Rechenzentrums- und Cloud-Sicherheit — Warum wir eine Revolution brauchen

Wir stellen eine Blogserie von PJ Kirner, CTO von Illumio, vor, in der wichtige Konzepte behandelt werden, die Ihnen helfen sollen, über Rechenzentrums- und Cloud-Sicherheit auf eine neue Art und Weise nachzudenken und Ihren Ansatz an die sich ändernden Anforderungen in den Anwendungsumgebungen anzupassen.

Revolutionen geschehen aus gutem Grund. Sie sind das Ergebnis einer Divergenz von Erwartungen und Realität, was zu aufgestauter Frustration führt, die die Notwendigkeit von Veränderungen verstärkt. Alte Methoden entsprechen nicht mehr den neuen Anforderungen, und der Druck erreicht einen Siedepunkt, an dem es keine andere Wahl gibt, als diese Änderung vorzunehmen.

Entwicklungen in den Bereichen Anwendungen, Rechenzentren und Cloud haben die Sicherheit an ihre Grenzen gebracht. Alte Methoden wie Engpässe und netzwerkbasierte Ansätze entsprechen nicht mehr den neuen Anforderungen der Anwendungsteams. Diese Teams haben sich an neue Modelle der Ressourcennutzung und Anwendungsbereitstellung gewöhnt, und es gibt kein Zurück mehr. Es ist Zeit für eine Revolution in der Sicherheit.

Druck aus dem Rechenzentrum

Wir haben in den letzten anderthalb Jahrzehnten gesehen, wie sich das Rechenzentrum rasant weiterentwickelt hat, was es uns ermöglicht hat, Ressourcen besser zu nutzen, neue Skalierungsgrade zu erreichen und schneller als je zuvor zu agieren. Vorbei sind die Zeiten, in denen davon ausgegangen wurde, dass Ihre Anwendungen mehr oder weniger statisch sind und sich alle in Ihrem privaten Rechenzentrum befinden.

Ein neues Maß an Verbrauch, Umfang und Geschwindigkeit hat die Sicherheitsteams vor neue Herausforderungen und Druck gestellt.

• Durch die Virtualisierung wurden die zentralen Rechenzentrumsressourcen für Rechen-, Netzwerk- und Speicherressourcen abstrahiert, wodurch Workloads portabler und anpassungsfähiger wurden und Anwendungen skalierbarer und robuster wurden.
• Die Cloud hat flexible On-Demand-Umgebungen geschaffen, die es uns ermöglichen, unsere On-Demand-Infrastrukturanforderungen zu erfüllen, was die Nutzung einfacher und die Nutzung effizienter macht.
• Container werden heutzutage in Umgebungen immer häufiger eingesetzt und ermöglichen eine schnelle Entwicklung, Erstellung und Paketierung von Anwendungen und Diensten.
  

Druck durch Bewerbungen

Die Infrastruktur ist nicht der einzige Bereich der Entwicklung und Innovation. Wir haben ähnliche Veränderungen bei der Art und Weise erlebt, wie wir Anwendungen entwickeln und bereitstellen. Dank Continuous Integration and Continuous Delivery (CI/CD) haben sich unsere Erwartungen während des gesamten Software Delivery Lifecycle (SDLC) weiterentwickelt. Wir gehen heute davon aus, dass Software schneller und reibungsloser entwickelt und bereitgestellt wird als bei herkömmlichen, auf Releases basierenden Ansätzen.

Für viele sind die Zeiten unterschiedlicher Veröffentlichungszyklen vorbei, in denen sich die Teams in einen Raum begeben und die Details für einen bevorstehenden Go-Live-Termin planen konnten. Jede Woche und in einigen Fällen jeden Tag oder sogar mehrmals am Tag wird neuer Code entwickelt und in Produktion gebracht.

Monolithische Anwendungen wurden durch Microservice-Architekturen ersetzt. Die Anwendungen selbst und die zugehörigen Dienstarchitekturen sind ebenfalls komplexer geworden und ihre Komponenten sind stärker miteinander verbunden. Anwendungen hängen von Daten und Diensten in der gesamten Umgebung ab, was zu einer exponentiell stärkeren Ost-West-Kommunikation führt, als wir es in der Vergangenheit je gesehen haben.

Mehr Verbindungen bedeuten offenere Pfade, was zu einer größeren zu verteidigenden Angriffsfläche und einem höheren Risiko für das Unternehmen führen kann. Darüber hinaus stellen die kurzlebige Natur von Containern und die Vernetzung zwischen diesen Umgebungen eine ganze Reihe neuer Sicherheitsherausforderungen dar.

Die DevOps-Bewegung hat Entwickler und Betriebsteams zusammengebracht, um diesem Bedarf an Anwendungs- und Infrastrukturagilität gerecht zu werden. In der ersten Generation dieser Bewegung wurde das Thema Sicherheit jedoch außen vor gelassen. Viele betrachteten die Auseinandersetzung mit Sicherheitsfragen als Hindernis für den Fortschritt und die Philosophie der schnellen Einsätze, was in einigen Fällen dazu führte, dass die Sicherheitsvorkehrungen gänzlich umgangen wurden.

