Definition Mikrosegmentierung Was ist Mikrosegmentierung?

Mikrosegmentierung ist eine spezielle Form der Netzwerksegmentierung. Sie unterteilt Netzwerke in kleine, isolierte Bereiche (Segmente). Dadurch können der Datenverkehr und die Workload-Kommunikation präzise und detailliert gesteuert und kontrolliert werden. Mikrosegmentierung ist eine Grundlage zur Implementierung des Zero-Trust-Prinzips.

Der englische Begriff für Mikrosegmentierung lautet Micro Segmentation. Manchmal werden auch alternative Begriffe wie Zero-Trust-Segmentierung oder identitätsbasierte Segmentierung verwendet. Prinzipiell handelt es sich bei der Mikrosegmentierung um eine besondere Form der Netzwerksegmentierung. Netzwerke werden in sehr kleine, untereinander isolierte Bereiche (Segmente) unterteilt. Diese Segmente stellen Sicherheitszonen dar, die die Netzwerkteilnehmer, Anwendungen und Workloads voneinander trennen. Dadurch lassen sich die Datenverkehre und die Kommunikation der Workloads sehr präzise und detailliert steuern und kontrollieren. Jeder Nutzer, jede Anwendung und jeder Workload darf nur auf die Ressourcen zugreifen, die für die Ausführung einer bestimmten Funktion benötigt werden. Es können Sicherheitsrichtlinien und Zugriffskontrollen implementiert werden, die den Datenverkehr und die Workload-Zugriffe gemäß den sogenannten Least-Privilege- und Zero-Trust-Prinzipien einschränken.

Das Prinzip der Mikrosegmentierung kann sowohl in klassischen, rechenzentrumsbasierten On-Premises-Umgebungen als auch in Cloud- und Hybrid-Cloud-Infrastrukturen umgesetzt werden. Die Mikrosegmentierung ist zu einem wichtigen Element moderner IT-Sicherheitsstrategien geworden. Sie hilft, den sogenannten Ost-West-Verkehr gezielt zu kontrollieren und zu beschränken. Darüber hinaus minimiert sie die Angriffsfläche, schränkt die laterale Ausbreitung von Bedrohungen ein, minimiert das Risiko für Sicherheitsverletzungen, verbessert den Schutz sensibler Daten und trägt zur Erfüllung von Compliance-Anforderungen oder rechtlichen Vorgaben bei.

Netzwerksegmentierung neu denken

Herausforderungen der Mikrosegmentierung

Was ist der Unterschied zwischen Mikrosegmentierung und Netzwerksegmentierung?

Die Mikrosegmentierung ist eine besondere Form und Unterkategorie der Netzwerksegmentierung. Sie unterscheidet sich von der Netzwerksegmentierung vor allem in der Größe und der Art der Segmente, in die die Netzwerke unterteilt werden, und dadurch in der Granularität der Steuer- und Kontrollmöglichkeiten des Datenverkehrs.

Die Netzwerksegmentierung unterteilt Netzwerke zwar auch in kleinere Bereiche, diese sind aber deutlich größer als bei der Mikrosegmentierung. Sie haben in der Regel einen Bezug zu den Ebenen eins bis drei des OSI-Schichtenmodells. Es handelt sich beispielsweise um VLANs, Broadcast-Domänen oder Subnetze. Bei der Netzwerksegmentierung geht es vor allem darum, den sogenannten Nord-Süd-Verkehr über segmentbezogene Sicherheitsrichtlinien zu steuern und zu kontrollieren. Als Nord-Süd-Verkehr wird der Verkehr bezeichnet, der von außen in ein Segment oder aus einem Segment herausfließt, zum Beispiel die Client-Server-Kommunikation.

Die Mikrosegmentierung hingegen schafft sehr viel kleinere Segmente und zielt auf die Steuerung und Kontrolle des Ost-West-Verkehrs, zum Beispiel zwischen Anwendungen oder zwischen Servern, ab. Die Segmentierung ist nicht auf die OSI-Schichten ausgerichtet, sondern bezieht sich auf die Workload-Ebene. In der Art der technischen Implementierung unterscheidet sich die Mikrosegmentierung ebenfalls von der Netzwerksegmentierung. Für die Netzwerksegmentierung kommen typischerweise Geräte wie Switches, Router oder Firewalls an den Segmentgrenzen zum Einsatz. Die Mikrosegmentierung basiert auf softwaredefinierten Ansätzen und wird über virtuelle Funktionskomponenten implementiert. Diese softwaredefinierte Implementierung bietet wesentlich detailliertere Kontroll- und Steuerungsmöglichkeiten des Datenverkehrs und ermöglicht eine feingranulare, flexible Anpassung der Sicherheitsrichtlinien über ein zentralisiertes Management.

Folgende Tabelle zeigt die wichtigsten Unterschiede zwischen der Netzwerksegmentierung und der Mikrosegmentierung:

Implementierungsansätze und Funktionsweise der Mikrosegmentierung

Bei der Implementierung der Mikrosegmentierung können verschiedene Ansätze unterschieden werden. Die Mikrosegmentierung lässt sich netzwerkbasiert, hostbasiert, agentenbasiert, hypervisorbasiert oder cloudnativ umsetzen. Welcher Ansatz verwendet wird, hängt von der jeweiligen Umgebung und den Anforderungen ab. Die netzwerkbasierte Mikrosegmentierung orientiert sich an der Netzwerkinfrastruktur. Agenten-, host- oder hypervisorbasierte Ansätze nutzen Softwareagenten oder die Virtualisierung zur Isolierung von Workloads oder Hostprozessen. Bei cloudnativen Ansätzen werden die vom Cloud-Serviceanbieter bereitgestellten Funktionen zur Segmentierung genutzt.

