Standortvernetzung: Erreichen Sie Security Compliance einfach und effizient durch Ethernet- Verschlüsselung

Transkript

1 Standortvernetzung: Erreichen Sie Security Compliance einfach und effizient durch Ethernet- Verschlüsselung Dipl.-Betriebswirt(FH) Stephan Lehmann Produktmanager Tel. 030/

2 Standortvernetzung: Erreichen Sie Security Compliance einfach und effizient durch Ethernet- Verschlüsselung ı Compliance bei der Standortvernetzung ı Managed IP und Carrier Ethernet ím Vergleich ı Case Study: Sichere Vernetzung ı Rohde & Schwarz auf der it-sa Security Compliance durch Ethernet-Verschlüsselung 2

3 Security Compliance für Firmennetze durch Verschlüsselung mit zertifizierten Produkten Datenschutz, TKG, GDPdU BSI Grundschutz Sarbanes-Oxley Act (SOX) Basel II & III Zentrale Geheimschutz (VSA) Rechenzentrum ISO9001, AQUAP Security Compliance durch Ethernet-Verschlüsselung 3

4 Ein Kabel zwei Carrier Dienste Managed IP (MPLS IP VPN) Router, Services, Layer 3 Geringe bis mittlere Datenraten Managed Service Hohe QoS Viele Standorte Carrier Ethernet (ELAN, GigE) Switch, Bridge, Layer 2 Mittlere bis hohe Datenraten Self-managed, vollständige Kontrolle Hohe QoS Einige Standorte mit hoher Bandbreite Security Compliance durch Ethernet-Verschlüsselung 4

5 Flache Netzwerkstruktur reduziert Betriebskosten ı Ethernet Service verlängert lokales Netzwerk auf andere Standorte ı Keine separaten IP-Subnetze erforderlich ı Wechsel des Carriers quasi ohne separate IP Neukonfiguration Carrier Ethernet Server Security Compliance durch Ethernet-Verschlüsselung 5

6 Ethernet ist schneller und kostengünstiger Managed IP (MPLS IP VPN) Router, Services, Layer 3 Betrieb kann mit umfassenden Dienstleistungen eingekauft werden näher am IP-Netz des Endnutzers Redundante Anschlüsse für Lastverteilung Oft kein Carrierübergreifender Betrieb möglich Keine Flexibilität für Protokolle (IPv4, IPv6) Carrier Ethernet (ELAN, GigE) Switch, Bridge, Layer 2 höhere Übertragungsgeschwindigkeiten (> 1Gbit/s) kostengünstiger in Anschaffung und Betrieb unabhängig vom Übertragungsprotokoll (IPv6 ready, non-ip-ready) Redundante Leitungsverfügbarkeit mit L2- Technik schwieriger umsetzbar (Broadcast Sturm) Security Compliance durch Ethernet-Verschlüsselung 6

7 Metro Ethernet Forum definiert internationale Serviceklassen Carrierübergreifend ı Beliebige Netzstrukturen Punkt zu Punkt/Multipunkt (Ethernet [Virtual] Private Line EPL/EVPL) Multipunkt zu Multipunkt (Ethernet LAN ELAN) ı Beliebige Serviceklassen End-to-end Carrier Ethernet Services Class of Service Alignment Class of Service Subscriber User Network Interface Carrier Ethernet Operator A Standardized Ethernet Connect Carrier Ethernet Operator B User Network Interface Subscriber Security Compliance durch Ethernet-Verschlüsselung 7

8 Ethernet-Verschlüsselung schützt vor Angriffen auf Layer 3 (IP) und Layer 2 Managed IP (MPLS IP VPN) Router, Services, Layer 3 Carrier Ethernet (ELAN, GigE) Switch, Bridge, Layer 2 TCP/IP-Spoofing: Vortäuschen falscher Sendeadressen TCP/IP-DoS: Ausschalten von Teilnehmern durch Flooding TCP-Hijacking: Paralysieren eines Rechners per Sync Flood und auftreten unter dessen Adresse im Netz DNS-Spoofing: falsche Adressinformationen HTTP-Hijacking: Umleiten von HTTP Strömen Angriffe auf ARP (ARP Spoofing - Umleiten von Datenströmen ) Layer 2 Angriffe galten lange als wenig realistisch z.b. WLAN bietet neue Möglichkeiten Sicherheitsdefizite auf Layer 2 gefährden die Verfügbarkeit der gesamten Infrastruktur und aller Dienste Security Compliance durch Ethernet-Verschlüsselung 8

9 Mehr Bandbreite durch Ethernet-Verschlüsselung Aufteilung IP-Pakete nach Größe ( IMIX Traffic ) Größe Anzahl 40 Byte Byte Byte Security Compliance durch Ethernet-Verschlüsselung 9

