Tierney - stock.adobe.com
Zero Touch Network Security Automation schrittweise umsetzen
Die Automatisierung der Netzwerksicherheit kann Risiken senken und IT-Teams die Arbeit erleichtern. Eine Zero-Touch-Automatisierung lässt sich am besten schrittweise umsetzen.
Es erfordert einen beträchtlichen Personal- und Zeitaufwand, um Netzwerkprojekte von A nach B zu bringen. Insbesondere, wenn Organisationen ihre Daten und Anwendungen in Cloud- oder Hybrid-Umgebungen verschieben.
Bei den Hunderten oder Tausenden von Geräten und Konnektivitäten ist viel manuelle Arbeit nötig, um Netzwerke und die darin enthaltenen Arbeitsabläufe zu verwalten. Gleichzeitig müssen sie sicher und frei von Fehlkonfigurationen sind. Ein kleiner Fehler – selbst ein Tippfehler beim Erstellen einer Firewall-Regel – könnten kritische Sicherheitslücken oder Anwendungsausfälle verursachen.
Ein einfacher Fehler, der während eines routinierten Änderungsprozesses gemacht wird, könnte eine Schwachstelle öffnen, die ein Angreifer ausnutzt. Angesichts des Drucks, Änderungen schnell vorzunehmen, weil das schnelle Hochfahren neuer Server oder Ressourcen erwartet wird, sind diese Fehler nur allzu leicht möglich.
Im Jahr 2019 waren falsch konfigurierte Systeme und Cloud-Server für den Abfluss von mehr als sieben Milliarden Datensätzen verantwortlich, was mehr als 85 Prozent der Gesamtzahl der kompromittierten Datensätze entspricht, die im IBM X-Force Threat Intelligence Index erfasst sind.
Netzwerksicherheit: Die Hindernisse der Automatisierung
Idealerweise sollte die Automatisierung schnell zu implementieren sein, die Kosten senken und Fehler in Konfigurationen ausmerzen. Jedoch ist es kein einfaches Unterfangen, eine vollwertige Zero-Touch-Automatisierung in der Netzwerksicherheit zu erreichen. Tatsächlich gibt es viele Herausforderungen und Hindernisse, die Unternehmen überwinden müssen.
Produktionsumgebungen werden von verschiedenen Teams gewartet, wie DevOps, Wartung, Cloud-Sicherheit, oder IT. Nicht alle Gruppen sind in Sicherheitsfragen gut ausgebildet. Einige könnten sogar der Ansicht sein, dass die IT-Sicherheit eine Einschränkung und Verlangsamung ihrer Arbeit ist. Konflikte zwischen den Abteilungen können auftreten und die Einführung einer Security-Automatisierung verhindern.
Zudem bleibt die Rentabilität von Investitionen eine Priorität der Unternehmensleiter. Jeder Abteilungsleiter möchte in der Lage sein, seinen Vorgesetzten gute Zahlen zu präsentieren. Daher muss er davon überzeugt werden, das Automatisierung zur Kostensenkung beiträgt.
Eine gut vernetzte Netzwerkinfrastruktur
Um die Zero-Touch-Automatisierung zum Laufen zu bringen, ist eine detaillierte Netzwerkinfrastruktur-Karte erforderlich. Sie hilft, alle Netzwerkkomponenten zu sehen, zu verstehen und einfach auf ihre Funktion zu überprüfen.
Gute Security-Automatisierungen bieten eine Bewertung der Vollständigkeit dieser Netzwerkkarten als Funktion an. So haben Organisationen einen Anhaltspunkt, wo sie stehen. Wenn die Bewertung niedrig ist, kommen die Werkzeuge zur Kartenvervollständigung zum Zug und zeigen, welche Lücken entdeckt wurden. Zudem empfehlen sie, wie diese geschlossen werden könnten.
Die bewährte Schrittfolge zur Implementierung
Es gibt mehrere Wege, die Unternehmen auf dem Weg zur vollständigen Automatisierung der Netzwerksicherheit gehen können. Werfen wir einen Blick auf die bewährte und gängige Schrittfolge bei der Einrichtung einer Automatisierung am Beispiel einer einfachen Änderungsanforderung:
Schritt 1: Beantragen einer Netzwerkänderung
Jeder Schritt in Richtung der Automatisierung beginnt mit einer Änderungsanfrage. Der Eigentümer einer Geschäftsanwendung ist sich wahrscheinlich nicht der Richtlinien aller Firewalls, der Automatisierung von Netzwerkabbildungen oder der Sicherheitseinschränkungen bewusst. Er sieht lediglich die aktuellen Arbeitsabläufe und erstellt auf deren Basis eine Änderungsanfrage in einer Sprache, die er versteht.
