Was unter einer Mikro-Segmentierung zu verstehen ist Grundlagen der automatisierten Netzwerk-Segmentierung

Anbieter zum Thema

Fujitsu Technology Solutions GmbH

SEPPmail - Deutschland GmbH

TXOne Networks

AlgoSec

Hacker finden ständig Wege, um an Sicherheitslösungen vorbei in Netzwerke einzudringen, um Unternehmen zu erpressen oder lahmzulegen. Folglich besteht Prävention nicht nur aus Sicherheits-Software, sondern ebenso aus der klugen Strukturierung des eigenen Netzwerks, um die Angriffsfläche zu verkleinern.

Mikro-Segmentierung und allgemeine Segmentierung des Netzwerks bedeutet, dass man sein Netzwerk in Bereiche teilt, worin die Kommunikation getrennt abläuft und an deren Grenzen Sicherheitsrichtlinien und Sicherheitslösungen, wie Firewalls, den Datenfluß kontrollieren. Sind die so entstanden Segmente sehr klein, spricht man von der Mikro-Segmentierung. Wenn nun ein Bereich von einem Angriff betroffen ist, so wird der Angreifer bei schneller – automatisierter – Reaktion darin eingesperrt und man kann dadurch verhindern, dass sich die Attacke auf andere Gebiete erstreckt. Dies ist besonders effektiv gegen Ransomware einsetzbar.

Schutz gegen Ransomware

Ransomware hat sich in den letzten Jahren zur Mode unter den Malware-Aktivitäten gemausert. Dabei wird ein Computer mit einer Verschlüsselungs-Software infiziert, die sich von diesem ausgehend im Netzwerk verbreitet. Am Ende steht die Lösegeldforderung. Es gibt verschiedene Wege, um sich gegen Angriffe dieser Art zu schützen. Einer der besten ist die Segmentierung des Netzwerkes. Erfolgt dann ein Ransomware-Angriff gegen ein Segment, so bleibt der Angriff innerhalb von diesem stecken und kann sich, auf der Suche nach den wertvollsten Dateien, nicht verbreiten – also im Netzwerk hin- und herspringen oder seitlich (lateral) bewegen – wodurch großer Schaden abgewandt wird, obwohl die Verteidigungslinie der Sicherheitslösungen durchbrochen wurde.

Verbindung zu Zero Trust

Zero Trust beschreibt ein Konzept, wie man über IT-Sicherheit denken kann: Es wird grundsätzlich niemandem vertraut, ob Benutzer oder Gerät. Zugangsrechte werden nur jenen erteilt, die sie wirklich benötigen – und in eben diesem Umfang. Keiner sieht das gesamte Netzwerk. Ein automatisierter Mechanismus zur Durchsetzung der Zero-Trust-Sicherheitsregeln sollte sich auf der Netzwerkebene befinden, der keine Verbindungen zulässt, die nicht für kritische Anwendung notwendig sind. Hier kommen die Segmentierung und Mikro-Segmentierung ins Spiel: Sie stellen die optimale Architektur dar, um dieses Konzept der Unsichtbarkeit des Netzwerks wirklich umzusetzen.

Einfluss fortschreitender Technologie

IT-Technologie ändert die Weise, wie Mikro-Segmentierung eingesetzt wird. Früher war es schwierig ein Netzwerk in kleine Segmente zu teilen, weil viel Aufwand und menschliche Arbeit notwendig waren. Daher sind wenige Unternehmen diesen Weg gegangen. Heutzutage wird das Projekt jedoch durch fortschrittliche Produkte zur Automatisierung der Verwaltung und Überwachung der Vorgänge im Netzwerk erleichtert, insbesondere im Bereich der Cloud-Technologie. Diese nutzen Filterfunktionen, um das Netzwerk in beliebigem Grad zu segmentieren. Dabei muss man sich nicht um Änderungen an der Verkabelung, Verdrahtung und Streckenführung, sorgen, weil sich alles im Netzwerk auf der digitalen Ebene abspielt.

