WHITEPAPER. Die fünf Säulen zur Steuerung von Firewall-ACLs und -Regeln

Transkript

1 WHITEPAPER Die fünf Säulen zur Steuerung von Firewall-ACLs und -Regeln

2 Abstract Internationale Netzwerk- und Sicherheitsexperten stehen alle der gleichen Herausforderung gegenüber: den Versuch, das komplexe und zeitraubende Verfahren der ACL- und Regeländerungen zu bewältigen. IT-Teams sind bemüht, sich auf dem schmalen Grad zwischen der Erfüllung der Geschäftsziele durch quasi nahtlose Bereitstellung neuer Dienste und Anwendungen einerseits und den stagnierenden IT-Budgets und -Mitarbeiterzahlen andererseits zu bewegen. Die vorangehenden Verfahren des letzten Jahrzehnts sorgen für massive Engpässe, die die Bereitstellung von Dienstgütevereinbarungen verzögern. Die Vorteile der Netzwerkautomatisierung können ein zentraler Faktor zur Überwindung der Lücke zwischen den Zielen und der Realität in der IT sein. Die Situation Die Tage, in denen eine einzige Firewall die letzte Verteidigungslinie gegen das Internet darstellte, sind längst vorbei! Anstatt einer einzigen Firewall beinhalten die heutigen Anforderungen eine Fülle an Sicherheitsvorrichtungen (Firewalls, integrierte Router und Switches) von verschiedenen Anbietern, die allein zur Erfüllung einer einzigen neuen Dienstanfrage verschiedene ACL- und Regeländerungen erfordern. Vor Jahren erhielten Netzwerk- und Sicherheitsteams nur eine Handvoll Anfragen pro Monat, die nur auf wenigen Geräten implementiert werden mussten. In der heutigen dynamischen Welt ist die Menge an täglichen und wöchentlichen Anfragen stark angewachsen, die auf immer mehr werdenden Geräten implementiert werden müssen. Wenn keine neuen Mitarbeiter oder Ressourcen hinzugefügt werden, werden entweder Schäden auftreten oder sich die Verzögerungen weiter ausdehnen. Die Herausforderungen Wenn es um die Bereitstellung eines Zugriffs auf ACLs und Regeln geht, ergibt sich eine Gemengelage aus Komplexität und Stress für Netzwerk- und Sicherheitsteams. Quasi jedes IT-Team hat mit einer massiven Explosion der Anfragen nach zusätzlichen Diensten und Anwendungen und zugleich zahlreichen neuen und dynamischen zu implementierenden Optionen zu kämpfen. Wie bereits vorher erwähnt wurde, betreffen diese Änderungen normalerweise mehrere Geräte, wodurch der Aufwand und das Risiko falscher Einstellungen noch erhöht werden. Dennoch haben in der heutigen Wirtschaft das IT-Budget und die Mitarbeiterzahl nicht mit der gewachsenen Anzahl neuer Anforderungen Schritt gehalten. Jetzt müssen die betreffenden Personen entscheiden, welche der vielen Anfragen Vorrang hat. Oft ist es so, dass die Modifizierung von ACLs nicht oberste Priorität hat, da es dringendere Aufgaben gibt. Eine der größten Herausforderungen für viele IT-Teams ist die Beibehaltung von Vorgängerverfahren, die bereits vor Jahren oder Jahrzehnten entwickelt wurden, obwohl sich die Umgebung rasend schnell verändert. Obwohl CLI-Zugriffe, benutzerdefinierte Skripte oder anbieterspezifische Tools in einer weniger 1 WHITEPAPER Die fünf Säulen zur Steuerung von Firewall-ACLs und -Regeln

