Wie Ihr Netzwerk zum „Bermuda-Dreieck“ wurde und wie Sie es beheben können

„Wo ist Ihre App? Wo sind Ihre Daten?“

Wenn Sie wissen mussten, wo sich Ihre Anwendungen oder Daten befanden, war die Antwort lange Zeit klar: Sie befanden sich immer entweder vor Ort oder in einer Zweigstelle. Überall und fast unabhängig von der Größe der Organisation waren die Infrastrukturen innerhalb definierter Grenzen enthalten und sichtbar – es gab ein Rechenzentrum, ein Netzwerk, eine Niederlassung, einen Benutzer. Selbst wenn sich einige Benutzer auf Reisen oder bei der Arbeit von zu Hause gelegentlich per VPN verbunden haben, hatte dies keine wirklichen Auswirkungen auf die Netzwerkleistung und führte auch nicht zu unnötigen Risiken. Das Leben war ziemlich gut.

Dann kam die Cloud und die Antwort auf die Frage „Wo ist Ihre App? Wo sind Ihre Daten?“ wurde etwas unklarer als zuvor. Eine Anwendung befindet sich möglicherweise noch im Rechenzentrum. Aber manchmal war es in der Cloud. Manchmal handelte es sich um Software-as-a-Service (SaaS) oder Infrastructure-as-a-Service (IaaS). Doch das heutige Mysterium wurde für Netzwerkteams erst vor etwa einem Jahr furchteinflößend.

Als COVID-19 im März 2020 ausbrach, verließen praktisch alle Benutzer über Nacht ihre Räumlichkeiten, um von zu Hause aus zu arbeiten. Da sich nicht die Mehrheit der Benutzer innerhalb der Grenzen eines lokalen Netzwerks befindet, ist die Frage, wo sich Apps und Daten befinden, plötzlich noch schwieriger zu beantworten.

Der Exodus der COVID-Benutzer war wie eine explodierende Bombe – wo auch immer jeder dieser Benutzer landete (wie ein Granatsplitter), wurde im Wesentlichen zum Rand des neuen Netzwerkperimeters. Und die Netzwerkteams mussten sofort eine völlig neue Welt von Problemen lösen – von Konnektivität über Leistung bis hin zu Sicherheit – innerhalb dessen, was wir ihr neues Netzwerk-Bermuda-Dreieck der Unsicherheit nennen könnten: Rechenzentrum, Cloud und Benutzer. In diesem Dreieck scheint eine Menge zu fehlen!

Triage im Dreieck

Stoppen Sie mich, wenn Sie diesen (oder einen ähnlichen) Witz schon einmal gehört haben:

Ein Benutzer, ein Entwickler und ein Netzwerkingenieur gehen in eine Bar und jemand schreit: „Hey, hier ist alles langsam!“ Und die Kontrolle bleibt bei der Netzwerktechnik.

Der Satz „Es ist langsam“ ist der Fluch jedes Netzwerkers. Doch die Geduld der Menschen gegenüber der Technik ist sehr gering. Wenn das Laden einer Webseite länger als ein paar Sekunden dauert, wechseln die Leute zur nächsten Seite. Die Kluft entsteht teilweise durch die unterschiedlichen Erwartungen hinsichtlich dessen, was langsam und was schnell ist. Doch im durch COVID entstandenen Netzwerk-Bermudadreieck ist das Problem sogar noch gravierender als die Subjektivität der Benutzer und die Geschwindigkeitswahrnehmung. Das Netzwerkteam kann nicht wirklich wissen, wie die Leistung eines bestimmten Benutzers ist, da diese nun von der Funktion jedes einzelnen ISPs abhängt.

Wie quantifizieren Sie Probleme mit der Netzwerkleistung, wenn Sie mit geografischen Gegebenheiten und Lastenausgleichsmodulen zu kämpfen haben und jeder redundante Pfad den Footprint des Netzwerks exponentiell vergrößert – ganz zu schweigen vom Internet als Backbone und der großen Unbekannten der SaaS-Anbieter? Und dabei werden noch nicht einmal die individuellen Umstände der Telearbeiter berücksichtigt. Ein WLAN-Router im 2,4-GHz-Spektrum wird zu nahe an der Mikrowelle zu Hause platziert. Der Teenager eines Benutzers schließt unwissentlich eine Xbox an das Unternehmensnetzwerk an, um eine schnellere Verbindung zu erhalten. Was werden Sie als Netzwerk-Mensch tun? In jedem Haus eine Sonde anbringen? Sogar ein eingefleischter Wireshark-Typ wie ich weiß, dass das eine unmögliche Aufgabe ist.

