Foto: Ronald Wiltscheck
Herkömmlichen Security-Lösungen haben ausgedient, meint Michael Frohn, General Manager Zentral- und Osteuropa bei F5 Networks.
Gesichtslos, geräuscharm und verschlagen manipulieren sie an Rechnern und Netzwerken und ernähren zahllose Menschen eines immer größer werdenden Industriezweigs. Unternehmen für IT-Security und Hacker bilden eine Symbiose, die eine fast atemberaubende Entwicklung nimmt. Was kann man tun, um diese Security-Spirale nachhaltig zu stoppen? Die schlechte Nachricht vorweg: Nicht viel. Aber es gibt ernstzunehmende Ansätze.
Die Menge der Möglichkeiten stellt das größte Problem dar, wenn es um das Thema Sicherheit in den IT-Architekturen dieser Welt geht. Angefangen bei Viren, Würmern und Trojaner bis hin zur Lahmlegung von Web-Applikationen - der kriminellen Phantasie sind keine Grenzen gesetzt. Fast keine.
Die meisten Sicherheitsarchitekturen präsentieren sich - darin sind sich zahlreiche Spezialisten einig - als ein kläglicher Versuch, jede neue Art von Schwachstelle, die entdeckt und verstanden wird, zu flicken und abzusichern. Am problematischsten scheint es, externe Zugriffe auf Unternehmensnetzwerke dauerhaft auf der sicheren Seite zu wissen.
Die erkannte Sicherheitslücke, als die ersten Acccess Control Lists (ACL) gerade erst implementiert wurden, war bildlich gesprochen nur ein paar Zentimeter breit. IT-Spezialisten entdeckten dann schnell, dass die "Lücke" eher meterbreit ist und setzten Firewalls ein, um den Unterschied zwischen dem, was die ACLs abdecken konnten und den neuen Sicherheitsrisiken zu überbrücken.
Sicherheitslücken wachsen
Mit jedem neuen Sicherheitsrisiko, das erkannt wird, wächst die "Lücke" jedoch weiter und IT-Spezialisten stopfen die Löcher, die Hacker immer wieder aufs Neue reißen mit zahllosen neuen Technologien. Was dabei herauskommt ist ein chaotisches Flickwerk aus Sicherheitsimplementierungen, die gefährlich über der "Lücke" schwanken.
Selbstverständlich hat jede ihre eigenen Verwaltung und Wartung, ihre eigenen Stärken und Schwächen und die Hersteller den innigen Wunsch, alleine selig machend zu sein. Da wundert es kaum, dass der Ruf nach einer organisch gewachsenen Sicherheitsarchitektur durch ein einziges Design immer lauter wird, das idealer Weise die gesamte Kluft, wie wir sie heute kennen, überbrückt. Falls erforderlich müsste sie in dem Maße ergänzt werden können, wie die Sicherheitsrisiken weiter wachsen.
Das setzt allerdings eine Neustrukturierung des Netzwerkes unter Sicherheitsgesichtspunkten voraus, um beispielsweise universale Zugriffsmethoden definieren zu können. Denn diese geben den Spezialisten eine neue Grundlage, auf der die Sicherheitsarchitekturen aufgebaut werden können, um mit den technischen Entwicklungen der nächsten zehn Jahre und mit der Einhaltung von Vorschriften auf pro-aktive statt auf reaktive Weise umzugehen.
Dies stellt eine einzigartige Gelegenheit dar, die geforderten Richtlinien einzuhalten und sich gleichzeitig dem Gesetzgeber gegenüber rück zu versichern. Indem man beispielsweise die Datenhaltung eines Unternehmens wieder zentralisiert und die Daten im Point-to-Point-Verfahren zwischen den Clients und dem Server verschlüsselt, genügt man meist den Richtlinien, man hat dann nur noch einen "Single Point of Access".
Dabei spielt es nicht einmal eine Rolle, wo sich der Client befindet. Die Reduktion der Komplexität beseitigt die Notwendigkeit, Daten zwischen unterschiedlichen Systemen abzugleichen, um zu analysieren, auf welche Daten welcher Anwender wann zugegriffen hat. Einen vereinheitlichter "Choke Point" als Vermittler für diesen Single Point of Access einzusetzen, macht das Erstellen und Befolgen von Richtlinien zu einem einfachen Prozess.
