderungen anpassen und so eine kontinuierliche Konnektivität und optimale Leistung sicherstellen. Diese Anpassungsfähigkeit unterscheidet Schicht 3 von den darunterliegenden Schichten, die auf einzelne Segmente und statische Kommunikationspfade beschränkt sind.

Paketweiterleitung und -kapselung

Die Paketweiterleitung ist der Prozess, bei dem Geräte der Schicht 3 die Paket-Header, insbesondere die Ziel-IP-Adresse, analysieren, um Weiterleitungsentscheidungen zu treffen und Pakete an ihr Ziel zu senden. Router und Switches der Schicht 3 wählen anhand von Routing-Tabellen den besten nächsten Hop aus und übergeben die Pakete anschließend an Schicht 2 zur physikalischen Übertragung.

Die Kapselung auf Schicht 3 bezeichnet das Einbetten von Transportschichtsegmenten (wie TCP- oder UDP-Segmenten) in einen Schicht-3-Header, üblicherweise einen IP-Header. Dieser Kapselungsprozess fügt die für eine erfolgreiche Übertragung notwendigen Adressierungs- und Steuerungsinformationen hinzu und ermöglicht den unabhängigen Betrieb der einzelnen Netzwerkschichten. Die Kapselung unterstützt die Interoperabilität zwischen verschiedenen Schicht-2-Technologien wie Ethernet, WLAN und Frame Relay.

Netzwerkarbeit

Internetworking ermöglicht die Kommunikation zwischen unterschiedlichen Netzwerken, unabhängig von ihren zugrunde liegenden physikalischen Medien oder Sicherungsschichtprotokollen. Durch die Verwendung logischer Adressierung (IP-Adressen) abstrahiert die Netzwerkschicht die hardwarespezifischen Details lokaler Netzwerke und ermöglicht so den Datenaustausch in heterogenen Umgebungen. Router arbeiten auf dieser Schicht, um verschiedene Netzwerksegmente zu verbinden und die Paketübermittlung über LANs, WANs und Cloud-Infrastrukturen zu ermöglichen.

Diese Fähigkeit bildet die Grundlage des Internets, das im Wesentlichen ein riesiges Netzwerk miteinander verbundener Systeme darstellt. Durch Routing-Protokolle und standardisierte IP-Adressierung gewährleistet Layer 3, dass Geräte in verschiedenen Netzwerken und mit unterschiedlichen Technologien zuverlässig Daten austauschen können. Es unterstützt zudem wichtige Unternehmensfunktionen wie die Vernetzung mehrerer Standorte, die Integration hybrider Cloud-Umgebungen und skalierbare Netzwerkarchitekturen.

Fragmentierung und Wiederzusammensetzung

Die Fragmentierung ist ein Mechanismus, bei dem Schicht 3 große Pakete in kleinere Fragmente aufteilt, um die maximale Übertragungseinheit (MTU) des zugrunde liegenden Netzwerks zu berücksichtigen. Da nicht alle Netzwerkverbindungen große Pakete unterstützen, fragmentieren Router oder das sendende Gerät Pakete bei Bedarf. Jedes Fragment erhält einen eigenen Header, sodass das empfangende Gerät das ursprüngliche Paket identifizieren und korrekt wieder zusammensetzen kann.

Die Reassemblierung erfolgt am Empfangsendpunkt, wo alle Fragmente desselben ursprünglichen Pakets in der richtigen Reihenfolge zusammengeführt werden. Falls Fragmente verloren gehen oder in falscher Reihenfolge eintreffen, tragen geeignete Reassemblierungsmechanismen im Protokoll zur Wahrung der Datenintegrität bei. Diese Funktion ist entscheidend für die Kommunikation über heterogene Netzwerke, in denen die Paketgrößenbeschränkungen aufgrund technologischer Unterschiede oder Richtlinienkonfigurationen stark variieren können.

Erläuterung der wichtigsten Layer-3-Protokolle

Internetprotokoll (IPv4 und IPv6)

Das Internetprotokoll (IP) ist das Kernprotokoll der Schicht 3 und verantwortlich für die logische Adressierung und das Routing von Datenpaketen zwischen Geräten in Netzwerken. IPv4, die am weitesten verbreitete IP-Version, bietet eine 32-Bit-Adressstruktur und unterstützt etwa 4,3 Milliarden eindeutige Adressen.

