spainter_vfx - stock.adobe.com
Automatisierung von Sicherheits-Richtlinien und Netzwerk
Die Netzwerke wurden über die Jahre immer komplexer. Das gefährdet Sicherheit und Agilität. Ohne Automatisierung ist die IT-Abteilung überfordert, meint Pierre Visel von Tufin.
Das Thema Netzwerksicherheit wird zunehmend komplexer. Fragmentierung in Kombination mit ständiger Veränderung von Infrastruktur und Regelwerken sowie der Mangel an Fachkräften für Netzwerksicherheit erhöhen die Herausforderungen, vor denen Security- und Operations-Teams in allen Branchen stehen.
Die Fragmentierung des Netzwerks ist eine Folge von über Jahre gewachsenen Umgebungen mit unterschiedlichen Anbietern, in denen zahlreiche unterschiedliche Produkte integriert werden müssen, um Fehlkonfigurationen oder Schwachstellen im Netzwerk zu vermeiden. Doch ist dies nur selten der Fall. Aufgrund der zusätzlichen Komplexität und dem sich daraus ergebenden Arbeitsaufwand sehen sich überlastete IT-Teams einer großen Herausforderung gegenübergestellt.
Was dann folgt, ist ein riskanter Kompromiss: Das Unternehmen fordert größere Agilität, um den Marktanforderungen gerecht zu werden – und das oft auf Kosten der Sicherheit. Konzentriert sich das Unternehmen dagegen zu sehr auf Sicherheit, ist es nicht mehr flexibel genug, um auf Änderungen schnell reagieren zu können.
Wie also können Unternehmen mit den heutigen fragmentierten, komplexen Netzwerken ihren Reifegrad beurteilen und verbessern, während sie Zero-Touch-Automatisierung anvisieren?
Die Basis
In komplexen Netzwerken mit Firewalls, Routern und Netzwerkgeräten mehrerer Anbieter sowie dem Einsatz von Multi-Clouds gibt es ständig Änderungen und wenig Sichtbarkeit. Wenn ein Change Request übermittelt wird, ist zunächst zu prüfen, ob diese Kommunikation bereits durch Firewall-Regeln erlaubt ist, eine neue Regel bestehende Verbindungen beeinträchtigt oder ob die Anforderungen gegen bestehende Sicherheitsrichtlinien verstößt, es sich also um eine ungewünschte Verbindung handelt.
Um dieses Dilemma zu durchbrechen, sollten sich Unternehmen den folgenden Fragen stellen:
- Halten sie mit den Änderungsanforderungen Schritt?
- Verstehen sie ihre Netzwerktopologie?
- Sind Sicherheitsrichtlinien vorhanden und werden diese auch befolgt?
- Wie überwachen sie die Compliance und etwaige Änderungen?
- Betreiben DevOps-Anwendungen, ohne bestehende Sicherheitsrichtlinien zu beachten?
- Werden Sicherheitsrichtlinien zentral überwacht?
Darüber hinaus müssen Unternehmen auch die Bedürfnisse der verschiedenen Geschäftsbereiche berücksichtigen. Wenn NetOps, SecOps und DevOps allesamt unterschiedliche Prioritäten haben, ist es schwierig, Regulierungen festzulegen. DevOps-Teams konzentrieren sich zum Beispiel darauf, neue Apps und Services so schnell wie möglich auszurollen. Sie möchten zwar, dass ihre Apps sicher sind, jedoch soll die Sicherheit die Agilität nicht behindern.
Ohne Automatisierung sind die Folgen überforderte IT-Abteilungen, unzufriedene Sicherheitsteams und Applikationen, die nicht den Sicherheitsanforderungen entsprechen – alles aufgrund der Komplexität und der Abhängigkeit von manuellen Prozessen.
Das Problem mit manuellen Prozessen
Die manuelle Durchführung von Änderungen und der Einsatz unterschiedlicher Sicherheitsrichtlinien führen bei ständigem Kampf gegen eine Flut von Änderungswünschen zu einem Chaos. Durch die Fragmentierung des Netzwerks wird diese sogar noch verstärkt. Die manuellen Änderungen erfordern nicht nur viel Zeit – teilweise sogar mehrere Wochen –, sondern führen unweigerlich auch zu Fehlern, was das Sicherheitsrisiko im Unternehmen weiter erhöht.
„ Ohne Automatisierung sind die Folgen überforderte IT-Abteilungen, unzufriedene Sicherheitsteams und Applikationen, die nicht den Sicherheitsanforderungen entsprechen.“
Pierre Visel, Tufin
Eine Organisation, die aufgrund manueller Änderungen lediglich geringe Sichtbarkeit in den Änderungsprozess hat und die Einhaltung der Compliance nicht automatisiert nachweisen kann, ist sich der lauernden Probleme nicht bewusst.
Würde man Unternehmen, die auf manuelle Prozesse angewiesen sind, in Hinsicht auf Netzwerksicherheit und Agilität (also die Fähigkeit einer Organisation, die Effizienz zu verbessern und Sicherheit zu gewährleisten) auf einer Skala darstellen, würden sich die meisten wahrscheinlich am unteren Ende befinden. Das liegt letztendlich an einem Mangel an Sichtbarkeit und Kontrolle, die erforderlich sind.
Warum die Automatisierung der Sicherheitsrichtlinien wichtig ist
Unternehmen sollten nicht zwischen Sicherheit und Agilität wählen. Um ein Gleichgewicht zu finden, ist zuerst Sichtbarkeit und dann Automatisierung erforderlich. Das Automatisieren von Änderungen und die Re-Programmierung von Netzwerken und Infrastruktur gemäß einer zentralen Sicherheitsrichtlinie gewährleistet, dass Unternehmen diese Änderungen schnell und präzise vornehmen. Das geschieht unabhängig davon, wo diese Änderungen vorgenommen werden – im klassischen Datacenter, in der Cloud oder in DevOps-Umgebungen. Nur durch globale Sicherheitsrichtlinien können Organisationen die Masse an Änderungen zeitnah und sicher verwalten.
Ein solcher Ansatz trägt auch zur Verbesserung der Einhaltung von Compliance-Regelwerken bei und beschleunigt interne und externe Audits. Unternehmen können so nachweisen, dass die Änderungen von Firewall-Regeln oder Anwendungskonnektivität den zentralen Sicherheitsrichtlinien entsprechen.
Die Bereitstellung gemeinsamer zentraler Sicherheitsrichtlinien stellt sicher, dass NetOps, SecOps und DevOps sich an gemeinsame Sicherheitsstandards halten. Zusätzlich werden Änderungen an Security Policies innerhalb von Minuten statt Tagen oder Wochen durchgeführt und damit die Steigerung der Agilität bei gleichzeitiger Aufrechterhaltung eines hohen Sicherheitsniveaus sichergestellt. Das Ziel ist eine Zero-Touch-Automatisierung, bei der Änderungen automatisiert gemäß den Richtlinien und betrieblicher Risikotoleranz erfolgen.
Unternehmen müssen die Migration hin zu einer Zero-Touch-Automatisierung planen. Ein Maturity-Modell (Reifegradmodell) kann sicherstellen, dass Organisationen bereit sind, sich in Zukunft an neue Technologien und Methoden anzupassen und diese zu übernehmen. Security-Policy-Management bietet die erforderlichen Schritte, um die Netzwerksicherheit eines Unternehmens mithilfe von globalen Sicherheitsrichtlinien zu planen und zu verbessern.
Über den Autor:
Pierre Visel ist Director Central Europe bei Tufin, einem Anbieter von Lösungen für die Orchestrierung von Sicherheitsrichtlinien.
