Microsegmentation ist eine Netzwerksicherheitslösung, die Workloads isoliert und jeden einzelnen mithilfe richtlinienbasierter Sicherheit auf Anwendungsebene separat steuert. Diese Softwarelösungen nutzen Netzwerkvirtualisierung , um verschiedene Bereiche von Rechenzentren und Cloud-Workloads zu teilen und zu isolieren und sie anschließend separat bereitzustellen und zu schützen.
Neben der Verkürzung von Zeiten für Transparenz, Erkennung und Behebung unterstützt dies Unternehmen dabei, ihre Ressourcen und Workloads besser zu visualisieren. Außerdem verhindert es, dass sich Angreifer im Netzwerk ausbreiten. Unternehmen nutzen Microsegmentation, um die Netzwerk-Transparenz und den Schutz bestimmter Workloads zu verbessern.
Durch die Implementierung von Microsegmentation in der digitalen Umgebung können Netzwerksicherheitsingenieure mithilfe richtlinienbasierter Sicherheitskontrollen die Angriffsfläche reduzieren. Diese Kontrollen schützen Anwendungen und Workloads, selbst wenn Angreifer versuchen, die Perimeterabwehr zu durchdringen.
In modernen Netzwerken wird Microsegmentation empfohlen, um eine Zero-Trust-Sicherheit zu erreichen. Obwohl die Microsegmentation-Technologie für die Sicherheit auf Anwendungsebene eingesetzt wird, konzentrieren sich die Tools hauptsächlich auf die Erstellung benutzerdefinierter Sandboxes, Sicherheitsrichtlinien und isolierter Workloads.
Mehr lesen: Was ist Microsegmentation?
Die besten Microsegmentation-Softwarelösungen
Microsegmentation kann das Bedrohungsrisiko eines Unternehmens deutlich senken, die Widerstandsfähigkeit gegen Angriffe verbessern und Produktivität sowie Rentabilität unterstützen, wenn für jedes Segment unabhängige Sicherheitsmaßnahmen entwickelt werden.
Darüber hinaus stellt Microsegmentation sicher, dass kritische Informationen nur die Bereiche Ihres Unternehmens erreichen, die sie benötigen. Dadurch wird der Datenverkehr reduziert und die Effizienz erhöht.
Die folgenden Softwarelösungen bieten neben weiteren Funktionen auch Microsegmentation:
Prisma Cloud von Palo Alto
Prisma Cloud ist ein umfassendes, cloudnatives Sicherheitstool, das während des gesamten Entwicklungslebenszyklus Compliance-Unterstützung für Daten, Anwendungen, Infrastruktur und cloudnative Workloads bietet. Es schützt Hybrid- und Multi-Cloud-Umgebungen über eine einzige Benutzeroberfläche (UI) mithilfe eines einheitlichen Agenten-Frameworks.
Netzwerksicherheitsingenieure können cloudnative Anwendungen mit Prisma Cloud schützen. Die für große Unternehmen entwickelte Lösung bietet während des gesamten Entwicklungslebenszyklus in jeder Cloud-Umgebung umfassende Sicherheits- und Compliance-Abdeckung.
Wichtige Funktionen
- Compliance über öffentliche Clouds hinweg gewährleisten, Sicherheitsstatus aufrechterhalten, Bedrohungen erkennen und beseitigen
- Container und Hosts während des gesamten Anwendungslebenszyklus schützen
- Einfaches, effektives und benutzerfreundliches Berechtigungssystem
- Starke Identitätssicherheit und -durchsetzung in Cloud-Umgebungen
Vorteile
- Schnelle und einfache Einrichtung
- Hervorragender Kundensupport
- Unterstützt die Echtzeitüberwachung von Multi-Cloud-Umgebungen
Nachteile
- Bei der Kontrolle von Identitäts- und Zugriffsverwaltung (IAM) besteht Verbesserungsbedarf
- Richtlinien für Container-Firewalls müssen verbessert werden
VMware NSX
Eine Full-Stack-Plattform für Netzwerk- und Sicherheitsvirtualisierung namens VMware NSX ermöglicht die Erstellung eines virtuellen Cloud-Netzwerks.
