Nano-Segmentierung℠: Was hat es mit der Aufregung auf sich?

Auf der RSA-Konferenz in der vergangenen Woche stellte Illumio die Nanosegmentierung vor, unsere neueste Innovation zur Sicherung von mehrschichtigen Anwendungen, die in Rechenzentren und Clouds ausgeführt werden. Die Illumio Adaptive Security Platform (ASP)^TM erweitert nun die Anwendungssegmentierung von der Granularität einzelner Workloads auf Prozesse, die innerhalb der Workloads ausgeführt werden.

RSA-Teilnehmer, die sich die Illumio-Theaterpräsentationen ansahen, erkannten die Leistungsfähigkeit der Nanosegmentierung, um die Gefährdung von Unternehmen durch Bedrohungen drastisch zu reduzieren und den "Explosionsradius" von Angriffen einzuschränken. Wir haben gezeigt, wie Nano-Segmentierung einen kompromittierten Server mit einem einfachen Drag-and-Drop-Vorgang unter Quarantäne stellen kann – eine Branchenneuheit. Die Segmentierung des Rechenzentrums zur Trennung von Anwendungen (Entwicklung, Test, Produktion usw.) oder zur Isolierung von Anwendungen (z. B. für PCI-Compliance ) ist erforderlich, um die Sicherheit für dynamische Computing-Umgebungen zu gewährleisten, die über Rechenzentren und Clouds verteilt sind. Aber nicht alle Segmentierungen sind gleich. Lassen Sie mich das erklären.

Nicht alle Segmentierungen sind gleich.

Die meisten von uns kennen den Begriff "Mikrosegmentierung", der vor einigen Jahren von SDN-Anbietern eingeführt wurde. Die Mikrosegmentierung wurde als eine Möglichkeit für Unternehmen beworben, Anwendungen zu isolieren, die in virtuellen Umgebungen ausgeführt werden. Aktuelle Lösungen für die Mikrosegmentierung sind jedoch an eine Reihe von Bedingungen geknüpft: Sie sind entweder an den Hypervisor, Netzwerkkonstrukte (VLANs, Subnetze, Sicherheitszonen usw.) oder andere Hardware (Switches, Router usw.) gebunden. Die meisten Lösungen berücksichtigen nicht die Segmentierung von Anwendungen in der Cloud oder von Anwendungen, die Bare-Metal-Server enthalten. Das Ziel der Sicherheit durch Anwendungssegmentierung ist gut gemeint, aber bestehende Lösungen greifen zu kurz.

Hier kommt die Nanosegmentierung ins Spiel  

Der erste Schritt zum Erreichen einer möglichst granularen Segmentierung für Rechenzentrumsanwendungen besteht darin, die Angriffsfläche auf einzelne Recheneinheiten (VM oder Bare-Metal-Server) in Rechenzentren und Clouds zu reduzieren. Illumio ASP tut dies, indem es dynamisch präzise Sicherheitsregeln für ein- und ausgehende Workloads programmiert. Auf diese Weise kann die Plattform einen adaptiven Perimeter um jede Computing-Instanz (in jedem Rechenzentrum oder jeder Cloud) erstellen, wodurch effektiv ein Segment von einer Instanz erstellt wird. In Kombination mit dem dynamischen Whitelist-Richtlinienmodell Illumio ASP ermöglicht es Administratoren, zulässige Workload-Interaktionen für Anwendungen ohne Abhängigkeiten vom Netzwerk vollständig zu spezifizieren. Mit der jüngsten Produkteinführung ging Illumio noch einen Schritt weiter, indem es die Segmentierung mehrerer Anwendungen bis hin zu Prozessen auf einem einzigen Host ermöglichte. Beispielsweise könnten zwei Instanzen des Apache-Prozesses für einen einzelnen Workload über zwei verschiedene Anwendungen hinweg segmentiert werden.

Was hat es mit dem Namen auf sich?

Haben wir uns mit einem Namen wie Nano-Segmentierung ein wenig Marketing-Überlegenheit gegönnt? Weit gefehlt – es ist absichtlich und wird durch Beweise gestützt. Die Nano-Segmentierung ermöglicht, wie der Name schon sagt, Unternehmen, Anwendungen so granular wie möglich zu segmentieren. Wir wollten, dass Unternehmen wissen, dass es einen Weg gibt, "ihren Kuchen zu haben und ihn auch zu essen" – sie können Anwendungen über Rechenzentren und Clouds hinweg segmentieren, während die Sicherheit intakt bleibt. Noch wichtiger ist, dass die Funktion die Anwendungssegmentierung in jeder Computerumgebung gleichermaßen effektiv macht.

Und noch etwas: Der Begriff "Nano" verleiht dem Illumio-Grundsatz der netzwerkunabhängigen Sicherheit Glaubwürdigkeit. Es ist ein Akronym für "Never Again Network-Oriented".