Vorsicht an der Digital Edge! ISPs müssen in diesem Jahr ein neues Sicherheitskapitel aufschlagen

Anbieter zum Thema

SonicWall Germany

Arvato Systems

Keeper Security EMEA Ltd.

Netscout, Kastor & Pollux

Durch Investitionen an der Digital Edge, also am Rand der digitalen Netzwerke, sind Internet Service Provider (ISPs) in der Lage, ihren Kunden eine Vielzahl neuer Dienste anzubieten sowie ihre operative und infrastrukturelle Effizienz zu steigern. Allerdings ist die DDoS-Landschaft unberechenbarer denn je, daher müssen ISPs für 2021 ein neues Kapitel in ihrer Sicherheitsstrategie aufschlagen.

In den letzten Jahren hat sich die Architektur der ISP-Netzwerke weiterentwickelt. Dabei wurden vor allem Investitionen in die Infrastruktur für Inhalte und Services sowie in das verteilte Peering über die Customer Edge hinweg getätigt.

Zudem kam im vergangenen Jahr ein neuer Faktor hinzu, und zwar die Edge-Rechenzentren, die von vielen Betreibern drahtgebundener Netze geplant und realisiert wurden. Wir alle haben von MEC (Multi-Access Edge Cloud) gehört, das neue, latenzsensitive Services für den Zugang zu Anwendungen und Diensten im 5G-Mobilfunknetz erlaubt. Das aber können einige ISPs auch drahtgebunden bieten.

Die Art des Datenverkehrs in ISP-Netzwerken ändert sich also (erneut). Und dies führt in 2021 zu kritischen Infrastrukturen, die ungleich schwerer abzusichern sind. Da sie sich nicht mehr in den zentralen Rechenzentren befinden, sondern auf Standorte an der Digital Edge verteilt sind. Für Cyber-Kriminelle heißt dies: Die potenzielle Angriffsfläche wird sich vergrößern.

Neue Möglichkeiten am Netzwerkrand

Noch vor zehn Jahren waren die ISP-Netzwerke mit ihren Peering-, Core- und Provider-Edge-Routern hierarchisch aufgebaut. Dies sorgte für übersichtliche Konnektivitätsebenen und einen transparenten Nord-Süd-Datenfluss zwischen Rechenzentren und Clients. Endanwender und Unternehmen konsumierten Inhalte, die über zentrale Peering- und Transitverbindungen bereitgestellt wurden. Doch dies hat sich verändert.

Netzwerkknoten sind heute mit einer stetig steigenden Zahl weiterer Knoten verbunden, Router werden immer vielseitiger und der Traffic fließt in alle Richtungen, da die Content-Caches und Peering Points immer mehr verteilt platziert sind. Dies liegt vor allem in den wachsenden Volumina des Traffics von OTT-Services (OTT = Over-the-top content) - insbesondere für Videos - begründet, die es für ISPs notwendig machen, Inhalte in unmittelbarer Nähe zu den Endanwendern bereitzustellen, um die Kosten gering- und die Dienstqualität hochzuhalten. Neu ist das nicht, aber es wirkt sich bei Investitionen in die Netzwerkinfrastruktur aus, bei denen nun die Digital Edge in den Fokus rückt.

Neu ist dagegen, dass die verteilten Cache-Infrastrukturen nun Erweiterungen durch andere Infrastrukturen für Mehrwertdienste erfahren - etwa für das Cloud-Gaming wie „Microsofts xCloud“ und „Google Stadia“, Service-Enabler wie DNS (Domain Name System)und AAA (kurz für Tripple-A: Authentifizierung , Autorisierung, Abrechnung des Netzwerkzugangs von Kunden) sowie 5G Packet-Core. Diese neuen Infrastrukturen befinden sich in Software-definierten Rechenzentren oder Erweiterungen der Public-Cloud-Infrastruktur und werden über ISP-Netzwerke in unmittelbarer Nähe zu Kunden bereitgestellt.