3 dynamischen Welt funktioniert haben mögen, führen diese belastenden Verfahren zu massiven Engpässen, wenn es um heutige Netzwerksicherheitsgeräte geht. In der Regel wird für diese sich wiederholenden Routineänderungen der erfahrenste und qualifizierteste Netzwerktechniker oder architekt eingesetzt. Dessen Expertise wird benötigt, da jeder Anbieter komplexe Befehle und eine einzigartige Syntax für denselben Vorgang hat. Weniger erfahrene Mitarbeiter übersehen häufig kleine, aber dennoch wichtige Unterschiede, wodurch die Verfügbarkeit eingeschränkt wird. Die erfahrenen Mitarbeiter, die diese sich wiederholenden Aufgaben bewältigen können, werden häufig für andere wichtige Geschäftsinitiativen benötigt. Die Auswirkungen In Kombination führen die drei größten Herausforderungen zu den drei größten Auswirkungen: Verzögerung von Dienstgütevereinbarungen, ineffiziente Verwendung von Ressourcen und Standardisierungs/Konformitätsanforderungen. Verzögerung von Dienstgütevereinbarungen In den meisten Unternehmen gibt es massive Unterschiede zwischen der geplanten und der tatsächlichen Bereitstellung von Dienstgütevereinbarungen. In der Regel wird anvisiert, einen neuen Service innerhalb einiger Stunden oder eines Tages bereitzustellen. In der Realität sieht es aber häufig so aus, dass die meisten Änderungen aufgrund der verschiedenen Schritte und manuellen Verfahren Tage oder Wochen benötigen. Ineffiziente Verwendung von Ressourcen Im klassischen Verfahren werden Änderungen manuell über CLI-Zugriff oder Skripte vorgenommen. Der erfahrenste Netzwerkmanager erstellt die geplante Konfigurationsänderung, geht Tausende Zeilen Code durch und hofft, dass die neue Änderung keinen negativen Einfluss auf andere Prozesse haben wird. Aber aufgrund des explosionsartigen Anstiegs der Anfragen wird dies zu einer Schwachstelle, da die Anforderungen steigen und die verfügbare Zeit der Mitarbeiter gleichzeitig weniger wird. Sogar die fähigsten Netzwerkmitarbeiter machen nun Anfängerfehler, welche häufig zeitraubend sind und eine kostenaufwendige Behebung zur Folge haben. Standardisierungs-/Konformitätsanforderungen Da die Sicherheit immer mehr ins Blickfeld gerät, werden interne beste Praktiken und externe Konformitätsvorschriften immer wichtiger. IT-Teams müssen beweisen, dass angemessene Steuerungen und Konfigurationsrichtlinien vorliegen. Sollte jemals ein Audit nötig sein, braucht ein Team von mehreren Leuten typischerweise einige Tage oder Wochen, um jedes Gerät und jede Zeile manuell durchzugehen und nachzuweisen, dass alles in Ordnung ist. Diese manuellen Verfahren werden normalerweise unter Einbeziehung der Mitarbeiteranzahl und der benötigten Zeit in Tagen oder Wochen gemessen. Dies wiederum trägt zu dem Kreislauf der ständig wachsenden täglichen Anforderungen bei. 2

4 Beispiel Der beste Weg, sich den Stress mit älteren Verfahren vor Augen zu führen, ist die Betrachtung der Schritte, die nötig sind, um eine einzige Änderung innerhalb der Firewalls und der Sicherheitsgeräte zu autorisieren. 1 Die Netzwerkmitarbeiter müssen ein tiefgründiges Verständnis der Verbindungen eines jeden Geräts zum Netzwerk und der Unterschiede haben, falls verschiedene Anbieter involviert sind. 2 Da quasi jeder einzelne Dienstpfad über mehrere Geräte verfügt, müssen die Mitarbeiter entscheiden, welche Geräte betroffen sind und geändert werden müssen. 3 Der Netzwerkmanager muss die richtige Konfiguration mit der richtigen Anbietersyntax bestimmen, um die Änderung zu erlauben (oder zu verweigern). Darüber hinaus muss bestätigt werden, dass die neue Änderung keinen negativen Einfluss auf vorhandene Dienste haben wird. 4 Die neue ACL oder Regel muss mit den Standards verglichen werden, um sicherzustellen, dass keine Richtlinien- oder Konformitätsverstöße vorliegen. 5 Änderungsanfragen werden geöffnet und typischerweise manuell über CLI, benutzerdefinierte Skripte oder Anbietertools implementiert. 6 Die ordnungsgemäße Funktion muss überprüft und erneut bestätigt werden und es muss manuell nach Überschneidungen, ungenutzten oder doppelten Regeln gesucht wurden. Normaler Verfahrensablauf für die manuelle Bereitstellung von ACL-/Regeländerungen. Typischerweise steht für jeden dieser Schritte nur ein begrenzter Zeitraum zur Verfügung-Daher ist leicht nachzuvollziehen, dass die Zeit, die für die Bereitstellung einer Änderung benötigt wird, leicht aus dem Ruder laufen kann. Übrigens müssen diese Schritte bei absolut jeder Änderung befolgt werden. Daher zeigt der Multiplikatoreffekt, wie schnell es zur Überlastung der Mitarbeiter kommen kann. Die Option Die erfahrensten Mitarbeiter erkennen die Risiken, die es mit sich bringt, in dieser dynamischen Welt an Vorgängerverfahren festzuhalten. Den meisten Unternehmen stehen drei Möglichkeiten zur Verfügung: 1 Neue Mitarbeiter einstellen, um die wachsenden Anforderungen zu erfüllen 2 Der Bereitstellung von Dienstgütevereinbarungen mehr Zeit einräumen 3 Alternativen ausprobieren 3 WHITEPAPER Die fünf Säulen zur Steuerung von Firewall-ACLs und -Regeln

