CASE STUDY OSRAM. Proxyservern.

Transkript

1 CASE STUDY OSRAM Der weltweit ANNIE führende WRITE SCHOOLS Hersteller von Beleuchtungsprodukten Hogwarts Works spart Magic jährlich with the Euro Next-Generation durch den Ersatz Firewall von 78

2 Beleuchtungsprodukten spartjährlich PA-5020 (6) OSRAM ist einer der beiden führenden Hersteller von Beleuchtungsprodukten weltweit. Zum Unternehmensportfolio gehört die gesamte Wertschöpfungskette von Komponenten darunter Lampen, elektronische Vorschaltgeräte und Optohalbleiter wie Leuchtdioden (LEDs) sowie Leuchten, Lichtmanagementsysteme und Beleuchtungslösungen. Das international ausgerichtete Unternehmen hat über Mitarbeiter weltweit und wies am Ende des Haushaltsjahrs 2014 einen Umsatz von fast 5,1 Milliarden Euro auf. Die geschäftlichen Aktivitäten des Unternehmens haben sich seit über 100 Jahren auf das Licht konzentriert und damit auf die Lebensqualität. BRANCHE // Fertigung HERAUSFORDERUNG // Sicherheitsinfrastruktur zentralisieren und standardisieren, Netzwerk-Transparenz erhalten, um den Verkehr und Zugriff auf Anwendungen zu kontrollieren, die Sicherheit zu erhöhen und die IT-Verwaltung zu vereinfachen. LÖSUNG // Palo Alto Networks Enterprise Security Platform, Bedrohungsschutz einschließlich IPS, URL-Filter (PAN-DB), WildFire, dem zentralisierten Verwaltungssystem Panorama und GlobalProtect. ABONNEMENTS // WildFire, GlobalProtect, Panorama, Threat Prevention, URL Filtering (PAN-DB) PA-2050 (2) PA-3020 (2) PA-500 (5) PA-200 (56) M-100 (1) ERGEBNISSE Jährliche Einsparungen von Euro für Hardware- und Softwarekosten, Euro bei Wartung und Support Verbesserung der IT-Problembehebungszeiten um 50 % Schnellere Reaktionszeiten und Reduzierung der Supportanfragen um den Faktor 10 Um 50 % reduzierter Verwaltungsaufwand bei der Sicherheits-Infrastruktur Verbesserte Transparenz bezüglich Anwendungen und Bedrohungen Erhöhte Sicherheit... APPLIANCES // PA-5020, PA-2050, PA-3020, PA-500, PA-200, M-100 STORY SUMMARY // IIn der Industrie sind Kostenbeschränkungen, die Erfüllung von Sonderwünschen für Produktionseinheiten und der Schutz des geistigen Eigentums von entscheidender Bedeutung. Von einfachen Glühbirnen bis hin zu speziellen LEDs ist OSRAM seit hundert Jahren der weltweit führende Hersteller von Beleuchtungsprodukten. Im Laufe der Unternehmensgeschichte wuchs sowohl die Anzahl seiner Zweigstellen als auch das Netzwerk, das alles miteinander verband. Während sich das Netzwerk zusammen mit OSRAM entwickelte, wurde es sehr dezentralisiert. Dadurch sank die Effizienz, und die IT-Abteilung hatte Probleme damit, das gewünschte Niveau an Sicherheit und Reaktionsvermögen aufrechtzuerhalten. Dann brachte ein zufälliges Treffen das IT-Team von OSRAM dazu, die Next-Generation Firewall von Palo Alto Networks zu testen. Erfahren Sie, warum OSRAM so von Palo Alto Networks beeindruckt war, dass es seine Netzwerksicherheit schnell darauf standardisierte. SEITE 2

