Ein zentralisierter Ansatz in der Cloud hat ebenso viele Limitierungen wie ein lokales Rechenzentrum.

Die viel zitierte Weissagung, wonach das Leben die Zuspätkommenden bestrafe, scheint auch in der IT-Netzwerk-Sicherheit ihre Wahrheit zu finden. Viele Unternehmen sahen sich mit Beginn der Pandemie gezwungen, von Büroarbeit auf Homeoffice umzustellen – oft mit lückenhafter Sicherheit die IT-Infrastruktur betreffend. Ein Fest für Hacker! Nun ist Fernarbeit nicht wirklich etwas Neues; neu war seinerzeit allerdings die Geschwindigkeit, die der bereits angelaufene Trend zum mobilen Arbeiten zwangsläufig aufgenommen hatte. So manche IT-Abteilung war in puncto IT-Security ziemlich überfordert, da eiligst ein zufriedenstellendes Sicherheitsniveau zu gewährleisten war.

Digitalisierte, dezentralisierte IT-Infrastrukturen stehen natürlich nicht erst seit Corona auf der Agenda: Die Realitäten des Marktes sowie der verteilten Unternehmensorganisation und Produktionsabläufe diktieren konkrete technische Vorgaben für einen sicheren Zugriff auf Applikationen, Dienste und Daten von überall her. Denn immer mehr Ressourcen befinden sich außerhalb physikalischer Rechenzentren oder Unternehmensservern.

Mit dem Homeoffice hat sich die Angriffsfläche für Unternehmen rapide vergrößert. Aus Sicht der Unternehmens-IT ist das Heimnetzwerk eines Mitarbeiters nicht sicherer als ein öffentlicher WLAN-Zugang und damit ebenso risikobehaftet. Herkömmliche Sicherheitslösungen können ein Gerät nicht schützen, wenn es sich außerhalb des Unternehmensnetzwerks befindet. Die deutlich gestiegene Cloud-Akzeptanz infolge der digitalen Transformation und einem daraus resultierenden erhöhten Bedarf an Online- und digitalen Diensten, hat zu weiteren Komplikationen geführt.

All dies hat gezeigt, dass herkömmliche IT-Sicherheitslösungen für den Zugriff von extern recht wirkungslos sind, da die Mitarbeitenden nicht mehr mit den Sicherheitsarchitekturen vor Ort verbunden sind, auf die sie sich früher verlassen konnten.

Vertrauen ist gut – eine Cloud-verwaltete Kontrolle ist besser

Das Konzept eines standortunabhängigen Arbeitens erfordert zwangsläufig eine ebenso neue Security-Strategie der Unternehmen, die auch einen effektiven Schutz vor Datenschutzverletzungen, etwa durch Ransomware-Attacken berücksichtigt. Die bloße Verlagerung der zentralisierten Security-Infrastruktur in die Cloud reicht nicht aus – die Cloud an sich muss Teil dieses neuen Ansatzes sein. Denn es braucht überall Sicherheitskontrollen, die sich über die Cloud verwalten und überwachen lassen. Wenn etwa Sales-Mitarbeitende von unterwegs SaaS-Anwendungen wie Office 365 nutzen und mit sensiblen Daten in der Cloud arbeiten, ist es extrem wichtig, dass Unternehmen eine Lösung anbieten können, die einen sicheren Zugriff auf ebensolche Dienste und Anwendungen gewährleistet.

Die in Unternehmen zunehmend akzeptierte Public Cloud spielt als zentraler Hub eine immer größere Rolle. Der Eintrittspunkt in diese IT-Architektur, der sogenannte Edge, wird dadurch zum entscheidenden Ort, um Aufgaben wie Verfügbarkeit und Sicherheit der Kommunikation zu leisten.

