Das variable Netzwerk

Sichere & effiziente IT-Strategien für die Digital Company

Die IT-Verantwortlichen in einem modernen Unternehmen sehen sich mit Anforderungen konfrontiert, die sich am besten mit Hilfe einer hybriden IT-Architektur erfüllen lassen: Sie sollte die Inhaus-Rechenzentren mit den attraktiven Multi-Cloud-Umgebungen kombinieren können. Zudem geht es um die Anbindung von Zweigstellen und Home Offices – um die Business Continuity auch in Krisensituationen sicherzustellen. Zusätzlich ist auch noch der Aspekt einer intelligenten Peripherie zu berücksichtigen, die vom Internet der Dinge vorgegeben wird.

Obendrein müssen die IT-Experten vielfältige Aspekte im Blick haben:

Themen im Überblick

Voraussetzungen für ein ausfallsicheres Unternehmensnetzwerk

Moderne Unternehmen setzen auf eine hybride IT-Architektur. Sie sollte sich sowohl für die Rechenzentren von heute, als auch für die attraktiven Multi-Cloud-Umgebungen eignen. Zudem geht es um die Anbindung von Zweigstellen und Home Offices – um die Business Continuity auch in Krisensituationen sicherzustellen. Dazu ist auch noch der Aspekt einer intelligenten Peripherie zu berücksichtigen, die vom Internet der Dinge vorgegeben wird. Die generellen IT-Trends, die den Weg dorthin bestimmen, sind vor allem:

Transformation der Netzwerke im vollen Gang

Unternehmen in Deutschland, Österreich und der Schweiz gehen aktuell dazu über, ihre Netzwerke zu transformieren. Damit stellen sie die Weichen, um ihre digitalen Strategien weiter zu entwickeln. Im digitalen Zeitalter, mit der Cloud als zentralem IT-Bereitstellungsmodell, benötigen sie auch ein agiles Netzwerk, das Änderungen schnell abbilden, Anwendungen nach Bedarf priorisieren, Clouds integrieren und zentral überwachen kann.

Quelle: Pixabay

Die Modernisierung des Netzwerks ist somit eine der wichtigsten Prioritäten für die Cloud-Migration. Konventionelle Wide Area Networks, die auf reiner MPLS-Technologie (Multi-Protocol Label Switching) basieren, sind nicht optimal ausgelegt für die Unterstützung von Digital Transformation und Cloud Computing. Daher besteht die Gefahr, dass die Netze den Digitalisierungserfolg mindern oder ausbremsen könnten.

Software-Defined Networking bringt Flexibilität

Netzwerk-Virtualisierung und Software-gesteuertes Networking (SDN, Software-Defined Networking) prägen heutige Unternehmensnetzwerke. Um die Arbeiten an diesen flexiblen Infrastrukturen möglichst effizient zu gestalten, kommt die Netzwerk-Automatisierung ins Spiel. Doch sie leidet derzeit noch an einem Vertrauensdefizit, und man wird niemals Komponenten vollständig in die Arbeitsabläufe integrieren können, wenn man diese „mikromanagen“ muss, sprich wenn die Network Automation nicht alles in allem abdecken kann.

Quelle: Citrix
Leider ziehen viele Organisationen die Investitionen in zugehörige Überwachungs-Tools meist erst nach allen anderen Ausgaben für Anwendungen und Infrastruktur in Betracht. Das ist der falsche Weg: Die Entscheidungsträger sollten diese Tools ganz oben in ihren Projektbudgets ansiedeln.

Automatisierung löst nicht alle Probleme

Technikexperten können beim Thema Automatisierung verständlicherweise eine gewisse Skepsis an den Tag legen. Netzwerk-Admins – sprich die Personen, denen Fehler oder Ausfälle häufig angelastet werden – sind dabei nicht so sehr besorgt, dass die Automatisierung in Form von SDN sie den Job kosten kann. Es treibt sie eher um, dass die Automatisierung nicht genauso verlässlich ist wie sie selbst.

Kommt es nämlich bei der Automatisierung zu Problemen, müssen die Admins dafür geradestehen und unter Stress auf die Fehlersuche bei neuen Technologien gehen. Automatisierte Systeme nehmen Änderungen schneller und in größerem Umfang vor, so dass die Transparenz von entscheidender Bedeutung ist: Wesentlich mehr Komponenten müssen auf Fehler untersucht werden, als es bei manuell kontrollierten Systemen erforderlich ist. Letztendlich kommt es darauf an, effizienter zu arbeiten, sicherzustellen, dass das Sicherheitskonzept auf Unternehmensrichtlinien abgestimmt ist, und Änderungen unermüdlich voranzutreiben.