Die von NSX bereitgestellte softwaredefinierte Netzwerkmethode kann für Cloud-Frameworks, Rechenzentren und Anwendungsstrukturen eingesetzt werden. Innerhalb ihres Rechenzentrums, ihrer Multi-Cloud-Infrastruktur und ihrer Containerumgebung können Benutzer Anwendungen verbinden und absichern.
Die Plattform bietet eine leistungsstarke automatisierte Bereitstellung und damit dynamische Flexibilität und Skalierbarkeit, ohne Netzwerkgeschwindigkeit oder Agilität zu beeinträchtigen.
VMware NSX ist im Großkundensegment weithin bekannt und ermöglicht die schnelle und sichere Bereitstellung von Anwendungen. Unabhängig davon, wo Ihre Anwendungen ausgeführt werden, können diese Sicherheitsrichtlinien öffentliche und private Cloud-Umgebungen über eine einzige Oberfläche steuern und verwalten.
Benutzer können Sicherheitskontrollen anpassen, und IDS/IPS kann zum Blockieren lateraler Bedrohungen eingesetzt werden. Kunden können außerdem Kosten sparen, indem sie Netzwerk- und Sicherheitsaufgaben auf einer einheitlichen Plattform zusammenführen.
Wichtige Funktionen
- VMware NSX ALB (Advanced Load Balancer) bietet Load-Balancing und Anwendungssicherheit auf Unternehmensebene für Multi-Cloud-Umgebungen
- Eine Layer-3-Fabric so umwandeln, dass logische Layer-2-Overlay-Erweiterungen innerhalb und außerhalb der Rechenzentrumsgrenzen unterstützt werden
- Unterstützt statische und dynamische Routingprotokolle einschließlich IPv6-Unterstützung
- Vollständige Netzwerkadressübersetzung (NAT) und Edge-Firewall-Funktionen in jeder VRF (Virtual Routing and Forwarding) am NSX-Tier-0-Gateway
- Vollständige Isolation der Datenebene über Mandanten hinweg
- Stateful-Firewall von Layer 4 bis Layer 7 einschließlich Layer-7-Identifizierung, NAT und Benutzeridentifizierung
Vorteile
- Bietet grafische Oberflächen zur Überwachung und Fehlerbehebung, etwa für Flow-Überwachung, Paketerfassung und Flow-Tracking
- Lässt sich problemlos in vorhandene VMware-vSphere-Umgebungen integrieren
- Regeln lassen sich relativ einfach verwalten
- Einfache und schnelle schrittweise Installation
- Einfache Migration von NSX-V zu NSX-T mit dem Migration Coordinator
Nachteile
- Falsch konfigurierte Regeln können die Kommunikation mit NSX-Komponenten, ESXi-Hosts und vCenter Server(s) vollständig unterbrechen
- Paketbeschleunigung und erweiterte Netzwerkoptionen müssen weiter verbessert werden
Illumio Core
Illumio Core, ehemals als Illumio ASP bekannt, bietet Live-Transparenz und Microsegmentation für jeden Workload. Dazu gehören VMs, Container und Bare-Metal-Server – unabhängig davon, ob sie lokal oder in privaten bzw. öffentlichen Cloud-Infrastrukturen betrieben werden. Zudem erreicht Illumio Core dieses Ziel bei den größten und anspruchsvollsten Computersystemen der Welt, ohne auf Netzwerke oder Hypervisoren angewiesen zu sein.
Illumio Core ist ein einfaches, schnelles und effektives Tool für Microsegmentation. Es bietet intelligente Transparenz, eine äußerst einfache Engine zur Richtlinienerstellung, automatische Segmentierung und die Durchsetzung von Richtlinien, um die Ausbreitung von Angriffen zu verhindern.