Beim Netzwerk Bermuda-Dreieck geht es nicht nur um das Unbekannte, sondern auch um das Unkontrollierbare. Ohne definierte Grenzen wird das Netzwerk amorph – es kann sich überall ausbreiten. Und in dieser Welt steht Sicherheit an erster Stelle. Stellen Sie sich ein riesiges Sieb vor, bei dem jedes Loch einen möglichen Weg zum Abfließen von Daten darstellt. Jetzt multiplizieren Sie das mit (mindestens) 100! 

Vom Chaos zur sicheren Konnektivität

In jeder Krise ist das Überleben das oberste Ziel. Daher griffen Netzwerkteams im Frühjahr 2020 im Triagemodus auf das ihnen zur Verfügung stehende Tool zurück, um die massive Dezentralisierung ihrer Belegschaften zu bewältigen. VPN wäre ihre erste Verteidigungslinie für sichere Verbindungen, die den Geschäftsbetrieb aufrechterhalten könnten.

Die Aufgabe eines VPN ist jedoch die eines Staubsaugers: Es saugt alles zurück zum Rechenzentrum und lässt es dann durch den Sicherheits-Stack vor Ort laufen. Dazu gehören normalerweise alle Firewalls, Proxys, Intrusion Prevention (IPS), Detection (IDS) und andere Lösungen, die den Netzwerkverkehr auf Bedrohungen filtern. Leider ist VPN nicht für diese Größenordnung ausgelegt. Es war eine großartige Lösung für die Bedienung mobiler Benutzer oder wenn schlechtes Wetter herrschte und die Benutzer von zu Hause aus arbeiten mussten – also eher die Ausnahme als die Regel. Das Backhauling des gesamten Datenverkehrs über das Rechenzentrum funktioniert nicht, wenn Sie 10.000 oder 200.000 Endpunkte haben. Dies führt zu enormen Engpässen beim VPN-Konzentrator und die Sicherheit wird zu einem unmöglichen Engpass. Und wenn Ihr Unternehmen einen Cloud-Sicherheitsanbieter auswählt, möchten Sie diesen Albtraum von Traffic-Backhauling und Engpässen innerhalb der Cloud sicher nicht noch einmal erleben. Wie bereits in einem anderen aktuellen Blog mit dem Titel „ Hairpinning: Das schmutzige kleine Geheimnis der meisten Cloud-Sicherheitsanbieter“ erörtert, ist diese Praxis bei vielen Anbietern leider gängige Praxis.

Auch aus Sicherheitsgründen ist die Verwendung eines VPN seit langem ein Kampf. Die Sicherheitsabteilung möchte, dass jeder ein VPN verwendet, damit sie alle Aktivitäten der Benutzer sehen und durch den zentralen Sicherheits-Stack leiten kann. Doch als die COVID-19-Pandemie zuschlug und die Mitarbeiter ins Homeoffice gingen, wurde den Teams schnell klar, dass insbesondere das hohe Datenvolumen bei Zoom und WebEx – das manchmal mehrere Sicherheits-Stacks durchlief – die Lösung nahezu unbrauchbar machte. An den wichtigsten Ein- und Ausgängen war das Netz völlig überlastet. Es dauerte nicht lange, bis Unternehmen – sogar große Finanzinstitute – beschlossen, dass sie einen Kompromiss brauchten, um die Netzwerküberlastung zu beseitigen.

Betreten Sie den geteilten Tunnel

Der Kompromiss, den die Unternehmen eingegangen sind, war „Split Tunneling“. Während für den geschäftlichen Zugriff vor Ort weiterhin VPN verwendet würde, würde der Zoom-Verkehr über das öffentliche Internet geleitet, um die VPN-Überlastung zu verringern. Sie haben jedoch aus der Not heraus einige Vorsicht in den Wind geschlagen, denn die Entscheidung, den Tunnel zu teilen, hatte unmittelbar zwei Auswirkungen:

• Der Schutz des Sicherheits-Stacks wurde umgangen, wodurch Teile der Organisation potenziell externen Cyber-Bedrohungen oder Datenlecks ausgesetzt waren.
• Darüber hinaus öffnet es eine Büchse der Pandora, um Split Tunneling für andere Anwendungen zu nutzen. Nachdem Zoom für die direkte Internetverbindung zugelassen wurde, fragte sich wahrscheinlich jeder Unternehmensleiter: Was ist mit Office 365?

Nehmen wir an, Sie verwenden Microsoft OneDrive. Kehren Sie zu der grundlegenden Frage zurück: Wo sind Ihre Daten? Irgendwo da draußen. Es befindet sich weder im Rechenzentrum noch innerhalb der Grenzen des Sicherheitsstapels. Wo ist Ihr Benutzer? Auch da draußen.

