Netzsegmentierung verbessert Sicherheit und Leistung

Netzsegmentierung wird von BTW Media profiliert, da veröffentlichte Beweise Verbindungen zur Internet-Infrastruktur, Governance, operationellen Abhängigkeiten oder Marktsichtbarkeit aufzeigen.

• Netzsegmentierung teilt ein großes Netzwerk in kleinere, isolierte Segmente auf, um die Sicherheit zu verbessern und die Angriffsfläche zu verringern.
• Sie verbessert die Leistung, indem sie Broadcast-Verkehr einschränkt und angepasste Sicherheitsrichtlinien für jedes Segment ermöglicht.
• Eine korrekte Implementierung kann die Einhaltung gesetzlicher Vorschriften unterstützen und die Reaktionszeiten bei Sicherheitsverletzungen verbessern.

Unternehmen sind zunehmendenCybersicherheitsbedrohungenausgesetzt, die sensible Daten gefährden und den Betrieb in dieser zunehmend vernetzten Welt stören können. Eine wirksame Strategie zur Minderung dieser Risiken ist die Netzsegmentierung, bei der ein großes Netzwerk in kleinere, überschaubare Teile aufgeteilt wird.

Dieser Ansatz verbessert nicht nur die Sicherheit, sondern auch die Netzwerkleistung, indem er Probleme isoliert und den Datenfluss kontrolliert. Während Organisationen nach robusten Lösungen zum Schutz ihrer digitalen Vermögenswerte suchen, wird das Verständnis der Prinzipien und Vorteile der Netzsegmentierung unerlässlich.

Definition der Netzsegmentierung

Netzsegmentierung ist ein architektonischer Ansatz, der ein Netzwerk in mehrere Segmente oder Subnetze unterteilt, die jeweils als eigenes kleines Netzwerk fungieren. Dies ermöglicht Netzwerkadministratoren, den Datenverkehr zwischen den Subnetzen basierend auf granularen Richtlinien zu steuern. Organisationen nutzen die Segmentierung, um die Überwachung zu verbessern, die Leistung zu steigern, technische Probleme zu lokalisieren und die Sicherheit zu erhöhen.

Lesen Sie auch:Wichtige Fakten zu einer NIC (Netzwerkschnittstellenkarte)

Lesen Sie auch:DMZ-Netzwerk: Definition, Funktionsprinzipien und Vorteile

Die Vertrauensannahme

In der Vergangenheit konzentrierten Netzwerkarchitekten ihre Sicherheitsstrategien auf die Grenze des internen Netzwerks, die unsichtbare Linie, die die Außenwelt von den geschäftskritischen Daten eines Unternehmens trennt. Personen innerhalb dieser Grenze wurden als vertrauenswürdig und daher nicht bedrohlich angesehen. Somit unterlagen sie nur wenigen Einschränkungen hinsichtlich ihres Zugriffs auf Informationen.

Allerdings sindveraltete Sicherheitsinfrastrukturenin der Regel flache Netzwerkarchitekturen, die sich auf eine Perimeter-Firewall als einzigen Kontrollpunkt für den Datenverkehr stützen. Da Netzwerkgrenzen nicht mehr wie früher existieren und der meiste Datenverkehr in Rechenzentren Ost-West-Verkehr ist, bieten traditionelle portbasierte Firewalls in einer Cloud- und Mobilwelt nur einen begrenzten Nutzen.

Jüngste medienwirksame Verstöße haben die Vertrauensannahme in Frage gestellt. Einerseits können Insider tatsächlich Verstöße verursachen, oft unbeabsichtigt, manchmal aber auch vorsätzlich. Darüber hinaus können Bedrohungen, die die Grenze durchdringen, sich lateral im Netzwerk bewegen, um auf nahezu alle Daten, Anwendungen, Assets oder Dienste (DAAS) zuzugreifen. Mit praktisch uneingeschränktem Zugriff können Angreifer leicht eine breite Palette wertvoller Vermögenswerte exfiltrieren, oft bevor der Verstoß überhaupt erkannt wurde.