Schritt 2: Relevante Sicherheitseinrichtungen finden
Sobald diese Anfrage übersetzt ist, wird die Automatisierungsplattform die Anfrage bearbeiten und die Änderungen implementieren – auch in hybriden Netzwerken. Der Netzwerkadministrator wird dabei in der Lage sein, die Firewall- und Routing-Geräte zu erkennen, die an von der Änderung betroffen sind. Er wird auch die Netzwerkgeräte auf der Karte sehen, um zu verstehen, welche den Datenverkehr blockieren und welche ihn zulassen und wo eine Anpassung erforderlich ist.
Schritt 3: Planänderung
Change-Automation-Plattformen wissen mit den spezifischen Einstellungen der verschiedenen Firewall- und Gerätehersteller umzugehen und die Anforderungen optimal zu implementieren, um Dubletten zu vermeiden.
„Der Automatisierungsgrad lässt sich schrittweise erhöhen, Unternehmen müssen nicht von Beginn an blind auf die Automatisierung setzen.“
Dania Ben Peretz, AlgoSec
Schritt 4: Risikoprüfung
Der Administrator erhält eine ‚Was-wäre-wenn?‘-Analyse, worin das Risiko der Änderung geprüft wird.
In dieser Phase liegt die Entscheidung darüber, ob die Änderung bestätigt wird und das Netzwerk dem genannten Risiko ausgesetzt wird, in den Händen des Netzwerkadministrators.
Schritt 5: Change to Device
Sobald die geplanten Änderungen genehmigt sind, setzt die Security-Automatisierung diese auf allen Systemen um – und schickt sie auf alle gewünschten Geräte, entweder über APIs oder direkt auf das Gerät (CLI).
Diese Aktion kann zudem auf mehreren Geräten gleichzeitig durchgeführt werden, unabhängig davon ob On-Premises, Cloud-basiert oder hybride Umgebungen genutzt werden. Sie kann planmäßig in einem Wartungsfenster oder auf Anforderung durchgeführt werden.
Schritt 6: Bestätigung der Änderung
Am Ende prüft die Sicherheitslösung, ob die Anfrage erfolgreich auf allen Geräten implementiert wurde und protokolliert diese Prüfung.
Schritt 7: Dokumentation und Protokollierung
Die Security-Automatisierung erstellt darüber hinaus laufend Berichte des gesamten Ablaufs, um den Anforderungen der Auditierung zu entsprechen und auch dieses Aspekt durch Automatisierung zu vereinfachen. IT- und Sicherheitsgruppen sparen sich viel Zeit und Mühe, weil langwierige Aufgaben zur Verwaltung der Netzwerk-Compliance nun enorm beschleunigt werden.
Dieser letzte Punkt hilft auch bei der Fehlerbehebung, die von Zeit zu Zeit erforderlich sein kann, zum Beispiel in der Validierungsphase. Ohne eine zuverlässige Dokumentation wird es sehr umständlich werden, Schritte nachzuvollziehen.
Den Automatisierungsgrad schrittweise erhöhen
Im Laufe der Zeit können die Automatisierungslösungen zunehmend unbeaufsichtigt arbeiten, da die Administratoren mit jeder erfolgreich durchgeführten Änderung Vertrauen zu ihr gewinnen. Der Automatisierungsgrad lässt sich also schrittweise erhöhen, Unternehmen müssen nicht von Beginn an blind auf die Automatisierung setzen.
Am Ende dieses Einspielens steht die vollständige, berührungslose Automatisierung von Verwaltung des Netzwerks und Durchführung von Änderungen. Die manuelle Arbeit daran fällt ebenso weg, wie das Risiko versehentlicher Fehlkonfigurationen und die dadurch verursachten Geschäftsunterbrechungen oder Sicherheitslücken. Zero Touch Network Security Automation stellt außerdem sicher, dass der Spagat zwischen Sicherheit und Geschäftsanforderungen funktioniert. Das vermindert Konflikte und erhöht gleichzeitig die Agilität der Organisation.
Über den Autor:
Dania Ben Peretz ist Produktmanagerin bei AlgoSec.
Die Autoren sind für den Inhalt und die Richtigkeit ihrer Beiträge selbst verantwortlich. Die dargelegten Meinungen geben die Ansichten der Autoren wieder.
