Netzwerksegmentierung neu denken Herausforderungen der Mikrosegmentierung

Anbieter zum Thema

Fsas Technologies GmbH

FTAPI Software GmbH

Da Unternehmen zunehmend ihre Server virtualisieren, containerisieren oder auf Infrastructure-as-a-Service (IaaS) umstellen, stoßen traditionelle Schutzmaßnahmen wie Firewalls, Lösungen zur Intrusionsprävention und Antivirensoftware an ihre Grenzen, um mit der schnellen Bereitstellung neuer Ressourcen Schritt zu halten.

Die Kompromittierung eines ersten Hosts ist ärgerlich, aber noch kein Drama. Der Administrator muss den Rechner wiederherstellen, gegebenenfalls den Nutzer auf eine Schulung schicken und weitere Sicherheitsmaßnahmen ergreifen. Das Drama beginnt erst, wenn sich Schadsoftware seitwärts über privilegierte Protokolle wie RDP, WinRM oder PowerShell ausbreitet und einen kritischen Teil der Unternehmensressourcen lahmlegt.

Dass Schadsoftware überhaupt seitwärts wandern kann, liegt daran, dass es in Netzen an Segmentierung mangelt. Unternehmen nutzen zwar zunehmend Makrosegmentierung mittels interner Firewalls um die Netze in Zonen trennen –, doch das reicht nicht aus. Zum einen haben die Zonen eine gewisse Größe, und ist ein Rechner erst kompromittiert, kann sich die Infektion in der ganzen Zone ausbreiten. Zum anderen richten sich die Regeln richten meist nach dem „lautesten“ System. Geräte mit hohem Kommunikationsbedarf diktieren in der Regel die Kommunikationsmöglichkeiten der ganzen Zone. Das wiederum führt dazu, dass die Regeln der internen Firewalls zu permissiv sind. Hinzu kommt, dass das Regelwerk statisch ist, wobei jede Änderung manuellen Aufwand erfordert und die Tür für menschliches Versagen öffnet.

Lateral Movement Paths (LMPs)

Wie sich Hacker in einem Netzwerk ausbreiten

Herausforderungen der herkömmlichen Mikrosegmentierung

Mikrosegmentierung bedeutet, dass jedes Asset – ob Rechner, Drucker oder eine Industriesteuerung – in einer eigenen „Firewall-Blase“ steckt. Ziel ist es, Infektionen zu isolieren und dafür zu sorgen, dass sich Ransomware oder andere Bedrohungen nicht erst ausbreiten können.

Der Gedanke ist plausibel, aber traditionelle Mikrosegmentierungsansätze scheitern oft an ihrer Komplexität. Dies beginnt mit der Voraussetzung, Agenten zu nutzen, also Software auf jedem zu schützendem System zu installieren.

Darüberhinaus ist das manuelle Taggen, Gruppieren sowie Erstellen und Pflegen von Regeln für sogar nur ein paar Dutzend Assets äußerst zeitaufwendig; die Verwaltung von Hunderten oder Tausenden von Assets stellt eine noch größere Herausforderung dar.

Hinzu kommt, wie bei der Makrosegmentierung, das Problem statischer Regeln, denn jede Ausnahme oder Änderung erfordert menschliches Zutun.

Es ist kein Wunder, dass ein großes US-Marktforschungsunternehmen zu dem ernüchternden Schluss kommt: „Mikrosegmentierungsprojekte dauern länger als die durchschnittliche Amtszeit des CISO.“ Fairerweise zu erwähnen ist, dass diese in den USA oft nur zwei Jahre beträgt. Nichtsdestotrotz bedeutet das, dass sich eine signifikante Investition erst nach zwei Jahren rechnet.

Zero Trust Network Access und Zero-Trust-Segmentierung

Zero Trust braucht Mikrosegmentierung

Was muss sich ändern, damit Mikrosegmentierung praktikabel wird?