Aufgrund der Erschöpfung der Adresskapazitäten und des wachsenden Bedarfs an Konnektivität wurde IPv6 mit einem 128-Bit-Adressraum eingeführt, wodurch nahezu unbegrenzt eindeutige Adressen möglich sind und den Anforderungen moderner Netzwerke gerecht werden.

IPv6 bietet zudem Verbesserungen wie vereinfachte Header, optimierte Unterstützung für Mobilfunknetze, verbesserte Multicast-Fähigkeiten und native Sicherheitsfunktionen durch IPsec-Integration. Sowohl IPv4 als auch IPv6 unterstützen grundlegende Layer-3-Funktionen wie Fragmentierung, Routing und Adressierung, doch die Verbesserungen von IPv6 sorgen für eine höhere Leistungsfähigkeit im wachsenden Internet.

ICMP und Diagnose-Nachrichten

Das Internet Control Message Protocol (ICMP) ergänzt das Haupt-Internetprotokoll durch die Bereitstellung von Diagnose- und Fehlerberichtsfunktionen auf Schicht 3. ICMP kommuniziert Probleme wie nicht erreichbare Hosts, Netzwerküberlastung oder Ablauf der Gültigkeitsdauer (TTL) und ermöglicht es Geräten und Netzwerkadministratoren, Probleme in Echtzeit zu diagnostizieren und zu beheben.

ICMP ist unerlässlich für Tools wie Ping und Traceroute, die die Konnektivität zwischen Netzwerkgeräten testen und den Paketfluss im Netzwerk verfolgen. Obwohl ICMP für die Netzwerkfehlersuche und die Transparenz des Betriebs unerlässlich ist, wird es auch von bestimmten netzwerkbasierten Angriffen angegriffen. Daher sind die korrekte Filterung und Überwachung des ICMP-Verkehrs wichtig.

ARP und Nachbarerkennung

Das Address Resolution Protocol (ARP) dient in IPv4-Netzwerken dazu, eine IP-Adresse der Schicht 3 einer MAC-Adresse der Schicht 2 zuzuordnen und so die lokale Netzwerkkommunikation zu ermöglichen. Wenn ein Gerät ein Datenpaket an ein anderes Gerät im selben Subnetz senden muss, aber nur dessen IP-Adresse kennt, hilft ARP dabei, die für die Paketübermittlung benötigte physische Adresse (MAC-Adresse) zu ermitteln.

ARP-Anfragen und -Antworten werden lokal ausgetauscht, um die korrekte Zuordnung zwischen einer IP-Adresse und der Hardwareadresse eines Geräts sicherzustellen. In IPv6-Netzwerken ersetzt das Neighbor Discovery Protocol (NDP) ARP und übernimmt ähnliche Funktionen wie Adressauflösung, Erkennung nicht erreichbarer Nachbarn und Routererkennung. NDP verwendet ICMPv6-Nachrichten und bietet zusätzliche Funktionen wie die zustandslose Adressautokonfiguration.

OSPF, BGP und andere Routing-Protokolle

Open Shortest Path First (OSPF) und Border Gateway Protocol (BGP) sind zwei grundlegende Routing-Protokolle der Schicht 3. OSPF wird primär innerhalb einer Organisation eingesetzt und bietet schnelle Konvergenz, hierarchisches Routing und Unterstützung für große, komplexe Unternehmensnetzwerke. OSPF berechnet dynamisch den kürzesten Pfad für Daten basierend auf Verbindungskosten und Änderungen der Netzwerktopologie, wodurch Ausfallzeiten reduziert und die Zuverlässigkeit erhöht werden.

Im größeren Maßstab ermöglicht das Border Gateway Protocol (BGP) das Routing im gesamten Internet, indem es Routing-Informationen zwischen autonomen Systemen austauscht und richtlinienbasierte Entscheidungsfindung unterstützt. BGP verarbeitet massive Routing-Tabellen, unterstützt Lastverteilung und verwaltet den Datenverkehr zwischen Domänen, wodurch es für Internetdienstanbieter und große Unternehmen unverzichtbar ist.

