MPC Service

MPC Newsletter | +49 6221 90514-100

  • Consulting
    • Strategieberatung
    • Benchmarking / Kostenoptimierung
    • Technisches Design / Redesign
    • Ausschreibungsmanagement
  • Services
    • Vertragsmanagement
    • Mobile LifeCycle Management
      • MDM
  • Solutions
    • Festnetz
      • Festnetztelefonie
        • Primärmultiplexanschluss
      • All-IP / End of ISDN
        • Cloud Telefonanlage
        • Sip Trunk
      • TK-Systeme / Unified Communications
    • Daten
      • Internetzugang
        • Standleitung
        • Glasfaser
        • SDSL
        • Richtfunk
      • Standortvernetzung
        • MPLS
        • VPLS
        • SD-WAN
        • Ethernet Connect
        • Dark Fiber
    • Mobilfunk
      • Mobile Kommunikation
        • Mobilfunk Vergleich
        • Mobile Device Management
        • Mobilfunkmanagement
        • 5G
    • IT
      • Cloud- / RZ- Services
        • Rechenzentrum
      • IT-Security
  • Über uns
  • Aktuelles
  • Referenzen
  • Karriere
  • Partner
  • Kontakt

SD-WAN Security-Architekturen

24. Oktober 2019 von mpcservice

SD-WAN Teil 3: Wir vergleichen verschiedene SD-WAN Security-Architekturen für Unternehmen

SD-WAN Security-Architekturen im Vergleich

Bei der Planung zur Einführung eines SD-WANs gehört die Neuausrichtung der Netzwerk-Security, oder zumindest deren Überprüfung, mit auf die Liste der Projektziele. Ein SD-WAN ermöglicht mehrere Security-Architekturen. Auch bei der Umsetzung eines Zero Trust Security-Modells ist SD-WAN nützlich. Neben der Chance, die Netzwerk-Security auf ein höheres Level zu heben, birgt ein SD-WAN natürlich auch Risiken. Eine Änderung der SD-WAN Security-Architekturen bedingt in der Regel ein neues Betriebsmodell und es entsteht eine andere Kostenstruktur.

Welche SD-WAN Security-Architekturen sind möglich?

Ein SD-WAN unterstützt auf Grundlage seiner hochentwickelten Routingfähigkeiten verschiedene Architekturen, wie die Netzwerk-Security aufgesetzt werden kann. Auch eine Mischung verschiedener SD-WAN Security-Architekturen ist möglich. 

1. Zentralisierte Security:

Der gesamte Datenverkehr, der das Unternehmensnetzwerk verlässt, wird über ein zentrales Security-Gateway, das ein vollständiges Set an Security-Funktionen bereitstellt, geleitet. Dieser klassische, gut managebare Ansatz aus den vergangenen Jahrzehnten ist ineffizient in Verbindung mit modernen SaaS-Applikationen, denn er erschwert die Einbindung mobiler Arbeitskräfte. Für regionale, geografisch kompakte Unternehmensnetze kommt eine zentralisierte Security allerdings weiterhin in Frage.

2. Regionalisierte Security:

Regionale „Communication Hubs“, vorzugsweise in Carrier-neutralen Colocation Data Centers, ausgestattet mit NG-Firewall und vollständigem Security-Stack. An die Communication Hubs werden die Unternehmensstandorte angeschlossen, um sowohl nach intern die eigenen Data Center und Unternehmensstandorte, sowie nach extern das Internet und die Clouds zu erreichen. Die Communication Hubs werden untereinander mit hoher Bandbreite und niedriger Latenz zu einem hochperformanten Core-Netzwerk verbunden. Bei der Analyse auf Eignung einer regionalen Security-Architektur müssen

  • die geografische Lage bzw. Bündelung der Standorte
  • unterschiedliche Sprachanforderungen
  • sowie spezielle, lokale Netzwerk-Security Anforderungen des Unternehmens

kritisch betrachtet werden.

