6 Anforderungen an die Mikrosegmentierung für moderne Anwendungen

Die Idee, das Netzwerk zu segmentieren, um die Sicherheit zu erhöhen, ist nicht neu. Es war jedoch schwierig, eine granulare Segmentierung zu erreichen, da Computing und Sicherheit an der Hüfte gebunden waren. Das bedeutet, dass alle Änderungen, die vorgenommen werden, um den gewünschten Sicherheitsstatus zu erreichen, Änderungen am zugrunde liegenden Netzwerktransport erfordern oder die Granularität beeinträchtigen. Darüber hinaus jonglieren IT- und Sicherheitsteams oft mit konkurrierenden Prioritäten, und Segmentierung war nicht immer die beliebteste Strategie.

Die Zunahme des Ausmaßes und der Reichweite von Cyberangriffen ändert dies.

"... Es gibt jetzt keine Entschuldigung mehr, die Mikrosegmentierung nicht für ein Unternehmen oder eine Infrastruktur zu aktivieren."

Mikrosegmentierung ist eine große Abschreckung für Hacker. Immer mehr Organisationen setzen Mikrosegmentierung als wesentlichen Bestandteil einer Defense-in-Depth-Strategie um. Laut einer aktuellen Umfrage unter über 300 IT-Fachleuten haben derzeit 45 Prozent ein Segmentierungsprojekt oder planen eines. Der Zero Trust Wave-Bericht von Forrester Research im dritten Quartal 2020 unterstrich die Bedeutung, indem er feststellte: "... Es gibt jetzt keine Entschuldigung mehr, keine Mikrosegmentierung für irgendein Unternehmen oder eine Infrastruktur zu ermöglichen."

Aber wie bei jeder Sicherheitskontrolle ist es wichtig, die Strategie des Unternehmens mit der Notwendigkeit, es zu schützen, in Einklang zu bringen. Die Segmentierung Ihres Netzwerks ist ein großes Projekt und eine völlig andere Art der Verwaltung Ihres Netzwerks. Möglicherweise wechseln Sie von einer flachen Netzwerkinfrastruktur – in der die Kommunikation weit offen ist – zu einem Netzwerk, das genau wie Ihre Perimeterinfrastruktur Firewall-Regelsätze erfordert. Es bedarf einer sorgfältigen Planung, um das gewünschte Ergebnis eines Netzwerks zu erzielen, das für Angreifer schwierig, aber dennoch für Sie überschaubar ist.

Wie kommen Sie also dorthin?

Für eine effektive Mikrosegmentierungsbereitstellung finden Sie hier eine Liste von sechs Schlüsselfunktionen und -fähigkeiten, die Lösungen bieten müssen:

1. Sichtbarkeit mit Anwendungskontext

Das Sprichwort, dass man "nicht schützen kann, was man nicht sehen kann", könnte nicht wahrer sein. Unternehmen betreiben eine Vielzahl von Anwendungen, um ihre Geschäfte zu betreiben, von denen jede miteinander kommuniziert und Daten austauscht. Darin liegt die Herausforderung. Ohne Transparenz hat ein unbefugter Benutzer reichlich Gelegenheit, in ein Unternehmen einzudringen, auf einem ungeschützten oder verwundbaren Asset zu landen und sich seitlich in Richtung kritischer Assets zu bewegen, bevor es Anzeichen einer Entdeckung gibt.

Eine ordnungsgemäße Mikrosegmentierung von Anwendungsressourcen kann die Ausbreitung von Sicherheitsverletzungen minimieren oder verhindern, aber Sie benötigen Transparenz auf der Anwendungsebene. Dies unterscheidet sich vom Abrufen von Netflow-Datenverkehr oder dem Tippen auf einen SPAN-Port am Switch, der Informationen über Netzwerkflüsse bei L2 und L3 bereitstellt. Sie müssen in der Lage sein, zu sehen, wie Anwendungskomponenten über verschiedene Ebenen (Web, Verarbeitung, Datenbank) hinweg miteinander kommunizieren und wie Anwendungen miteinander interagieren.