Die Zero-Trust-Antwort

Aufgrund der inhärenten Schwächen der Vertrauensannahme haben viele Organisationen begonnen, die Zero-Trust-Strategie zu übernehmen.Zero Trustgeht davon aus, dass standardmäßig niemand vertrauenswürdig ist, nicht einmal diejenigen, die sich bereits innerhalb der Netzwerkgrenze befinden. Zero Trust basiert auf dem Prinzip einer „Schutzoberfläche“, die um die kritischsten und wertvollsten DAAS der Organisation herum aufgebaut ist. Da sie nur das enthält, was für den Geschäftsbetrieb am kritischsten ist, ist die Schutzoberfläche um Größenordnungen kleiner als die Angriffsfläche der gesamten Netzwerkgrenze.

Hier kommt die Netzsegmentierung ins Spiel. Durch die Segmentierung können Netzwerkarchitekten eine Mikrogrenze um die Schutzoberfläche herum aufbauen und so im Wesentlichen eine zweite Verteidigungslinie bilden. In einigen Fällen können virtuelle Firewalls die Sicherheitsbereitstellung automatisieren, um Segmentierungsaufgaben zu vereinfachen. Unabhängig von der Methode können autorisierte Benutzer auf die Assets in der Schutzoberfläche zugreifen, während alle anderen standardmäßig blockiert werden.

Die Segmentierung ist eine schlechte Nachricht für Angreifer, denn anders als in der Zeit der Vertrauensannahme reicht es nicht aus, einfach die Grenze zu durchdringen, um an sensible Informationen zu gelangen.Mikrogrenzen, ob physisch oder virtuell, verhindern, dass sich Bedrohungen lateral im Netzwerk bewegen, und machen damit einen Großteil der Arbeit zunichte, die zum ursprünglichen Verstoß geführt hat.

Anwendungsfälle

Organisationen können die Netzsegmentierung für verschiedene Anwendungen nutzen.

Gast-WLAN-Netzwerk:Durch Netzsegmentierung kann ein Unternehmen Besuchern und Auftragnehmern einen WLAN-Dienst mit relativ geringem Risiko anbieten. Wenn sich jemand mit Gastanmeldedaten anmeldet, gelangt er in ein Mikrosegment, das nur Internetzugang und sonst nichts bietet.

Zugriff nach Benutzergruppen:Um sich vor internen Verstößen zu schützen, segmentieren viele Unternehmen interne Abteilungen in separate Subnetze, die die autorisierten Gruppenmitglieder und die DAAS enthalten, die sie für ihre Arbeit benötigen. Der Zugriff zwischen den Subnetzen wird streng kontrolliert. Beispielsweise würde eine Person aus der Ingenieurabteilung, die versucht, auf das Subnetz der Personalabteilung zuzugreifen, einen Alarm und eine Untersuchung auslösen.

Sicherheit in der öffentlichen Cloud:Cloud-Dienstanbieter sind in der Regel für die Sicherheit der Cloud-Infrastruktur verantwortlich, aber der Kunde ist verantwortlich für die Sicherheit der Betriebssysteme, Plattformen, Zugriffskontrolle, Daten, geistiges Eigentum, Quellcode und kundenorientierte Inhalte, die normalerweise auf der Infrastruktur laufen. Die Segmentierung ist eine effektive Methode, um Anwendungen in öffentlichen und hybriden Cloud-Umgebungen zu isolieren.

PCI-DSS-Konformität:Netzwerkadministratoren können die Segmentierung nutzen, um alle Kreditkarteninformationen in einer Sicherheitszone zu isolieren – im Wesentlichen eine Schutzoberfläche – und Regeln zu erstellen, die nur den absolut minimalen legitimen Datenverkehr in die Zone zulassen und alles andere automatisch ablehnen. Diese isolierten Zonen sind oft virtualisierte SDNs, in denen PCI-DSS-Konformität und Segmentierung über virtuelle Firewalls erreicht werden können.