Typisch für alle Ansätze ist, dass in der Regel keine physischen Netzwerkgeräte und -funktionen zur Unterteilung in die Segmente und zur Kontrolle und Steuerung der Datenverkehre oder Zugriffe zum Einsatz kommen, sondern die Mikrosegmentierung softwarebasiert mithilfe von Konzepten wie dem Software-Defined Networking (SDN) implementiert wird. Dadurch lassen sich virtuelle Netzwerkinfrastrukturen herstellen, in denen jeder Teilnehmer, jede Anwendung, jeder Workload und jede Ressource einem eigenen Segment zugewiesen werden kann. Die Zuweisung kann flexibel über verschiedene Kriterien sowohl für physische als auch für virtuelle Ressourcen erfolgen. Es können Segmente auf Workload-Ebene eingerichtet werden, bei denen sich die zur Ausführung der Workload-Aufgaben benötigten Ressourcen über individuelle Richtlinien kontrollieren und steuern lassen. Für jedes Segment gelten spezifische Richtlinien, die festlegen, welche Endpunkte welche Ressourcen nutzen dürfen und welche Daten ausgetauscht werden dürfen. Die Richtlinien werden über Inspektionspunkte durchgesetzt. Eine Grundvoraussetzung für die Anwendung und Durchsetzung der Richtlinien ist, dass die Identität jedes Endpunkts authentifiziert ist. Gemäß dem Zero-Trust-Prinzip dürfen nur authentifizierte Endpunkte, für die entsprechende Berechtigungen definiert sind und vorliegen, auf Ressourcen oder andere Endpunkte zugreifen.

Mikrosegmentierung und das Zero-Trust-Prinzip

Die Mikrosegmentierung wird teilweise als Zero-Trust-Segmentierung bezeichnet. Das ist darauf zurückzuführen, dass sie eine wichtige technische Grundlage und Schlüsselkomponente zur Implementierung des Zero-Trust-Prinzips in einer IT-Infrastruktur darstellt.

Das Zero-Trust-Prinzip besagt, dass grundsätzlich keinem Netzwerkteilnehmer vertraut wird und jeglicher Datenverkehr potenziell bedrohlich ist. Bedrohungen können sowohl innerhalb als auch außerhalb der abgesicherten Netzwerkgrenzen auftreten. Aufgrund dieser Annahmen müssen alle Netzwerkteilnehmer authentifiziert und sämtliche Datenverkehre kontrolliert werden. Zugriffe auf Ressourcen sind standardmäßig untersagt und müssen explizit gewährt werden.

In komplexen Netzwerken mit großen Netzwerksegmenten ist das kaum zu realisieren, denn in klassischen Netzwerkarchitekturen greifen die Sicherheitsrichtlinien und Zugriffskontrollen nur an den Netzwerk- beziehungsweise Segmentgrenzen. An dieser Stelle greift das Konzept der Mikrosegmentierung. Die Mikrosegmentierung richtet sehr kleine, Workload-bezogene Segmente ein. So können die Sicherheitsrichtlinien und Zugriffskontrollen feingranular auf Workload-Ebene identitätsbezogen eingerichtet und durchgesetzt werden. Dank der Mikrosegmentierung lassen sich softwaredefinierte Mikroperimeter um bestimmte Anwendungen, Workloads und Umgebungen herum realisieren.

Welche Vorteile bietet die Mikrosegmentierung?

Die Mikrosegmentierung bietet eine Vielzahl an Vorteilen. Sie ermöglicht eine sehr präzise und feingranulare Steuerung und Kontrolle des Netzwerkverkehrs und der Zugriffe auf Ressourcen bis auf Workload- und Anwendungsebene. Das bezieht sich nicht nur auf den Nord-Süd-Verkehr, sondern vor allem auf den Ost-West-Verkehr. Mikrosegmentierung bietet vollständige Transparenz und Kontrolle über den Datenfluss zwischen den Endpunkten oder den Workloads. Diese Transparenz erlaubt es, Sicherheitsverstöße schneller zu erkennen und effektiver einzudämmen. Mikrosegmentierung reduziert die Angriffsfläche, verhindert unerwünschte laterale Bewegungen innerhalb des Netzwerks und hilft, Sicherheitsvorfälle oder Datenschutzverletzungen einzudämmen. Die potenziell schädlichen Auswirkungen eines Angriffs sind deutlich reduziert. Zudem ist eine schnellere und wirksamere Reaktion auf Sicherheitsbedrohungen möglich.

Der Aufwand für die Einrichtung, Verwaltung, Anpassung und Durchsetzung der Sicherheitsrichtlinien und Zugriffskontrollen ist durch die softwarebasierte, zentralisierte Administration reduziert und wesentlich effizienter und flexibler. Die Beschränkung des Datenverkehrs und der Datenzugriffe gemäß den Zero-Trust- und Least-Privilege-Prinzipien verbessert das allgemeine Sicherheitsniveau des Netzwerks, der Anwendungen und der Daten. Darüber hinaus erleichtert die Mikrosegmentierung die Umsetzung und Einhaltung gesetzlicher Vorgaben und Compliance-Richtlinien.

(ID:50453709)