Die Multi-Cloud und ihre Vorteile

Einfach ausgedrückt, steht der Begriff Multi-Cloud für die Nutzung von mehr als einem Public Cloud-Anbieter. Es gibt mehrere Gründe, warum dieser Ansatz immer beliebter wird: etwa erhöhte Ausfallsicherheit, die Fähigkeit, Kosten besser zu managen und die Tatsache, dass verschiedene Clouds für bestimmte Anwendungen besser geeignet sind.

Dass sich der Einsatz einer Multi-Cloud-Struktur positiv auf ein Unternehmen auswirkt, wird vor allem aus Sicht des Kostenmanagements deutlich. In der Cloud-Welt gibt es Preiskriege, Preisüberprüfungen und -senkungen finden ständig statt, und daher ist es sinnvoll, nicht nur in einem „Geschäft“ einzukaufen. Um dies jedoch effektiv zu erreichen, bedarf es eines vielschichtigen Fachwissens.

Verwaltungs-Tools für die Clouds

Unternehmen sollten mehrere Clouds verwenden, wenn das Kostenmanagement ein Hauptaugenmerk ist und es ihnen um Verfügbarkeit geht. Voraussetzung ist, dass sie eine Cloud Data Management-Lösung im Einsatz haben, die es ihnen ermöglicht, ihre Daten einfach zwischen den Clouds zu verschieben. Die Nutzung mehrerer Clouds sollte hingegen vermieden werden, wenn Unternehmen über herkömmliche Datenmanagement-Tools verfügen und daher ihre Daten nicht mit der gebotenen High-Level-Effizienz verwalten können.

Bei der Organisation mehrerer Clouds sind Orchestrierungs-Tools sinnvoll, um den Einsatz vieler verschiedener Management-Tools zu vermeiden. Natürlich ist auch die API-Integration (Application Programming Interface) entscheidend.

Ebenso sollte Cloud Data Management eingesetzt werden, um zu vermeiden, dass Daten an einen einzigen Anbieter gebunden werden. Es sind allerdings beim Einsatz eines Multi-Cloud-Modells auch einige Nachteile zu verzeichnen: So kann es in der Realität komplizierter sein, Anwendungen zwischen Clouds zu verschieben. Es ist auch schwieriger, die Kosten zu messen, es sei denn, es steht ein zentrales Tool bereit, um die Kosten im Auge zu behalten.

Orchestrierung als Konsequenz

Unternehmen können die Herausforderungen der Datenbindung an einen Anbieter mindern, indem sie ebenfalls mit Hilfe einer Cloud Data Management-Lösung die Daten von der Infrastruktur entkoppeln. Dies ermöglicht die Orchestrierung zwischen den Clouds und sogar zurück zum traditionellen Rechenzentrum des Unternehmens.

Es ist wahrscheinlich, dass künftig Cloud Broker eingesetzt werden, die sich um das Management der Multi-Cloud kümmern werden. So können Unternehmen eine bestimmte Menge an Rechenleistung oder Speicherplatz anfordern, und der Cloud Broker wird den Standort und die Kosten für sie verwalten. Für diejenigen, die die Multi-Cloud nutzen wollen, sollte es einfacher werden.

Management Summary: Das variable Netzwerk

https://evm.digitaler-arbeitsplatz-heute.de/event.php?eh=1429255cebc235b06693&status=teilnehmer&src=WP

Basics der Standortanbindung

Wenn es um die Anbindung von Zweigstellen an die Unternehmenszentrale geht, können unterschiedliche Technologien und Strategien verfolgt werden. Aber welche Methode ist für welche Unternehmen am besten geeignet – das lässt sich erst nach einer genauen Analyse der Umgebungsparameter und der Vorgaben im Unternehmen herausfinden. Generell stehen die Forderungen nach Redundanz und somit nach der Ausfallsicherheit der Verbindungen im Vordergrund.

