Nano-Segmentierung℠: Was hat es mit der Aufregung auf sich?

Auf der RSA-Konferenz in der vergangenen Woche stellte Illumio die Nanosegmentierung vor, unsere neueste Innovation zur Sicherung von mehrschichtigen Anwendungen, die in Rechenzentren und Clouds ausgeführt werden. Die Illumio Adaptive Security Platform (ASP)^TM erweitert nun die Anwendungssegmentierung von der Granularität einzelner Workloads auf Prozesse, die innerhalb der Workloads ausgeführt werden.

Die Teilnehmer der RSA-Konferenz, die sich die Illumio-Theaterpräsentationen ansahen, erkannten die Macht der Nanosegmentierung, die Gefährdung von Unternehmen durch Bedrohungen drastisch zu reduzieren und den „Auswirkungsradius“ von Angriffen einzuschränken. Wir haben gezeigt, wie man mit einer einfachen Drag-and-Drop-Operation einen kompromittierten Server durch Nano-Segmentierung isolieren kann – eine Branchenneuheit. Die Segmentierung des Rechenzentrums zur Trennung von Anwendungen (Entwicklung, Test, Produktion usw.) oder zur Isolierung von Anwendungen (z. B. zur PCI- Konformität) ist notwendig, um die Sicherheit dynamischer, über Rechenzentren und Clouds verteilter Computerumgebungen zu gewährleisten. Doch Segmentierung ist nicht gleich Segmentierung. Lassen Sie mich das erklären.

Nicht alle Segmentierungen sind gleich.

Die meisten von uns kennen den Begriff "Mikrosegmentierung", der vor einigen Jahren von SDN-Anbietern eingeführt wurde. Die Mikrosegmentierung wurde als eine Möglichkeit für Unternehmen beworben, Anwendungen zu isolieren, die in virtuellen Umgebungen ausgeführt werden. Aktuelle Lösungen für die Mikrosegmentierung sind jedoch an eine Reihe von Bedingungen geknüpft: Sie sind entweder an den Hypervisor, Netzwerkkonstrukte (VLANs, Subnetze, Sicherheitszonen usw.) oder andere Hardware (Switches, Router usw.) gebunden. Die meisten Lösungen berücksichtigen nicht die Segmentierung von Anwendungen in der Cloud oder von Anwendungen, die Bare-Metal-Server enthalten. Das Ziel der Sicherheit durch Anwendungssegmentierung ist gut gemeint, aber bestehende Lösungen greifen zu kurz.

Hier kommt die Nanosegmentierung ins Spiel  

Der erste Schritt zur Erreichung einer möglichst granularen Segmentierung für Rechenzentrumsanwendungen besteht darin, die Angriffsfläche auf einzelne Recheneinheiten (jede VM oder jeden Bare-Metal-Server) in Rechenzentren und Clouds zu reduzieren. Illumio ASP erreicht dies durch die dynamische Programmierung präziser Sicherheitsregeln für eingehende und ausgehende Verbindungen für jede einzelne Arbeitslast. Dadurch ist die Plattform in der Lage, einen adaptiven Perimeter um jede Recheninstanz (in jedem Rechenzentrum oder jeder Cloud) zu erstellen und so effektiv ein Segment von eins zu schaffen. In Kombination mit dem dynamischen, auf einer Whitelist basierenden Richtlinienmodell von Illumio ASP ermöglicht es Administratoren, zulässige Workload-Interaktionen für Anwendungen vollständig und ohne Abhängigkeiten vom Netzwerk festzulegen. Mit der neuesten Produkteinführung ging Illumio noch einen Schritt weiter und ermöglichte die Segmentierung mehrerer Anwendungen bis hin zu Prozessen auf einem einzigen Host. Beispielsweise könnten zwei Instanzen des Apache-Prozesses auf einer einzigen Arbeitslast auf zwei verschiedene Anwendungen aufgeteilt werden.

Was hat es mit dem Namen auf sich?

Haben wir uns mit einem Namen wie Nano-Segmentierung ein wenig Marketing-Überlegenheit gegönnt? Weit gefehlt – es ist absichtlich und wird durch Beweise gestützt. Die Nano-Segmentierung ermöglicht, wie der Name schon sagt, Unternehmen, Anwendungen so granular wie möglich zu segmentieren. Wir wollten, dass Unternehmen wissen, dass es einen Weg gibt, "ihren Kuchen zu haben und ihn auch zu essen" – sie können Anwendungen über Rechenzentren und Clouds hinweg segmentieren, während die Sicherheit intakt bleibt. Noch wichtiger ist, dass die Funktion die Anwendungssegmentierung in jeder Computerumgebung gleichermaßen effektiv macht.

Und noch etwas: Der Begriff "Nano" verleiht dem Illumio-Grundsatz der netzwerkunabhängigen Sicherheit Glaubwürdigkeit. Es ist ein Akronym für "Never Again Network-Oriented".