Netzwerksicherheit im Unternehmen: Welches Modell soll ich wählen?

Sicherheit im Unternehmensnetzwerk ist die große Herausforderung in virtuellen Umgebungen. Unser Artikel zeigt verschiedene Lösungsansätze.

IT-Organisationen sind oft um die Pflege und den Aufbau der Bereiche Rechenleistung, Netzwerk, Storage und Sicherheit aufgebaut. Die weitere Spezialisierung innerhalb dieser Teams wird dann vom Fachwissen und dem Einflussbereich der einzelnen Mitarbeiter gesteuert. Ressourcen und Verantwortung werden zwischen Betrieb, Architektur und Technik aufgeteilt.

Dieser Organisationsaufbau, meist hierarchisch entstanden, standardisiert und von Prozessen getrieben, passt oft gar nicht mit dem Agile-Ansatz zusammen. Gerade bei hoch virtualisierten Umgebungen kann es daher zu Problemen kommen. Die Technik-Bereiche etwa werden meist konsolidiert und abstrahiert, bis hin zu einem Punkt, in dem ein einzelner Administrator für alle virtualisierten Funktionen zuständig ist.

Es gibt zwar einige neue Modelle für den Betrieb moderner IT-Umgebungen, insgesamt muss man aber sagen, dass sich der Ansatz, virtuelle Umgebungen zu sichern, nicht mit der darunterliegenden Technik mitentwickelt hat.

Aktuelle Schutzmodelle

Es gibt für die Netzwerksicherheit in virtuellen Umgebungen - oder allgemein beim Einsatz von Virtualisierung, um Sicherheitsdienste zur Verfügung zu stellen- eine ganze Reihe und Kombinationen von Empfehlungen:

Physisch durchgesetzte Sicherheit: In diesem Modell trennen die Netzwerk-Verantwortlichen die Netzwerke physisch voneinander oder segmentieren sie mit Hilfe virtueller LANs und Subnet-basiertem Routing. Dabei kommen Techniken wie Air Gapping sowie die Isolation einzelner Anschlüsse oder ganzer Zonen zum Einsatz, etwa mit Hilfe von Routern oder Firewalls. In diesem Szenario kümmert sich ein dediziertes Team um die virtuellen Switches sowie die notwendige Netzwerk-Topologie, um virtualisierte Hosts zu verwalten. Innerhalb einer Zone wird dem jeweiligen Leistungsumfang normalerweise keine spezielle Sicherheitsfunktion zugewiesen. Wenn Daten-Traffic eine Zone (egal ob eine virtuelle oder physische) verlässt, geschieht dies über eine Firewall oder einen Router.

Virtuell durchgesetzte Sicherheit: In diesem Szenario nutzen Administratoren logische virtuelle „Edge“-Sicherheits- und Routing-Appliances um Arbeitsaufgaben in logische Bereiche zu unterteilen. Diese virtuellen Appliances ersetzen physische Appliances und können deutlich näher an den zu schützenden Daten arbeiten. Wenn Datenverkehr von einer Zone in eine andere wandert, entscheidet der Ort zur jeweiligen Arbeitsaufgaben ebenso wie die Nähe zur virtuellen Appliance, welche Entscheidungen beim Thema Sicherheit notwendig sind. Es mag zwar zu Segmentierungen im physischen Netzwerk kommen, da aber der meiste Traffic innerhalb der virtuellen Zonen abgearbeitet wird, sieht die physische Firewall nur einen Bruchteil des Datenverkehrs. Diese Architektur bedeutet, dass Vorgaben nur locker an den physischen Ort oder die Segmentierung im unterliegenden Netzwerk gebunden sind.

Physische und virtuelle Appliances: Eine Kombination beider Modelle bietet eine segmentierte und in Zonen unterteilte Isolation, zusammen mit einer auf virtualisierte Hosts aufgeteilte Arbeitsleistung. Dieser Ansatz bietet eine optimierte lokale Isolation und Weiterleitung der virtuellen Arbeitsaufgaben (samt Kontext). Allerdings bedeutet das oftmals auch, dass die für virtuelle Systeme zur Verfügung stehende Rechenleistung nicht optimal genutzt wird, da virtualisierte Cluster durch die zur Verfügung stehenden Dienste limitiert werden. Dennoch wird dieses Modell meist von den Teams in den Bereichen Compliance, Audit und Risiko-Analyse bevorzugt.