Die Struktur in Software Defiend Datacenter

Dabei handelt es sich um Racks mit generischen Rechnern, die mit einer Software-Defined Networking (SDN)-Umgebung verbunden sind, in der alle Services und Anwendungen virtualisiert oder containerisiert und vollständig orchestriert sind. Diese neuen Umgebungen ermöglichen neue Dienste und Effizienzsteigerungen, wodurch ISPs zusätzliche Umsatzquellen erschließen sowie Einsparungen bei den Betriebs- und Infrastrukturkosten realisieren können.

Ein neuer Ansatz zur Sicherung von Netzwerken

Wie bei jeder neuen Entwicklung bestehen jedoch auch hier Risiken. Für ISPs ist es mittlerweile selbstverständlich, ihre Netzwerke, Services und Kunden vor DDoS-Attacken (DDoS = Distributed Denial of Service) zu schützen, indem sie semizentrale Abwehrfunktionen einsetzen, die meist an den wichtigen Peering-Standorten implementiert sind. Angesichts der Tatsache, dass Investitionen schwerpunktmäßig in Kapazitäten und Service-Infrastrukturen an der Digital Edge erfolgen, ist das Backhauling des potenziellen Angriffsverkehrs über das Netzwerk aber weder wünschenswert noch praktisch. Vielmehr ist es notwendig, Bedrohungen durch verteilte Sicherheitsfunktionen bereits am Rand des Netzwerkes zu erkennen und diesen Traffic dort, also an seinem Eintrittspunkt, zu blockieren - unabhängig davon, ob er über eine Peer-, Kunden- oder Public-Cloud-Verbindung kommt.

Ist schon dies eine große Veränderung, hat sich zu allem Überfluss zusätzlich auch die DDoS-Bedrohungslandschaft verändert: Angriffe erfolgen mit höherer Frequenz (im Jahr 2020 wurde eine Zunehme um 15 Prozent gegenüber dem Vorjahr verzeichnet), sind aber zugleich auch kurzlebiger und komplexer (die Zahl der Attacken mit 15 oder mehr Angriffsvektoren ist seit 2017 um 2.851 Prozent gestiegen). Hinzu kommt die Gefahr, dass IoT-Geräte jedweder Art und Größe in Botnets zusammengefasst und für DDoS-Angriffe eingesetzt werden.

Drei wichtige Grundlagen für die Netzwerksicherheit im Jahr 2021

Die beschriebene Konstellation führt zu erweiterten Anforderungen, die ISPs bei ihren Schutzmaßnahmen vor DDoS-Angriffen erfüllen müssen. Dabei bilden die Aufgabengebiete Automatisierung, Orchestrierung und Integration den Kern für eine adäquate Risikominimierung:

• Automatisierung: Um die immer komplexer werdenden Attacken ohne einen operativen Overhead und mit kurzen Reaktionszeiten abzuwehren, müssen Sicherheitsprozesse einschließlich der genutzten DDoS-Services aus der Cloud automatisiert werden.

• Orchestrierung: Die Zusammenführung und eine gemeinsame Verwaltung der über mehrere Standorte an der Digital Edge und darüber hinaus verteilten Sicherheitsfunktionen ist die Grundlage, um für die verwundbaren virtualisierten und containerisierten Umgebungen einen effektiven Schutz vor Angriffen zu gewährleisten.

• Integration: Eine wirkungsvolle Eindämmung von DDoS-Attacken setzt die Kombination der intelligenten und infrastrukturellen Schutzfunktionen auch in komplexen Umgebung mit Lösungen unterschiedlicher Anbieter am Netzwerkrand voraus.

Bestehende Lösungen müssen sich also weiterentwickeln, um den neuen Anforderungen gerecht zu werden, die durch neue Technologien, veränderte Arbeitspraktiken und die Verlagerung des Traffic entstehen. Die Absicherung bereits an der Digital Edge schafft die Basis für eine schnelle und kosteneffektive Reaktion auf DDoS-Bedrohungen. Für ISPs wird dies eine maßgebliche Voraussetzung für die erfolgreiche Bereitstellung von Services der nächsten Generation im Jahr 2021 sein.

* Darren Anstee ist CTO für Security bei Netscout.

(ID:47237483)