Segmentierung mit Agenten als Alternative

Neben der bereits genannten Möglichkeit der auf dem Netzwerk basierten Segmentierung gibt es die Alternative der auf Agenten basierten Teilung. Die Idee lautet, dass der Anbieter des Produkts seinen Agenten in jedem Computer und Server der IT-Umgebung platziert. Dieser Agent ist in der Lage, die Verbindungen, die zum jeweiligen Host fließen oder von ihm weg, zu kontrollieren und die Regeln durchsetzen. Die Anbieter verfügen über eine zentrale Verwaltungseinrichtung, sodass man als Kunde seine Richtlinie nur einmal schreiben muss und das System diese dann allen Agenten bereitstellt. Dadurch wird jeder Agent konfiguriert, die Richtlinie zu befolgen. Es ist eine andere Technologie, bei der nicht im Netzwerk sondern in jedem einzelnen Host agiert wird, doch beide Ansätze verfolgen dasselbe Ziel. Sie schließen sich nicht aus. Man kann beide Ideen zusammen oder allein verwenden.

Container und Kubernetes

Innerhalb eines nach der Software definierten Netzwerks kann man zusätzlich eine Kubernetes-Umgebung festlegen und erhält so ein Netzwerk innerhalb eines Netzwerks. Es gibt dabei Container, die im Inneren der Kubernetes-Cluster laufen. Jeder davon ist wie ein Mini-Computer zu betrachten. Innerhalb der Cluster sowie auf dem Weg von innerhalb nach außen herrscht ständig Konnektivität. Wenn man diese Art der Technologie unterstützt, erhält man einen weiteren Bereich, in dem eine Richtlinie eingeführt werden kann. Kubernetes besitzt zudem eine integrierte Funktionalität, die Filterung ermöglicht. Es gibt auch Programme, mit deren Hilfe diese Filter an der Grenze zwischen einem Cluster und einem anderen eingesetzt werden können. Für einen besonders hohen Grad an Segmentierung könnten die Fachleute sogar mit einer auf Agenten basierten Lösung einen solchen Agenten in jedem Container platzieren, wodurch sie Mikro-Segmentierung sogar innerhalb jedes Clusters erwirken.

Vereinbarkeit von Segmentierung und Rechenzentrum

Da viele Firmen weiterhin ein Rechenzentrum nutzen, ist es sehr von Vorteil, dass sie dennoch eine Segmentierung einsetzen können, um dieses in mehrere Ebenen zu gliedern. Der Ablauf ist etwas anders: Man könnte zunächst eine Makro-Segmentierung vornehmen und dann innerhalb der entstandenen Makro-Zonen nun Mikro-Zonen schaffen. Es ist eine sehr gute Idee, dabei eine hybride IT-Umgebung einzuführen, da man so die Vorteile der verschiedenen Technologien erntet.

Mit Sinn und Verstand herangehen

Man darf bei der Umsetzung jeder Art von IT-Projekt nicht dem Irrtum erliegen, dass man die zugehörige Technologie in Form von Produkten nur kaufen muss und es damit getan ist. Die richtige Lösung zu wählen ist lediglich der erste Schritt. Nach dieser Entscheidung muss man die Produkte konfigurieren. Zum Beispiel wird bei der Segmentierung eine eigene Richtlinie benötigt, die festlegt, wo eine Konnektivität erlaubt ist. Ebenso müssen die spezifischen Prozesse, Ports und Dienste in der Richtlinie festgehalten werden, wobei auch explizit zu erwähnen ist, dass die Regel nur die dort niedergeschrieben betrifft. Dies ist von entscheidender Bedeutung zur Gewährleistung einer kontinuierlichen Anwendungskonnektivität, sobald eine Änderung stattfindet, damit die Mikro-Segmentierung nicht zerstört wird. Bei diesem Prozess der Untersuchung aller Verbindungen und Festlegung entsprechender Richtlinien spielt eine Automatisierung, die den dünn gesäten Fachkräften unter die Arme greift, ihre Stärken aus. Somit ist die Segmentierung sehr lohnendes Projekt, das aber Planung, Fachwissen und Absprache verlangt.

Über den Autor: Professor Avishai Wool ist CTO und Mitgründer von AlgoSec.

(ID:48443124)