Next-Generation Networks: Beveiliging voor vandaag en
advertisement
WHITE PAPER NETWERKEN Next-Generation Networks: Beveiliging voor vandaag en morgen Beveiliging tegen de dreigingen van vandaag de dag op netwerken die zijn ontworpen voor de vereisten van gisteren, maakt bedrijven kwetsbaar. e zakelijke computeromgeving ontwikkelt zich snel in reactie op het opkomende gebruik van mobiliteit, cloud computing en de verstrengeling van privé en zakelijk IT-gebruik. Deze trends leiden niet alleen tot nieuwe strategische zakelijke kansen, maar ook tot nieuwe risico's en kwetsbaarheid. IT-organisaties moeten een manier vinden om de bedrijfsmiddelen te beschermen en tegelijkertijd het bedrijf in staat te stellen om deze trends te benutten. Dit kan onnodig ingewikkeld worden wanneer de IT-organisatie een netwerk ondersteunt dat net 'goed genoeg' is. In deze white paper wordt besproken wat de gevolgen voor de beveiliging zijn wanneer een 'goed genoeg'-netwerk met lage kapitaalkosten wordt ingezet (gezien de risico's van vandaag de dag) en hoe een NextGeneration Network een veiligere IT-omgeving ondersteunt. D Netwerkbeveiliging en het model van gisteren Tot onlangs was het beveiligen van de IT-omgeving eenvoudiger dan het vandaag de dag is. Algemene informatie zoals de locatie van gebruikers, de uitgevoerde toepassingen en de gebruikte typen apparaten, waren bekende variabelen. Bovendien was deze informatie tamelijk statisch, zodat beveiligingsbeleidsregels redelijk goed waren af te stemmen. Toepassingen werden uitgevoerd op specifieke servers in het datacenter. De IT-organisatie controleerde de toegang tot deze toepassingen en stelde grenzen vast voor het handhaven van het beveiligingsbeleid. Toepassingen en endpoints werden beveiligd en toegang tot het netwerk was beperkt. Het doel van het netwerk was toegang bieden aan gebruikers tot IT-resources in een client/ server-architectuur, en het netwerk beschikte — grotendeels — over voorspelbare verkeerspatronen. Vandaag de dag zijn de snelle ontwikkelingen op het gebied van computertrends op twee manieren van grote invloed op netwerkbeveiliging. Ten eerste veranderen ze de manier waarop het netwerk wordt ontworpen. De netwerk-edge is geëvolueerd doordat allerlei verschillende mobiele apparaten verbinding maken met het bedrijfsnetwerk vanaf verschillende locaties. De toepassingen zelf zijn ook mobiel geworden; ze zijn gevirtualiseerd en kunnen zich verplaatsen naar andere servers of zelfs datacenters. Tegelijkertijd breiden gebruikers het bedrijfsnetwerk uit door naar de cloud te gaan voor toepassingen voor samenwerking, zoals Dropbox of Google Documenten. IT weet niet langer welke apparaten verbinding hebben met het netwerk of waar gebruikers zich bevinden. De toepassingen die worden gebruikt, zijn niet langer beperkt tot wat IT aanbiedt. Gegevens zijn niet veilig opgeslagen in het datacenter, maar gaan het hele land door op smartphones en tablet-pc's, en bevinden zich buiten het bereik van IT, in de cloud. Een tweede trend die van invloed is op netwerkbeveiliging, is de introductie van zeer complexe en geavanceerde dreigingen. De netwerken van gisteren werden getroffen door breedgerichte aanvallen. Hackers verzonden bijvoorbeeld 2 miljoen spamberichten die waren gericht op een bekend risico of beveiligingsprobleem, en ze rekenden erop dat een bepaald percentage van de ontvangers de e-mail zou openen en aan de aanval zou bezwijken. GESPONSORD DOOR EIGEN PUBLICATIE VAN WHITE PAPER NETWERKEN Nu is het aanvalsmodel omgedraaid. Hackers richten zich niet meer op grote groepen. Ze houden zich misschien niet eens bezig met een welbekend beveiligingsprobleem. In plaats daarvan voeren ze complexe, specifiek gerichte aanvallen uit. Hackers maken gebruik van sociale technieken om informatie te verzamelen over het doelwit en maken vervolgens misbruik van het vertrouwen dat gebruikers stellen in een toepassing of een andere gebruiker om malware te installeren of gegevens te stelen. Deze zeer specifieke aanvallen blijven vaak langer onopgemerkt dan breedgerichte aanvallen, tot lang nadat de hacker de nodige schade heeft berokkend. 