Die Sicherheit hat nicht Schritt gehalten

Die Entwicklung der Rechenzentrumsinfrastruktur und der Anwendungen hat dazu geführt, dass Unternehmen zunehmend softwaregesteuert und schneller agieren als je zuvor. Sicherheit war schon immer wichtig, aber da Unternehmen immer abhängiger von Software werden, um ihr Geschäft voranzutreiben, wird es immer wichtiger, die richtige Sicherheit zu gewährleisten, um das Geschäftsrisiko zu minimieren. Ein falsches Verhalten kann Datenverlust, Umsatzeinbußen, nachhaltige Auswirkungen auf die Marke und sogar Strafen im Zusammenhang mit der Einhaltung gesetzlicher Vorschriften nach sich ziehen. Die Sicherheit hat mit der Entwicklung, die wir in den Bereichen Infrastruktur und Anwendungen beobachtet haben, nicht Schritt gehalten.

Herkömmliche netzwerkbasierte Engpasslösungen zur Durchsetzung von Richtlinien sind nicht nur unpraktisch, es kann auch schlichtweg unmöglich sein, sie zu umgehen und bereitzustellen. Da Anwendungen eine Summe ihrer Teile sind, die manchmal über Rechenzentren und sogar in der Cloud verteilt sind, kann die Komplexität der konsistenten Durchsetzung von Richtlinien eine große Herausforderung sein. In Kombination mit der Tatsache, dass die Anwendungsinfrastruktur immer dynamischer wird, kann es fast unmöglich sein, Richtlinien mit Bewegung und Skalierung in Einklang zu bringen.

Eines der Ziele der Weiterentwicklung der Sicherheit besteht darin, das Gleichgewicht weg vom Vorteil des Angreifers zu verlagern und die Stärken des Verteidigers zu nutzen.

Sogar Angreifer haben sich weiterentwickelt, um die neuesten Sicherheitsansätze zu umgehen. Um das Gleichgewicht zum Vorteil des Verteidigers zu verändern, ist ein Modell erforderlich, das von einer reaktiven Reaktion auf Bedrohungen zu einem Modell übergeht, das das Spiel proaktiv verändert und dem Verteidiger die Kontrolle zurückgibt. Um das zu erreichen, müssen wir die Sicherheit auf eine neue Art angehen und anders über Anwendungsumgebungen und deren Schutz nachdenken.

Aktuelle Sicherheitsansätze können ein Hindernis sein, den Fortschritt verlangsamen, wenn nicht gar ein Hindernis darstellen. Wenn die Entwicklungsteams weiterhin den traditionellen Weg beschreiten, besteht das Risiko, dass sie nach Wegen suchen, die Sicherheit zu umgehen, um in dem Tempo weiterzumachen, das sie benötigen, um effizient zu bleiben.

Dieses Bedürfnis nach Effizienz ist einer der Gründe, warum wir die Sicherheit überdenken und sie besser an die Entwicklungen im Rechenzentrum anpassen müssen.

Weiterentwicklung der Sicherheit für moderne Anwendungsumgebungen

Während die meisten Sicherheitslösungen heute auf alten Annahmen basieren, dass die Dinge langsamer laufen und mehr oder weniger statisch sind, wissen wir, dass die Realität nicht mehr stimmt.

Auch wenn Sie noch nicht die volle Wirkung spüren, werden Unternehmen zunehmend von Software angetrieben, Anwendungen entwickeln sich schneller und Anwendungsumgebungen werden komplexer und heterogener — das erfordert eine Revolution im Bereich Rechenzentren und Cloud-Sicherheit.

Technologien wie Virtualisierung und IaaS verfügen über eine abstrakte Infrastruktur, um sie besser an die Anwendungsanforderungen anzupassen. Wir müssen auf ähnliche Weise über Sicherheit nachdenken.

Workloads im Kontext der Anwendung und der Geschäftsprozesse zu betrachten, ist der beste Weg, um Risiken zu verstehen und Richtlinien zu entwickeln. Es ist auch die einzige gemeinsame Sprache, die alle Teams innerhalb des Unternehmens verstehen können. Ein Anwendungsentwicklungsteam betrachtet seine App-Umgebung nicht im Kontext des Netzwerks (IP-Adressen und Ports). Sie denken darüber im Kontext der Komponenten dieser Anwendung nach, wie sie miteinander verwandt sind und wie sie zusammenarbeiten.

Das Gleiche gilt für Geschäftsprozessverantwortliche, die über ihren Prozess, die damit verbundenen Anwendungen und Dienste nachdenken und darüber, wie sie alle zusammenarbeiten, um Geschäftsanforderungen zu erfüllen.

Dieser Perspektivwechsel ist grundlegend und ein erster Schritt, um die Tür für einen neuen Ansatz zu öffnen. Nur so kann Sicherheit geschaffen werden, die sich an moderne Anwendungsumgebungen anpasst, die über Plattformen und Standorte verteilt sind und sich dynamisch verschieben und skalieren lassen, um den Anforderungen gerecht zu werden.

In meinem nächsten Beitrag werde ich darüber sprechen, warum eine anwendungsorientierte Map so wichtig ist und wie sie zur Grundlage für ein Überdenken und Weiterentwickeln der Sicherheit wird.

Anmerkung der Redaktion: Lesen Sie den nächsten Beitrag, „Sie benötigen eine Karte, um die Sicherheit weiterzuentwickeln.“