Wichtige Funktionen
- Visualisiert Daten zu Beziehungen, Datenflüssen und Aktivitäten innerhalb jedes Workloads
- Funktioniert unabhängig vom Standort und der Art des Workloads
- Nutzt den Verlauf von Datenflüssen, um die besten Microsegmentation-Strategien für jeden Workload und jede Anwendung zu erstellen und vorzuschlagen
- Ermöglicht Einblicke in die Gefährdung durch Schwachstellen und Angriffswege über Anwendungen hinweg, indem Abhängigkeitskarten von Anwendungen mit Daten aus Schwachstellenscans von Drittanbietertools kombiniert werden
- Ermöglicht die Verschlüsselung von Daten während der Übertragung, unabhängig davon, ob sie von einem Cloud-Standort in lokale Umgebungen oder innerhalb eines VLAN-Rechenzentrums übertragen werden
Vorteile
- Einfache Integration in Infrastrukturen von Amazon Web Services (AWS)
- Eine hervorragende Verwaltungsoberfläche mit einer übersichtlichen visuellen Darstellung des Datenverkehrs, blockierter und zugelassener Verbindungen und mehr vereinfacht die Erstellung von Richtlinien
- Die Implementierung von Regeln und die Fehlerbehebung sind dank der schnellen Konfigurationsänderungen relativ unkompliziert
Nachteile
- Die Anwendung für die Anmeldung am System muss verbessert werden
- Die Oberfläche wird bei einer größeren Anzahl von Workloads etwas langsamer
Guardicore Centra
Eine umfassende Rechenzentrums- und Cloud-Sicherheitslösung namens Guardicore Centra (ehemals GuardiCore) bietet eine unkomplizierte Methode zur Implementierung von Microsegmentation-Kontrollen. Zum Schutz wichtiger Anwendungen setzt sie Netzwerk- und prozessbasierte Regeln durch und bietet vollständige Transparenz über Anwendungsabhängigkeiten. Außerdem reduziert sie die Angriffsfläche des Netzwerks und erkennt und verwaltet Sicherheitsverletzungen im Ost-West-Datenverkehr
Große Unternehmen setzen Guardicore Centra häufig ein, da die Lösung Schutz für die gesamte Infrastruktur einer Organisation bietet. Die Software schützt Anwendungen und Workloads in Hybrid- und Multi-Cloud-Umgebungen auf jeder Infrastruktur, etwa VMs, Containern, Bare-Metal-Servern und Cloud-Instanzen. Guardicore Centra unterstützt insbesondere die Plattformen AWS, Google Cloud Platform (GCP) und Microsoft Azure.
Wichtige Funktionen
- Transparenz über Datenflüsse, Microsegmentation, Erkennung und Reaktion auf Sicherheitsverletzungen auf einer einzigen Plattform
- Optimierte Sicherheitskonfiguration und -verwaltung
- Skalierbar für die Leistungs- und Sicherheitsanforderungen von Umgebungen jeder Größe
- Die anwendungsbezogene Transparenz zeigt Anwendungsabhängigkeiten vor der Erstellung von Sicherheitsrichtlinien auf
- Die drei Erkennungstechniken – Dynamic Deception, Reputation Analysis und Policy-Based Detection – bilden in Kombination einen leistungsstarken Sicherheitsperimeter, der aktive Angriffe verhindert
Vorteile
- Dashboard und Benutzeroberfläche sind hervorragend
- Transparenz über Prozesse und Verbindungen auf jedem Host
- Granularer Schutz, bei dem Sicherheitsadministratoren Anwendungen bis auf einzelne Dienste beschränken können
- Bedrohungsinformationen, die aktive Bedrohungen schnell abwehren, helfen erheblich dabei, die Reichweite der Angriffe zu verstehen
Nachteile
- Bei der Verwendung des Terminalservers können Sicherheitstechniker Benutzeraufgaben nicht für jede Sitzung ausschließen. Daher ließe sich die langfristige Verwaltung der Sicherheitsrichtlinien durch Automatisierungsfunktionen verbessern
- Manchmal ist die Leistung langsam, insbesondere beim Erstellen von Karten
Nutanix Flow
Nutanix Flow bietet anwendungsorientierten Schutz vor Netzwerkbedrohungen, Malware und Ransomware sowie Compliance-Überwachung. Mit Flow können Unternehmen softwaredefinierte virtuelle Netzwerksicherheit implementieren, ohne zusätzliche Produkte einrichten und verwalten zu müssen.