5 Es ist den meisten Unternehmen aufgrund ihrer finanziellen Lage nicht möglich, ausreichend neue Mitarbeiter zur Erfüllung der wachsenden Anforderungen einzustellen. Im Gegenzug werden die wenigsten Führungskräfte die Antwort Wir brauchen eine Woche, um einen neuen Service bereitzustellen akzeptieren. Daher muss das Netzwerkteam einen neuen Weg einschlagen oder letztendlich scheitern. Die Vorteile von Netzwerkautomatisierung Die Netzwerkautomatisierung ist ein großartiger Weg, sich von Vorgängerverfahren zu entfernen, um die heutigen dynamischen Anforderungen besser erfüllen zu können. Die Vorteile der Automatisierung nehmen Ihnen nicht auf magische Weise alle Arbeiten ab. Es werden lediglich die Zeit und der Aufwand, die für effektive Änderungen nötig sind, verringert, ohne die Kontrolle über Ihre Geräte und Infrastruktur zu verlieren. Zum Beispiel werden Analysen mit Maschinengeschwindigkeit dazu genutzt, Tausende Zeilen Code zu sichten, anstatt diese langsam, Zeile für Zeile durchzugehen immer und immer und immer wieder. Die fünf Säulen der Automatisierung von Sicherheitsgeräten Viele IT-Teams haben begonnen, die Vorteile der Automatisierung zu erkennen und haben in verschiedenen Bereichen Initiativen entwickelt, die verschiedene Tools und Verfahren nutzen. Obwohl ein gewisser Anteil an Automatisierung besser ist als gar keiner, bietet dieser unzusammenhängende Ansatz nicht alle Vorteile, die möglich wären. Der Security Device Controller von Infoblox wurde entwickelt, um Netzwerkund Sicherheitsteams dabei zu helfen, ACL- und Regeländerungen für Netzwerksicherheitsgeräte zu steuern. Der Security Device Controller bietet fünf zentrale Säulen zur Automatisierung, und das auf einer vereinheitlichten Plattform. 1) Die automatische Ermittlung weiß genau, was sich im Netzwerk befindet und wie alles miteinander verbunden ist, um die nötigen Änderungen visuell anzeigen zu können. Vollständige Netzwerkermittlung mit leistungsfähiger Topologiezuordnung zur Visualisierung des Pfads. 4

6 2) Die integrierte Kompetenz ermöglicht das schnelle und einfache Auffinden ungenutzter, sich überschneidender oder doppelter Regeln, und das bei mehreren Anbietern, wodurch eine schnelle Bereinigung und Korrektur schlechter Konfigurationen möglich wird. Integrierte Intelligenz bietet genaue ACL-/Regelansichten und erkennt ungenutzte, sich überschneidende und doppelte Regeln. 3) Die leistungsfähige Suche kann in Sekundenschnelle spezifische Kriterien finden, sodass Netzwerkteams keine manuellen Suchen nach einzelnen Geräten und Regeln durchführen müssen. Anpassungsfähige Suchkriterien für ein oder mehrere Geräte von verschiedenen Anbietern unter Verwendung einer lesbaren GUI. 5 WHITEPAPER Die fünf Säulen zur Steuerung von Firewall-ACLs und -Regeln

7 4) Die Nutzung angepasster Warnmeldungen ermöglicht es, zu erkennen, wenn sich Dienste auf der Whitelist nicht verbinden können oder wenn Services auf der Blacklist ein zusätzliches Risiko darstellen. Erstellung von Blacklist- und Whitelist-Warnungen, um Probleme bei erlaubtem und unerlaubtem Zugriff zu melden. 5) Die Bereitstellung der tatsächlichen Änderungen in einer Multivendor- Umgebung reduziert die Zeit und den manuellen Aufwand, die sonst für diese Änderungen nötig wären. Bereitstellung von Änderungen auf derselben Plattform, um die anbieterspezifische Syntax anzuzeigen und gleichzeitig die benutzerbasierten Zugriffsrechte und Verfahrenssteuerungen beizubehalten. 6

8 Der Abschluss Wenn die Abläufe in Ihrem IT-Team einwandfrei funktionieren und die Bereitstellung der Zugriffsrichtlinien die Zielvorgaben erfüllt oder übertrifft, können Sie sich glücklich schätzen, zu einer sehr, sehr kleinen Gruppe zu gehören. Den meisten Unternehmen entstehen durch die schiere Menge der Arbeit viele Probleme. Die Automatisierung kann Ihnen bei der Steuerung Ihres Netzwerks helfen. Anstatt also Tage oder Wochen für eine einzige Firewall-Änderung aufzuwenden, können Sie dies besser, genauer und schneller erreichen. Die Automatisierung ermöglicht es dem Netzwerk, sicher und effektiv mit den wachsenden Anforderungen Schritt zu halten. Infoblox ist führend im Bereich der Automatisierung und kann Ihnen bei der Steuerung Ihres Netzwerks helfen. Wenn Sie erfahren möchten, wie Sie die Automatisierung dazu nutzen können, den Zeitaufwand bei der Bereitstellung zu verringern, die Effizienz Ihrer Mitarbeiter zu erhöhen und die Sicherheit des Netzwerks aufrechtzuerhalten, besuchen Sie bitte unsere Homepage: 7 WHITEPAPER Die fünf Säulen zur Steuerung von Firewall-ACLs und -Regeln

9 UNTERNEHMENSZENTRALE: 3111 Coronado Drive Santa Clara California USA (gebührenfrei in den USA und Kanada) DEUTSCHLAND BÜRO The Squaire 12 Am Flughafen Frankfurt am Main Germany +49 (0) Infoblox Inc. All rights reserved. infoblox-whitepaper-security-device-controller-de-april2013