2 Alle kostenbesparingen die van tevoren zijn gerealiseerd, gaan snel verloren, omdat 'goed genoeg'netwerken niet over geïntegreerde beveiliging Het 'goed genoeg'-netwerk beveiligen beschikken. Als gevolg daarvan Helaas vindt er nog een ontwikkeling plaats die de beveiligingsinspanningen van de IT-organisatie verder compliceren. Sommige analisten en leveranciers raden IT-organisaties aan het netwerk te beschouwen als een basisproduct; met andere woorden, een standaardnetwerk voldoet aan de vereisten en IT-organisaties kunnen volstaan met de implementatie van een 'goed genoeg'-netwerk tegen de laagste aanschafkosten. Maar alle kostenbesparingen die van tevoren zijn gerealiseerd, zullen snel verloren gaan, omdat 'goed genoeg'-netwerken niet over geïntegreerde beveiliging beschikken. Als gevolg daarvan moeten IT-organisaties risico's bestrijden met meerdere puntoplossingen, waarbij ze meer tijd en moeite kwijt zijn aan implementatie, configuratie en beheer van de oplossingen. IT-beveiliging kan de beveiligingsrisico's niet bijhouden, laat staan erop anticiperen. Omdat de individuele puntoplossingen niet zijn geïntegreerd, wordt het moeilijk om een constant beveiligingsbeleid te handhaven voor de gehele IT-omgeving. Vanuit een defensief oogpunt geldt dat hoe meer context IT heeft, hoe beter men is uitgerust om een netwerkaanval te kunnen stoppen. Wanneer informatie van verschillende systemen moet worden gecombineerd om die uiterst belangrijke context te krijgen, wordt aan het doel voorbij gegaan. Een 'goed genoeg'-netwerk met meerdere puntoplossingen is een onstabiel netwerk dat een groot risico loopt op downtime. Downtime kan het gevolg zijn van een schending van de beveiliging of van het uitvallen van een van de verschillende systemen. Wanneer het netwerk uitvalt, komt alles stil te liggen, inclusief inkomsten. moeten IT-organisaties risico's bestrijden met meerdere deeloplossingen. GESPONSORD DOOR Moderne aanpak van netwerkbeveiliging Een 'goed genoeg'-netwerk en de bijbehorende beveiligingsconsequenties zijn echter niet de enige optie. Innovaties op het gebied van netwerkbeveiliging hebben gelijke tred gehouden met de snelle ontwikkelingen op het gebied van computertrends. Een Next-Generation Network houdt rekening met de technologieën van morgen en is ontworpen met geïntegreerde beveiligingsmogelijkheden voor proactieve beveiliging tegen gerichte, complexe dreigingen. Deze beveiliging stelt de IT-organisatie in staat om vol vertrouwen door te gaan met het nastreven van strategische zakelijke kansen, zoals mobiliteit en cloud computing. Een Next-Generation Network biedt diepgaand inzicht en complete contextbewuste controle om veiligheid voor het gehele netwerk te kunnen bieden, van het hoofdkantoor tot branchekantoren, voor zowel in-house medewerkers, als medewerkers op bedrade, draadloze of VPN-apparaten. Door middel van een netwerkbrede beleidsarchitectuur kunnen beveiligingsregels worden gemaakt, gedistribueerd en gecontroleerd op basis van een contextuele taal, zoals wie, wat, waar, wanneer en hoe. Handhaving