Die anwendungsorientierten Richtlinien von Flow bieten vollständige Transparenz und Datenverkehrsverwaltung. Mithilfe dieses Richtlinienmodells können Administratoren präzise Einschränkungen für Quellen und Ziele des Datenverkehrs festlegen. Dieselben Richtlinien ermöglichen die Visualisierung des Datenverkehrs zwischen und innerhalb von VMs.
Ein wesentlicher Bestandteil eines Defense-in-Depth-Ansatzes gegen moderne Bedrohungen für Rechenzentren ist die granulare Kontrolle.
Wichtige Funktionen
- Ein einziges Dashboard bietet richtlinienbasierte Transparenz über die Kommunikation und Schwachstellen aller Anwendungen und Dienste
- Mit Ring-Fencing und Audits lassen sich der Zugriff auf Anwendungen und Daten schnell aufteilen und regelkonforme Netzwerke erstellen, ohne dass eine physische Verwaltung erforderlich ist
- Sicherheitstechniker können schnell markierte Firewalls nach einem Zero-Trust-Ansatz bereitstellen, um Benutzer, Anwendungen und Daten von Cyberbedrohungen zu trennen und zu schützen, ohne die bestehende Infrastruktur zu beeinträchtigen
- Für Flow Network Security entwickelte Partner-Connectoren ermöglichen die Anwendungsschichtung auf OSI-L4-Ebene und bieten das Potenzial für eine weitergehende Prüfung auf L7
Vorteile
- Anwendungsorientierte Netzwerkregeln für virtuelle Maschinen
- Für jede Netzwerkstruktur oder -architektur geeignet
- Verwaltung von Richtlinienänderungen im Zusammenhang mit dem Lebenszyklus von VMs
- Funktionen für Compliance-Audits und -Berichte, einschließlich HIPAA, PCI, NIST und anderer Standards
- Leistung durch externe Netzwerkprüfungs- und Richtlinientools steigern
Nachteile
- Die Konfiguration der ursprünglichen Blueprints ist der anspruchsvollste Aspekt
- Die Notfallwiederherstellungsumgebungen, in denen Nutanix Flow und AHV ausgeführt werden, müssen verbessert werden
Cisco Secure Workload
Cisco Secure Workload ist ein Tool zum Schutz von Daten und Cloud-Umgebungen, das eine Zero-Trust-Richtlinie bietet, um Workloads lokal und in Cloud-Umgebungen zu schützen. Dieses Produkt erkennt Anomalien in Workload-Prozessen, verhindert Bedrohungen, reduziert die Angriffsfläche und unterbindet laterale Bewegungen.
Die Lösung umschließt jeden Workload auf einzigartige Weise und stellt so sicher, dass Unternehmen ihre Daten, Netzwerke und Anwendungen jederzeit sicher schützen können. Cisco Secure Workload erstellt kontinuierlich Firewalls um jede Workload-Ebene im gesamten Ökosystem, damit Unternehmen ihre Anwendungen schützen können.
Wichtige Funktionen
- Bietet personalisierte Empfehlungen auf Grundlage der individuellen Umgebung und Anwendungsanforderungen
- Transparenz und Kontrolle über Anwendungskomponenten auf granularer Ebene mit automatischer Erkennung und Durchsetzung von Compliance-Anforderungen
- Automatische NIST-Schwachstellenbewertungen helfen bei der Beurteilung von Datenströmen
- Anwendungssegmentierungsrichtlinien automatisieren, um jedes von Workloads ausgehende und zu ihnen eingehende Paket und jeden Datenfluss nachzuverfolgen
Vorteile
- Einfache Installation und Anpassung
- Kontinuierliche Transparenz und bedarfsgerechte Autorisierungskontrollen für alle Workstations und Speichergeräte, unabhängig vom Standort
Nachteile
- Die Benutzeroberfläche könnte logischer gestaltet sein
- Die Wiederherstellung virtueller Maschinen sollte einfacher gestaltet werden
Warum ist Microsegmentation wichtig?