3 OSRAM nimmt sein Netzwerk unter die Lupe, um mit der Enterprise Security Platform von Palo Alto Networks die Sicherheit und die Effizienz zu erhöhen IT-Probleme im Mittelpunkt OSRAM kennt sich mit Licht aus. Das überrascht nicht, denn das Unternehmen ist seit über 100 Jahren der wohl führende Hersteller von Beleuchtungsprodukten weltweit. Als großer globaler Hersteller mit Anwendern an über 100 Standorten in 50 Ländern muss OSRAM sein geistiges Eigentum sorgfältig schützen und extrem effizient wirtschaften. Die IT-Kosten müssen also niedrig gehalten und die Zeit und Kosten für die Lösung von Sicherheitsproblemen begrenzt werden. Ein Großteil des Datenverkehrs von OSRAM ist intern, aber es bietet auch Extranetdienste für drei Websites, die Kataloge hosten. Zudem unterstützt es Kundenanwendungen und Verbindungen mit Geschäftspartnern durch VPN-Tunnel. Jede Zweigstelle verbindet sich über MLPS und einen lokalen Internet Access Point mit den Datenzentren des Unternehmens. Unser Netzwerk war sehr dezentralisiert, mit unterschiedlichen Zugangsregeln an verschiedenen Standorten, sagt Steffen Siguda, Datenschutzbeauftragter und InfoSec Officer bei OSRAM. Das war nicht besonders effizient und auch nicht so sicher wie gewünscht. Für Mitarbeiter auf Reisen, die sich anmelden wollten, war es besonders frustrierend. Das Netzwerk lässt das IT-Team im Dunkeln Das dezentralisierte Netzwerk von OSRAM war kostspielig und schwierig zu warten. Außerdem war es schwer für die IT-Abteilung, schnell auf die Anforderungen des Unternehmens zu reagieren. Wir müssen die IT-Kosten eindämmen, dabei aber sehr reaktionsfähig bleiben, meint Siguda. In der Industrie verwenden wir viele Spezialanwendungen und erhalten viele Anfragen, die Richtlinien zur Anpassung an den Produktionsprozess zu modifizieren. Unser Netzwerk ist sehr heterogen und muss vielen Ansprüchen gerecht werden. Beispielsweise muss eine spezielle Banking-App mit anderen Apps kommunizieren, oder eine Service-Support-App, die ein Lieferant zur Wartung von Geräten vor Ort verwendet, muss eine andere App im System kontaktieren. Das riesige dezentralisierte Netzwerk bei OSRAM mit Tausenden von Benutzern an vielen Standorten hinderte die IT-Abteilung daran, das Unternehmen schnell und effizient zu unterstützen und Änderungen zu verfolgen. In einer stark dezentralisierten IT-Umgebung war es schon immer schwierig, bestimmte Dinge festzustellen etwa, welcher VPN-Router oder welches IT-Gerät verändert worden waren, so Siguda. Geschäftliche Anforderungen wurden zeitraubend und ineffizient behandelt. Es dauerte einen halben Arbeitstag, um auf die Änderungen zu reagieren, da wir manuell globale Konfigurationsänderungen an 78 Proxyservern vornehmen mussten. Wir hatten einmal über Zeilen Konfiguration in unserer vorherigen Firewall-Lösung. Mit Palo Alto Networks bieten wir unseren Abteilungen schnelleren und besseren Service, mit mehr Sicherheit und Präzision, und setzen dabei weniger Ressourcen ein. Was früher einen halben Tag in Anspruch nahm, wird jetzt in Sekundenschnelle erledigt. Wir waren angesichts der Fähigkeiten eines modernen, anwendungsbasierten Sicherheitssystems wie dem von Palo Alto Networks total überrascht und begeistert. Es hat so gut funktioniert, dass wir gar keine anderen Optionen in Erwägung gezogen haben. Steffen Siguda, Datenschutzbeauftragter und InfoSec Officer, OSRAM Das dezentralisierte Netzwerk von OSRAM, die Probleme beim IT-Management und die mangelnde Transparenz des Netzwerks stellten Sicherheitsmängel dar. Wir hatten keine globale Übersicht oder Überwachung bezüglich der Sicherheit, sagt Siguda. Wenn etwas in Indien, China oder Brasilien schiefging, war es unmöglich, das Protokoll jedes Proxyservers durchzugehen, um das Problem zu identifizieren. Wir hatten keine Gesamtansicht, um auf eine Drohung oder Infektion zu reagieren. Wir benötigten Transparenz und eine globale Ansicht unserer Geräte, um die Sicherheit zu verbessern, einheitliche Veränderungen SEITE 3

