Intent-based Networking und IT-Sicherheit Wie zielgerichtete Netzwerksicherheit das Unternehmen ankurbelt

Anbieter zum Thema

sysob IT-Distribution GmbH & Co. KG

Fujitsu Technology Solutions GmbH

Keeper Security EMEA Ltd.

AlgoSec

IT- und Sicherheits-Teams haben es schwer: Es wird von ihnen erwartet, dass sie neue Anwendungen und Digitalisierungs­initiativen ihres Unternehmens möglichst schnell implementieren und diese kritischen Anwendungen und Daten in zunehmend komplexeren und hybriden Netzwerken zuverlässig schützen. Dabei wird die Bedrohungs­landschaft immer gefährlicher. Das ist kein einfacher Spagat.

Wenn ein Unternehmen eine neue Anwendung einführt oder einen Dienst in die Cloud verschiebt, kann es Tage oder sogar Wochen dauern, bis alle Server und Netzwerksegmente miteinander kommunizieren können. Während der Umstellung muss der Zugriff für Hacker und unautorisierte Benutzer unbedingt verhindert werden, denn: die Netzwerkstruktur kann Hunderte Server und Geräte (z. B. Firewalls und Router) – real und virtuell – in öffentlichen oder privaten Clouds umfassen. Der Schaden nach einem erfolgreichen Angriff wäre enorm.

Manuelle Richtlinienverwaltung ist kompliziert und fehleranfällig

Wenn die Teams aber Änderungen an diesen Geräten vornehmen, müssen sie sicherstellen, dass sie die Konnektivität zwischen den Anwendungen nicht unterbrechen oder Sicherheitslücken und Compliance-Verstöße verursachen. Angesichts der Komplexität der heutigen Netzwerke ist es nicht verwunderlich, dass viele Unternehmen mit dieser Aufgabe zu kämpfen haben. Eine Umfrage zum Sicherheitsmanagement für Hybrid- und Multi-Cloud-Umgebungen im Jahr 2019 ergab, dass über 42 Prozent der Unternehmen tatsächlich Anwendungs- oder Netzwerkausfälle hatten, die wegen menschlichem Versagen oder Fehlkonfigurationen geschehen sind.

Darüber hinaus verfügen die meisten Unternehmen über umfangreiche Netzwerksicherheitsrichtlinien für ihre Firewalls und Router mit Tausenden oder sogar Millionen von Regeln. Das Entfernen einer dieser Regeln ist häufig eine sehr knifflige Angelegenheit, da die IT-Gruppen meist keine Antwort auf die Frage haben, warum diese Regel eigentlich existiert.

Die gleiche Frage stellt sich in vielen anderen Szenarien, beispielsweise bei der Planung eines Wartungsfensters oder bei der Behebung eines Ausfalls (Welche Anwendungen sind betroffen, wenn dieses Gerät ausgeschaltet wird? Wer sollte benachrichtigt werden?). Außerdem bei umstrittenen Regeln, die im Rahmen eines Audits gekennzeichnet wurden oder zur Begrenzung des Wirkungsradius eines Malware-Angriffs (Was wird beeinflusst, wenn wir diese Regel entfernen?).

Intent-based Networking (IBN) verspricht, diese Probleme zu lösen. Sobald die Sicherheitsrichtlinien und ihre Ziele ordnungsgemäß erläutert wurden, können die Verantwortlichen ihre operativen Aufgaben klar und effizient erledigen. Wäre als Motto statt move fast and break things nicht move fast and do not break things besser?

Intent-based-Networking: Absicht und Realität

Es ist daher nicht verwunderlich, dass IBN größere Unternehmen anspricht: Es hat das Potenzial zu gewährleisten, dass Netzwerke schnell an die sich ändernden Anforderungen des Unternehmens angepasst werden können. Das steigert die Agilität gesteigert, ohne zusätzliche Risiken entstehen zu lassen. Obwohl es heute mehrere IBN-Optionen gibt, ist die Technologie aber nicht vollständig ausgereift. Einige Lösungen bieten IBN-Funktionen nur in Netzwerkumgebungen eines einzigen Herstellers, während andere bereits über eingeschränkte Automatisierungsfunktionen verfügen.

Dies bedeutet, dass viele aktuelle Lösungen in den meisten Unternehmen mit hybriden Netzwerkumgebungen nur eingeschränkt genutzt werden können. Um die Sicherheits- und Compliance-Anforderungen jedoch zu erfüllen, müssen die Netzwerkverwaltungs- und Automatisierungsprozesse eines Unternehmens die gesamte heterogene Struktur abdecken, einschließlich aller Sicherheitsgeräte und -richtlinien (ob im Rechenzentrum, am Perimeter, in On-Premise-Netzwerken oder in der Cloud).

Wie können Unternehmen mit diesen komplexen, hybriden Umgebungen ihre Netzwerk- und Sicherheits-Prozesse eng an den Anforderungen der Firma ausrichten? Können sie die Verwaltung von geschäftsgetriebenen Anwendungs- und Netzwerkänderungen mit einfachen Befehlen auf hohem Niveau automatisieren? Woher würden zudem die Intent-Informationen kommen? Wie können die Verantwortlichen in einer bestehenden Brownfield-Umgebung im Nachhinein herausfinden, welche Absichten den bestehenden Richtlinien zugrunde lagen?