Anwendungen befinden sich nicht auf einer Insel. Sie reden miteinander, und so funktionieren Geschäftsprozesse. Beispielsweise wird ein Point-of-Sale-System (POS) wahrscheinlich mit einer Bestandsverwaltungsanwendung kommunizieren, bevor eine Kundenbestellung ausgeführt wird. Das macht Sinn. Der Datenverkehr vom POS-System sollte mit Inventaranwendungen kommunizieren dürfen. Auf der anderen Seite sollte ein öffentlich zugänglicher Webserver nicht direkt mit einer Datenbank kommunizieren, sondern den Anwendungsverarbeitungsserver durchlaufen, um eine Transaktion oder Abfrage abzuschließen.

Aber diese Abläufe sind nicht unbedingt gut bekannt – schon gar nicht für Netzwerkteams und vielleicht nicht einmal für Sicherheitsteams. Anwendungsentwickler können über ein solches Maß an Klarheit verfügen, aber nicht immer. Unternehmen benötigen eine integrierte Transparenz, die Anwendungsabhängigkeiten anzeigt, um die Mikrosegmentierung richtig zu gestalten. Im Idealfall würde dies in Form einer Karte erscheinen, die zeigt, wie verschiedene Anwendungen über Ebenen hinweg sowie miteinander kommunizieren. Diese Karte sollte auch darstellen, wie verschiedene Umgebungen wie Entwicklung, Staging, Produktion und Regulierung angeordnet sind und welche Art von Kommunikation zwischen ihnen fließt. Dies hilft Unternehmen zu verstehen, "was passiert" und "was passieren sollte", basierend auf ihrer gewünschten Sicherheitslage.

Wie Illumio hilft: Illumios Anwendungsabhängigkeitskarte zeigt deutlich, wie Anwendungskomponenten interagieren und wie verschiedene Anwendungen miteinander kommunizieren. Diese Karte, bekannt als Illumination, bietet nicht nur unvergleichliche Sichtbarkeit, sondern empfiehlt auch Richtlinien basierend auf der gewünschten Granularität. Die Richtlinien werden in natürlicher Sprache mit Labels definiert und benötigen keine Netzwerk-Layer-Informationen, um Richtlinien zu definieren. Dieser Ansatz übernimmt die schwere Arbeit und berechnet die genauen L2/L3/L4-Regeln basierend auf diesen natürlichen Sprachrichtlinien. Dies erleichtert es, eine Sicherheitsstrategie zu entwickeln, die mit den Zielen der Organisation übereinstimmt.

2. Skalierbare Architektur

Es gibt mehrere Möglichkeiten, eine Mikrosegmentierung zu erreichen. Obwohl jeder Ansatz seine Vorzüge hat, müssen Sie die Skalierbarkeit, die Wirksamkeit und Granularität der Lösung, die Benutzerfreundlichkeit und nicht zuletzt die Kosteneffizienz berücksichtigen.

Typische Ansätze sind:

• Segmentierung über das Netzwerk: Programmierung von Zugriffskontrolllisten (ACLs) auf Netzwerkgeräten (Switches, Router, Firewalls usw.). Obwohl dieser Ansatz eine gewisse grobe Trennung ermöglicht, ist er sehr umständlich, fehleranfällig und teuer. Netzwerke sind dafür gedacht, Pakete so schnell wie möglich von Punkt A nach Punkt B zu transportieren, und die Zuweisung von ACLs zur Segmentierung ist wie das Anhalten jedes Pakets, um zu sehen, ob es erlaubt sein sollte. Diese beiden sind diametral gegensätzliche Ziele, und wenn wir sie miteinander vermischen, beginnen die Dinge zu zerbrechen.
• Segmentierung mit SDN: Die Automatisierung des oben genannten mit Software Defined Networking (SDN) ermöglicht es den Nutzern, auf einen zentralen Controller zuzugreifen, um Regeln zu definieren, die an die entsprechenden Netzwerkgeräte weitergeleitet werden. Dieser Ansatz bietet eine gewisse Konfigurationsentlastung, ist aber in vielerlei Hinsicht nicht besser als die Nutzung von Netzwerkgeräten. Außerdem wurden die meisten SDN-Systeme so konzipiert, dass sie Netzwerkautomatisierung bieten, keine Sicherheitsfunktionen. Erst kürzlich haben Anbieter die Sicherheitsanwendungen erkannt und versucht, SDN-Systeme umzufunktionieren, um Mikrosegmentierung mit geringem Erfolg zu ermöglichen.
• Hostbasierte Mikrosegmentierung: Architektonisch ist dieser Ansatz anders. Anstatt dass die Durchsetzung von Richtlinien irgendwo im Netzwerk stattfindet, können Organisationen die Kraft eingebauter statefuler Firewalls nutzen, um Regeln mit Zeilenrate durchzusetzen, ohne Leistungseinbußen. Außerdem ist dies die einzige skalierbare Architektur, das heißt, du erhöhst Kapazität, während du Workloads hinzufügst. Skalierbare Architekturen haben sich bewährt, dass sie sich gut abbilden, wenn Systemkomponenten wachsen, ohne dabei die Leistung zu beeinträchtigen. Denken Sie daran: Damit die Durchsetzung stattfinden kann, muss die Vollstreckungsstelle den Datenverkehr sehen. Im Fall von Firewalls (oder Netzwerkgeräten, die diese Aufgabe übernehmen), müssen sie den Datenverkehr sehen. Irgendwann wird die Menge des Verkehrs die Kapazitäten des Vollstreckers übersteigen, sodass eine Organisation ohne Schutz ausgesetzt ist. Traffic Steering stellt eine große Herausforderung dar und kann manchmal auf der Netzwerkebene Probleme verursachen oder eine große Komplexität mit sich bringen.