Zu den weiteren bemerkenswerten Protokollen gehören RIP, EIGRP und IS-IS, die jeweils für unterschiedliche Umgebungen und betriebliche Anforderungen geeignet sind.

Sicherheitsbedrohungen und Schwachstellen auf Schicht 3

Routing-Angriffe

Layer-3-Netzwerke sind anfällig für eine Reihe von Routing-basierten Angriffen. Angreifer können dynamische Routing-Protokolle ausnutzen, indem sie falsche Routing-Updates einschleusen, Datenverkehr blockieren, Routenflapping verursachen oder sensiblen Datenverkehr über bösartige Zwischensysteme zum Abfangen umleiten.

Diese Angriffe nutzen Schwächen in der Authentifizierung oder den Vertrauensmodellen einiger Routing-Protokolle aus (z. B. frühere Versionen von RIP oder ungesicherte BGP-Sitzungen) und untergraben so die Zuverlässigkeit und Integrität der Netzwerkpfadauswahl. Erfolgreiche Routing-Angriffe können zu Dienstverweigerungen, Datenabfang oder weitreichender Netzwerkinstabilität führen.

Ping-basierte Angriffe

Ping-basierte Angriffe nutzen ICMP-Echo-Anfragen (allgemein als „Pings“ bezeichnet) aus, um Netzwerkressourcen zu stören oder Informationen über die Netzwerktopologie zu sammeln. Ein Angreifer kann eine „Ping-Flut“ auslösen, indem er eine große Anzahl von ICMP-Echo-Anfragen sendet, um ein Zielsystem zu überlasten und so Bandbreite und Rechenleistung zu verbrauchen.

Eine weitere Variante, der sogenannte „Smurf-Angriff“, verstärkt den Datenverkehr, indem er ICMP-Anfragen über falsch konfigurierte Netzwerkgeräte reflektiert und so deren Auswirkungen vervielfacht. ICMP ist zwar ein unschätzbares Werkzeug für die Diagnose, doch übermäßiger oder böswilliger Gebrauch kann die Netzwerkleistung beeinträchtigen und Geräte für legitime Benutzer unzugänglich machen.

DDoS-Angriffe

Bei verteilten Denial-of-Service-Angriffen (DDoS) auf Schicht 3 geht es typischerweise darum, die Infrastruktur eines Netzwerks, wie Router oder Firewalls, zu überlasten, indem sie mit massiven Mengen an gefälschtem Datenverkehr überflutet werden, wobei häufig gefälschte IP-Pakete zum Einsatz kommen.

Diese Angriffe können ganze Dienste lahmlegen, Verbindungen unterbrechen oder Netzwerkressourcen erschöpfen und sowohl die gezielten Opfer als auch unbeteiligte Nutzer beeinträchtigen. Layer-3-DDoS-Angriffe nutzen häufig die fehlende Quellverifizierung und die zustandslose Natur der IP-Weiterleitung aus.

IP-Fragmentierungsangriffe

IP-Fragmentierungsangriffe manipulieren die Paketfragmentierung und -wiederzusammensetzung, um Sicherheitskontrollen zu umgehen oder Systemressourcen zu erschöpfen. Angreifer können überlappende, fehlerhafte oder übermäßig fragmentierte Pakete erzeugen, wodurch Endsysteme oder Sicherheitsgeräte erhebliche Ressourcen verbrauchen oder den rekonstruierten Datenstrom falsch interpretieren.

Ältere Firewalls können fragmentierten Datenverkehr unter Umständen nicht korrekt analysieren, wodurch Schadsoftware unentdeckt bleibt. Der Schutz vor IP-Fragmentierungsangriffen umfasst die Durchsetzung minimaler Fragmentgrößen, die Überprüfung der Fragmentkonsistenz und die Gewährleistung, dass Sicherheitsgeräte eine detaillierte Paketprüfung und die korrekte Reassemblierung ermöglichen.