4 vorzunehmen und unser geistiges Eigentum und unser Unternehmen besser zu schützen. Die Erleuchtung Siguda und seine Kollegen suchten nicht aktiv nach einer Lösung für ihre Probleme, stattdessen fand die Lösung sie. Mein Chef sagte, wir sollten einen Freund treffen, der über eine sogenannte Next-Generation Firewall sprechen wolle, erläutert Siguda. Wir waren nicht besonders interessiert, trafen uns aber mit ihm, und er gab uns eine Demo der Firewall von Palo Alto Networks. Er meinte, wir sollten sie im Virtual Wire hinter unserer existierenden Cisco-Firewall installieren, und er würde in zwei Wochen zurückkommen. Die Enterprise Security Platform von Palo Alto Networks besteht aus einer Next-Generation Firewall, Threat Intelligence Cloud und Advanced Endpoint Security. Die Firewall bietet Transparenz und Kontrolle für Anwendungen, Benutzer und Inhalte. Zudem schützt sie mittels einer speziell entwickelten Hardware- und Softwarearchitektur gegen in die Firewall integrierte, netzwerkbasierte Cyberbedrohungen. Die Threat Intelligence Cloud bietet zentrale Dateninformationsfunktionalität. Außerdem automatisiert sie die Bereitstellung von vorbeugenden Maßnahmen gegen Cyberangriffe. Siguda und sein Team richteten die PA-2050 Next-Generation Firewall von Palo Alto Networks innerhalb von zwei Stunden ein. Wir ließen sie zwei Wochen laufen und sie bot uns eine tolle Übersicht über unsere Apps, Systeme und Benutzer, sagt Islam Masoud, Security Operations Manager bei OSRAM. Außerdem wurden unsere Zeilen Konfiguration sofort auf nur 75 Regeln reduziert. Siguda war ebenfalls sehr überrascht von den Ergebnissen. Dank der Filterfunktionen sahen wir genau, was wir im Netzwerk taten, wo wir VPN-Protokolle zulassen sollten und vieles mehr. Zahlreiche Fragen wurden in Sekundenschnelle beantwortet und wir konnten jemandem mit einem Anwendungsproblem problemlos nach einigen Minuten helfen, sagt er. Wir waren von den Fähigkeiten eines modernen Sicherheitssystems wie Palo Alto Networks total überrascht. Die PA-2050 begeisterte uns total und wir sagten dem Freund unseres Chefs, dass er sie nicht zurückzunehmen bräuchte und bestellten sofort eine zweite. Sie passte so gut, dass wir gar keine anderen Optionen in Erwägung gezogen haben. Einschalten Innerhalb weniger Wochen ersetzte OSRAM die Legacy- Firewalls in seinem Hauptdatenzentrum, die die primäre Internetverbindung schützen. Die Migration zu Palo Alto Networks verlief so reibungslos, dass unsere Arbeit überhaupt nicht unterbrochen wurde, sagt Masoud. Dann ersetzte OSRAM seine drei Haupt-Firewalls und beschloss anschließend, statt seiner 78 Proxyserver 56 Palo Alto Networks PA-200 Next-Generation Firewalls einzusetzen. Unseren Berechnungen zufolge war es sehr kosteneffektiv, die 78 Proxyserver durch PA-200s zu ersetzen, meint Siguda. OSRAM kaufte und implementierte auch sechs PA-5020, zwei PA-2050, zwei PA-3020 und fünf PA-500 Next-Generation Firewalls von Palo Alto Networks. Palo Alto Networks