3. Verteilte Security:

An jedem Unternehmensstandort befindet sich eine Firewall, die einen lokalen Internet-Breakout ermöglicht. Split-Tunneling auf den SD-WAN Edge-Devices ermöglicht die Aufteilung des externen und internen Datenverkehrs. Das Offloading des Internet-Traffics am Standort reduziert die Last auf dem WAN und damit einen Teil der Mehrkosten für die lokale Firewall. Optimal sind beim verteilten Ansatz

  • die mögliche Granularität in der Umsetzung der Netzwerk-Security Anforderungen
  • die Performance im Zugriff auf Cloud-Anwendungen

Die Nachteile eines verteilten Ansatzes sind

  • das Vorhalten eines kompletten Netzwerk-Security Stacks an jedem Standort erhöht die Kosten gegenüber einem regionalisierten Ansatz.
  • der Aufwand für das Management vieler zusätzlicher Instanzen von gegebenenfalls unterschiedlichen Herstellern ist kritisch zu beleuchten.

4. Cloud-based Security:

Der externe Traffic wird zu einem Cloud Security-Gateway geroutet. Cloud-based Security entspricht in wesentlichen Eigenschaften dem regionalisierten Security-Ansatz, wird aber auf einem überschaubaren Markt meist als Dienstleistung angeboten.

Cloud-based Security Dienstleister bieten

  • hochentwickelte, qualitativ und quantitativ skalierbare Lösungen
  • einfache zu managen
  • gute Anbindungen an Cloud- und SaaS-Anbieter

Nachteilig können sich folgende Eigenschaften auswirken:

  • Standardisierung und Paketierung der einzelnen Services erschweren individuelle Anpassungen
  • Sprachanpassung
  • Geografische Lage der Cloud-Standorte

5. Software-defined Security:

Virtualisierte Security-Instanzen werden auf universellen Edge-Devices (uCPEs) mit SD-WAN Instanzen gekoppelt. Dies erfolgt per Service Function Chaining (SFC) verschiedener Virtueller Network Functions (VNFs).

Auf der Haben-Seite von Software-defined Security stehen positive Eigenschaften wie:

  • Schnelles Aufsetzen einer VNF möglich
  • Virtuelle Instanzen können auch in der IaaS-Cloud (AWS, Azure, Google) installiert werden. Dies ermöglicht die Einbindung von Cloud-Workloads in das Security-Konzept.

Kritisch zu sehen ist:

  • Das Network Service Function Chaining ist noch von Problemen mit Skalierbarkeit, Redundanz und suboptimaler Ressourcenausnutzung behaftet.
  • Die Klärung der operativen Zuständigkeiten für die uCPEs zwischen eigener IT und verschiedenen Dienstleistern, sowie die logische und physikalische Zugriffsregelung.

Welche Chancen und Risiken birgt SD-WAN für die Netzwerk-Security?

SD-WAN bringt gegenüber klassischem WAN Eigenschaften ins Spiel, die im Zusammenhang mit Netzwerk-Security von wesentlicher Bedeutung sind:

  • “Eingebaute” Netzwerk-Security Features auf den Edge-Devices:
    Sehr wichtig ist es für Unternehmen, im Vorfeld zu verstehen, über welche Netzwerk-Security Features eine SD-WAN Lösung verfügt und welcher Security-Level damit erreicht werden kann. In vielen Fällen muss die SD-WAN Lösung um Security-Funktionen auf höheren Layern ergänzt werden, um die Security-Policy des Unternehmens umsetzen zu können.
  • Erkennung von Applikationen und Application-based Routing:
    Weil ein erheblicher Teil des Datentraffics (heute ca. 50%, Tendenz steigend) bereits verschlüsselt ist, muss eine SD-WAN Lösung in der Lage sein, zumindest die Anwendung im SSL-Traffic zu erkennen – und das schnell und effizient. Nicht alle Anwendungen müssen über eine NG-Firewall mit vollständigem Netzwerk-Security Stack aufwändig inspiziert werden.

Eine mögliche Differenzierung von SD-WAN Lösungen ergibt sich aus der Herausforderung, in dem verschlüsselten Traffic rechtzeitig (mit dem ersten Paket) die Applikation zu erkennen und granulare Routingentscheidungen für den Internet Breakout zu treffen, zum Beispiel:

  1. „vertrauenswürdiger“ SaaS-Traffic (Office365, Salesforce) direkt ins Internet
  2. Applikationen ohne direkten Bezug zur Arbeit (Facebook, Twitter, Youtube) zu einem Cloud-based Security Gateway wie z. B. Zscaler
  3. Unbekannter, verdächtiger oder schädlicher Traffic zur regionalen oder zentralen NG-Firewall
  • Definition und Management von Netzwerk-Richtlinien an zentraler Stelle:
    Einer der Haupt-Treiber für SD-WAN ist die Vereinheitlichung und Zentralisierung des Managements über WAN und Cloud. Dies sollte jedoch auch für die Netzwerk-Security gelten und hier gibt es noch erhebliche Unterschiede in den Angeboten. Ein Vorteil, den klassische NG-Firewall Anbieter erkannt haben und in aktuellen SD-WAN Produkten adressieren. Mit Einführung eines SD-WANs ergibt sich die Chance, die Netzwerk- und die Security-Operations besser zu verzahnen oder ganz zu vereinheitlichen.