Mehr dazu erfahren Sie in unserem ausführlichen Leitfaden zu OSI-Schichtenangriffen (in Kürze verfügbar).

Bewährte Verfahren zur Sicherung der OSI-Schicht 3

Hier sind einige Möglichkeiten, wie Organisationen ihre Layer-3-Konfiguration verbessern können.

1. Hierarchische Adressierungsschemata beibehalten

Die hierarchische Adressierung vereinfacht das Routing, indem IP-Adressen so strukturiert werden, dass sie die physische oder logische Topologie des Netzwerks widerspiegeln. Diese Strukturierung unterstützt die Routenzusammenfassung, bei der mehrere zusammenhängende IP-Adressen durch eine einzige zusammenfassende Route dargestellt werden können. Dadurch werden Größe und Komplexität der Routing-Tabellen reduziert. In großen Unternehmens- oder ISP-Netzwerken verbessert dies die Skalierbarkeit des Routings und beschleunigt die Konvergenz bei Topologieänderungen.

Ein gut geplantes hierarchisches Adressschema verbessert zudem die Fehlersuche und die Zugriffskontrolle. Beispielsweise ermöglicht die Gruppierung von Adressen nach Abteilung, Region oder Funktion eine präzisere Anwendung von Firewall-Regeln und Zugriffskontrolllisten (ACLs). Darüber hinaus erleichtert sie die Identifizierung von Datenverkehrsquellen bei der Reaktion auf Sicherheitsvorfälle oder bei Leistungsanalysen.

2. Redundanz und dynamische Routing-Protokolle verwenden

Der Einsatz redundanter Netzwerkpfade und -geräte trägt zur hohen Verfügbarkeit und Fehlertoleranz auf Schicht 3 bei. Dazu gehören der Einsatz mehrerer Router, redundanter Uplinks und dynamischer Routing-Protokolle, die Ausfälle erkennen und den Datenverkehr umleiten können. Protokolle wie OSPF und BGP ermöglichen eine schnelle Konvergenz und Routenneuberechnung bei Ausfall von Verbindungen oder Knoten und gewährleisten so eine unterbrechungsfreie Kommunikation.

Redundanz sollte mit sorgfältiger Routenplanung kombiniert werden, um Schleifen und suboptimales Routing zu vermeiden. Administrative Distanzen, Routenmetriken und Ausweichpfade müssen korrekt konfiguriert sein, um Instabilität oder Blackholing zu verhindern. Regelmäßige Tests von Failover-Szenarien gewährleisten, dass die Redundanzmechanismen bei realen Ausfällen wie erwartet funktionieren.

3. Implementieren Sie strenge ACL- und Firewall-Richtlinien.

Zugriffskontrolllisten (ACLs) und Firewalls sind unerlässliche Werkzeuge zur Steuerung des Layer-3-Datenverkehrs anhand von IP-Adressen, Protokollen und Portnummern. Sorgfältig konfigurierte ACLs beschränken den Datenverkehr auf das für den Geschäftsbetrieb Notwendige, verringern die Angriffsfläche und minimieren das Risiko unberechtigten Zugriffs oder lateraler Bewegungen im Netzwerk.

Zugriffskontrolllisten (ACLs) sollten am Netzwerkrand und innerhalb interner Segmente angewendet werden, um Segmentierung und Zero-Trust-Prinzipien durchzusetzen. Zusätzlich zu statischen Regeln können dynamische Richtlinien, die auf Identität, Kontext oder Tageszeit basieren, die Zugriffskontrolle weiter verfeinern. Alle Änderungen an ACLs und Firewall-Richtlinien sollten einem kontrollierten Prozess mit ordnungsgemäßer Validierung und Protokollierung folgen.

4. Überwachung, Protokollierung und Anomalieerkennung

Kontinuierliches Monitoring der Layer-3-Aktivitäten ermöglicht Einblicke in Netzwerkzustand, Leistung und Sicherheit. Protokolle von Routern, Firewalls und Intrusion-Detection-Systemen (IDS) können aggregiert und analysiert werden, um Anomalien wie unerwartete Datenverkehrsmuster, Routenänderungen oder Zugriffsverletzungen zu erkennen. Tools wie NetFlow oder IPFIX helfen dabei, Datenflüsse zu verfolgen und ungewöhnliches Verhalten zu identifizieren.

