Die Beschleunigung der digitalen Transformation in den vergangenen zwei Jahren hat die Anforderungen an den Schutz von Unternehmen vor den modernen Cybersecurity-Bedrohungen von heute grundlegend verändert. Insbesondere der Wandel von monolithischen Anwendungen hin zu einer hochgradig verteilten modernen Anwendungsarchitektur lässt die Zahl der Workloads und der Kommunikationen innerhalb von Clouds und zwischen ihnen explosionsartig ansteigen.
Tatsächlich haben fast zwei Drittel der Unternehmen weltweit das Microservices-Modell eingeführt in den vergangenen zwei Jahren. Die daraus resultierende Veränderung der Verkehrsmuster ermöglicht es findigen Cyberkriminellen, Workloads ins Visier zu nehmen, Sicherheitslücken bei Richtlinien und Kontrollen auszunutzen und Anwendungen zu kompromittieren. Von dort aus können sie sich lateral von einer Anwendung auf das restliche Netzwerk ausbreiten.
Zero Trust gewinnt bei Unternehmen als Gegenmaßnahme gegen diese modernen Bedrohungen schnell an Bedeutung und sorgt für eine deutlich robustere Sicherheitslage, die die digitale Transformation unterstützt, statt sie zu behindern. Zero Trust basiert auf dem Prinzip „niemals vertrauen, immer überprüfen“, bevor der Zugriff auf Anwendungen und Ressourcen gewährt wird. Dabei entfällt die Annahme von Vertrauenswürdigkeit, der Zugriff wird eingeschränkt und anhand von Identität und Kontext authentifiziert.
Siehe auch: Top-Cloud-Unternehmen
Einschränkungen eines herkömmlichen Zero-Trust-Ansatzes
Zero Trust wird häufig nur zur Absicherung des Benutzerzugriffs auf Unternehmensnetzwerke eingesetzt und nicht zur Absicherung der Kommunikation zwischen Workloads. Um diese zunehmend komplexen, hochgradig verteilten Anwendungen zu schützen, müssen Sicherheitsteams die Workloads selbst vollständig absichern – ohne Sicherheitslücken oder blinde Flecken.
Das Problem besteht darin, dass herkömmliche Firewall-Lösungen in erster Linie für den Perimeter entwickelt wurden und internen Datenverkehr zurück zu einer Appliance im Rechenzentrum leiten müssen, wo Sicherheitsrichtlinien angewendet werden können – ein Prozess, der die Latenz erhöht, Bandbreite verbraucht und die Netzwerkinfrastruktur komplexer macht. Diese Komplexität zwingt Sicherheitsteams dazu, auszuwählen, welcher Datenverkehr überwacht und abgesichert werden soll.
In einer Welt, in der die Sicherheitslage eines Unternehmens nur so gut ist wie ihr schwächstes Glied, ist dies eine inakzeptable Entscheidung.
Sicheren Workload-Zugriff operationalisieren
Unternehmen benötigen eine Möglichkeit, sicheren Workload-Zugriff im Cloud-Maßstab zu operationalisieren. Dafür muss die Zero-Trust-Architektur durch einen softwarebasierten, verteilten Ansatz vereinfacht werden, der die Sicherheit direkt in den Hypervisor integriert.
Die Möglichkeit, die Kommunikation zwischen Workloads abzusichern, beschleunigt die Einführung von Zero-Trust-Prinzipien, reduziert die Angriffsfläche, erschwert die laterale Bewegung von Angreifern, verhindert fortgeschrittene Bedrohungen für Anwendungen und setzt letztlich die volle Leistungsfähigkeit der Multi-Cloud-, Microservices-Welt frei.
Siehe auch: Top-Edge-Unternehmen
3 Techniken zur Operationalisierung sicheren Workload-Zugriffs im Cloud-Maßstab
1) Kontrollen für den Ost-West-Datenverkehr innerhalb des Workloads bereitstellen
Anstatt den Datenverkehr zurück zum Rechenzentrum zu leiten, wo er durch Appliances im Hairpin-Verfahren geführt wird, müssen Unternehmen einen verteilten, softwarebasierten Sicherheitsansatz verfolgen.