Es gibt drei unterschiedliche Typen von Netzwerk-Verbindungen, die sich für ein zeitgemäßes Anbinden von Zweigstellen und Home Offices anbieten. Erstens ist es möglich, eine direkte Verbindung (WAN) über einen Provider zur Zweigstelle zu beziehen. Dieses Vorgehen war in der Vergangenheit sehr verbreitet. Aktuell nehmen die meisten Unternehmen von diesen WAN-Connections Abstand. Allerdings kommen diese Verbindungen noch vor, wenn die Entfernung von der Zweigstelle zur Zentrale eher gering ist.

Quelle: Citrix

Zum Zweiten setzten viele Unternehmen auf sogenannte MPLS-Anbindungen (Multi-Protocol Label Switching), und „überlassen“ es einem bestimmten Provider, Verbindungen von einer oder mehreren Zweigstellen zur Zentrale herzustellen. Der Vorteil liegt hierbei auf der Hand: Man muss sich nicht weiter um die dahinter liegende Übertragungstechnologie kümmern. Allerdings ist die zur Verfügung gestellte Bandbreite in Relation zu den Kosten ein limitierender Faktor. Bereits eine kleinere Leitung mit 2 MBit/s ist relativ teuer, Bandbreiten von etwa 10 MBit/s schlagen hier schon massiv zu Buche.

Als dritte Option lassen sich günstige Internet-Leitungen, abgesichert über entsprechende VPN (Virtual Private Network), einsetzen. Diese Technologie kommt üblicherweise bei der Anbindung von kleinen Zweigstellen und bei der Einbindung von Home Offices in das Unternehmensnetzwerk zum Einsatz.

Mittels VPN legen Administratoren über den öffentlichen Internet-Zugang verschlüsselte Tunnel an. Darüber tauschen dann die einzelnen Niederlassungen der Unternehmen und die Heimarbeitsplätze ihre Datenpakete aus. Die VPN-Methode gilt als erprobt und relativ sicher. Nachteilig ist, dass die Konfiguration und Administration solcher Lösungen meist etwas umfangreicher ausfallen.

Technologie-Mix ist möglich

Die generellen Voraussetzungen im Netzwerk-Bereich, um die Zweigstellen oder Home Offices anzubinden, liegen nicht sonderlich hoch: Generell ist eine Telekommunikationsleitung erforderlich, also beispielsweise eine klassische Telefonleitung, ein (V)-DSL-Anschluss, Kabelnetzwerke oder MPLS-Leitungen bzw. auch Mobilfunk-Anbindungen wie LTE (Long Term Evolution). Die einzelnen Anbindungen unterscheiden sich in der zur Verfügung gestellten Bandbreite und Latenz.

Zudem können weitere Restriktionen vorliegen, etwa wenn man sich die Mobilfunk-Anbindungen wie UMTS (Universal Mobile Telecommunications System) oder LTE ansieht. Ist doch bei LTE meist eine Volumenbegrenzung vertraglich vereinbart, beispielsweise 10 GByte pro Monat oder ähnliche Download-Volumina. Bei der Latenz muss allerdings noch angemerkt werden, dass beinahe alle Technologien inzwischen mit Antwortzeiten von um die 10 Millisekunden glänzen können. Dies ist für die meisten Anbindungen mehr als ausreichend.

SD-WAN als Alternative

Eine interessante Alternative zu MPLS stellen heutzutage die Software-definierten Weitverkehrsnetze – SD-WANs – dar. Sie versprechen eine Reihe von Vorteilen: Geringere Kosten, erhöhte Benutzerfreundlichkeit und eine bessere Konnektivität zur Cloud gehören dazu.

Besonders sinnvoll erweist sich diese Art der Anbindung für Zweigstellen, da sie nicht nur die Kosten für die Bandbreite erheblich senken, sondern auch den IT- und Sicherheitsteams eine größere Transparenz und Kontrolle ermöglichen.

SD-WAN verbessert die Benutzererfahrung

In der Ära des digitalen Wandels und der Modernisierung des Arbeitsplatzes ist es von größter Bedeutung, den Mitarbeitern ein großartiges Benutzererlebnis zu bieten. Das bedeutet, dass sich der Zugriff auf Daten und Applikationen zügig (ohne Verbindungsabbrüche) und transparent (von jedem Ort zu jeder Zeit auf eine sichere Art und Weise) umsetzen lässt.
Quelle: Citrix

Im Gegensatz zu MPLS-Verbindungen benötigen SD-WANs keine eigene direkte Anbindung an ein Rechenzentrum: Zweigstellen oder auch Home Offices sind so leichter an das Internet anzuschließen. Dies führt zu einer besseren Performance, niedrigeren Latenzzeiten und einer leistungsfähigeren Konnektivität.