10 Case Study: Sichere Vernetzung im Vergleich ı Sicherung der Kommunikation zwischen Zentralen Niederlassungen und abgesetzten Büros ı Bandbreiten und Dienstgüte wurden spezifiziert 5 Hauptniederlassungen 15 Nebenniederlassungen zu einer der 5 verbunden mittlere Entfernung zw. Hauptniederlassungen aprox. 400km Entfernung Nebenniederlassung aprox. 100km ı 3 Cluster für Bewertung von Ethernet (L2) und IP (L3) Betriebskosten ohne Krypto Verschlüsselungsgeräte Bandbreiteneffizienz 4 Mbit/s 1 EVPL 1 Mbit RealTime 1 EVPL 3 Mbit/s Data b a c 4 Mbit/s 1 EVPL 1 Mbit RealTime 1 EVPL 3 Mbit/s Data a 4 Mbit/s 1 EVPL 1 Mbit RealTime 1 EVPL 3 Mbit/s Data 4 Mbit/s 1 EVPL 1 Mbit RealTime 1 EVPL 3 Mbit/s Data d b b 200 Mbit/s 2* EVPL a 10Mbit/s Realtime 1*EVPL 100Mbit data 2* EVPL Data a 40Mbit 200 Mbit/s 2* EVPL a 10Mbit/s Realtime 1*EVPL 100Mbit data 2* EVPL Data a 40Mbit 250 Mbit/s 3* EVPL a 10Mbit/s Realtime 1*EVPL 100Mbit data 3* EVPL Data a 40Mbit c a 500 Mbit/s 4* EVPL a 10Mbit/s Realtime 3*EVPL 100Mbit data 4* EVPL Data a 40Mbit 50 Mbit/s 2 EVPL 2 Mbit/s RealTime 2 EVPL 20 Mbit/s Data 50 Mbit/s 2 EVPL 2 Mbit RealTime 2 EVPL 20 Mbit/s Data a Mbit/s 2* EVPL a 10Mbit/s Realtime 1*EVPL 100Mbit data 2* EVPL Data a 40Mbit 5 b 5 Mbit/s 2 EVPL 1 Mbit RealTime 1 EVPL 3 Mbit/s Data 4 Mbit/s 1 EVPL 1 Mbit RealTime 1 EVPL 3 Mbit/s Data b a 4 Mbit/s 1 EVPL 1 Mbit RealTime 1 EVPL 3 Mbit/s Data 50 Mbit/s 2 EVPL 2 Mbit RealTime 2 EVPL 20 Mbit/s Data d c 4 Mbit/s 1 EVPL 1Mbit/s RealTime 1 EVPL 2 Mbit/s Data Security Compliance durch Ethernet-Verschlüsselung 10

11 Ethernet kombiniert höhere Performance und TCO-Ersparnis bei der Standortvernetzung 5 Jahre Betriebszeitraum Managed IP Layer 3 Carrier Ethernet Layer 2 Netzwerkkosten Invest + Betrieb Investition Verschlüsselungsgeräte Zusätzliche Bandbreite, QoS (für Security erforderlich) Mehrkosten: Mehrkosten: Mehrkosten: TCO-Ersparnis auf 5 Jahre TCO-Ersparnis im Monat Security Compliance durch Ethernet-Verschlüsselung 11

12 Ethernet-Verschlüsselung deckt den Schutzbedarf mit geringeren Aufwand als IP-Verschlüsselung ı Schaden: Direkter & indirekter Schaden durch Auftragsverlust, Wissensverlust ı Angreifer Aufwand: Invest des Angreifers, um Ziel zu erreichen ı Risiko für den Angreifer: Wie dicht muss er an die Infrastruktur (Entdeckungsrisiko) ı Einmaliger Aufwand: Invest um möglichst hohen Aufwand des Angreifers zu erreichen ı Laufende Aufwände: Betriebskosten für Aufrechterhaltung der Sicherheit möglicher Schaden Aufwand für Angreifer möglicher Schaden Aufwand für Angreifer laufende Aufwände Risiko für den Angreifer laufende Aufwände Risiko für den Angreifer einmaliger Aufwand Ethernet-Verschlüsselung Idealabdeckung IP-Verschlüsselung einmaliger Aufwand Security Compliance durch Ethernet-Verschlüsselung 12

13 Sichere Datenübertragung über Festverbindungen, Richtfunk und Satellit R&S SITLine ETH ı Ethernet-Verschlüsseler von 25 Mbit/s bis 1 Gbit/s Durchsatz ı Modernste kryptografische Methoden und Standards (Elliptische Kurven, AES, X.509) ı Physischer Manipulationsschutz und echte Zufallszahlen ı EANTC geprüft ı BSI zugelassen Security Compliance durch Ethernet-Verschlüsselung 13

14 Geringe Betriebskosten durch Online-Sicherheitsmanagement und ausgliederbares Netzmanagement R&S SITLine ETH Supervisor Manager Online- Sicherheitsmanagement SNMP Netzwerkmanagement durch Dienstleister TLS Monitor LAN Carrier LAN ı 2-Faktor- Authentisierung ı Rollen ı Netzplan verwalten ı Gerätezertifikate erstellen und verteilen ı Zentrale Stelle für Logs und Audits ı SNMPv3-Credentials ı Gerätetest und Durchsatzmessungen ı Statistiken Security Compliance durch Ethernet-Verschlüsselung 14

15 Rohde & Schwarz SIT - Halle 12 Stand 639 ı Sicherheitspartner der Bundesrepublik Deutschland ı Sichere Identität Berlin-Brandenburg ı IT-Security made in Germany R&S SITLine ETH: Ethernet-Verschlüsseler TopSec Mobile: Verschlüsselung für iphone und Android R&S SITGate: Next Generation Firewall Security Compliance durch Ethernet-Verschlüsselung 15