Damit können Sicherheitsteams anwendungsbezogene Richtlinien von einer zentralen Kontrollinstanz aus erstellen und verwalten und sie anhand von Tags automatisch auf verteilte Workloads anwenden. Darüber hinaus lassen sich weitere Sicherheitsdienste bereitstellen, darunter Netzwerkanalyse (NTA), Angriffserkennung und -prävention (IDS/IPS) sowie Malware-Analyse mit umfassenden Funktionen zur Netzwerkerkennung und -reaktion (NDR).
Darüber hinaus bietet dies kontinuierliche Transparenz, Sicherheit und Compliance für containerisierte Anwendungen – von der Entwicklung bis zur Produktion in jeder privaten oder öffentlichen Cloud-Umgebung.
2) Cloud-Grenzen und -Umgebungen absichern
Dieser softwarebasierte, verteilte Ansatz für sicheren Workload-Zugriff erfordert außerdem die Möglichkeit, den gesamten ein- und ausgehenden Datenverkehr am Cloud-Rand zu überprüfen. Dies bietet umfassenden Schutz vor Bedrohungen, einschließlich signaturbasierter Erkennung, verhaltensbasierter Erkennung, Netzwerk-Sandboxing und URL-Filterung sowie der Entschlüsselung von Transport Layer Security (TLS).
In Verbindung mit einem Load Balancer kann eine Gateway-Firewall Multi-Cloud-Load-Balancing, Web Application Firewall- (WAF-)Funktionen, Anwendungsanalysen und Container-Ingress-Dienste bereitstellen. Damit können Unternehmen an der Grenze jeder Cloud-Bereitstellung Schutzvorkehrungen errichten.
Siehe auch: Secure Access Service Edge: große Vorteile, große Herausforderungen
3) Maßgeblichen Kontext für sicheren Workload-Zugriff bereitstellen
Die Orchestrierung all dessen erfordert eine zentralisierte Plattform für Netzwerkdienste, die eine einheitliche Transparenz, Kontrolle und Governance von Netzwerkidentifikatoren bietet, um die Verwaltung von Netzwerkidentitäten zu vereinfachen und ein Framework für die Implementierung sicheren Workload-Zugriffs bereitzustellen. Dadurch entsteht ein vollständiges Inventar aller Workloads, die anhand von Identifikatoren wie Internet Protocol- (IP-)Adressen, Domain Name System (DNS), Labels oder Zertifikaten abgesichert werden müssen.
Zusätzlich zur Workload-Identität kann der maßgebliche Kontext Informationen über den Workload umfassen, etwa das Betriebssystem, den Workload-Typ, die Softwareversion, bekannte Schwachstellen und Fehlkonfigurationen sowie anomales Verhalten des Workloads.
Der IT-Stack verändert sich rasant, und die Sicherheit muss Schritt halten. Der Schutz des digitalen Unternehmens vor den hochentwickelten Bedrohungsakteuren von heute erfordert mehr als nur Endpoint- oder Perimetersicherheit. Im nie endenden Katz-und-Maus-Spiel mit Cyberkriminellen ist es unmöglich, dauerhaft einen Schritt voraus zu sein. Eine Zero-Trust-Architektur, die sicheren Workload-Zugriff umfasst, ist die einzige Möglichkeit, diese Angriffe an der Wurzel zu bekämpfen und zu stoppen.
Dieser dreigliedrige Ansatz erfordert die Möglichkeit, Sicherheitskontrollen als Software für verteilte Workloads bereitzustellen, Schutzvorkehrungen an der Grenze jeder Cloud-Umgebung zu errichten sowie eine zentralisierte Plattform für Netzwerkdienste, die eine einheitliche Transparenz und Kontrolle von Netzwerkidentifikatoren bietet.
Siehe auch: Tech-Prognosen für 2022: Cloud, Daten, Cybersecurity, KI und mehr
Über den Autor:
Vivek Bhandari, Sr. Director, Product Marketing, VMware