Warum lassen Sie sie also hereinkommen, nur um gleich wieder hinauszugehen? Vor allem, wenn wir uns alle einig sind, dass der Transport sicher ist? Die von TLS-Protokollen für die Kommunikation untereinander geöffneten Kanäle sind nachweislich sicher. Das Militär nutzt es. Das Pentagon nutzt es. Wenn also die Verbindung zwischen den Daten und dem Benutzer sicher ist, warum sollten wir uns dann Sorgen machen, wenn wir Office 365 direkt auf das Internet zugreifen lassen? Es ist nur dann ein Problem, wenn die Daten von vornherein irgendwie infiziert sind.

Neubewertung der Lage unter Berücksichtigung der Sicherheit

Die Möglichkeiten, die improvisierte Netzwerksysteme bieten, sind auch versierten Cyberkriminellen nicht entgangen. Wie es scheint, taucht mindestens ein alter Feind wieder auf, um unsere aktuellen Sicherheitslücken auszunutzen: Bedrohungen auf Basis von Visual Basic-Makros. Seit Beginn von COVID hat unser Forschungsteam hier bei Netskope festgestellt, dass die Zahl der mit makrobasierten Viren und Trojanern infizierten Microsoft Office-Dokumente um das Neunfache zugenommen hat.

Wie bewerten wir diese Herausforderungen und beziehen sie auf den modernen Sicherheits-Stack?

Das Erste, was Benutzer oft sagen, ist: „Dafür habe ich ja ein Antivirenprogramm.“ Der Zweck eines Antivirus (AV) besteht jedoch nur darin, den Benutzer zu schützen. Für die Daten, an denen sie in der Cloud zusammenarbeiten, hat dies keine Auswirkungen – auch nicht, wenn eine Datei in einem Browser geöffnet wird. Wenn die Daten nicht lokal auf dem Gerät selbst gespeichert sind (z. B. Dateien in OneDrive oder Google Drive), kann AV nicht helfen. Unsere Berichte zeigen erneut, dass 61 % der Malware über die Cloud bereitgestellt wird.

Der nächste Schritt im Versuch, dieses Bermudadreieck zu zähmen, besteht darin, sicherzustellen, dass unser Kanal – unsere sichere Pipeline – auch nach Bedrohungen sucht. Wir müssen diese direkte Verbindung zwischen dem Benutzer und den Daten herstellen und diese Inline-Möglichkeit nutzen, um nach Bedrohungen zu suchen. Sie gehen sowieso dorthin, um auf Ihre Daten zuzugreifen – da können Sie sie auch gleich von jemandem bereinigen lassen. Stellen Sie sich dies als einen integrierten netzwerkbasierten Malware-Scan vor.  Dies bedeutet eindeutig, dass das Netzwerk eine aktive und integrale Rolle in der gesamten Sicherheitslage spielt.

Entladen Sie mit Vertrauen

Im Jahr 2020 haben Netzwerkteams aus purer Überlebensnotwendigkeit den Zoom-Verkehr auf direkte Split-Tunnel-Verbindungen verlagert. Doch was wäre, wenn Sie beruhigt auslagern könnten – in dem Wissen, dass Sie die Vorteile einer Direktverbindung ohne Abstriche bei der Sicherheit nutzen könnten? Dies ist nicht nur hinsichtlich der Leistung besser für den Benutzer, sondern auch etwas, das jeder Netzwerkmensch im Grunde versteht: Je näher man seinem Ziel ist, desto schneller kommt man dort an.

Die Lage ist stabiler als vor einem Jahr, als die Hölle losbrach. Lassen Sie uns nun die Sicherheit wiederherstellen, ohne den Wert der erreichten Ziele zu beeinträchtigen. Wir können nicht zum alten System zurückkehren und alle durch den Sicherheits-Stack zurückleiten, was zu massiven Leistungsengpässen führt und das Benutzererlebnis beeinträchtigt. Ihre Benutzer haben die Freiheit gekostet und werden nie wieder zurückgehen.

Die Realität des Bermudadreiecks, der sich jedes Netzwerkteam derzeit stellen muss, besteht darin, dass Ihre klar definierte Netzwerkgrenze explodiert ist. Die alte Welt ist verschwunden und wird nicht wiederkehren. Was also werden Sie in dieser neuen Welt tun, um Ihr Innerstes zu schützen? Sie benötigen eine Lösung, die nah, schnell und sicher ist und Inline-Schutz zwischen Daten und Benutzern bietet, unabhängig davon, wo diese sich befinden. Schließlich ist das Netzwerk der Klebstoff, der alles zusammenhält. Warum also nicht das Netzwerk nutzen, um Risiken zu verringern, Kosten zu senken und – am wichtigsten – Reibungsverluste zu reduzieren? Reibungslose Sicherheit … wer würde sich dafür nicht anmelden wollen?