Außerdem verringert sich der Zeit- und Arbeitsaufwand für die Einrichtung und Verwaltung von Zweigstellen, sodass die Benutzer schneller auf die Anwendungen zugreifen können. Da immer mehr Unternehmen Big Data-Analytik, maschinelles Lernen und Künstliche Intelligenz (KI) einsetzen, erleichtert SD-WAN die Bereitstellung von Intelligenz für Zweigstellen, da die Daten näher am Netzwerkrand liegen.

Dabei zeigt sich die Technik des SD-WAN an sich schon als eine ausfallsichere Anbindung – ermöglicht sie doch Unternehmen die Nutzung einer Vielzahl von Transportdiensten, einschließlich MPLS, VPN und LTE, unter Verwendung von Routing-Richtlinien. Dies bedeutet, dass IT- und Netzwerk-Teams die Geräte nicht neu konfigurieren müssen.

SD-WAN-Hub erlaubt zentrale Steuerung

Zudem nutzt SD-WAN die Automatisierung zur Vereinfachung der Cloud-Konnektivität und bietet gleichzeitig eine zentrale Steuerung über einen skalierbaren SD-WAN-Hub. Dies erleichtert das Einbinden neuer Benutzer und Remote-Büros. Außerdem können Unternehmen mit der richtigen Lösung SD-WAN in ihrem eigenen Tempo hinzufügen. Hierbei lässt sich eine beliebige Kombination aus Cloud- und lokalen Bereitstellungsmodellen nutzen, so dass nichts von dem entfernt und ersetzt werden muss, was bereits vorhanden ist.

Einer der wichtigsten Gründe für die Attraktivität von SD-WAN ist, dass es erhebliche Verbesserungen der Cyber-Sicherheit ermöglicht sowie die Abläufe vereinfacht. Mit SD-WAN können IT- und Sicherheitsteams ganzheitliche Transparenz und Kontrolle über die Konnektivität gewinnen, vorausgesetzt, sie verwenden die richtigen Lösungen. In der Vergangenheit war Connectivity die treibende Kraft hinter SD-WAN; in Zukunft wird die Sicherheit die größte dynamisierende Wirkung haben.

Dies bedeutet, dass Lösungen wie eine Zero Trust-Architektur und native Sicherheit verwendet werden müssen. Hierbei kommt ein zentraler Management-Hub zum Einsatz, der Konnektivität und Sicherheit für eine ganzheitliche Sichtweise kombiniert. IT- und Sicherheitsteams können Zweigstellen vor allen Arten von Angriffen schützen, indem sie reichhaltige Sicherheitsdaten, Automatisierung, Bedrohungsanalyse und maschinelles Lernen nutzen.

Anforderungen an die Internetanbindung

Um ein Home Office oder eine kleinere Zweigstelle über das Internet an das Unternehmensnetzwerk anzuschließen, reichen meistens sogar Einstiegsmodelle oder sogar Consumer-Geräte aus. Bei größeren Firmen bedarf es meist teurerer Modelle, um zum Beispiel Leitungsbündelungen vorzunehmen. Im Gegensatz zu den Consumer-Geräten sind die hochwertigeren Business-Router meist in der Lage, drei oder mehrere Leitungen gleichzeitig zu nutzen.

Dabei achten die Systembetreuer in den mittleren und großen Unternehmen auch darauf, dass diese Router redundant verfügbar sind – schließlich stellt ein einziger Zugangspunkt zum Internet einen „Single-Point-of-Failure“ dar. Dabei gilt es auch zu differenzieren, in welcher Form der eingesetzte Router die unterschiedlichen Leitungen ansteuern kann. Ist das System nur in der Lage, jeweils eine Leitung für den Internet-Zugang bereitzustellen und die zweite oder dritte Leitung als „Notreserve“ für einen Ausfall, oder kann der Netzwerk-Traffic auf alle verfügbaren Leitungen aufgeteilt werden, um die Übertragungsgeschwindigkeit zu erhöhen? Hier müssen die Unternehmen die entsprechende Infrastruktur und die passenden Geräte aufeinander abstimmen.