Drei Dinge sind nötig, um Mikrosegmentierung endlich praktikabel zu machen: Nutzung von existierenden Architekturen, automatisiertes Tagging und Regelerstellung und automatisierte, zeitlich begrenzte Ausnahmen per Multi-Faktor-Authentifizierung (MFA).

Warum das Rad neu erfinden? Seit Windows 7 gibt es eine solide Firewall, die sich auf per-Asset-Ebene zwar nicht einfach administrieren lässt, aber ansonsten zeitgemäß ist. Man muss also nur die existierende Host-Firewall auf einfache Art nutzbar machen. Mit einem „Segmentierungs-Server“ ließen sich per WinRM individuell die inbound-Regeln dieser Firewalls konfigurieren. Bei Linux stünden die eingebauten IP Tables per SSH zur Verfügung – ebenfalls ohne den Einsatz von Agenten.

Dieser Segmentierungs-Server könnte mittels einer Lernphase von zwei bis vier Wochen automatisch den legitimen Netzwerkverkehr identifizieren, jedem Asset einen Tag zuweisen, wie z.B. „Webserver“ oder „Oracle-Server“ und daraus Regeln erstellen – ohne händisches Eingreifen. Dies sind vier Wochen, in denen sich das IT-Team mit sinnvolleren Tätigkeiten als dem Schreiben von Regeln beschäftigen könnte. Entgegen dem Trend ist hier keine künstliche Intelligenz oder maschinelles Lernen erforderlich, sondern nur die Anwendung von deterministischen Verfahren. Kontroll-Freaks könnten ihre Regeln nochmals stichprobenartig simulieren und dann scharf schalten. Ab diesem Zeitpunkt gibt es dann keinen Verkehr mehr über die privilegierten Protokolle wie RDP, SSH und Remote-PowerShell, die typischerweise von Ransomware zur Weiterverbreitung verwendet werden.

Die Folgefrage wäre nun aber, was beispielsweise ein Domain-Administrator macht, der eine RDP-Verbindung zum Domain Controller für seine Aufgaben braucht. Anstatt Port 3389 (RDP) erst zu öffnen, und nach getaner Arbeit zu versäumen, ihn wieder zu schließen, könnten Ausnahmen automatisiert und nach einer Multi-Faktor-Authentifizierung (MFA) über das existierende IDP-Werkzeug (Entra ID, DUO, Okta etc.) erfolgen. Dies ließe sich für jede beliebige Kombination aus Ziel- und Quell-Prozess, Port, Benutzer sowie Ziel- und Quell-Asset realisieren. Im Bedarfsfall muss auch die Verbindung zur Kaffeemaschine MFA-fähig gemacht werden können, und auch das natürlich immer zeitlich begrenzt.

Was unter einer Mikro-Segmentierung zu verstehen ist

Grundlagen der automatisierten Netzwerk-Segmentierung

Fazit: Mikrosegmentierung in 30 Tagen

Mit Bordmitteln, automatisierter Regelerstellung und MFA-gestützten Ausnahmen kann ein Netzwerk automatisiert innerhalb weniger Wochen gegen alle Angriffsverfahren resistent gemacht werden, die Seitwärtsbewegungen nutzen, auch und insbesondere gegen Ransomware. Da kein Agent installiert werden muss, ist es den Arbeitsaufwand betreffend gleichgültig, ob sich 50, 500 oder 5000 Assets im Netz befinden.

Wie sieht es jedoch aus mit Assets ohne Host-Firewall, wie Drucker, Kameras und industrielle Komponenten? Auch diese lassen sich schützen, ebenfalls mittels einer Lernphase und automatisierter Regelerstellung, nur mit einem anderen Umsetzungsmechanismus, nämlich dem automatisierten Konfigurieren der Access Control Lists (ACLs) auf den Switches. An den wenigen Wochen zur Umsetzung ändert sich dadurch nichts.

Über den Autor: Kay Ernst ist Regional Sales Manager bei Zero Networks.

(ID:50365938)