Randschauplätze mit steigender Bedeutung

Kriterium für das Erteilen des Zugriffs ist dabei nicht mehr die Zugehörigkeit zu einem Segment der IT-Infrastruktur, sondern die Identität der Benutzer. Am Ort der Zugriffsanfrage stehen in einer einzigen Konsole die notwendigen Werkzeuge bereit. Bekannt ist dieser Cloud-basierte Architektur-Ansatz als Secure Access Service Edge (SASE). SASE stellt Sicherheitsfunktionen überall dort bereit, wo sie benötigt werden: Büroarbeitsplätze oder Homeoffice, Coworking-Bereiche oder Niederlassungen, sogar an öffentlichen Orten wie Cafés. Zentralisierte Sicherheitslösungen können Remote-Arbeitende nur schwer schützen, und sie lassen sich nicht einfach in die Cloud verlagern, um dies zu erreichen. Während ein zentralisierter Ansatz in der Cloud den gesamten Datenverkehr über die Cloud abwickeln muss, sichert SASE Geräte und Netzwerke überall und bietet geräte- und standortunabhängig das gleiche Sicherheitsniveau.

Häufig haben Unternehmen einen lockeren Security-Ansatz, der mehrere Lösungen verschiedener Anbieter nutzt. Dies führt jedoch zu einer wenig organisierten Infrastruktur mit verschiedenen Komponenten, die jeweils für unterschiedliche Funktionen zuständig sind. SASE als eine integrierte Lösung hingegen konsolidiert die Prozesse und verringert damit die Komplexität sowie die Kosten.

Maximaler Schutz mit SD-WAN, FWaaS, ZTNA, SWG, XDR und CASB

Die eigentliche Herausforderung besteht nicht in der Wahl des Standorts einer Sicherheitslösung, sondern wie diese funktioniert. Es reicht nicht aus, den Sicherheitsstack aus dem Rechenzentrum herauszulösen und in die Cloud zu verlagern. Viel wirkungsvoller ist es, Standorte, IoT-Geräte, Menschen und die Cloud sicher und effizient miteinander zu verbinden. Darum geht es im Kern bei SASE.

Um ein effizientes Sicherheitsniveau mit SASE zu gewährleisten, sollten die folgenden Dienste integriert sein:

• SD-WAN (Software Defined Wide Area Network), um mehrere Büros kosteneffizient und ausfallssicher miteinander zu verbinden.
• Firewall-as-a-Service-Funktionen zum SD-WAN-Netzwerk, welche die Sicherheit des Unternehmensnetzwerks zusätzlich erhöhen.
• Zero Trust Network Access (ZTNA) ist eine weitere Schlüsselkomponente, die in die SASE-Lösung eingebunden sein sollte. ZTNA fügt eine zusätzliche Sicherheitsebene hinzu, indem Benutzern der Zugriff auf Daten oder Anwendungen erst nach einer Authentifizierung gewährt wird und sie erst dann über eine verschlüsselte Verbindung zugreifen können, standortunabhängig.
• Ein Secure Web-Gateway (SWG) verhindert, dass nicht autorisierter Datenverkehr in das Unternehmensnetzwerk gelangt. Dies verhindert, dass böswillige Benutzer eindringen, und schützt vor Viren und Malware, die sich im Netzwerk verbreiten könnten.
• Extended Detection and Response (XDR) bietet eine Bedrohungserkennung, die über das bloße Warten auf Vorfälle hinausgeht. Ein XDR bietet eine 24/7-Bedrohungserkennung und -reaktion, so dass Probleme sofort behoben werden, sobald sie erkannt sind.
• Ein Cloud Access Security Broker (CASB), der Benutzern auf Basis ihrer Berechtigungen sicheren Zugriff auf Cloud-Dienste gewährt.

Ein SASE-Konzept, das mehrere Dienste in seiner Architektur kombiniert, indem es Benutzer, Standorte und Geräte miteinander verbindet, ermöglicht eine umfassende, ganzheitliche Cloud-basierte Sicherheitslösung. Im Gegensatz zu zentralisierten On-Premises-Lösungen kann diese alle Herausforderungen einer zunehmenden Remote- und Hybridarbeit annehmen und ein hohes Maß an Sicherheit gewährleisten.

Stefan Schachinger, Produktmanager Network Security – IoT/OT/ICS bei Barracuda