Da sich der Rand des Netzwerks nicht an der Perimeter-Firewall befindet, sondern an den internen Segmenten, gilt: Je detaillierter die Segmente, desto besser ist der Schutz. Wenn Sie dieses Konzept weiterführen, stellen Sie fest, dass das beste Segment ein Segment von eins ist – die Workload wird zum neuen Edge. Alles, was sich außerhalb der Workload befindet, ist nicht vertrauenswürdig, und alle Erzwingungen zum Zulassen oder Stoppen des Datenverkehrs erfolgen auf der Workload, ohne dass die Leistung beeinträchtigt wird. Host-basierte Systeme tun genau das.

Wie Illumio hilft: Früh erkannten wir, dass der einzige skalierbare Weg, sowohl grobkörnige Segmentierung als auch granulare Mikrosegmentierung zu erreichen, eine hostbasierte Architektur ist. Dieser Ansatz bringt die Sicherheit sehr nah an den Handlungspunkt, und die Steuerungen sind unabhängig vom Netzwerk. Indem wir die Fähigkeiten und Kapazitäten des Hosts nutzen, um die Line-Rate-Stateful Firewall des OS-Kernels durchzusetzen, entkoppeln wir die Segmentierung vom Netzwerk und bieten Ihnen eine skalierbare Möglichkeit zum Segmentieren, indem wir die Engpässe bei Firewalls beseitigen und Kapazitäten hinzufügen, sobald neue Workloads online kommen.

3. Abstrahierte Sicherheitsrichtlinien

Traditionell ist die Sicherheit an das Netzwerk gebunden, aber beide Unternehmen haben unterschiedliche Ziele. Bei Netzwerken geht es um Geschwindigkeit und Durchsatz. Bei Sicherheit geht es um Isolation und Prävention. Wenn wir beides mischen, erhalten wir das Schlimmste aus beiden Welten. Es ist wie bei einem Dreibeinrennen, bei dem beide Teilnehmer in unterschiedliche Richtungen gehen. Unnötig zu erwähnen, dass das Szenario kein gutes Ende nimmt. Sicherheitsrichtlinien sollten vom Netzwerk abstrahiert werden, damit ein gewünschter Sicherheitsstatus unabhängig von der zugrunde liegenden Infrastruktur erreicht werden kann.

Wie Illumio hilft: Durch die Entkopplung der Segmentierung vom Netzwerk bieten wir Organisationen einen Workflow, um Richtlinien auf Basis geschäftsorientierter Labels zu erstellen, die leicht verständlich sind. Workloads sind auf Basis von vier Dimensionen von Labels organisiert, und Richtlinien werden mit diesen Labels geschrieben. Die gesamte schwere Arbeit, die abstrahierten Richtlinien auf die Durchsetzung auf Netzwerkebene zuzuordnen, erfolgt durch ein Modell, das es ermöglicht, Richtlinien vor der Durchsetzung zu testen. So stellen Sie sicher, dass Sie das gewünschte Ergebnis – Mikrosegmentierung – erzielen können, ohne Anwendungen zu beeinträchtigen.