omvat handelingen zoals het blokkeren van toegang tot gegevens of apparaten, of het initiëren van gegevenscodering. Wanneer een medewerker bijvoorbeeld vanaf een smartphone verbinding maakt met het bedrijfsnetwerk, identificeert het netwerk het apparaat en de gebruiker, en de hieraan verleende rechten. De beleidsengine stelt niet alleen beleidsregels vast voor het apparaat en de gebruiker, maar deelt deze beleidsregels ook met alle punten op het netwerk, en werkt de informatie direct bij wanneer een nieuw apparaat op het netwerk verschijnt. Geïntegreerde, netwerkbrede beleidsregels bevorderen natuurlijk een veilige toepassing van het 'Bring Your Own Device'1-beleid, maar Next-Generation Networks kunnen ook beveiligingsproblemen met betrekking tot cloud computing verhelpen. Met slechts één handeling op een uitgebreid gedistribueerd netwerk kunnen bedrijven het webverkeer intelligent omleiden om zo gedetailleerde beveiligings- en controlebeleidsregels te kunnen handhaven. 'Bring Your Own Device' verwijst naar een nieuwe trend waarbij medewerkers hun eigen apparaten, zoals smartphones of tablets, gebruiken voor toegang tot bedrijfsresources. 1 WHITE PAPER NETWERKEN 3 Het 'goed genoeg'-netwerk vs. het Next-Generation Network Met de implementatie van een netwerk met lage kapitaalkosten nemen IT-organisaties het risico dat ze 'nee' moeten zeggen tegen nieuwe technologieën of zakelijke initiatieven omdat het netwerk deze niet kan ondersteunen. GESPONSORD DOOR Het Next-Generation Network biedt veel meer dan alleen geïntegreerde beveiliging. Een Next-Generation Network is strategisch ontwikkeld zodat het is geoptimaliseerd voor de huidige vereisten en ontworpen voor toekomstige technologieonderbrekingen terwijl de investeringen worden beschermd. Een NextGeneration Network is met andere woorden een dynamisch netwerk dat ondersteuning biedt voor trends met betrekking tot mobiliteit, cloud computing en de veranderende beveiligingsdreigingen. Het transformeert het netwerk bovendien tot een mechanisme voor het leveren van services waardoor Chief Security Officers 'ja' kunnen zeggen tegen toekomstige strategische zakelijke inspanningen. Bij het berekenen van de totale eigendomskosten moet de Chief Security Officer de bedrijfseconomische waarde die uit strategische kansen valt te behalen, niet onderschatten. Met de implementatie van een netwerk met lage kapitaalkosten nemen IT-organisaties het risico dat ze 'nee' moeten zeggen tegen nieuwe technologieën of zakelijke initiatieven omdat het netwerk deze niet kan ondersteunen. Dit betekent 'nee' tegen het Bring Your Own Device-beleid, 'nee' tegen het uitbreiden van virtualisatie naar bedrijfskritieke toepassingen, 'nee' tegen cloudservices en 'nee' tegen rich media. Alle voordelen met betrekking tot kosten, concurrentiepositie, productiviteit en flexibiliteit gaan verloren omdat er een paar euro wordt bespaard op het netwerk. Deze voordelen wegen aan de andere kant echter volledig op tegen de totale kosten van een zakelijk NextGeneration Network. Laten we bekijken in welke opzichten een goedkoop of 'goed genoeg'-netwerk verschilt van een zakelijk Next-Generation Network: • Doel van het netwerk: Een 'goed genoeg'netwerk heeft één doel: toegang bieden tot IT-resources aan gebruikers. Dit was nog aanvaardbaar in 2005 toen uw gebruikers werkten op desktopcomputers die waren aangesloten op ethernetpoorten. Een zakelijk Next-Generation Network is een geïntegreerd netwerk dat bestaat uit bedrade, draadloze en externe clients. Het omvat verschillende apparaten, en daarnaast toegang tot gebouwen en