Sicherheit der Daten bei der Übertragung

Ein ganz wichtiger Punkt ist die Frage nach der Sicherheit der Daten und der Datenverschlüsselung. Bei MPLS ist es beispielsweise so, dass die Daten unverschlüsselt zum Provider (und danach zur Gegenstelle) transportiert werden. Inzwischen gehört es zum Stand der Technik, dass Verschlüsselung eingesetzt wird, wenn es um die Anbindung von Zweigstellen an die Unternehmen geht. Schließlich muss man davon ausgehen, dass alles außerhalb des eigenen Netzwerkes als nicht vertrauenswürdig einzustufen ist.

Teilweise könnte man sogar so weit gehen, dass man selbst im internen Netzwerk nichts als vertrauenswürdig einstuft. Daher sollte jegliche Kommunikation verschlüsselt sein, besonders wenn es um die Anbringung von Zweigstellen geht. Dafür gibt es unterschiedliche Spielarten. Im Prinzip ist dabei ein VPN das Mittel der Wahl – ob nun Daten von Kassensystemen ausgetauscht werden sollen oder VoIP über eine MPLS-Leitung mit einer zentralen Telefonanlage zu übertragen ist.

Anbindung von Mobilgeräten

Generell lässt sich VPN nicht nur als „Tunnel“ zwischen einzelnen Niederlassungen einsetzen, sondern auch von einzelnen Mitarbeitern nutzen, um von unterwegs (etwa per Laptop, Tablet oder Smartphone) auf Unternehmensdaten zuzugreifen.
Quelle: Pixabay
Daher müssen die einzelnen Teilnehmer der verschlüsselten Kommunikation zum einen eindeutig identifiziert werden können, zum anderen können etwa Kennwörter und Zertifikate genutzt werden, um verschlüsselt Daten auszutauschen.

Sicherheit als Kernanforderung dynamischer Netzwerke

Mitarbeiter in Home Office – und die IT-Sicherheit steht auf dem Prüfstand. Es stellt sich dabei vor allem die Frage: Welche Maßnahmen sind zu treffen, wenn ein Unternehmen fast alle seine Mitarbeiter ins Home Office schickt? Damit sehen sich nicht nur die Chefs, sondern auch die IT-Mannschaften konfrontiert, denn die Compliance-Vorgaben in Bezug auf Datenschutz und Datensicherheit sind auch „im Home Office“ gültig.

Bei der Entscheidung, einen Großteil der Mitarbeiter nach Hause zu schicken, müssen Unternehmen zuvor die betrieblichen Risiken durchdenken und passende Maßnahmen ergreifen. Sie sollten sich fragen, ob sie in der Lage sind, eine große Anzahl von gleichzeitigen VPN-Verbindungen zu ihrer Infrastruktur und ihren Diensten zu unterstützen.

Korrektes Sizing sichert die Skalierbarkeit

Hierbei sind unbedingt die Sizing-Vorgaben der verschiedenen Übertragungskomponenten – wie Router, Application Delivery Controller (ADC) und Firewalls – zu berücksichtigen. Unter Umständen muss hier schnell nachgebessert werden. Sollte dies nicht möglich sein, ist das an sich kein Sicherheitsrisiko, jedoch kann es zu erheblichen Unterbrechungen der Arbeitsabläufe führen und möglicherweise eine bereits am Limit befindliche IT-Abteilung zusätzlich belasten.

Es besteht das Risiko, dass Zugriffs-, Autorisierungs– und Authentifizierungsrichtlinien nicht ordnungsgemäß umgesetzt wurden. Das kann dazu führen, dass Mitarbeiter auf Ressourcen zugreifen, die sie nicht benötigen. Um die Gefahr eines nicht genehmigten Fernzugriffs auf die Infrastruktur zu minimieren, sollten IT- und Sicherheitsteams deutlich machen, welche VPN-Clients, Dienste und Anwendungen von der Organisation unterstützt werden. Jeder Versuch, mit nicht genehmigten Tools auf die interne Infrastruktur zuzugreifen, sollte als potenzielles Netzwerk-Sicherheitsrisiko behandelt und sofort blockiert werden.