4. Granulare Kontrollen

Unternehmen haben viele Anwendungen mit unterschiedlicher geschäftlicher Kritikalität. Daher unterscheiden sich die Sicherheitsanforderungen je nach Wichtigkeit und manchmal auch nach den gesetzlichen Anforderungen, die mit dieser Anwendung verbunden sind. Sie benötigen einen Mechanismus, um unterschiedliche Sicherheitsstatus für einzigartige Computing-Umgebungen zu definieren. Manchmal kann es in Ordnung sein, verschiedene Umgebungen einfach zu trennen (z. B. die Entwicklung von der Produktion zu trennen oder die im Geltungsbereich befindlichen regulatorischen Assets von allem anderen zu trennen). Für strengere Kontrollen müssen Sie möglicherweise Anwendungsebenen (Web, Verarbeitung, Datenbank) sperren und steuern, welche Ebene mit welcher kommunizieren kann. Diese Optionen sollten Teil des Richtlinienworkflows sein und einfach zu implementieren sein, ohne dass Netzwerkänderungen vorgenommen werden müssen.

Wie Illumio hilft: Unser Politikmodell ist einfach, aber leistungsstark und einfach zu bedienen. Die Anwendungsabhängigkeitskarte bietet nicht nur Transparenz auf Anwendungsebene, sondern steuert auch die Richtlinienerstellung voran, indem sie verschiedene Optionen empfiehlt – von einfachem Ringfencing über tierbasierte Trennung bis hin zur Segmentierung basierend auf Ports, Prozessen und Services.

5. Konsistentes Richtlinien-Framework für Ihren gesamten Rechenbestand

Unternehmen werden zunehmend zu hybriden Multi-Clouds, und der Fußabdruck einer Anwendung ist heute oft auf verschiedene lokale Standorte, Hosting-Einrichtungen und Public Clouds verteilt, je nach Resilienz, Funktionalität, Leistung und Anforderungen an die Datenresidenz. Sie müssen einen konsistenten Sicherheitsmechanismus entwickeln, der über einzelne inkompatible Lösungen hinausgeht, die auf eine bestimmte Umgebung anwendbar sind.

Die Sicherheitsmodelle unterscheiden sich in Public Clouds von On-Premises-Bereitstellungen. Public Clouds arbeiten nach einem gemeinsamen Sicherheitsmodell. Cloud-Anbieter bieten grundlegende Infrastruktursicherheit, und die Kunden sind für die Sicherung ihrer Assets und Anwendungen verantwortlich. Darüber hinaus unterscheiden sich die Tools, die zum Sichern von On-Premises-Bereitstellungen verwendet werden, von denen, die in der Public Cloud verfügbar sind. Die meisten Public Clouds bieten Sicherheitsgruppen (sie haben je nach Anbieter unterschiedliche Namen), die eine grundlegende Firewall pro virtuellem privatem Netzwerk bieten. Diese Sicherheitsgruppen sind in ihrer Skalierung begrenzt, haben die gleichen Probleme wie Firewalls in Bezug auf die Konfigurationskomplexität und sind nicht cloudübergreifend kompatibel. Dies kann eine Herausforderung für Kunden sein, die wirklich hybride Multi-Clouds betreiben und einen konsistenten Sicherheitsmechanismus benötigen.

Wie Illumio hilft: Unsere Lösung ist standort- und workload-formfaktor-unabhängig. Deine Arbeitsbelastungen können überall liegen. Wir bieten vollständige Transparenz sowie ein konsistentes Sicherheitsmodell, das über den gesamten Compute-Bereich anwendbar ist.

6. Integration in Ihr Sicherheitsökosystem

Das Definieren eines Sicherheitsstatus und das Durchsetzen seiner Regeln trägt dazu bei, das Geschäft eines Unternehmens am Laufen zu halten. Dieser Teil muss fest in die Prozesse und Tools integriert werden, die ein Unternehmen für die Erstellung neuer Assets, die Bereitstellung von Anwendungen, die Operationalisierung der Systeme und vieles mehr verwendet. Die meisten Unternehmen verfügen über Systeme, die sie beim täglichen Betrieb unterstützen. Beispielsweise kann SecOps Splunk als Hauptkontrollzentrum verwenden, und andere Systeme sollten Benachrichtigungen und Warnungen an dieses System senden. Es ist unwahrscheinlich, dass SecOps täglich mehrere Tools überwacht, um den Betrieb aufrechtzuerhalten. Wenn sich Sicherheit nicht in diese Prozesse integrieren lässt, wird dies immer eine Herausforderung sein und zu Silos und Komplexität führen.