beheer van energieverbruik. Het kan meerdere doelen dienen, waaronder connectiviteit tussen computers, wat nodig kan zijn voor nieuwe sensornetwerken of back-uptoepassingen voor datacenters. • Beveiliging: Een 'goed genoeg'-netwerk beschikt over losse beveiliging. Met andere woorden, de beveiliging bestaat uit deelproducten die niet goed kunnen worden geïntegreerd. Op een Next-Generation Network zijn beveiligingsmogelijkheden geïntegreerd vanaf de lokale apparatuur tot aan de cloud. Integratie betekent minder administratieve overhead en minder gaten in de beveiliging. • Toepassingsintelligentie: Een 'goed genoeg'-netwerk houdt geen rekening met toepassingen en endpoints. Het werkt puur op basis van gegevens. Een Next-Generation Network is toepassings- en endpointbewust. Het past zich aan afhankelijk van de toepassing die wordt aangeboden en het endpoint-apparaat waarop het wordt gebruikt. • Quality of Service: Een huidig 'goed genoeg'-netwerk is gebouwd op basis van algemene QoS-standaarden, die onvoldoende kunnen blijken te zijn voor videoverkeer en gevirtualiseerde desktops. Een Next-Generation Network beschikt over mediabewuste besturingselementen voor ondersteuning van spraak- en videointegratie. • Standaarden: Een 'goed genoeg'-netwerk is gebaseerd op standaarden, zonder rekening te houden met de toekomst. Een NextGeneration Network ondersteunt niet alleen huidige standaarden, maar is ook gericht op innovaties die leiden tot toekomstige standaarden. • Garantie: 'Goed genoeg'-netwerken beschikken over beperkte ondersteuning voor onderhoud en een garantieverklaring. Aanbieders van Next-Generation Networks bieden een garantie, plus intelligente services met geïntegreerd beheer. • Aanschafkosten: Besparingen op kapitaalkosten kunnen volledig worden tenietgedaan door stijgingen in bedrijfskosten indien zich hogere integratiekosten, meer downtime of ernstige schendingen van de beveiliging voordoen. Hoewel leveranciers van 'goed genoeg'netwerken deze kosten bagatelliseren, wordt door leveranciers van Next-Generation Networks een systeem-gebaseerde aanpak aanbevolen die niet alleen netwerkkosten in relatie tot bedrijfskosten verlaagt, maar ook verbeteringen van IT-services en nieuwe zakelijke kansen stimuleert, en daardoor het investeringsrendement verhoogt. WHITE PAPER NETWERKEN 4 De Borderless Network-architectuur Het beveiligen van de netwerken van gisteren voor de technologieën van vandaag is een moeizame taak. Om te kunnen anticiperen op de risico's en complexe dreigingen die worden geïntroduceerd door het opkomende gebruik van consumentensystemen in IT, mobiliteit en cloud computing, hebben ITorganisaties een NextGeneration Network nodig. Cisco heeft een framework voor het NextGeneration Network vastgesteld, genaamd Borderless Network-architectuur. Hiermee wordt gedefinieerd wat de lange-termijn visie van Cisco is voor het aanbieden van een nieuwe reeks netwerkservices, om te kunnen voldoen aan de vraag van zakelijke gebruikers en eindgebruikers. Deze services stellen de organisatie beter in staat te voldoen aan nieuwe en aankomende vereisten van gebruikers en IT-organisaties. Intelligente netwerkservices zijn essentieel voor het terugbrengen van de totale eigendomskosten en stellen IT beter in staat om nieuwe zakelijke ontwikkelingen te ondersteunen. Cisco streeft ernaar om systemen uit te bouwen en te zorgen dat IT aan de onderkant minder tijd kwijt is aan algemene netwerkintegratie. Daartoe biedt Cisco een reeks netwerkservices aan, waardoor het netwerk beter kan voldoen aan de behoeften van gebruikers en het bedrijf. Een van