Da einige Organisationen strenge IT-Richtlinien für die zentrale Verwaltung und Bereitstellung von Software- und Sicherheits-Updates an Endpunkten haben, empfiehlt es sich, schrittweise Verfahren für die Bereitstellung von Updates zu entwickeln. Die gleichzeitige Bereitstellung aller Updates an Mitarbeiter mit VPN-Verbindung kann zu Bandbreitenüberlastungen führen und den ein- und ausgehenden Datenverkehr beeinträchtigen. Nicht zuletzt sollte auch die Aktivierung der Festplattenverschlüsselung für alle Endpunkte eine Priorität sein. Sie minimiert das Risiko, dass auf sensible Daten zugegriffen wird oder diese aufgrund von Gerätediebstahl kompromittiert werden.

Bewertung der vorhandenen Infrastruktur

Bevor die Entscheidung getroffen wird, die Mitarbeiter ins Home Office zu senden, sollten die IT- und Sicherheitsteams ihre aktuellen Ressourcen bewerten, evaluieren, welche Auslastung sie für das remote-optimale Arbeiten unterstützen müssen, und die Risiken dabei abschätzen. In diesem Zusammenhang der erneute Hinweis: Der starke Anstieg gleichzeitiger VPN-Verbindungen sollte bei diesen Betrachtungen an erster Stelle stehen.

Die Einrichtung und Unterstützung von Konferenz-Software, die sowohl eine stabile Sprach- als auch Videoverbindung gewährleistet, sollte ebenso eine hohe Priorität bekommen, da die meisten Besprechungen virtuell stattfinden werden. Es muss auch sichergestellt sein, dass alle Mitarbeiter über gültige Anmeldedaten verfügen, die nicht innerhalb von weniger als 30 Tagen ablaufen.

Verzeichnisdienste haben zentrale Rolle

Eine Änderung abgelaufener Active Directory-Anmeldedaten kann bei Remote-Konferenzen schwierig sein. Auch den Fall, dass zahlreiche Mitarbeiter ihre Passwörter vor dem Verlassen des Büros ändern müssen, sollten Unternehmen am besten proaktiv angehen.

Das Versenden von Regeln und Richtlinien bezüglich akzeptierter Anwendungen und kollaborativer Plattformen ist ebenfalls ein Muss. Stringente Kommunikation ist hier Pflicht, da die Mitarbeiter darüber aufgeklärt werden müssen, was sanktioniert wird und was nicht. In Kombination mit dem Einsatz von Netzwerk-Sicherheits-, Überwachungs- und Protokollierungs-Tools können IT- und Sicherheitsteams benachrichtigt werden, wenn nicht vertrauenswürdige Verbindungen oder nicht autorisierte Anwendungen entdeckt werden, um diese schnell und rechtzeitig zu blockieren.

Security-Outsourcing als Alternative

Für kleine und mittlere Unternehmen mit bis circa 500 Endpunkten kann das Outsourcing der IT-Sicherheit eine gute Lösung sein. Sie erhalten so das Know-how, die passenden Tools und die Expertise, um alle Maßnahmen für die Heimarbeit schnell in Gang zu bringen. Interne IT- und Sicherheitsteams sind häufig bereits überlastet, und die Auslagerung kann Zeit sparen und die Effektivität erhöhen.

Quelle: Citrix

Es gibt auch MDR-Dienste (Managed Detection and Response), die bei der Bedrohungsabwehr helfen können – insbesondere bei den Szenarien, bei denen die Infrastruktur im Home Office anfälliger für Angriffe von außen ist. Diese qualifizierten Cyber-Sicherheitsteams können dabei helfen, Sicherheitsstrategien zu entwickeln und die richtigen Tools zur Bedrohungssuche einzusetzen, die jedes potenzielle Anzeichen einer Datenverletzung erkennen. Unternehmen bekommen durch das Outsourcing Zugang zu den besten Sicherheitsexperten und halten gleichzeitig die Betriebskosten niedrig. Das bedeutet, dass sie zu einem Bruchteil der Kosten die gleichen Vorteile genießen können wie große Organisationen, die intern finanzierte SOCs (Security Operation Centers) haben.

Zero-Trust-Architektur garantiert hohe Sicherheit

Das National Institute for Standards and Technology (NIST) hat den Entwurf einer Zero Trust-Architektur (NIST SP 800-207), kurz ZTA, vorgestellt. Laut NIST kann kein Unternehmen das Cyber-Sicherheitsrisiko vollständig eliminieren. Ergänzt durch bestehende Cyber-Sicherheitsrichtlinien und -verfahren, Identitäts- und Zugriffsmanagement, kontinuierliche Überwachung und allgemeine Cyber-Hygiene kann eine ZTA die Gesamtrisiko-Exposition reduzieren und Schutz vor gängigen Bedrohungen bieten. Dabei besitzt Machine Learning (ML) ein großes Problemlösungs-Potential.