Wie Illumio hilft: Unsere Lösung ist vollständig API-gesteuert, das heißt, sie lässt sich problemlos in das größere Ökosystem einer Organisation integrieren. Alles, was du mit der Illumio-GUI machen kannst, kann über API-Aufrufe aus deinem bevorzugten System erfolgen. Darüber hinaus unterstützen wir Integrationen, die erweiterte Funktionalitäten ermöglichen. Bemerkenswerte Integrationen sind:

• ServiceNow: Illumio kann Host-Attribute aus ServiceNow aufnehmen und damit Labels erstellen, die jeder Arbeitslast zugewiesen und zur Definition von Richtlinien verwendet werden. Darüber hinaus kann Illumio Informationen über jede Diskrepanz (basierend auf einer Echtzeitkarte) an ServiceNow senden und diese korrigieren, um die CMDB genauer zu machen.
• Splunk: Illumio kann alle Alarme und Benachrichtigungen an SIEMs wie Splunk senden und über Dinge wie blockierten Datenverkehr, Manipulationsereignisse, Regelverstöße usw. berichten.
• Schwachstellenscanner (Qualys, Tenable, Rapid7): Einzigartig für Illumio ist, dass wir Schwachstelleninformationen aufnehmen und diese auf einer Anwendungsabhängigkeitskarte überlagern können, um Risiken zu visualisieren und zu quantifizieren und so eine Schwachstellenkarte zu erhalten. Diese Informationen können dann genutzt werden, um Mikrosegmentierungsrichtlinien abzuleiten, die Schwachstellen berücksichtigen, wobei Mikrosegmentierung im Grunde als Ausgleichsmaßnahme genutzt wird, wenn sofortiges Patchen keine Option ist.
• AWS-Sicherheitshub: Ähnlich wie Splunk lässt sich Illumio in den AWS Security Hub integrieren, der SIEM-Funktionen für Cloud-Bereitstellungen bietet.
   

Zusammenfassend sind hier die wichtigsten Vorteile der Mikrosegmentierung:

• Verbesserte Sicherheit: Netzwerkverkehr kann isoliert und/oder gefiltert werden, um den Zugriff zwischen Netzwerksegmenten zu begrenzen oder zu verhindern.
• Bessere Eindämmung: Wenn ein Netzwerkproblem auftritt, ist dessen Auswirkung auf das lokale Subnetz beschränkt.
• Bessere Zugangskontrolle: Erlauben Sie Benutzern, nur auf bestimmte Netzwerkressourcen zuzugreifen.
• Beachtung: Organisationen, die behördlichen oder vom Kunden vorgeschriebenen Compliance-Anforderungen unterliegen, können nachweisen, dass geeignete Schritte unternommen wurden, und Audits rechtzeitig bestehen.
• Verbessertes Monitoring: Bietet die Möglichkeit, Ereignisse zu protokollieren, zugelassene und verweigerte interne Verbindungen zu überwachen und verdächtiges Verhalten zu erkennen.

Mikrosegmentierung ist ein sehr effektiver Ansatz, um unbefugte laterale Bewegungen innerhalb Ihres Unternehmens zu verhindern, und es ist kein Zufall, dass sie zu einem wichtigen Grundsatz eines Zero-Trust-Frameworks geworden ist. Sicherheitsverletzungen können schädlich sein, aber das Fehlen eines intern segmentierten Netzwerks kann ebenso nachteilig sein.

Die meisten hochkarätigen Sicherheitsverletzungen legen Unternehmen lahm, weil ein Eindringling wochen- oder monatelang unentdeckt das Netzwerk durchquert und sich seitlich bewegt, um auf hochwertige Vermögenswerte zuzugreifen. Die Mikrosegmentierung verhindert diese Bewegung, damit Ihr Unternehmen nicht das nächste schlagzeilenträchtige Unternehmen wird, das Opfer eines Angriffs wird.

Bereit, den ersten Schritt auf Ihrer Segmentierungsreise zu machen? Melden Sie sich für eine kostenlose 30-tägige Testphase an.