de sleutels tot het succes van Cisco Borderless Networks is het Cisco SecureX Framework. Dit is een beveiligingssysteem met een bereik van de endpoint tot de cloud dat beleidsregels en controle biedt voor elke hop in het netwerk, en dat daarnaast gecentraliseerd beheer en geïntegreerde hulpmiddelen biedt voor planning vooraf, configuratie, netwerkbrede beleidsdistributie en probleemoplossing. Het Cisco SecureX Framework Cisco SecureX combineert de kracht van het Cisco-netwerk met contextbewuste beveiliging om organisaties van vandaag de dag te beschermen, ongeacht wanneer, waar of hoe het netwerk wordt gebruikt. Het Cisco SecureX Framework is gebouwd op basis van drie principes: GESPONSORD DOOR • Contextbewust beleid maakt gebruik van een vereenvoudigde, beschrijvende bedrijfstaal voor het definiëren van het beveiligingsbeleid op basis van vijf parameters: de identiteit van de persoon, de toepassing die in gebruik is, het toegangsapparaat, de locatie en de tijd. Aan de hand van dit beveiligingsbeleid wordt bedrijven een effectievere beveiliging geboden en kunnen deze met een grotere operationele efficiëntie en controle voldoen aan doelstellingen met betrekking tot compliance. • Contextbewuste beveiligingshandhaving maakt gebruik van netwerkintelligentie en algemene intelligentie voor het nemen van beslissingen met betrekking tot handhaving over het hele netwerk en het bieden van constante, diepgaande beveiliging overal binnen de organisatie. Flexibele implementatieopties, zoals geïntegreerde beveiligingsservices, zelfstandige apparaten of cloudgebaseerde beveiligingsservices brengen bescherming dichter bij de gebruiker, waarbij de netwerkbelasting wordt beperkt en beveiliging wordt verbeterd. • Netwerkintelligentie en algemene intelligentie bieden een uitgebreid inzicht in netwerkactiviteit en het algemene dreigingslandschap voor snelle, nauwkeurige beveiliging en beleidshandhaving: >L okale intelligentie van de Cisconetwerkinfrastructuur gebruikt context zoals identiteit, apparaat, postuur, locatie en gedrag voor het handhaven van beleidsregels met betrekking tot toegang en gegevensintegriteit. >A lgemene intelligentie van de mondiale beveiliging van Cisco (Cisco Security Intelligence Operations; SIO) biedt volledige, up-to-date context en gedrag van dreigingen voor het realiseren van realtime, nauwkeurige beveiliging. Cisco SecureX stelt organisaties in staat mobiliteit en de cloud te omarmen terwijl essentiële bedrijfsmiddelen worden beschermd. Het biedt gedetailleerd inzicht en controle, tot aan gebruiker- en apparaatniveau, binnen de gehele organisatie. Voor IT-beveiligingsorganisaties biedt dit snellere, nauwkeurigere beveiliging tegen dreigingen met end-to-end, permanente beveiliging en geïntegreerde algemene intelligentie. De IT-organisatie profiteert van verhoogde operationele efficiëntie door middel van vereenvoudigde beleidsregels, geïntegreerde beveiligingsopties en automatische beveiligingshandhaving. Conclusie Het beveiligen van de netwerken van gisteren voor de technologieën van vandaag is een moeizame taak. Om te kunnen anticiperen op de risico's en complexe dreigingen die worden geïntroduceerd door mobiliteit, cloud computing en de verstrengeling van privé en zakelijk IT-gebruik, hebben IT-organisaties een NextGeneration Network nodig. Een Next-Generation Network stelt het bedrijf in staat om eenvoudiger zaken te doen, terwijl de diepgaande, geïntegreerde beveiliging ervan zorgt voor een gepast beveiligingsniveau voor de bedrijfskritieke IT-systemen van vandaag de dag. Meer informatie op www.cisco.com/go/security.
