SD-WAN und Security

Der Ist-Zustand in Unternehmen

Hier lohnt ein Blick auf die Angebote diverser Hersteller und man stellt schnell fest, jeder macht es anders.
SD-WAN Lösungen etablierter Firewall-Hersteller verfügen natürlich alle über eine leistungsfähige Firewall – über die Leistungsfähigkeit der SD-WAN Lösung hingegen lässt sich streiten. Angebote der ursprünglichen SD-WAN Startups (Viptela, Velocloud, Cloudgenix usw.) verfügen entweder über keine oder nur eine rudimentäre Firewall. Das begründen die Unternehmen damit, dass sich jede beliebige Firewall in Ihre SD-WAN Lösung integrieren lässt. Außerdem haben Firewall-Hersteller hier eine bessere Expertise.

Das nächste Problem ist eher praktischer Natur. Es gibt keine grünen Wiesen mehr, sprich jedes Unternehmen verfügt über irgendeine Art von Security. Hier geht die Spanne von selbstgebastelten Uralt-Firewalls bis hin zu aktuellen und zeitgemäßen UTM Firewalls in der Cloud. Oft wurden erst kürzlich neue Lizenzen angeschafft oder man möchte eine Firewall aus anderen Gründen weiter nutzen. In diesen Fällen muss eine Integration der Firewall in die Security der SD-WAN Lösung erfolgen. In größeren Unternehmen gibt es häufig sorgfältig erarbeitete Sicherheitskonzepte, die genau festlegen, wie Sicherheit in den Unternehmen zu implementieren ist.

Als wäre das nicht schon komplex genug, muss man zusätzlich das permanente Wachstum in einer sich sehr schnell entwickelnden IT-Welt berücksichtigen. Galt gestern noch ein zentraler Ansatz mit Sicherheit in der Zentrale des Unternehmens, kommen schon heute und vor allem in Zukunft immer mehr Themen Richtung Cloud und mobilen oder Homeoffice Benutzern hinzu. Dass dies völlig neue Anforderungen sind, die mit althergebrachten Mitteln kaum zu bewältigen sind, scheint offensichtlich und nicht weiter erklärungsbedürftig.

Das Konzept der zentralen Sicherheit mit einer einzigen zu pflegenden Firewall in der Unternehmenszentrale wird schon seit längerer Zeit stark aufgeweicht durch Cloudnutzung (Office365, Salesforce, SAP, etc.). Viele Unternehmen entschieden sich für lokale Internet Breakouts in den Niederlassungen.

Dadurch konnte zwar der Datenverkehr im Netz entlastet und die Anwendungsperformance gesteigert werden, aber in diesem Design muss eben auch jede Niederlassung über eine eigene Firewall verfügen. Hier kann nur angemerkt werden, dass zumindest eine zentrale Verwaltung für die Firewalls vor Ort möglich sein sollte.

Allerdings ist auch dieses Design schon wieder im Begriff durch einen völlig neuen Ansatz verdrängt zu werden. Getrieben durch vermehrten mobilen Einsatz, Homeoffice und IoT sind die bisherigen Lösungen leider nicht mehr in der Lage, alle Belange der Sicherheit vollständig abzubilden.

Im Jahre 2019 stellte Gartner ein Sicherheits-Designkonzept vor, das die eben geschilderten Anforderungen umsetzt. Unter dem Begriff SASE (Secure Access Service Engine) wurde ein Designvorschlag entwickelt, der die erforderliche Flexibilität für die aktuellen und zukünftigen Belange gewährleisten soll.

Auf der Ebene des Netzwerks müssen alle Komponenten (Unternehmensstandorte, mobile Geräte, IoT, Cloud und Internet-Services) in der Lage sein, miteinander zu kommunizieren. Über diese Netzwerke werden Services bereitgestellt, deren Zugriff über Identitäten abgebildet wird.