Systeme zur Anomalieerkennung, insbesondere solche, die maschinelles Lernen nutzen, können subtile Abweichungen erkennen, die auf Bedrohungen wie DDoS-Angriffe oder kompromittierte Systeme hindeuten können. Layer-3-Protokolle sind zudem für die Untersuchung von Vorfällen und die Einhaltung von Vorschriften unerlässlich. Um effektiv zu sein, müssen Protokollierungssysteme skalierbar, zeitstempelsynchronisiert und vor Manipulation geschützt sein.

5. IP-Zuweisungen dokumentieren und überwachen

Die Pflege aktueller Dokumentationen zur IP-Adressvergabe hilft, Konflikte zu vermeiden, unterstützt die Reaktion auf Sicherheitsvorfälle und erleichtert die Fehlersuche. IP-Adressverwaltungssysteme (IPAM) können die Nachverfolgung von Adresszuweisungen, Ablaufdaten von Leases und Subnetznutzung automatisieren und so Einblick in die aktuelle und historische Nutzung ermöglichen.

Die aktive Überwachung der IP-Adressnutzung kann auch unautorisierte Geräte, manipulierte DHCP-Server oder Spoofing-Versuche von Adressen aufdecken. Regelmäßige Audits gewährleisten, dass die IP-Adressvergabe den Unternehmensrichtlinien entspricht und helfen, ungenutzten Adressraum zurückzugewinnen. Eine genaue Dokumentation ist besonders wichtig in Netzwerken, die sowohl IPv4 als auch IPv6 nutzen, da die manuelle Nachverfolgung bei großem Umfang fehleranfällig wird.

Netzwerksicherheit mit Exabeam

Eine Plattform für Sicherheitsoperationen stärkt die Netzwerksicherheit, insbesondere auf der OSI-Schicht 3, der Netzwerkschicht. Die Plattform erfasst und analysiert verschiedene Datenquellen, darunter logische Adressen, Aktualisierungen der Routing-Tabelle und Paketweiterleitungsereignisse. Diese umfassende Datenerfassung ermöglicht Einblicke in die Weiterleitung von Datenpaketen über verschiedene Netzwerke hinweg, einschließlich logischer Adressierung, Pfadbestimmung und Fragmentierung. Durch die Festlegung von Referenzwerten für typische Schicht-3-Operationen kann die Plattform Abweichungen identifizieren, die auf eine Sicherheitslücke oder einen Angriffsvektor hindeuten können.

Treten verdächtige Ereignisse auf, wie beispielsweise ungewöhnliche Routing-Updates, Ping-basierte Angriffe, DDoS-Angriffe oder IP-Fragmentierungsanomalien, integriert die Plattform diese Erkenntnisse mit umfassenderen Sicherheitsinformationen. Diese Integration hilft, Layer-3-Anomalien im Kontext der gesamten Bedrohungslandschaft zu betrachten und ermöglicht es Sicherheitsteams, die potenziellen Auswirkungen und die Quelle eines Angriffs zu verstehen. Die Fähigkeit des Systems, das Routing-Verhalten und den Paketfluss über verschiedene Schichten hinweg zu überwachen, unterstützt die Zuordnung schädlicher Layer-3-Aktionen zu bestimmten Netzwerken oder Geräten.
Mithilfe fortschrittlicher Analysen und Verhaltensmodellierung ermöglicht die Plattform die Erkennung komplexer Layer-3-Angriffe, die herkömmliche signaturbasierte Abwehrmechanismen umgehen können. Ziel ist es, Sicherheitsteams praktische Erkenntnisse für die effektive Untersuchung und Abwehr von Bedrohungen zu liefern. Diese Strategie fördert eine widerstandsfähigere Sicherheitsarchitektur, indem sie Schwachstellen und schädliche Aktivitäten adressiert, die gezielt auf die grundlegenden Routing- und Adressierungsmechanismen des Netzwerks abzielen.