So sichern Sie Ihr SD-WAN ab

Bei der Auswahl eines SD-WANs ist die vom Anbieter gebotene Integration mit Sicherheitsspezialisten von entscheidender Bedeutung. Ein gut gewähltes SD-WAN bietet dann robuste Sicherheitsoptionen.  

Da Unternehmen ihre Anwendungen zunehmend in die Cloud migrieren, müssen sie ihr WAN und die damit verbundenen Sicherheitsaspekte überdenken. Ein SD-WAN, oder softwaredefiniertes WAN, bietet mehrere Vorteile, insbesondere eine Senkung der Kosten, eine Erhöhung der Bandbreite und eine Steigerung der Zuverlässigkeit. Aufgrund seiner Funktionsweise – SD-WAN-Verbindungen basieren teilweise auf öffentlichen Internetverbindungen – wirft seine Absicherung manchmal Fragen auf. Weil ein SD-WAN jedoch über eine zentrale grafische Orchestrierungsplattform verfügt, wird die Administration seiner Sicherheit in jeder Hinsicht erleichtert.

Da die Daten über das öffentliche Internet transportiert werden, muss ein SD-WAN über die nötigen Werkzeuge verfügen, um das berühmte CIA-Prinzip (Confidentiality, Integrity, Availlability) zu gewährleisten. Vor der Auswahl einer Lösung muss ein Unternehmen prüfen, ob der Datenschutz durch Verschlüsselung gewährleistet ist (IPsec-Tunnel, AES-256-Verschlüsselung), ob Hash-Algorithmen die Datenintegrität kontrollieren (Normen SHA-1- und -2) und ob die Verfügbarkeit durch Link-Aggregation (Tunnel-Bonding) gewährleistet ist.

Die von SD-WAN-Spezialisten angebotenen Plattformen bieten alle mehr oder weniger moderne Sicherheitsfunktionen. Doch ist keine davon in der Lage, eine umfassende Sicherheit zu bieten. Und das ist auch gut so: Im Bereich der Sicherheit ist der Rückgriff auf mehrere spezialisierte Anbieter der beste Weg, um das gesamte Bedarfsspektrum abzudecken. Cloud-basierte verwaltete Sicherheitsdienste, wie sie etwa von Zscaler angeboten werden, sind eine leistungsfähige Lösung zum Schutz von Unternehmen vor Bedrohungen und sorgen für die Aufrechterhaltung einer hohen Leistungsfähigkeit sowie eines optimalen Kundenerlebnisses bei gleichzeitiger Kostenbegrenzung.

Bevor sich ein Unternehmen für eine SD-WAN-Lösung entscheidet, sollte es also sicherstellen, dass der Anbieter Partnerschaften mit den großen Namen aus dem Bereich IT-Security eingegangen ist. Aber Achtung: Diese Partnerschaft darf nicht in einer einfachen Marketingvereinbarung bestehen, sondern muss eine echte technische Integration umfassen, insbesondere mit den neuesten im Bereich der Sicherheit angesagten Technologien: Next-Generation-Firewall (NGFW), IPS (Intrusion Prevention System), DLP (Data Loss Protection) usw. „Wir arbeiten mit Zscaler, Palo Alto, Fortinet, Check Point zusammen, sodass wir, wenn Sie deren Lösungen nutzen, die Verkettung von Diensten (Firewall, IPS usw.) automatisieren, damit ein bestimmter Datenverkehr über eine bestimmte Sicherheitsvorrichtung läuft“, erklärt Pierre Langlois, Vertriebsleiter EMEA und Geschäftsführer Frankreich bei Silver Peak. „Das funktioniert problemlos, da diese Anbieter Integrationstests mit unserer Plattform durchgeführt haben, was dem Kunden bei dem Versuch, verschiedene Produkte dazu zu bringen, viele Stunden Arbeit erspart“, ergänzt Anusha Vaidyanathan, Director Security Product Management bei Silver Peak. Um seine Standorte oder Niederlassungen abzusichern, muss das Unternehmen bestimmen, an welche Sicherheitsvorrichtung der Paketstrom je nach Herkunft oder Anwendung gesendet werden soll. Hierzu stehen ihm drei Lösungen zur Verfügung: Anfragen im Zusammenhang mit bekannten SaaS-Geschäftsanwendungen wie Salesforce können direkt über das Internet versendet werden; der Datenverkehr mit etablierten, aber unkritischen Websites (Linkedin, Twitter, Facebook) kann über Sicherheitsgateways im Web abgewickelt werden, wie Zscaler sie anbietet. Verbindungen mit unbekannten Anwendungen (z.B. in einem „Risikoland“) müssen über ein modernes Sicherheitstool im Rechenzentrum des Unternehmens laufen, insbesondere um „Zero-Day“-Angriffe erkennen zu können. Diese Sicherheitsadministration fällt umso leichter, da die Orchestrierungsplattform des SD-WAN die Verkettung von Diensten per Drag & Drop erlaubt und damit das Fehlerrisiko reduziert.

Von zentraler Bedeutung für die anwendungsbasierte Sicherheit ist die Mikrosegmentierung. Doch ist das SD-WAN in dieser Hinsicht dem herkömmlichen WAN überlegen. Bei Letzterem ist die Segmentierung mit einer manuellen Administration der Geräte mittels zahlreicher Konsolen-Befehle verbunden. Eine mühsame, wenn nicht gar unmögliche Aufgabe. Bei einem SD-WAN wird die Mikrosegmentierung zentral konfiguriert: So können partitionierte virtuelle Netzwerkschichten (Overlays) erstellt werden, die jeweils für den vom Netzwerkadministrator zugewiesenen Datenverkehr unter Anwendung der entsprechenden Sicherheitsrichtlinie zuständig sind: ein Overlay für Banktransaktionen, ein Overlay für den Kommunikationstransport (Sprache, Video) usw. Die Segmentierung erfolgt durchgängig für LAN-WAN-Rechenzentrum- und LAN-WAN-Cloud-Verbindungen. Darüber hinaus erleichtert diese Zentralisierung die Einhaltung der Sicherheitsrichtlinien und verhindert menschliche Fehler, die bei manueller Konfiguration vorkommen können. Diese Mikrosegmentierung ist umso wichtiger, da die Zahl der Vorschriften, insbesondere im Hinblick auf Compliance, weiter zunimmt. Zwar sind die Sicherheitsregeln für Banktransaktionen und die Übertragung medizinischer Daten unterschiedlich streng, doch sind die Anforderungen in beiden Fällen verschieden.