Automatisierte Sicherheitspolitik für SDDC Schlanke Verwaltung von Sicherheitsregeln im Software-definierten Rechenzentrum

Die manuelle Verwaltung von Sicherheitsrichtlinien ist in den heutigen dynamischen IT-Umgebungen nicht nachhaltig. Dies gilt vor allem in Software-definierten Rechenzentren (SDDC, Software-defined Datacenter).

Anbieter zum Thema

sysob IT-Distribution GmbH & Co. KG

Keeper Security EMEA Ltd.

Arctic Wolf Networks Germany GmbH

Palo Alto Networks

VMware Global Inc Zweigndl. Deutschland

Ganz ohne den „Faktor Mensch“ geht es nicht: Die Definition, Implementierung und Verwaltung von Sicherheitsregeln im Rechenzentrum ist nach wie vor ein manueller Prozess, der fehleranfällig ist und die Effektivität der Sicherheitsmaßnahmen sogar einschränken kann.

Die Sicherheitslage wird geschwächt durch die Verwendung von rudimentären Netzwerkdomänen-spezifischen Layer-2- und Layer-3-Elementen wie IP-Adressen, VLANs, Ports und Protokolle. Anspruchsvolle Angriffe werden dadurch nicht erkannt oder verhindert, da sie einen Weg finden, um Layer-2- und Layer-3-basierte Regeln zu umgehen.

Die Herausforderung, eine einheitliche, automatisierbar Sicherheitspolitik zu definieren, wird zusätzlich erschwert, wenn die Quellen der Sicherheitsregeln verteilt sind über mehrere punktuelle Produkte wie Legacy-Firewalls, IPS, IDS und Web-Sicherheitsdienste. Jede dieser Quellen kann konkurrierende Ziele haben und unterliegt Regeländerungen in unterschiedlicher Frequenz. Zudem sind oftmals inkonsistente Automatisierungsfunktionen vorhanden und es findet wenig bis gar keine Interaktion mit anderen Diensten im Rechenzentrum statt.

Automatisierte Sicherheitspolitik für Software-definierte Rechenzentren

Mit anderen Worten, gibt es hier viel zu verwalten. Es besteht auch der Bedarf für eine Sicherheitsdomänen-spezifische Regelsprache, die mehrere Komponenten für den Aufbau einer einheitlichen Sicherheitspolitik im SDDC umfasst – und erweiterbar ist auf öffentliche Cloud-Umgebungen.

Auf der gerade zu Ende gegangenen VMworld in Las Vegas stand einmal mehr das Thema NSX auf der Agenda – auch bei Palo Alto Networks. Die Integration von „VMware NSX“ mit den virtualisierten Next-Generation-Firewalls des Unternehmens löst das Problem durch die Automatisierung der Sicherheitsregeln im gesamten SDCC.

Konfigurationsänderungen an der Infrastruktur und Informationen zur Anwendungsmobilität werden ohne Fehler in Sicherheitsrichtlinien übersetzt. Der Prozess wird mittels API-Schnittstellen zwischen dem „VMware NSX-Manager“ und der Netzwerksicherheits-Management-Plattform „Panorama“ automatisiert.

Über APIs verzahnt

Dadurch stehen ausdrucksstarke Elemente wie dynamische Adressgruppen zur Verfügung, um die Regelelemente von anderen Rechenzentrumsdiensten, wie „Security Tags“ von VMware NSX Manager, übersetzen zu können. Dieses Konstrukt von „Sicherheitsprofilen“ bietet umfangreiche Layer-7-Elemente für exakten inhaltlichen Abgleich. Dies verstärkt die Aussagekraft einer Sicherheitsregel über die begrenzten Möglichkeiten von Port-/Protokoll-Elementen hinaus.

Natürlich das das Software-definierte Rechenzentrum keine reine NSX-Domäne. Wir bieten Sicherheit für jede Umgebung – durch zusätzliche Unterstützung von OpenStack, „Microsoft Azure“ und „Hyper V“ für die VM-Reihe von Palo Alto Networks. Außerdem können Unternehmen durch die Verbesserung der Auto-Scaling-Unterstützung in „AWS“ eine skalierbare Sicherheitsarchitektur aufbauen, die konsistente Präventionsmaßnahmen ermöglicht.

Diese können vom Netzwerk heraus auf die öffentliche und private Cloud und auch entfernte Benutzer ausgedehnt werden. Sicherheitspolitik im Rechenzentrum ist außerdem abhängig von mehreren Quellen für Sicherheitsregeln, die sich über die verschiedenen Komponenten der Netzwerkinfrastruktur erstrecken.

Ein Panorama an Sicherheitsregeln

Die Netzwerksicherheits-Management-Plattform „Panorama“ bietet ein kohärentes Sicherheitspolitik-Management, das sich auf physische und virtuelle Firewalls der nächsten Generation erstreckt. Dieses ist umso effektiver, wenn es mit Partnern wie „Tufin“ integriert wird. Die Security Orchestration Suite von Tufin, integriert mit Panorama, sorgt dafür, dass die Interaktionen zwischen Datacenter-Netzwerkregeln und Sicherheitsregeln auf eine optimierte Art und Weise erfolgen.

Zukunftsfähige Sicherheitslösungen zeichnen durch drei Merkmale aus: Sie müssen ein hohes Maß an Automatisierung ermöglichen, sie sollten die Integration von Lösungen verschiedener Anbieter ermöglichen und zugleich einem Plattformansatz folgen. Das Silodenken muss raus aus den Köpfen. Konsistente Sicherheitsmaßnahmen, die sich sowohl über private als auch über öffentliche Clouds erstrecken, sind dafür nur ein Beispiel.

* Thorsten Henning ist Senior Systems Engineering Manager Central & Eastern Europe bei Palo Alto Networks.

(ID:44264629)