bietet das Einfache im Komplexen. Man kann alles sehen und analysieren. Man erhält schnell detaillierte Informationen, sodass man wirklich versteht, was in seinem Netzwerk vorgeht. Es ist eine leistungsfähige, aber dennoch benutzerfreundliche Firewall, die die IT- Arbeit erleichtert und das Unternehmen sicherer macht. Steffen Siguda, Datenschutzbeauftragter und InfoSec Officer, OSRAM OSRAM setzte zudem Panorama von Palo Alto Networks ein, um alle seine Firewalls und Richtlinien effizient und zentral zu verwalten. Panorama, das als VMware Virtual Machine ausgeführt wird, bietet zentralisierte Management- und Protokollfunktionen. Dadurch kann OSRAM alle Sicherheitsplattformen einfach von einem Standort aus und über ein Interface verwalten und schnell einheitliche Richtlinien auf allen Geräten implementieren. Zudem abonnierte OSRAM GlobalProtect, das eine sichere Anwendungsaktivierung für alle Benutzer (auch auf Mobilgeräten), unabhängig von deren Standort und dem jeweils für den Zugriff verwendeten Gerät ermöglicht. Die Implementierung von Palo Alto Networks verlief ohne Zwischenfälle. Das war extrem einfach und alles war in zwei bis drei Stunden abgeschlossen, sagt Siguda. Wir packten das aus, stellten eine IP ein, klickten auf eine SEITE 4

5 Schaltfläche und wiesen die Techniker an jedem Standort an, die Kabel und Proxyserver zu entfernen. Es waren keine lokalen Modifizierungen nötig, da die Konfiguration global erfolgt und über Panorama verteilt wird. Wir klickten nur und synchronisierten alles. OSRAM nutzt alle Funktionen der Firewalls von Palo Alto Networks, darunter URL-Filter (PAN-DB), WildFire, Threat Prevention einschließlich IPS und ein VPN-Gateway, über das die Mitarbeiter auf das Netzwerk zugreifen. Leuchtende Ergebnisse Die Standardisierung der Sicherheit auf Palo Alto Networks hat OSRAM eine Reihe von Vorteilen gebracht. Hierzu gehören eine bessere Effizienz und niedrigere IT-Verwaltungskosten, erhöhte Sicherheit und die Fähigkeit, jeglichen Bitten um eine Ausnahme von den Regeln schneller nachzukommen. Mit Palo Alto Networks bieten wir unseren Abteilungen schnelleren und besseren Service, mit mehr Sicherheit und Präzision, und setzen dabei weniger Ressourcen ein, sagt Siguda. Die IT-Abteilung bei OSRAM reagiert jetzt viel schneller. Früher nahm es einen halben Tag in Anspruch, Änderungen auszuführen, erläutert Masoud. Jetzt können Benutzer selbst Zugriff anfordern und sofort eine automatische Antwort auf der Grundlage unserer Regeln erhalten, statt dass wir uns das ansehen und eine Entscheidung treffen müssen. Siguda setzt hinzu: Wir haben die erforderlichen Ausnahmen um den Faktor 10 reduziert, da die Konfiguration jetzt anwendungsbasiert ist, sodass allgemeine Einstellungen beispielsweise den Zugriff auf eine Banking-Website abdecken, die SSL für einen anderen Port verwenden will. Unser Zeitaufwand für die Verwaltung des Internetzugangs ist um 50 % gesunken. OSRAM schätzt die einzigartige und umfassende Sicherheitsstrategie von Palo Alto Networks. Der Unterschied zwischen einer anwendungsbasierten und eine portbasierten Firewall-Sicherheit ist dramatisch, sagt Masoud. Cisco ist völlig portbasiert und schwierig zu verwalten, vor allem bei nicht standardgemäßen Kommunikationsanfragen. Die Anwendungsorientierung von Palo Alto Networks