Zero Trust Security-Modell

Mikrosegmentierung oder Zero Trust Networking entwickelt sich schnell zu einer Best Practice im Rechenzentrum. Mit Zero Trust existiert ein Modell, das sich fundamental von der klassischen, am Perimeter orientierten Praxis, unterscheidet. Zero Trust unterstützt moderne Unternehmen, deren Ressourcen zunehmend verteilt sind und sich auch außerhalb des Unternehmens-Perimeters befinden können. Dabei werden jegliche „vertraute“ Zonen eliminiert. Die Auswirkungen eines erfolgreichen Angriffs werden durch die Mikrosegmentierung minimiert.

Ein SD-WAN kann hier die Sicherheitslage eines Unternehmens verbessern, indem es die Traffic-Segmentierung über das WAN und in die Niederlassung ausdehnt. So ist zu erwarten, dass z. B. Filialisten SD-WAN nutzen werden, um den Datenverkehr über das WAN in verschiedene Segmente zu unterteilen: für PCI-Kreditkartenanwendungen, IoT, interne und externe Anwendungen.

Voraussetzung für ein Zero Trust Konzept ist, dass die Transaktionsabläufe, wie auf die zu schützende Oberfläche des Unternehmens (Daten, Applikationen, Assets, Services) zugegriffen wird, einmal dokumentiert sind. SD-WAN Edge-Devices können dann den Applikations-Datenverkehr, der sich über das Netzwerk bewegt, an die richtigen Instanzen für eine ordnungsgemäße Kontrolle zuzuführen.

Bei der Durchsetzung einer Zero Trust Policy, welche Ressourcen wie auf andere zugreifen dürfen, vermag eine geeignete SD-WAN Lösung mit granularen Anwendungsrichtlinien dabei helfen, dass nur bekannter, zulässiger Datenverkehr oder legitime Anwendungskommunikation möglich ist.

Sie haben Fragen zur Netzwerk-Security und welche SD-WAN Security-Architekturen sich für Ihr Firmennetzwerk eignen? Dann kontaktieren Sie uns. Wir helfen Ihnen gerne weiter und beraten Sie neutral und unabhängig.

Kategorie: Aktuelles

Weitere Artikel, die Sie interessieren könnten

Glasfaser Inhouse Verkabelung

13. März 2023

Warum ist eine Glasfaser Inhouse Verkabelung für Unternehmen essentiell? Im heutigen digitalen Zeitalter ist der Zugang zu schnellem und zuverlässigem Internet unerlässlich für Unternehmen, um
mehr  

Mobilfunk: Total Cost of Ownership (TCO)

8. Februar 2023

Was sind die Gesamtkosten von Mobilgeräten im Unternehmen? Bei der Anschaffung und dem Betrieb von Mobilitätslösungen ist vielen Unternehmen nicht bewusst, dass neben den Kosten für Hardware und
mehr  

MPC Service

MPC ist der führende Spezialist für Carrierleistungen - die Dienste und Produkte von Netzbetreibern. Festnetz, Mobilfunk, Internet oder Standortvernetzung z.B. via MPLS VPN - wir kennen alle Anbieter, Produkte und Preise. Wir vergleichen, beraten und verhandeln hart. Wir unterstützen Sie regional, national und international. Mit 25 Jahren Markterfahrung!

Kontakt

MPC Service GmbH
Hebelstraße 22 B
D-69115 Heidelberg

Tel.: +49 6221 90514-100
Fax: +49 6221 90514-124
info@mpcservice.com

Social Media

  • Newsletter
  • Datenschutz
  • Impressum
  • Sitemap

Gerne gelesen

  • Standleitung Preise
  • DeutschlandLAN Connect IP
  • MPLS Kosten – zahlen Sie zu viel?
  • Company Connect
  • Richtfunk Internet
Kontaktieren Sie uns +49 6221 90514-100 info@mpcservice.com