Als ich kürzlich für ein kleines, aber schnell wachsendes Unternehmen Forschungsinterviews durchführte, stieß ich zum ersten Mal auf eine Organisation mit einem Netzwerk “ohne Netzwerkausrüster”. Das heißt, anstatt Cisco, Dell oder gar eine White-Box-Lösung für Switching und Routing zu verwenden, setzte das Unternehmen im gesamten Netzwerk ausschließlich Geräte von Fortinet ein. Das heißt, jede Netzwerkkomponente ist Teil der Sicherheitsinfrastruktur.
Sie bauen ihre Netzwerke auf diese Weise nicht nur auf, um Sicherheit in ihren Kern zu integrieren (was an sich schon eine gute Idee ist), sondern auch, um:
Einfach zu verwalten: Sie verfügen über ein Tool, das alle Komponenten verwaltet
Einfache Bereitstellung: Von jedem Gerät gibt es nur zwei oder drei Varianten, die sich bis auf die Speicherkapazität und die Anzahl der Anschlüsse nicht unterscheiden
Einfach auf neue Standorte ausweitbar: Jeder Standort gleicht einem anderen Standort ähnlicher Größe
Sie verfügen über eine kleine Anzahl von Ersatzgeräten auf Lager und können so an allen Standorten für eine schnelle Wiederherstellung sorgen. Außerdem können sie problemlos das Security Operations Center as a Service nutzen und für fast alle anderen Bereiche ihres Netzwerkbetriebs professionelle Dienstleistungen in Anspruch nehmen. Im Grunde genommen kann ihre Sicherheitslösung somit auch zu ihrer kompletten Netzwerklösung werden.
Sie haben Fortinet verwendet, hätten sich aber auch für Versa Networks, WatchGuard oder einen anderen Anbieter entscheiden können.
Sollten Unternehmen die Vision der Sicherheitsanbieter übernehmen, die immer stärker in den Cyberbereich vordringen?
Ja und nein.
Positiv zu vermerken sind einige klare Vorteile hinsichtlich der einfachen Bedienung und Verwaltung, da ein konvergentes Netzwerk-/Sicherheits-Stack aus nur einem Anbieter und einer minimalen Anzahl von Gerätetypen besteht. Darüber hinaus dürfte die Einbettung der Sicherheit in den Kern des Netzwerks die Wahrscheinlichkeit einer Diskrepanz zwischen Sicherheitsrichtlinien und Netzwerkpraktiken – die in Umgebungen, in denen Sicherheit und Konnektivität voneinander getrennt sind, nur allzu häufig auftritt – erheblich verringern, wenn nicht sogar ganz ausschließen.
Der Nachteil ist, dass jede Monokultur in der IT die Infrastruktur anfälliger für Schwachstellen der gewählten Plattform und für Probleme mit dem Anbieter macht. Wenn im Betriebssystem eines zentralen Geräts eine Sicherheitslücke besteht, könnten das gesamte Netzwerk und alle Standorte gleichzeitig in gleicher Weise gefährdet sein – ein einziger Angriff würde alle gefährden. Verfügt die Sicherheit über eine separate Infrastrukturebene, können Probleme in der Sicherheitsebene durch Änderungen der Konfigurationen auf der Netzwerkeebene gemindert werden, genauso wie die Sicherheitsebene Risiken im Netzwerk reduziert. Wird ein Anbieter von einem anderen übernommen oder übernimmt er selbst einen anderen Anbieter, ist der Support für die gesamte Konnektivitätsinfrastruktur während der Übergangsphase gefährdet.
Die Kehrseite davon, bei Problemen nur einen Würgegriff in der Hand zu haben, ist, dass man bei Preisverhandlungen weniger Verhandlungsspielraum hat und möglicherweise höhere Kosten in Kauf nehmen muss. Je stärker man bei einer Sache von einem einzigen Lieferanten abhängig ist, desto schwieriger ist es, seinen Marktanteil zu erhöhen und zu einem neuen Lieferanten zu wechseln.
Für kleine und mittlere Unternehmen liegen die Vorteile und der tatsächliche Nutzen einer Einbindung von Sicherheitssystemen in das gesamte Netzwerk besonders auf der Hand. Sie haben in der Regel einheitliche und relativ einfache Anforderungen und verfügen über einen geringeren Personalbestand. Oftmals haben sie Schwierigkeiten, die benötigten Fachkräfte in den Bereichen Sicherheit und Netzwerke zu finanzieren, zu gewinnen und zu halten. Daher gibt es nur eine Plattform, die zum Experten werden kann – eine, die neue Mitarbeiter schult oder die Verwaltung auslagert und es ihnen ermöglicht, das Beste aus den vorhandenen Mitarbeitern herauszuholen.
Für große Unternehmen liegen die Vorteile weniger auf der Hand. Diese verfügen in der Regel über komplexere Umgebungen und Anforderungen und sind weniger bereit, die Risiken von Monokulturen in Kauf zu nehmen, da sie besser in der Lage sind, gemischte Ökosysteme personell zu besetzen und zu unterstützen.
Sollte ein Sicherheitssystem also ein Netzwerk sein? Für kleinere Unternehmen scheint dies unter Berücksichtigung der oben genannten Vorbehalte machbar zu sein. Für die meisten großen Unternehmen lautet die Antwort meiner Meinung nach derzeit „nein“. Stattdessen sollten sie sich darauf konzentrieren, ihre Netzwerksysteme stärker in ihre Sicherheitsinfrastruktur zu integrieren.
Netzwerk-Switches können und sollten eine zentrale Rolle bei der Implementierung einer Zero-Trust-Architektur (die jeder einführen sollte), eines SD-LAN oder eines Software-Defined Perimeter (SDP) spielen. Der Switch sollte als Policy Enforcement Point fungieren und die Richtlinien durchsetzen, die in einer Art Security Policy Engine definiert und verwaltet werden. Dies sollte auch dann möglich sein, wenn die Switches nicht alle vom selben Hersteller stammen, geschweige denn vom selben Sicherheitsanbieter.
