Mikrosegmentierung und softwaredefinierte Perimeter

In einem flachen Netzwerk kann ein Angreifer, der Zugriff auf einen Endpunkt erlangt hat, nahezu uneingeschränkt mit allen anderen Systemen kommunizieren. Dies ermöglicht eine schnelle laterale Bewegung — die Technik, mit der Angreifer von einer kompromittierten Workstation zu sensiblen Servern, Domänencontrollern und Datenspeichern wechseln. Mikrosegmentierung wirkt dem direkt entgegen, indem sie das Netzwerk in kleine, voneinander isolierte Zonen aufteilt.

Mikrosegmentierung teilt das Netzwerk in fein abgestufte Segmente auf, in denen Workloads nur mit ausdrücklich autorisierten Kommunikationspartnern kommunizieren. Im Gegensatz zu herkömmlichen VLANs, die auf grober Ebene segmentieren, wendet die Mikrosegmentierung Richtlinien auf der Workload- oder Anwendungsebene an — häufig bis hin zu einzelnen Containern oder virtuellen Maschinen. Datenverkehr wird standardmäßig abgelehnt, und nur ausdrücklich erlaubte Datenflüsse werden zugelassen.

Netzwerkdatenverkehr fließt in zwei Richtungen. Nord-Süd-Datenverkehr fließt zwischen Benutzern bzw. dem Internet und internen Ressourcen (vertikal). Ost-West-Datenverkehr fließt zwischen Workloads innerhalb des Rechenzentrums (horizontal). Herkömmliche Firewalls prüfen hauptsächlich Nord-Süd-Datenverkehr. Mikrosegmentierung konzentriert sich auf Ost-West-Datenverkehr — den Pfad, den Angreifer nach einer ersten Kompromittierung nutzen, um sich zwischen internen Systemen zu bewegen.

Software-Defined Networking (SDN) trennt die Steuerungsebene (Entscheidungen darüber, wohin Datenverkehr geleitet wird) von der Datenebene (tatsächliche Weiterleitung von Paketen). Ein zentraler SDN-Controller programmiert Netzwerkgeräte mit Weiterleitungsregeln. Dadurch kann Mikrosegmentierung softwarebasiert implementiert werden, ohne physische Switches neu zu konfigurieren. So lassen sich Richtlinien in großen Umgebungen schnell, konsistent und revisionssicher ändern.

Ein Software-Defined Perimeter (SDP) macht Netzwerkressourcen standardmäßig unsichtbar — sie reagieren nicht auf nicht authentifizierte Verbindungsversuche. Benutzer authentifizieren sich zunächst bei einem SDP-Controller. Dieser prüft Identität und Gerätezustand und erstellt anschließend dynamisch einen verschlüsselten Tunnel nur zu den Ressourcen, auf die sie zugreifen dürfen. Dadurch werden Erkundungen auf Netzwerkebene und Pfade für laterale Bewegungen verhindert.

Zero Trust Network Access (ZTNA) ist die Produktkategorie, die SDP-Konzepte implementiert. Im Gegensatz zu einem VPN, das weitreichenden Netzwerkzugriff gewährt, ermöglicht ZTNA den Zugriff nur auf bestimmte Anwendungen. Der Benutzer verbindet sich mit einem ZTNA-Broker, der Identität und Gerät authentifiziert und anschließend Verbindungen zur Zielanwendung proxyt. Zu den verbreiteten Implementierungen gehören Cloudflare Access, Zscaler Private Access und Palo Alto Prisma Access.

Cloud-Plattformen bieten native Werkzeuge für die Mikrosegmentierung. AWS Security Groups ermöglichen präzise Regeln für ein- und ausgehenden Datenverkehr pro EC2-Instanz. Azure NSGs (Network Security Groups) werden auf Subnetz- oder NIC-Ebene angewendet. Google VPC Firewall Rules können auf Tags beschränkt werden. Alle arbeiten nach dem Modell der impliziten Ablehnung — nur ausdrücklich erlaubter Datenverkehr fließt — und sind damit natürliche Bausteine für die Mikrosegmentierung in Cloud-Umgebungen.

In containerisierten Umgebungen implementieren Service Meshes wie Istio und Linkerd die Mikrosegmentierung durch gegenseitiges TLS (mTLS) zwischen Pods. Jeder Aufruf zwischen Services wird authentifiziert und verschlüsselt, und Autorisierungsrichtlinien legen ausdrücklich fest, welche Services miteinander kommunizieren dürfen. Dadurch werden die Ost-West-Kontrollen von Zero Trust bis auf einzelne Microservices in Kubernetes-Clustern ausgeweitet.

Herkömmliche Netzwerksegmentierung verwendet VLANs, DMZs und Subnetze, um großflächige Sicherheitszonen zu erstellen. Mikrosegmentierung ist weitaus granularer — Richtlinien gelten auf Workload- oder Prozessebene, nicht auf Subnetzebene. Ein VLAN kann 50 Server enthalten, denen die Kommunikation untereinander erlaubt ist. Mikrosegmentierung stellt dagegen sicher, dass nur bestimmte Server dieses VLANs bestimmte Ports bestimmter Kommunikationspartner erreichen können, wodurch die Pfade für laterale Bewegungen erheblich verkürzt werden.

Eine wirksame Mikrosegmentierung erfordert umfassende Transparenz über bestehende Netzwerkdatenflüsse, bevor Richtlinien angewendet werden. Tools zur Erkennung bilden tatsächliche Kommunikationsmuster zwischen Workloads ab. Ein gängiger Ansatz besteht darin, zunächst den Überwachungsmodus bereitzustellen — sämtlichen Datenverkehr zu beobachten und vorgeschlagene Richtlinien zu erstellen — und anschließend in den Erzwingungsmodus zu wechseln, um nicht autorisierte Datenflüsse abzulehnen. So wird verhindert, dass bei der Einführung versehentlich legitimer Datenverkehr blockiert wird.

Der wichtigste Sicherheitsvorteil der Mikrosegmentierung ist die Verringerung des Schadensradius. Wenn ein Angreifer eine Workstation im Vertriebs-VLAN kompromittiert, verhindern Mikrosegmentierungsrichtlinien, dass diese Workstation mit der Finanzdatenbank, dem HR-System oder Domänencontrollern kommuniziert. Der Angreifer bleibt auf das Segment beschränkt, in dem er Zugriff erlangt hat. Dadurch lässt sich der Vorfall leichter eindämmen und beheben, bevor ein großflächiger Schaden entsteht.

Testen Sie Ihr Verständnis der CompTIA-Security+-Konzepte (SY0-701) aus dieser Lektion.

In dieser Lektion haben Sie gelernt: Mikrosegmentierung unterteilt Netzwerke auf Workload-Ebene, um laterale Bewegungen einzuschränken, softwaredefinierte Perimeter machen Ressourcen unsichtbar, bis die Identität überprüft wurde, und ZTNA ersetzt VPNs, indem Zugriff auf Anwendungsebene statt auf Netzwerkebene gewährt wird. Als Nächstes untersuchen wir, wie Identität durch Richtlinien für bedingten Zugriff zum neuen Perimeter wird.