Die sich wandelnde Technologielandschaft führt dazu, dass herkömmliche Sicherheitslösungen Netzwerke zunehmend weniger wirksam vor Cyberangriffen schützen.
Sicherheit ist zu einem zentralen Anliegen geworden, da immer mehr Unternehmen auf digitale Transformation und Cloud-Nutzung setzen, um die Branche voranzubringen. Microsegmentation ermöglicht es Unternehmen, in bestehenden Infrastrukturen einen Zero-Trust-Ansatz zu implementieren und so eine auf ihre spezifischen Anforderungen zugeschnittene Sicherheit bereitzustellen.
Für eine wirksame Sicherheit benötigen Unternehmen eine verteilte, erweiterte interne Firewall zum Schutz des Ost-West-Datenverkehrs, die eine einfache Netzwerksegmentierung und Microsegmentation aller Anwendungen ermöglicht.
Ob eigenständig oder als Teil eines Zero-Trust-Ansatzes unterteilt die Segmentierung die Rechenzentrumsinfrastruktur in kleinere Zonen und ermöglicht so eine bessere Kontrolle und Transparenz der Datenverkehrsflüsse zwischen Workloads.
Vorteile von Microsegmentation
Unternehmen, die Microsegmentation eingeführt haben, profitieren von zahlreichen konkreten Vorteilen.
Eingeschränkte laterale Bewegungen
Microsegmentation reduziert die Angriffsanfälligkeit erheblich, sodass ein Angreifer größere Schwierigkeiten hat, von einem kompromittierten Workload zu einem anderen zu wechseln.
Reduzierte Angriffsfläche
Ohne Fortschritt oder Innovation zu behindern, bietet Microsegmentation Transparenz über die gesamte Netzwerkumgebung. Bereits früh im Entwicklungszyklus können Anwendungsentwickler Sicherheitsrichtlinien integrieren, um neue Angriffsvektoren bei der Bereitstellung oder Aktualisierung von Anwendungen zu verhindern.
Verbesserte betriebliche Effizienz
Microsegmentation trägt dazu bei, eigenständige Firewall-Appliances und ACLs (Access Control Lists) überflüssig zu machen. Dadurch können IT-Teams mit weniger Tools eine stärkere Sicherheitslage schaffen.
Robustere Compliance
Sicherheitstechniker können Sicherheitsrichtlinien erstellen, um Workloads und Anwendungen vom Rest der Infrastruktur zu trennen.
Verbesserte Eindämmung von Sicherheitsverletzungen
Sicherheitsteams können mithilfe von Microsegmentation den Netzwerkverkehr anhand festgelegter Richtlinien überwachen. Dadurch verkürzt sich die Reaktionszeit auf Sicherheitsverletzungen.
Vereinfachte Richtlinienverwaltung
Die Verwaltung von Firewall-Richtlinien lässt sich durch den Wechsel zu einer Microsegmentation-Architektur vereinfachen. Die Verwendung einer einzigen, konsolidierten Richtlinie für Bedrohungserkennung und -abwehr sowie für die Zugriffskontrolle auf Subnetze ist eine zunehmend bewährte Methode für mehr Sicherheit.
So wählen Sie die richtige Microsegmentation-Software aus
Die Auswahl der geeigneten Microsegmentation-Software ist ein entscheidender Bestandteil der Netzwerk- und Workload-Sicherheit. Die verwendete Software sollte Transparenz über Datenflüsse bieten und es ermöglichen, diese Datenflüsse im gesamten Unternehmensnetzwerk zu regulieren.
Ein gutes Microsegmentation-Tool sollte leistungsstarke Funktionen zur Überwachung des Ost-West-Datenverkehrs und aller Kommunikationsports bieten. Außerdem sollte es den Zugriff auf kritische Daten und Anwendungen beschränken – eine zentrale Funktion der Zero-Trust-Sicherheit. Anschließend können Sie mit diesem Tool spezielle Sicherheitsrichtlinien für jedes Segment Ihres Netzwerks implementieren.