Arbeitsaufgabenbasierte Isolation mit durch den Hypervisor durchgesetzter Sicherheit; Kombination von Hypervisor und virtueller Appliance: Richtlinien werden erstellt, mit den jeweiligen Arbeitsaufgaben gekoppelt und „reisen“ mit den jeweiligen Arbeitsaufgaben durch die virtualisierte Umgebung. Die Richtlinien werden vom Hypervisor oder einer Kombination aus Hypervisor und integrierter virtueller Appliance durchgesetzt. Dieser Ansatz liefert durch den virtuellen Kontext und die Integration mit der virtuellen Plattform eine enorm hohe Leistung. Er schützt die jeweiligen Arbeitsaufgaben unabhängig vom physischen oder logischen Unterbau.

Hybrides Modell: Dieser Ansatz kombiniert einige oder alle verfügbaren Optionen. Das Modell bietet ein Potential, mit dem sich ein einheitlicher, homogener Ansatz verwirklichen lässt. Dieser bietet eine hohe Flexibilität, erfordert allerdings, dass sich unterschiedliche Teams zusammentun und einen integrierten Ansatz verfolgen.

Sicherheitsoptionen im Unternehmen evaluieren

Welches Sicherheitsmodell ist also das richtige für Ihr Unternehmen? Leider gibt es keine klare Antwort darauf, wie immer „kommt es darauf an“. Um festzustellen, welcher Ansatz passt, sollten Sie sich folgende Fragen stellen:

  • Arbeiten meine Teams bereits zusammen oder eher getrennt?
  • Wie Compliance oder Richtlinien-getrieben ist mein Unternehmen?
  • Wer ist für Einkauf, Betrieb und Sicherheit zuständig?
  • Wie viel Risiko ist erlaubt?

Es ist wichtig, die Auswirkung von Virtualisierung auf das Unternehmen zu verstehen. Lassen Sie mich daher diese Prozesse etwas ausführen.

Die meisten Organisationen, die Virtualisierung einführen, arbeiten weiter mit Zonen- und Perimeter-Modellen, basierend auf Segregation und Unterteilung der unterliegenden, physischen Netzwerke. In diesem Muster werden oftmals Router und Switches genutzt, um eine Netzwerk-basierte Isolation zu erstellen. Auf diese Konstrukte setzen dann meist Firewalls auf.

Abhängig von der zur Verfügung stehenden Rechenleistung der virtuellen Plattform, die auf dem Netzwerk-Stack sitzt, können die Server- oder Sicherheitsteams die virtuelle Appliances nutzen, damit Security-Lösungen oder an Arbeitsaufgaben angeheftete Richtlinien vom Hypervisor umgesetzt werden können. Es hängt davon ab, wie virtualisiert die Umgebung ist und ob die jeweils genutzte Virtualisierungs-Umgebung bestimmte Funktionen unterstützt. Ist dies der Fall, muss das Sicherheitspersonal wahrscheinlich die Features nutzen, die vorhanden sind - und kann sie sich nicht frei aussuchen.

Das hybride Modell wird normalerweise gewählt, wenn die Netzwerksicherheits- und Server-Teams bereits zuvor effektiv zusammengearbeitet haben und in der Lage sind, Vorgänge und Problemlösungen zu automatisieren. Das setzt allerdings ausgefeilte Prozesse sowie definierte Rollen und Verantwortlichkeiten voraus. Es kommt leicht zu Problemen und Aufgabenkollisionen, wenn die Arbeitsabläufe nicht zuvor definiert sind.

Wenn Teams aus mehreren Verantwortungsbereichen weiter wachsen und neue Systeme entstehen, möglicherweise Cloud-basierte Lösungen oder operative Modelle (etwa in Kooperation mit Entwicklern). In diesen Fällen können sich interessante Möglichkeiten ergeben. In solchen Situationen können Automatisierung oder DevOps-Ansätze ein komplett anderes Sicherheitsmodell ermöglichen. In diesem Modell sehen wir weniger physische oder virtuelle Appliances, stattdessen wird die Sicherheit direkt im Applikations-Layer integriert.

Sicherheit lässt sich in virtuellen Umgebungen auf verschiedene Arten umsetzen und integrieren. Technik ist hier nur ein kleiner Teil des Puzzles. Unternehmenskultur, Lösungen und Designvorgaben sind dabei wichtig. Damit Sicherheit wirklich effektiv arbeiten kann, müssen Entscheidungen an die Organisation und die Teams angepasst sein.

Artikel wurde zuletzt im Januar 2014 aktualisiert

Erfahren Sie mehr über Netzwerksicherheit

- GOOGLE-ANZEIGEN

ComputerWeekly.de

Close