Die Netzwerkrand-Sicherheit umfasst die \u00dcberwachung und Kontrolle des Netzwerkverkehrs zwischen internen und externen Umgebungen. Netzwerkfirewalls definieren den Rand und geben die Arten von Verkehr an, die in das Netzwerk ein- und aus ihm herausgelassen werden d\u00fcrfen. Organisationen definieren auch h\u00e4ufig demilitarisierte Zonen (DMZ), die \u00f6ffentlich zug\u00e4ngliche Dienste, wie Unternehmens-Webserver und E-Mail-Server, vom Rest der Netzwerke der Organisation isolieren.<\/p>\n\n\n\n
Die Rand-Sicherheit ist entscheidend f\u00fcr die Sicherheit des traditionellen Netzwerks, in dem alle Unternehmensdaten und -ressourcen innerhalb des Randes liegen. Dieser Artikel untersucht, wie die Rand-Sicherheit funktioniert, ihre Schw\u00e4chen und wie L\u00f6sungen wie die Cato SASE Cloud-Plattform die Netzwerksicherheit modernisieren.<\/p>\n\n\n\n
Traditionell definierte der Netzwerkrand die Grenze zwischen den internen IT-Ressourcen einer Organisation und dem \u00f6ffentlichen Internet. Eine Firewall befindet sich an dieser Grenze und verwendet vordefinierte Regeln, um zu entscheiden, ob der Verkehr durchgelassen oder blockiert werden soll.<\/p>\n\n\n\n
Nach diesem Modell befinden sich alle Ressourcen einer Organisation innerhalb des Randes; jedoch hat sich dies in den letzten Jahren ge\u00e4ndert. Mit dem Aufstieg des Cloud-Computing und der Fernarbeit befinden sich vertrauensw\u00fcrdige Ressourcen und Benutzer nun au\u00dferhalb des traditionellen Randes, was einen neuen Ansatz f\u00fcr die Netzwerksicherheit erfordert.<\/p>\n\n\n\n
Das Modell der Rand-Sicherheit wurde urspr\u00fcnglich f\u00fcr b\u00fcrobasierten Umgebungen konzipiert. Wenn alle Mitarbeiter einer Organisation vor Ort sind und ihre IT-Ressourcen in einem lokalen Rechenzentrum untergebracht sind, trennt die Verbindung der Organisation zu ihrem Internetdienstanbieter (ISP) ihr privates Netzwerk vom \u00f6ffentlichen Internet.<\/p>\n\n\n\n
In dieser b\u00fcrobasierten, vor-Cloud-Umgebung werden L\u00f6sungen zur Rand-Sicherheit am Rand des Unternehmensnetzwerks, direkt vor dem Edge-Router, implementiert. Da der gesamte Netzwerkverkehr des Unternehmens durch diesen Standort flie\u00dft, hat die Firewall die volle Kontrolle \u00fcber den Verkehr, der durch sie hindurchgeht.<\/p>\n\n\n\n
Die Netzwerkrand-Sicherheit wurde entwickelt, um alle internen Systeme und Ressourcen einer Organisation zu sch\u00fctzen. Dazu geh\u00f6ren:<\/p>\n\n\n\n
Eine Organisation kann auch eine DMZ definieren, um ihre \u00f6ffentlich zug\u00e4nglichen Ressourcen zu sch\u00fctzen. Dazu geh\u00f6ren:
<\/p>\n\n\n\n
Der traditionelle Netzwerkperimeter galt f\u00fcr b\u00fcrobasiertes Umfeld, in dem alle Unternehmens-IT-Ressourcen innerhalb des Perimeters lagen. Dieser Perimeter wurde jedoch durch die digitale Transformation gest\u00f6rt, wie zum Beispiel:<\/p>\n\n\n\n
Historisch gesehen verwendeten Netzwerkperimeter Firewalls und IDS\/IPS, um den Netzwerkverkehr zu inspizieren und zu sichern, w\u00e4hrend VPNs den Fernzugriff auf Unternehmensressourcen erm\u00f6glichten. DMZs bieten zus\u00e4tzlichen Schutz, indem sie hochriskante, \u00f6ffentlich zug\u00e4ngliche Ressourcen vom Rest des internen Netzwerks isolieren.<\/p>\n\n\n\n
Firewalls definieren den Netzwerkperimeter, indem sie den ein- und ausgehenden Datenverkehr filtern. Im Laufe der Zeit haben sich die urspr\u00fcnglichen zustandslosen Firewalls zu Next-Generation-Firewalls (NGFW) weiterentwickelt, die eine tiefere Verkehrsinspektion durchf\u00fchren und die verschiedenen Arten von Anwendungsdatenverkehr verstehen. Dies erm\u00f6glicht einer Organisation, granularere Sicherheitsrichtlinien anzuwenden und den Datenverkehr auf Anwendungsebene anstatt auf Protokollebene zu filtern.<\/p>\n\n\n\n