ermöglicht es uns, unser Regelwerk deutlich zu verkleinern, und sie bietet uns Informationen, die wir lesen und nutzen können. Vorher sagten uns unsere Protokolldateien gar nichts. Jetzt ist das so einfach: Ein Klick, und wir können das ansehen und verstehen. Es ist, als ob man in Sekunden von null auf Hundert beschleunigt. Weitere Verbesserungen bei Effizienz und Service betreffen den Zugriff für Remotebenutzer. Wir wollen eine hochwertige, globale und gleichmäßige Erfahrung für alle unsere Benutzer, meint Siguda. Alle sollen den gleichen Regeln folgen und den gleichen Zugriff haben, ganz gleich, ob sie an anderen Standorten oder unterwegs sind. Jetzt ist das möglich. Masoud ergänzt: Die Benutzer melden uns zurück, dass sie einen schnelleren Onlinezugriff haben, was die Produktivität verbessert. Klare Sicht Die detailscharfe Transparenz der Firewalls von Palo Alto Networks und ihre umfassenden Berichtfunktionen haben die Sicherheit erhöht. Unsere früheren Proxyserver boten eine schlechte Transparenz, und es dauerte ewig, um die Quelle eines Botnets oder einer anderen Infektion zu finden, sagt Masoud. Jetzt können wir Dinge an allen unseren Standorten identifizieren und überwachen, die wir vorher einfach nicht sehen konnten. Hierzu gehören die meistverwendeten Anwendungen, die größten Bedrohungen, Nutzungsmuster und mehr und das alles auf einen Blick. Das Tempo der Problembehebung hat sich deutlich gesteigert. Man klickt, findet die Ursache eines Problems, aktualisiert seine Richtlinien und fertig. Mit anderen Tools, wie Sniffer, Analyseprogrammen und so weiter, dauerte es 4 bis 5 Stunden. Bei Palo Alto Networks ist das in Sekunden erledigt. Unser Tempo bei der Überwachung und Problembehebung ist um mehr als 50 % gestiegen, so Siguda. OSRAM erzielt Einsparungen, an die es bei der Installation von Palo Alto Networks nicht einmal dachte. Indem wir schnell Probleme wie Tippfehler bei DNS- und SNMP- Servern und Traffic-Verbindungen finden, haben wir viel unnötigen Datenverkehr eliminiert, den wir vorher nicht einmal erkannt hatten, sagt Siguda. Palo Alto Networks hat die Störelemente in unseren Protokollen um 95 % reduziert. Es hat die überflüssigen Faktoren eliminiert, sodass wir nun klar sehen, was wirklich in unserem Netzwerk abläuft. Panorama bietet auch Einsicht in den Datenverkehr und die Netzwerkaktivität und verbessert dadurch die Sicherheit. Wir können globale Traffic-Daten und Aktivitäten beobachten und Regeln sofort ändern und umsetzen, meint Masoud. Wenn es einen Malware-Angriff gibt, kann ich per Mausklick auf die Ziel-IP zugreifen und die Sicherheitslösung weltweit SEITE 5

6 verteilen. In der Vergangenheit war dies aufgrund eines dezentralisierten Netzwerks nicht einfach, und bis wir die Malware erreichten, hatte sie sich überall ausgebreitet. Mit Panorama können wir einfach in Sekundenschnelle Regeln und Lösungen an jedes Gerät senden. Palo Alto Networks GlobalProtect bietet weitere Lösungen. GlobalProtect sichert und erleichtert den Zugriff für alle firmeneigenen Geräte, sagt Siguda. Wir verwenden es bei dezentralen Gateways, und es ist gut, dass ein Benutzer unterwegs nichts tun muss, um sich zu verbinden. Vorher musste er einen regionalen VPN Access Point wählen. Das Verfahren war langsam und die Verbindung meistens nicht