Die Veröffentlichung des NIST zur Zero Trust-Architektur wird von Security-Experten begrüßt, zumal diese inhaltlich eng mit dem übereinstimmt, was bislang bereits über die Bedeutung der Netzwerk-Sichtbarkeit für die Stärkung einer Zero Trust-Architektur diskutiert wurde. Während dieses fast 50-seitige Dokument mehrere Bereitstellungsmodelle und Anwendungsfälle abdeckt, gibt es zwei Kernpunkte der ZTA: die Entschlüsselung, die keine Priorität sein sollte, und den Blick über die Hosts hinaus.

Überwachungsmöglichkeiten sind eingeschränkt

Moderne Unternehmensnetzwerke unterliegen großen und schnellen Veränderungen, die sowohl auf immer mehr mobile und entfernte Arbeitskräfte, als auch auf den schnellen Ausbau von Cloud-Diensten zurückzuführen sind. Darüber hinaus verlassen sich Unternehmen zunehmend auf nicht unternehmenseigene Systeme und Anwendungen. Diese Ressourcen von Drittanbietern sind oft resistent gegen passive Überwachung. Das bedeutet, dass die Untersuchung von verschlüsseltem Datenverkehr und Deep Packet Inspection (DPI) in den meisten Fällen nicht möglich ist.

Infolgedessen werden herkömmliche Netzwerkanalyse-Tools, die auf Transparenz an Endpunkten von lokalen Netzwerken wie Intrusion Detection Systems (IDS) angewiesen sind, schnell obsolet. Aber wie das NIST anmerkt: „Das bedeutet nicht, dass das Unternehmen nicht in der Lage ist, verschlüsselten Datenverkehr zu analysieren, den es im Netzwerk sieht. Es kann Metadaten über den verschlüsselten Datenverkehr sammeln und diese verwenden, um mögliche Malware zu erkennen, die im Netzwerk oder bei einem aktiven Angreifer kommuniziert. Techniken des maschinellen Lernens können verwendet werden, um Traffic zu analysieren, der nicht entschlüsselt und untersucht werden kann“.

Transparenz steht im Vordergrund

Allerdings müssen sich Unternehmen nicht auf die Entschlüsselung verlassen, um Bedrohungen zu erkennen. Im Wesentlichen geht es um diese Kernpunkte:

Stattdessen erfordert eine erfolgreiche Implementierung einer ZTA eine moderne Network Detection and Response (NDR)-Lösung, die Metadaten über verschlüsselten Datenverkehr sammeln und maschinelles Lernen nutzen kann, um bösartige Kommunikation von Malware oder Angreifern im Netzwerk zu erkennen.

Überblick über das gesamte Benutzer- und Systemverhalten

Ein wesentlicher Bestandteil der Zero Trust-Architektur ist es, die Nutzung von Privilegien im Netzwerk zu überwachen und den Zugriff auf der Grundlage von Verhaltensweisen kontinuierlich zu kontrollieren. Diese „Continuous Diagnostics and Mitigation“ (CDM) geht über die bloße Beobachtung von Hosts hinaus und versucht, auf folgende Fragen passende Antworten zu liefern:

Auch dies macht die Bedeutung der Netzwerk-Sichtbarkeit deutlich. Unternehmen müssen Einblick in alle Akteure und Komponenten ihres Netzwerks haben, um Bedrohungen zu überwachen und zu erkennen.

Unsere Empfehlungen

Wie Marc O’Polo ein Workspace-Design für die hybride Arbeitswelt entwickelt

Sicheres Arbeiten an jedem Ort: Zero Trust Security mit Citrix und Google Cloud

Wie Sie jetzt die Employee Experience in Ihrem Unternehmen revolutionieren

Praxisbericht: ABAG-Gruppe schützt Remote-Mitarbeiter mit Citrix Secure Internet Access

Dezentral, agil, cloudbasiert: So sieht das Kontaktzentrum der Zukunft aus

Neue Chancen durch hybride Arbeitsmodelle – speziell für kleine und mittlere Unternehmen