Hindernisse auf dem Weg zum Erfolg
Die Vorteile durch die Nutzung eines derartigen Systems sind erheblich. Es gibt jedoch zwei große Hindernisse bei der Einführung des vereinfachten und des lückenlosen, verschlüsselten Zugriffs. Das erste hat mit dem "Flickwerk" von Sicherheitsgeräten zu tun, die bereits in das Unternehmensnetzwerk eingebaut wurden und dort bereits zum Einsatz gelangen. Das zweite Problem besteht in der Art und Weise, wie Netzwerke aufgebaut, verwaltet und den Usern bereitgestellt werden.
Das so genannte Unified Access und Application Delivery (UAAD) wäre ein weiterer Ansatz, um den Hackern den Garaus zu machen. Denn diese Methode müsste sich nicht auf "das Netzwerk" oder "die Sicherheit" an sich konzentrieren. Stattdessen würde sie daraf Wert legen, wie das Netzwerk eingesetzt wird, um den Anwendern eine Verbindung zu den benötigten Applikationen zu geben. Dieser Prozess könnte in drei deutlich voneinander unterscheidbare Bereiche aufgeteilt werden: Zugriffskontext, Netzwerk-Ressourcen und ein Unified Access und Application Delivery Controller.
Zugriffskontexte sind alle gesammelten Informationen, die es über eine Zugriffsanfrage überhaupt geben kann. Sie bilden eine kurzlebige und dynamische Kenngröße und beschreiben, wer, wo und auf was Zugriff verlangt, inklusive User-Name, Gerät, Ort und Integritätsstatus (ob das Gerät selbst sicher ist) sowie alle anderen Größen, die messbar sind. Netzwerk-Ressourcen werden in diesem Fall individuell bereitgestellt, das sowohl der Zugriff auf sie fest definiert ist, als auch Anforderungen, die erfüllt werden müssen, um Zugriff zu erhalten (IP-Adresse, Port-Nummer, Protokoll, Anforderungen an Anwender und Sicherheit).
Der UAAD Controller wäre ein zentrales Gerät, das den Zugriffskontext untersucht, ihn mit den zur Verfügung stehenden Ressourcen vergleicht und gegebenenfalls weitere Ressource frei gibt oder welche sperrt.
Ein Controller sorgt für Sicherheit
Ein Unified Access und Application Delivery Controller (UAADC) ist eine einzige physikalische oder logische Grenze zwischen den Nutzern von Anwendungen und den Geräten, die diese Dienste bereitstellen. Dies ist zwar mit herkömmlichen Netzwerk-Firewalls vereinbar, aber es gibt einen Unterschied in der Art, wie fest gelegt wird, welche Anwender auf welche Dienste zugreifen darf.
Der Controller selbst ist die zusammenwirkende Kombination von Sicherheit und Diensten zum Bereitstellen der Anwendungen. Dabei spiele drei grundlegende Prozesse eine wichtige Rollen: die Definition der Richtlinien und deren Kontrolle, sowie all die Dienste, die dazwischen vermitteln.
Ein UAADC hätte die Fähigkeit, den Kontext einer Anfrage während der gesamten Dauer des Ressourcenzugriffs zu prüfen. Mit Hilfe dieser Information kann der Controller den Zugriff mit den vorgegebenen Richtlinien in Einklang bringen. Damit würde der Controller nur solchen Traffic zuzulassen, der nach den Richtlinien erlaubt ist. Auf alle Service-Anfragen angewandt, bietet dieser Ansatz eine vereinfachte Methode der Zugriffkontrolle.
Da der Controller jederzeit über die erlaubten Zugriffe Bescheid weiß, kennt er auch alle dem User zur Verfügung stehenden Anwendungen. Damit ist der UAADC dazu geeignet, Netzwerkdienste wie Caching, Komprimierung, Verschlüsselung und QoS zu implementieren - und diese Services nur bei Bedarf abzurufen.
Was Hacker am meisten fürchten müssen, ist eine zukunftsweisende Kombination aus performanter Software und intelligenter Hardware, die gemeinsam für Hochverfügbarkeit, Sicherheit und die nötige Performance aller geschäftskritischen Anwendungen sorgt. Untternehmen wollen keinen Gerätepark an etlichen Appliances kaufen, installieren und kontrollieren.
Moderne Security-Lösungen sollten auch die Verfügbarkeit von Servern und Applikationen gewährleisten, inklusive von Web Services und mobilen IP-basierende Applikationen. Natürlich sollten diese System auch Caching- und Firewall-Funktionen berücksichtigen. Darüber hinaus sorgen derartige SSL-VPN Lösungen für den sicheren Zugriff auf Applikationen von jedem Ort aus.