optimal. GlobalProtect bietet Endanwendern besseren Service und stellt sicher, dass unsere Regeln angewendet werden. In der Vergangenheit mussten wir Benutzer bitten, sich an die Regeln zu halten, und hoffen, dass sie dies tun würden. Im IT-Bereich kann man entweder etwas gleich durchsetzen oder es vergessen. OSRAM plant, sich die Funktionen von WildFire von Palo Alto Networks näher anzusehen. WildFire bietet integrierten Schutz vor fortgeschrittener Malware und Bedrohungen, indem es unbekannte Bedrohungen, die häufig für moderne Cyberattacken verwendet werden, proaktiv identifiziert und blockiert. Hackt sogar Gemüse Neben den zahllosen Stunden, die durch die Standardisierung der Sicherheit auf Palo Alto Networks, die Optimierung von Aufgaben und die Automatisierung der Implementierung von Richtlinien und Updates eingespart wurde, spart OSRAM auch jährlich Euro für Hardware- und Softwarelizenzgebühren, indem es seine 78 Proxyserver durch PA-200s ersetzt. Dieser Wert schließt nicht die zusätzlichen Einsparungen durch Reduzierungen bei Wartung und Support ein, die schätzungsweise weitere Euro über fünf Jahre hinweg betragen, so Siguda. Siguda und Masoud sind sehr zufrieden damit, dass sie das Unternehmen besser unterstützen können. Wir können nun auf Anfragen in Minuten reagieren, statt nach Stunden oder Tagen, meint Masoud. Es ist sehr positiv, dass Mitarbeiter wissen, dass das IT-Personal ihnen sehr schnell helfen wird. Auch das leitende Management hat dies konstatiert. Und Siguda fügt hinzu: Man kann das finanziell gar nicht abschätzen, was es bedeutet, dass ein hochmodernes System neue und sich entwickelnde Geschäftsszenarien wie Streaming-Media, Zugriff per Sprachbefehl oder die Verwendung externer Schulungsprovider unterstützen kann. Früher waren solche Anforderungen immer ein Problem, aber jetzt erledigen Benutzer das mit einigen Mausklicks. OSRAM kann auch den finanziellen Wert der verbesserten Sicherheit durch Palo Alto Networks nur schwer abschätzen. Vorher haben wir manche Dinge gar nicht wahrgenommen, aber jetzt haben wir die allgemeine Sicherheit erhöht, ohne weitere Ressourcen zu verwenden, meint Siguda. Ich sage meinen IT-Kollegen, dass Palo Alto Networks das Einfache im Komplexen bietet. Ich glaube, ihre Firewall könnte sogar Gemüse hacken. Kurz gesagtman kann praktisch alles mit einem Programmpaket erledigen. Selbst eine technisch unbedarfte Person kann sich das GUI von Palo Alto Networks ansehen und verstehen, was läuft. Es ist eine leistungsfähige, aber dennoch benutzerfreundliche Firewall, die das IT-Team glücklicher und ihr Unternehmen sicherer macht Great America Parkway Santa Clara, CA Zentrale: Vertrieb: Support: Copyright 2015, Palo Alto Networks, Inc. Alle Rechte vorbehalten. Palo Alto Networks, das Palo Alto Networks-Logo, PAN-OS, App-ID und Panorama sind Marken von Palo Alto Networks, Inc. Alle technischen Daten können ohne Vorankündigung geändert werden. Palo Alto Networks übernimmt keine Verantwortung für eventuelle Ungenauigkeiten der in diesem Dokument enthaltenen Informationen und keine Verpflichtung, diese Informationen zu aktualisieren. Palo Alto Networks behält sich das Recht vor, diese Veröffentlichung ohne vorherige Ankündigung zu ändern, zu bearbeiten, zu übertragen oder anderweitig zu überarbeiten. PAN_CS_OSRAM_043115