Heutige Unternehmen verfügen typischerweise über eine Kombination aus lokalen, privaten Clouds, öffentlichen Clouds, und Multi-Cloud-Umgebungen. Der gemeinsame Nenner all dieser Umgebungen ist das Netzwerk. Aufgrund der Bedeutung von Netzwerken wird es immer wichtiger, Observability-Technologie einzusetzen, um die Performance und andere Aspekte von Netzwerken anhand der von ihnen erzeugten Daten zu verstehen.
Ich habe Shehzad Merchant, den Chief Technology Officer von Gigamon, einem Anbieter von Lösungen für Netzwerktransparenz, der die Nutzung bis hinauf zum Infrastruktur-Stack überwachen kann, interviewt. Wir sprachen über die Bedeutung von Observability, um den internen Zustand von Netzwerken zu verstehen.
Außerdem besprachen wir die Erweiterung von Observability durch Netzwerkintelligenz, die als Deep Observability bezeichnet wird. Merchant erklärte den Unterschied zwischen Observability und Deep Observability und wie sich die beiden Technologien ergänzen. Im Folgenden finden Sie die Highlights des ZKast-Interviews, das gemeinsam mit eWEEK eSPEAKS geführt wurde.
Siehe auch: Was bringt 2022 für die intelligente Automatisierung?
- Observability bezeichnet die Überwachung von Workloads in der Cloud mithilfe von Metriken, Ereignissen, Logs und Traces (MELT). Softwareentwicklung und IT-Betrieb – DevOps – sind bei der Bewältigung großer Workloads auf Observability angewiesen und nutzen Data-Warehousing- und Abfragetechniken, um aus Daten Erkenntnisse zu gewinnen. Observability betrachtet die Dinge jedoch von innen nach außen. Das bedeutet, dass sie hybride und Multi-Cloud-Umgebungen nicht ausreichend vor Angreifern schützen kann.
- Bei Cyberangriffen wie Phishing und Spear-Phishing (gezielten Angriffen auf Einzelpersonen) setzen Angreifer unterschiedliche Taktiken, Techniken und Verfahren (TTP) ein. Sobald Angreifer Fuß gefasst und ihre Berechtigungen ausgeweitet haben, nutzen sie weitere Techniken, um sich lateral in der Infrastruktur auszubreiten. So können sie beispielsweise die Protokollierung an Endpunkten für kurze Zeit deaktivieren und anschließend wieder aktivieren.
- Im Kontext von Observability und TTP entstehen dadurch Lücken in den Telemetriedaten – und zwar genau an den Stellen, an denen sie benötigt werden. Von Endpunkten und anderen Systemen erzeugte Logs produzieren riesige, oft irrelevante Mengen an Daten. Dadurch steigen die Kosten für die Sicherheitsinfrastruktur und der Zeitaufwand für Erkennung und Triage erheblich, weil die Abfragen länger dauern. Observability ist daher für die Sicherheit nicht zuverlässig.
- Deep Observability liefert dagegen die Außen-nach-innen- beziehungsweise netzwerkbasierte Perspektive, die Observability fehlt. Sie extrahiert Netzwerkintelligenz aus dem Datenverkehr und schließt die Lücken in der Sicherheit. Bei der Reaktion auf Sicherheitsvorfälle führt der netzwerkbasierte Ansatz zu einer deutlich kürzeren Zeit bis zur Erkennung und bis zur Behebung.
- Herkömmliche Sicherheitstools können einen Einbruch auf einem bestimmten Gerät oder Endpunkt erkennen, verfügen jedoch nicht über eine durchgängige Übersicht. Tools zur Erkennung und Reaktion an Endpunkten (EDR) können einen Einbruch auf einem Endpunkt identifizieren, nicht jedoch dessen Ursache. Daher sind diese Tools bei der Reaktion auf Cyberangriffe nicht effektiv. Ohne die richtigen Telemetriedaten für die Triage bleiben sowohl das Ausmaß als auch die Absicht des Einbruchs unbekannt. Deep Observability findet mithilfe von Netzwerkverkehrsdaten die Brotkrumen, die zu verdächtigen Aktivitäten führen.
- Zero Trust ist eine Architektur, die den Sicherheitsanforderungen datengetriebener Cloud-Umgebungen gerecht wird, die zunehmend komplexer werden. Die Grundlage von Zero Trust ist das Verständnis der Abhängigkeiten zwischen Anwendungen und Workloads sowie die anschließende Anwendung von Richtlinien zur Zugriffskontrolle. Ohne die netzwerkbasierte Transparenz, die Deep Observability bietet, ist dies nicht möglich.
- Observability und Deep Observability sind sich ergänzende Technologien. Die eine ist eine Erweiterung der anderen, und beide sind unverzichtbar. Um das Netzwerk zu sichern, muss man wissen, wie seine Elemente funktionieren. Im Rahmen einer Observability-Strategie sind mehrere Ebenen wichtig. Das veranlasst immer mehr Unternehmen dazu, detaillierte Netzwerkdaten zu erfassen und in ihre Observability-Lösungen zu integrieren.
Siehe auch: Secure Access Service Edge: große Vorteile, große Herausforderungen