VPNs sind darauf ausgelegt, remote Arbeiten zu erm\u00f6glichen und gleichzeitig das traditionelle Sicherheitsmodell des Perimeters aufrechtzuerhalten. Der Datenverkehr von Remote-Mitarbeitern wird verschl\u00fcsselt, w\u00e4hrend er \u00fcber das \u00f6ffentliche Internet \u00fcbertragen wird, und an einem bestimmten VPN-Endpunkt entschl\u00fcsselt. W\u00e4hrend VPNs die traditionelle Perimetersicherheit erm\u00f6glichen, haben sie ihre Einschr\u00e4nkungen. Zum Beispiel erhalten Remote-Nutzer uneingeschr\u00e4nkten Zugang zum Unternehmensnetzwerk, und VPNs f\u00fchren zu zus\u00e4tzlicher Verwaltungscomplexit\u00e4t und verringern die Netzsichtbarkeit.<\/p>\n\n\n\n
Intrusion Detection and Prevention Systeme (IDS\/IPS) sind darauf ausgelegt, potenzielle Bedrohungen wie Malware oder Credential Stuffing gegen die Systeme einer Organisation zu identifizieren. IDS kann nur Warnungen f\u00fcr verd\u00e4chtigen Datenverkehr generieren, w\u00e4hrend IPS versuchte Angriffe blockieren kann, wenn es im Band eingesetzt wird. IDS\/IPS-Funktionen werden h\u00e4ufig am Netzwerkperimeter eingesetzt, um b\u00f6sartige Inhalte daran zu hindern, in die Umgebung der Organisation einzudringen.<\/p>\n\n\n\n
Eine DMZ ist ein Netzwerksegment, das vom Rest des privaten Netzwerks der Organisation isoliert ist und \u00f6ffentliche Ressourcen wie Webserver hostet. Ihre Rolle besteht darin, das Risiko zu verringern, dass ein Angreifer, der den \u00f6ffentlichen Dienst kompromittiert, auf interne Systeme und die wertvolleren Daten, die sie enthalten, zugreifen kann.<\/p>\n\n\n\n
Perimetersicherheitsmodelle ber\u00fccksichtigen keine internen Bedrohungen, Cloud und Remote-Arbeit. Dies legt die Verwundbarkeit einer Organisation gegen\u00fcber Cyberangriffen offen und erschwert die Einhaltung von Vorschriften.<\/p>\n\n\n\n
Das Perimetersicherheitsmodell geht davon aus, dass alles innerhalb des Netzwerks legitim ist, was ein falsches Sicherheitsgef\u00fchl erzeugt. Wenn ein Angreifer den Perimeter durchbricht \u2013 sei es durch gestohlene Anmeldeinformationen, Ausnutzung von Schwachstellen oder \u00e4hnliche Mittel \u2013 hat er uneingeschr\u00e4nkten Zugang zum Unternehmensnetzwerk.<\/p>\n\n\n\n
Firewalls und andere Sicherheitswerkzeuge bieten Einblick in den Datenverkehr, der durch sie hindurchgeht. Wenn eine Organisation jedoch nur perimeterbasierte Verteidigungen hat, kann sie nur den Datenverkehr \u00fcberwachen, der das Netzwerk betritt und verl\u00e4sst. Ohne Sichtbarkeit in den internen Netzwerkverkehr ist eine Organisation blind gegen\u00fcber Angreifern, die den Perimeter durchbrochen haben. Dies kann ihnen erlauben, seitlich von ihrem urspr\u00fcnglichen Zugangspunkt zu ihrem endg\u00fcltigen Ziel zu gelangen, ohne entdeckt zu werden.<\/p>\n\n\n\n
Wenn Organisationen Cloud-Computing \u00fcbernehmen, brechen sie das traditionelle Perimeter-Modell, da einige ihrer Verm\u00f6genswerte nicht mehr vor Ort und \u00fcber das \u00f6ffentliche Internet zug\u00e4nglich sind. Dies macht die perimeterbasierte Sicherheit komplexer und inkonsistent, da die Organisation alle ihre neuen Netzwerkperimeter gleicherma\u00dfen sichern muss. Andernfalls kann ein Angreifer, der einen schwach gesicherten Teil des Netzwerks durchbricht, seitlich zu anderen Systemen gelangen, die sich hinter den perimeterbasierten Verteidigungen der Organisation befinden.<\/p>\n\n\n\n
Mit der Entwicklung der Netzwerke sind moderne Netzwerksicherheitsl\u00f6sungen entstanden, die die Sichtbarkeit und Kontrolle bieten, die perimeterbasierte Werkzeuge nicht haben. Das Zero Trust-Sicherheits<\/a> Modell, das \u00fcber Zero Trust Network Access (ZTNA<\/a>) L\u00f6sungen implementiert wird, bietet eine granularere Sichtbarkeit und Kontrolle und unterst\u00fctzt moderne Unternehmens-IT-Umgebungen.<\/p>\n\n\n