5 Gründe, warum Ihr Infrastrukturteam die Mikrosegmentierung lieben wird

Viele werden freimütig zugeben, dass in einer idealen Welt eine stärkere und engere Segmentierung zu besseren Sicherheitsergebnissen führen wird. Leider war die Segmentierung in der realen Welt zeitaufwändig, komplex und teuer. Anwendungsteams haben Schwierigkeiten, die Informationen bereitzustellen, die Infrastrukturteams benötigen, und es kann nichts passieren, bis die gesamte Geschäftslogik in IP-Adressen übersetzt und manuell überprüft wurde. Glücklicherweise bietet die Mikrosegmentierung einen besseren Weg und beseitigt einen Großteil der betrieblichen Belastung durch die Verschärfung der Segmentierungskontrollen.

Betrachten wir fünf Vorteile, die Infrastrukturteams erleben.

1. Aus Sicherheitsgründen keine VLANs mehr

Bei der Mikrosegmentierung wird der Segmentierungserzwingungspunkt vom Netzwerk zu den Anwendungsinstanzen verschoben. Dies bedeutet, dass die Segmentierungsrichtlinie unabhängig von vorhandenen Subnetzen, VLANs oder Zonen vorhanden ist. Aus der reinen Netzwerkperspektive funktionieren große flache Netzwerke gut, lassen sich wunderbar skalieren und sind einfach zu verwalten. Die Sicherheitspolitik würde eher kleine, eng begrenzte Netzwerke haben, die dann umständlich zu verwalten sind. Die Mikrosegmentierung löst diese Sackgasse. Sie können eine fein abgestufte Segmentierung und eine einfache VLAN-Struktur verwenden, sobald die Segmentierung nicht mehr von der Netzwerkdurchsetzung abhängt.
 

2. Keine ACLs mehr zu verwalten

Die Mikrosegmentierung definiert die Segmentierungsrichtlinie nach Labels und Metadaten, nicht nach IP-Adressen. Endlich muss niemand mehr manuell zwischen Server- oder Anwendungsnamen und IP-Adressen übersetzen, wenn er Richtlinien schreibt! Wenn die Mikrosegmentierung die Richtliniendefinition von den Netzwerkkonstrukten abstrahiert, wird der gesamte Prozess der Richtlinienentwicklung einfacher und schneller. Mikrosegmentierungsrichtlinien, die in einem reinen Positivlistenmodell spezifiziert werden, haben den zusätzlichen Vorteil, dass Überlegungen zur Regelreihenfolge vermieden und die Richtlinienvererbung unterstützt werden. Zusammengenommen ist eine Mikrosegmentierungsrichtlinie schneller, einfacher und einfacher als eine herkömmliche ACL und bietet gleichzeitig eine strengere Kontrolle.
 

3. Abrufen der Anwendungstopologie für alle Anwendungen

Obwohl sie einen Datensatz des gesamten Datenverkehrs enthalten, waren Netzwerkflussdaten nicht gut geeignet, um das Anwendungsverhalten zu verstehen. Bei der Mikrosegmentierung wird eine Anwendungsabhängigkeitskarte erstellt, die unabhängig von der zugrunde liegenden Netzwerktopologie ist. Selbst Anwendungen, die sich über mehrere Rechenzentren oder Cloud-Standorte erstrecken, werden als eine einzige Anwendungsinstanz visualisiert. Diese Klarheit vereinfacht die Gespräche im gesamten Unternehmen, insbesondere mit Anwendungs-, DevOps- und Sicherheitsteams, die sich nicht nativ mit der Netzwerktopologie befassen. Insbesondere bei der Entwicklung von Segmentierungsrichtlinien rationalisiert dieses gemeinsame Verständnis Genehmigungsgespräche und Richtlinienentscheidungen.
 

4. Automatisierte Segmentierung

Die besten Segmentierungsregeln sind möglicherweise diejenigen, die niemand schreiben oder anpassen muss. Da die Mikrosegmentierung die Richtlinie in Bezeichnungen und Metadaten angibt, können Sie die gesamte Richtlinie automatisieren. Wenn das Modul für Mikrosegmentierungsrichtlinien API-Aufrufe empfängt, die es über neue Geräte oder Änderungen der IP-Adresse informieren, berechnet es automatisch die erforderlichen Segmentierungsregeln neu und verteilt sie. Die Sicherheitsrichtlinie wird ständig und kontinuierlich auf dem neuesten Stand sein. Die Labels lassen sich einfach in DevOps-Workflows für die Serverinstanziierung integrieren, und wenn sie so integriert sind, wird die Richtlinie automatisch berechnet und für jeden Server angepasst, der erstellt oder abgerissen wird.
 

5. Erfüllen Sie den Wunsch der Sicherheitsbranche nach einer feinkörnigeren Segmentierung ohne operative Probleme

Ein Sicherheitsarchitekt wird fast immer mehr Segmentierung bevorzugen als weniger. Die einzige Herausforderung besteht darin, dass ohne Mikrosegmentierung eine detailliertere Segmentierungsrichtlinie mit hohen Kosten für die Infrastrukturbetriebsteams verbunden ist. Wenn die Segmentierungsrichtlinie nicht mehr von der Netzwerkdurchsetzung, IP-Adressen oder vom Netzwerk abgeleiteten Datenflussdaten abhängt, reduziert sich der betriebliche Aufwand erheblich. Sobald Tools zum Verfassen von Richtlinien, Automatisierung und Transparenz das Projekt verbessern, kann selbst eine sehr enge Segmentierung ohne die erwarteten Kopfschmerzen erreicht werden.

Die Segmentierung mit ACLs erfordert einen harten, zeitaufwändigen Aufwand. Die Mikrosegmentierung erleichtert die Arbeitsbelastung und ermöglicht durch rollenbasierte Zugriffskontrolle die Verteilung der Last auf Anwendungs-, DevOps-, Sicherheits- und Infrastrukturteams. Ein Segmentierungswunsch, der mit herkömmlichen ACLs als zu kostspielig angesehen worden wäre, wird mit der Mikrosegmentierung viel einfacher.

Traditionell ist die Segmentierung schwierig – so sehr, dass oft betriebliche Überlegungen bestimmen, was machbar ist. Die Mikrosegmentierung bietet jedoch die reizvolle Möglichkeit, sowohl eine straffere Segmentierungspolitik als auch einen geringeren operativen Aufwand zu haben. Durch die Mikrosegmentierung wird die Durchsetzung von Richtlinien aus dem Netzwerk entfernt. Es definiert Richtlinien neu, ohne von IP-Adressen abhängig zu sein, erleichtert die Automatisierung von Richtlinien und bietet nützliche Visualisierungs- und Richtlinienschreibwerkzeuge.

Zusammengenommen kann ein Infrastrukturteam Sicherheitsmitarbeiter zufriedenstellen, die nach fein abgestimmten Richtlinien fragen müssen. Tatsächlich bietet die Mikrosegmentierung Infrastrukturteams die bestmögliche Nachricht: Sie können die Segmentierung aus der Netzwerkinfrastruktur entfernen.

Weitere Informationen finden Sie in unserem Whitepaper zur Entkopplung der Segmentierung von der Netzwerkinfrastruktur.