Door te beperken hoeveel van het netwerk zichtbaar is, en te versterken wat wel zichtbaar is, worden de kansen voor cyberaanvallers aanzienlijk kleiner. Laten we eens kijken hoe Extreme Fabric Connect dat aanpakt!
Klanten zeggen vaak dat de kwetsbaarheid voor inbreuken een van hun grootste dreigingen is. Ze geven toe dat het grootste probleem met hun conventionele netwerktopologie is dat deze gemakkelijk in kaart kan worden gebracht. Ja, het vereenvoudigt het netwerkbeheer voor hen, maar creëert tegelijkertijd een gemakkelijk aanvalsplatform voor potentiële hackers.
Dit komt voort uit het feit dat de meeste bedrijfsnetwerken zijn geëvolueerd tot een gerouteerde backbone met meerdere virtuele interfaces die connectiviteit bieden voor een verscheidenheid aan gebruikerssegmenten. In de praktijk wordt dit geconfigureerd als meerdere virtuele LAN's (VLAN's) die groepen gebruikers bedienen, elk met een gerouteerde interface. De Layer 3-engines in het hart van het netwerk vullen tabellen met alle bekende routes, waardoor een situatie ontstaat waarin een-op-een-connectiviteit het standaardgedrag is.
IoT-apparaten zijn bijzonder kwetsbaar, omdat deze apparaten de noodzakelijke ingebouwde security missen om bedreigingen tegen te gaan en ze niet worden beschermd door firewalls. Als je een plat IP-netwerk hebt dat iemand binnendringt, kunnen ze met een aantal veelgebruikte IP-scanmechanismen gemakkelijk hun weg vinden naar gevoelige data als patiëntendossiers, klantbetalingsinformatie of videobewakingsservers. Aanvallen kunnen worden uitgevoerd vanaf vrijwel elk punt binnen of buiten het netwerk.
Dus de vraag rijst: hoe verdedig je je hiertegen?
Stealth-topologie betekent een onzichtbaar netwerk
Extreme Fabric Connect verwerkt het doorsturen van verkeer op een fundamenteel andere manier dan de traditionele netwerken. Omdat het fabric-netwerk Ethernet-centrisch is, is de topologie volledig onzichtbaar vanuit IP-perspectief. Er zijn geen inherente hop-by-hop IP-paden om te traceren, daarom ziet iedereen die een IP-hacktechniek gebruikt slechts één enkele hop naar de uitgang van het netwerk. Zelfs als de Ethernet Switched Paths worden doorbroken, blijft de end-to-end netwerktopologie altijd verborgen.
Daarom wordt de connectiviteit opgezet als één-op-één of een reeks van meerdere één-op-één. Bijvoorbeeld: wanneer twee apparaten met elkaar communiceren via de backbone wordt connectiviteit tot stand gebracht door beide, alleen aan de Fabric Edge te configureren. Beiden zijn dan leden van hetzelfde VSN. Services, Layer 2 en Layer 3 VSN's, zijn een functie van expliciete provisioning en communicatie tussen verschillende services wordt geblokkeerd, tenzij dit specifiek wordt ingeschakeld.
Bovendien kunnen Virtual Service Networks (of VSN's), waar we het over hadden in het vorige 'Exploring the Fantastic Fabric'-artikel, alleen dynamisch worden verlengd en ingetrokken voor de duur van een specifieke sessie - terwijl apparaten en gebruikers verbinding maken en de verbinding verbreken met de netwerk. Wanneer een gebruiker de verbinding verbreekt, wordt de resterende serviceconfiguratie automatisch verwijderd van access edge-switches, waardoor backdoor-access points en potentiële netwerkkwetsbaarheden worden verminderd. We noemen dit "Service-elasticiteit".
Wat betekent dit voor jouw bedrijf?
Er is een oud gezegde dat luidt: "De aanval is de beste verdediging.” Maar in termen van netwerksecurity kunnen beter anders formuleren: de beste verdediging is om te voorkomen dat de aanval überhaupt plaatsvindt!
Op het meest fundamentele niveau maakt het verbergen van de netwerktopologie het bijna onmogelijk voor hackers om naar gevoelige delen van het netwerk te gaan. Kritieke data en bedrijfsmiddelen worden niet alleen beschermd tegen veelgebruikte IP-scantechnieken of DoS-aanvallen – potentiële inbreuken worden beperkt en de schade wordt geminimaliseerd.
Dit is belangrijk voor veel organisaties, vooral uit de publieke sector, die moeten voldoen aan specifieke normen voor databescherming, zoals de AVG. Het mooie van stealth-netwerken is dat het een aanvulling is op gespecialiseerde service-overlays, zoals PCI voor financiële transacties of voor gegevensbescherming in de gezondheidszorg en juridische en financiële sectoren.
Omdat fabric-netwerk Ethernet-centrisch is, is de topologie volledig onzichtbaar vanuit IP-perspectief.
Verder vereenvoudigt Service Elasticity de provisioning, waardoor het eenvoudiger wordt om IoT-apparaten te beschermen. IoT-apparaten zijn vaak onbeheerd en moeten in realtime worden ingezet, zonder tussenkomst van IT. Extreme Fabric Connect elimineert het risico van een backdoor-access point tot het netwerk, wat kan gebeuren in een handmatig geconfigureerd netwerk.
Als je ons niet op ons woord te gelooft, lees dan eens het verhaal van de Université libre de Bruxelles. Deze grote Belgische onderzoeksuniversiteit moest een probleem oplossen waarbij alle werkstations een openbaar IP-adres hadden. Dankzij hypersegmentatie (besproken in het vorige artikel) en stealth-netwerken slaagde de universiteit erin om bewakingscamera's en IP-telefonie in een beveiligd segment te plaatsen, gescheiden van het internetverkeer van de gebruikers.
We werken nu met dynamische IP-adressen via Dynamic Host-configuratieprotocol. Het is niet alleen vlotter, maar ook veel veiliger.
Karin Doguet, Chief Information Officer, Université libre de Bruxelles
Université libre de Bruxelles – lees het volledige klantverhaal
De vrijheid om te groeien. Hoe heeft Université libre de Bruxelles haar netwerk verder ontwikkeld?
Brussel. De hoofdstad van de EU. Een centrum van innovatie, creativiteit en openheid. De thuisbasis van Université libre de Bruxelles - een van de meest vooruitstrevende onderwijsinstellingen in Europa. Maar wat doe je als het potentieel van jouw studenten wordt belemmer...
Lees verder
Wat volgt?
Heeft Extreme Fabric Connect je aandacht getrokken? Wil je de oplossing in meer technisch detail verkennen?
Overweeg dan eens ons compacte e-book 'Fabric Connect Key Capabilities' te lezen, waarin een overzicht van de technologie wordt gegeven en handige functies worden uitgesplitst op het gebied van OA&M, infrastructuur, services, routing, Data Center, Campus Edge en branch. Klik op de onderstaande knop! 👇
En in ons volgende en laatste artikel in de reeks 'Exploring the Fantastic Fabric' vertellen we hoe je meer automatisering kunt toevoegen aan je security.