Balance zwischen Sicherheit und betrieblicher Belastbarkeit: Illumios Strategie für sichere und stabile Softwareversionen

Bei Cybersicherheit geht es vor allem darum, Risiken zu reduzieren. Deshalb ist es so wichtig, darüber nachzudenken, wie Ihre Sicherheitslösungen nicht nur einen Mehrwert bieten, sondern Sie auch schützen, wenn ihre Systeme ausfallen.

Bei Illumio ist es unsere oberste Priorität, für unsere Kunden stabil und zuverlässig zu bleiben. Dies hilft Ihnen beim Aufbau einer Zero-Trust-Segmentierungsarchitektur, die auch dann widerstandsfähig bleibt, wenn etwas ausfällt.

Dieser Blogbeitrag gibt einen Überblick über die Designentscheidungen, die wir für die Illumio-Plattform getroffen haben, um Ihre Sicherheit zu gewährleisten und gleichzeitig die Auswirkungen eines Worst-Case-Szenarios zu reduzieren.

Wie Illumio neue Software veröffentlicht

Wenn Sicherheitsanbieter ihren Kunden neue Software anbieten, geschieht dies in der Regel auf eine von zwei Arten:

Inline in der Datenebene: Das bedeutet, dass die Software des Anbieters über den Netzwerkverkehr direkt in die Netzwerkinfrastruktur integriert wird. Eine Inline-Lösung kann bösartigen Datenverkehr blockieren. Dies bedeutet jedoch, dass sie auch den gesamten Datenverkehr blockieren kann, wenn sie ausfällt. Diese Lösungen benötigen in der Regel auch tiefen Zugriff auf das Betriebssystem, häufig auf den Kernelbereich. Je tiefer es geht, desto höher ist das Risiko, wenn etwas schief geht.

Out-of-Band auf der Managementebene: Das bedeutet, dass die Software des Anbieters vom Rest der Netzwerkinfrastruktur getrennt ist. Es nutzt vorhandene Betriebssystemfunktionen und vermeidet das Hinzufügen redundanter Lösungen. Es verbleibt im Benutzerbereich und muss, wenn überhaupt, nur wenig auf den Kernelbereich zugreifen. Fehler können sich vorübergehend auf die Managementebene auswirken, aber sie wirken sich nicht auf die Datenebene aus. Mit anderen Worten, der Kunde ist immer noch geschützt und der Betrieb wird nicht behindert, wenn ein Ausfall auftritt.

Illumio stellt Software Out-of-Band auf der Managementebene bereit.

Wir verwenden die Paketfilter-Tools, die bereits in den wichtigsten Betriebssystemen integriert sind, anstelle von redundanten oder Inline-Paketfiltern. Dieser Ansatz automatisiert diese vorhandenen Tools, um die Workloads direkt zu segmentieren. Die Paketfilterung ist Teil des Betriebssystems, sodass die Illumio-Software nicht so häufig aktualisiert werden muss.

Illumio arbeitet mit einigen der weltweit größte, komplexeste Unternehmen und Regierungsbehörden. Wir wissen, dass ständige Upgrades für kritische Systeme schwierig sein können. Unser Out-of-Band-Bereitstellungsmodell trägt dazu bei, diese Herausforderungen erheblich zu reduzieren.

Wie Illumio seine SaaS-Plattform aktualisiert

Wenn wir unseren SaaS-Cluster aktualisieren, verwenden wir einen gestaffelten Bereitstellungsworkflow. Das bedeutet, dass wir ein schrittweises Verfahren verwenden, um jeweils eine Gruppe von Clustern zu aktualisieren.

Zunächst testen wir die neuen Updates in mehreren internen, nicht produktiven Umgebungen. Erst wenn es diese Tests bestanden hat, beginnen wir mit dem Upgrade der SaaS-Cluster — und zwar mithilfe eines schrittweisen, gestaffelten Upgrade-Workflows. Das bedeutet, dass Upgrades phasenweise und nicht alle gleichzeitig und nur für einige Mandanten gleichzeitig erfolgen.

Wenn während des Upgrades ein Problem auftritt, beenden wir den Vorgang sofort. Auf diese Weise betrifft das Problem nur Kunden, die in den frühesten Phasen ein Upgrade durchgeführt haben. (Und wir können die letzte stabile Illumio Instanz schnell rückgängig machen.) Wir führen niemals ein Upgrade des SaaS-Clusters für alle Kunden gleichzeitig durch. ‍

Wie Illumio die Segmentierungspolitik aktualisiert

Wenn wir Aktualisierungen vornehmen für Zero-Trust-Segmentierung Richtlinien für Workloads, wir senden sie nur an die Bereiche der Umgebungen unserer Kunden, die sie benötigen.

In der Illumio-Plattform, erstellen Kunden mithilfe von Labels ihre eigene absichtsbasierte Segmentierungsrichtlinie. Rollenbasierte Zugriffskontrollen (RBAC) verhindern die Erstellung zu freizügiger Richtlinien. Illumio aktualisiert diese Richtlinien im Hintergrund, wenn sich IP-Adressen ändern und wenn Workloads hinzugefügt oder entfernt werden. Nur die Workloads, die von bestimmten Kundenänderungen betroffen sind, erhalten aktualisierte Richtlinien von Illumio.

Für Rechenzentrums- und Endpunkt-Workloads empfängt Illumio Richtlinien und wendet sie innerhalb der Firewall des nativen Betriebssystems an. Kunden haben die volle Kontrolle über diesen Prozess und entscheiden, wann und ob sie auf eine neue Softwareversion aktualisieren möchten.

Wenn Illumio über neue Softwareversionen verfügt, ist die SaaS-Plattform immer noch abwärtskompatibel. Dies bedeutet, dass es weiterhin mit älteren Versionen von Illumio funktioniert. Aus diesem Grund müssen Kunden nicht oft ein Upgrade durchführen. Sie können Upgrades nach ihrem eigenen Zeitplan und auf der Grundlage ihrer eigenen Änderungspraktiken testen und einführen.

Eine einfachere Architektur bedeutet weniger Risiko

Sie können niemals vollständig eliminieren Risiko von Ihrem Sicherheits-Stack. Eine einfachere Architektur bedeutet jedoch weniger Fehlerquellen.

Das Design der Illumio-Plattform reduziert die Anzahl der Dinge, die im schlimmsten Fall ausfallen könnten. Zwar ist kein System völlig risikofrei, aber unsere einfachere Einrichtung und die geringere Größe machen größere Probleme weitaus unwahrscheinlicher, falls etwas schief geht. ‍

Kontaktieren Sie uns noch heute um zu erfahren, wie Illumio dazu beiträgt, dass Ihr Unternehmen sicher und widerstandsfähig bleibt.