Die Antwort auf all diese berechtigten Fragen lautet, dass dies mit NSPM-Lösungen (Network Security Policy Management) tatsächlich möglich ist. Sie können das Versprechen von IBN erfüllen: eine automatisierte, fehlerfreie Bearbeitung geschäftsbedingter Änderungen und eine schnellere Bereitstellung von Anwendungen in heterogenen Umgebungen – ohne die Sicherheits- oder Compliance-Einstellungen des Unternehmens zu beeinträchtigen.

Security-Automatisierung vereinfacht die Prozesse

Die richtige Lösung beginnt mit der automatischen Erkennung und Abbildung aller Geschäftsanwendungen in einem Unternehmen, wozu die Netzwerk-Konnektivitäten überwacht und analysiert werden. Durch Clustering-Analyse der Netflow-Traffic-Zusammenfassungen können moderne NSPM-Lösungen korrelierende Geschäftsanwendungen automatisch identifizieren und die sie unterstützenden Sicherheitsrichtlinien kennzeichnen – wodurch die Absicht der Regekb ebenfalls automatisch ermittelt wird.

NSPM-Lösungen können zudem die Sicherheitsgeräte und -richtlinien ermitteln, welche diese Konnektivitäten in heterogenen On-Premise-, SDN- und Cloud-Umgebungen unterstützen. Auf diese Weise wird eine Single Source of Truth (Zentrale Absicherung) für das gesamte Netzwerk bereitgestellt, wo alle Anwendungs-Attribute, wie Konfigurationen, IP-Adressen und Richtlinien, zusammenfließen und in einem einzigen Fenster gespeichert sowie verbunden werden.

Mithilfe dieser ganzheitlichen Anwendungs- und Netzwerkabbildung ermöglicht es die Lösung den Eigentümern der Geschäftsanwendungen, notwendige Änderungen der Netzwerkkonnektivität vorzunehmen, ohne etwas über das zugrundeliegende Netzwerk und die angebundenen Sicherheitsgeräte wissen zu müssen.

Der Anwendungseigentümer stellt lediglich eine Netzwerkverbindungsanforderung in seiner eigenen Programmiersprache. Die Lösung versteht und definiert automatisch die technischen Änderungen, die auf den jeweiligen Netzwerksicherheitsgeräten erforderlich sind.

Im Rahmen dieses Prozesses bewertet die Lösung die Änderungsanforderungen in Bezug auf Risiko und Compliance mit den unternehmenseigenen Richtlinien und Branchen-Vorschriften. Wenn die Änderungen kein signifikantes Risiko bergen, implementiert die Lösung sie automatisch auf den entsprechenden Geräten und überprüft anschließend, ob der Vorgang abgeschlossen wurde – all dies berührungslos.

Das bedeutet, dass normale Änderungsanforderungen automatisch – von der Anforderung bis zur Implementierung – in wenigen Minuten verarbeitet werden, ohne das Netzwerk-Team umfangreich zu benötigen. Manuelle Eingriffe sind nur erforderlich, wenn während des Prozesses ein Problem auftritt oder wenn eine Anforderung von der Lösung als risikoreich gekennzeichnet wird. Das entlastet die IT-Gruppen und gibt ihnen Zeit für wichtigere Aufgaben. Außerdem können IT-, Sicherheits- und Anwendungsgruppen den Status des Netzwerks und der unterstützten Geschäftsanwendungen kontinuierlich überwachen.

Managementlösungen für die Netzwerksicherheit erkennen das Potential von IBN

Es gibt fünf einfache Gründe, die für den Einsatz einer NSPM-Lösung sprechen, wenn ein Unternehmen mit IBN liebäugelt und die genannten Argumente zusammenfassen:

• 1. Sie bieten eine automatisierte Erkennung vorhandener Anwendungen, mit deren Hilfe vorhandenen Richtlinien automatisch eine Intention zugewiesen wird.

• 2. Sie übersetzen übergeordnete Anforderungen in relevante Änderungen der Netzwerkkonfiguration und validieren diese.

• 3. Sie automatisieren die Umsetzung der Änderungen in der vorhandenen Netzwerkinfrastruktur – auch einer hybriden – mit der Gewissheit, dass Änderungen konform zu Compliance und Regularien verarbeitet werden.

• 4. Sie wissen stets über den Zustand des Unternehmensnetzwerks Bescheid, um Betriebszeit, Sicherheit, Policies und Compliance zu gewährleisten.

• 5. Sie warnen das IT-Personal automatisch bei Änderungen des Netzwerk- und Anwendungsverhaltens, wie einem Ausfall oder einer Unterbrechung der Konnektivität, und empfehlen Korrekturmaßnahmen zur Aufrechterhaltung von Sicherheit und Compliance.

IBN mithilfe von NSPM-Lösungen bereits einfach und effizient möglich

Mit intent-based-networking können Unternehmen die Verwaltung ihrer Anwendungen und Netzwerkverbindungen einfach priorisieren und erhalten automatisch einen kontinuierlichen, sicheren und stets zu Regularien konformen Konnektivitäts-Pfad. IT-Teams haben zudem die Möglichkeit, sämtliche Netzwerke unkompliziert, schnell und sicher in Betrieb zu halten, zu konfigurieren und zu verwalten. Auf diese Weise wird das empfindliche Gleichgewicht zwischen der Erfüllung geschäftlicher Anforderungen an Geschwindigkeit und Agilität einerseits und der Verringerung von Risiken durch virtuelle Bedrohungen andererseits wieder hergestellt.

Über den Autor: Professor Avishai Wool ist Co-Founder und CTO von AlgoSec.

(ID:46753689)