Extreme Fabric Connect: een onzichtbaar netwerk

Klanten zeggen vaak dat de kwetsbaarheid voor inbreuken een van hun grootste dreigingen is. Ze geven toe dat het grootste probleem met hun conventionele netwerktopologie is dat deze gemakkelijk in kaart kan worden gebracht. Ja, het vereenvoudigt het netwerkbeheer voor hen, maar creëert tegelijkertijd een gemakkelijk aanvalsplatform voor potentiële hackers.

Dit komt voort uit het feit dat de meeste bedrijfsnetwerken zijn geëvolueerd tot een gerouteerde backbone met meerdere virtuele interfaces die connectiviteit bieden voor een verscheidenheid aan gebruikerssegmenten. In de praktijk wordt dit geconfigureerd als meerdere virtuele LAN's (VLAN's) die groepen gebruikers bedienen, elk met een gerouteerde interface. De Layer 3-engines in het hart van het netwerk vullen tabellen met alle bekende routes, waardoor een situatie ontstaat waarin een-op-een-connectiviteit het standaardgedrag is.

IoT-apparaten zijn bijzonder kwetsbaar, omdat deze apparaten de noodzakelijke ingebouwde security missen om bedreigingen tegen te gaan en ze niet worden beschermd door firewalls. Als je een plat IP-netwerk hebt dat iemand binnendringt, kunnen ze met een aantal veelgebruikte IP-scanmechanismen gemakkelijk hun weg vinden naar gevoelige data als patiëntendossiers, klantbetalingsinformatie of videobewakingsservers. Aanvallen kunnen worden uitgevoerd vanaf vrijwel elk punt binnen of buiten het netwerk.

Dus de vraag rijst: hoe verdedig je je hiertegen?

Extreme Fabric Connect verwerkt het doorsturen van verkeer op een fundamenteel andere manier dan de traditionele netwerken. Omdat het fabric-netwerk Ethernet-centrisch is, is de topologie volledig onzichtbaar vanuit IP-perspectief. Er zijn geen inherente hop-by-hop IP-paden om te traceren, daarom ziet iedereen die een IP-hacktechniek gebruikt slechts één enkele hop naar de uitgang van het netwerk. Zelfs als de Ethernet Switched Paths worden doorbroken, blijft de end-to-end netwerktopologie altijd verborgen.

Daarom wordt de connectiviteit opgezet als één-op-één of een reeks van meerdere één-op-één. Bijvoorbeeld: wanneer twee apparaten met elkaar communiceren via de backbone wordt connectiviteit tot stand gebracht door beide, alleen aan de Fabric Edge te configureren. Beiden zijn dan leden van hetzelfde VSN. Services, Layer 2 en Layer 3 VSN's, zijn een functie van expliciete provisioning en communicatie tussen verschillende services wordt geblokkeerd, tenzij dit specifiek wordt ingeschakeld.

Bovendien kunnen Virtual Service Networks (of VSN's), waar we het over hadden in het vorige 'Exploring the Fantastic Fabric'-artikel, alleen dynamisch worden verlengd en ingetrokken voor de duur van een specifieke sessie - terwijl apparaten en gebruikers verbinding maken en de verbinding verbreken met de netwerk. Wanneer een gebruiker de verbinding verbreekt, wordt de resterende serviceconfiguratie automatisch verwijderd van access edge-switches, waardoor backdoor-access points en potentiële netwerkkwetsbaarheden worden verminderd. We noemen dit "Service-elasticiteit".

Er is een oud gezegde dat luidt: "De aanval is de beste verdediging.” Maar in termen van netwerksecurity kunnen beter anders formuleren: de beste verdediging is om te voorkomen dat de aanval überhaupt plaatsvindt!

Op het meest fundamentele niveau maakt het verbergen van de netwerktopologie het bijna onmogelijk voor hackers om naar gevoelige delen van het netwerk te gaan. Kritieke data en bedrijfsmiddelen worden niet alleen beschermd tegen veelgebruikte IP-scantechnieken of DoS-aanvallen – potentiële inbreuken worden beperkt en de schade wordt geminimaliseerd.

Dit is belangrijk voor veel organisaties, vooral uit de publieke sector, die moeten voldoen aan specifieke normen voor databescherming, zoals de AVG. Het mooie van stealth-netwerken is dat het een aanvulling is op gespecialiseerde service-overlays, zoals PCI voor financiële transacties of voor gegevensbescherming in de gezondheidszorg en juridische en financiële sectoren.

Verder vereenvoudigt Service Elasticity de provisioning, waardoor het eenvoudiger wordt om IoT-apparaten te beschermen. IoT-apparaten zijn vaak onbeheerd en moeten in realtime worden ingezet, zonder tussenkomst van IT. Extreme Fabric Connect elimineert het risico van een backdoor-access point tot het netwerk, wat kan gebeuren in een handmatig geconfigureerd netwerk.

Als je ons niet op ons woord te gelooft, lees dan eens het verhaal van de Université libre de Bruxelles. Deze grote Belgische onderzoeksuniversiteit moest een probleem oplossen waarbij alle werkstations een openbaar IP-adres hadden. Dankzij hypersegmentatie (besproken in het vorige artikel) en stealth-netwerken slaagde de universiteit erin om bewakingscamera's en IP-telefonie in een beveiligd segment te plaatsen, gescheiden van het internetverkeer van de gebruikers.

Heeft Extreme Fabric Connect je aandacht getrokken? Wil je de oplossing in meer technisch detail verkennen?

Overweeg dan eens ons compacte e-book 'Fabric Connect Key Capabilities' te lezen, waarin een overzicht van de technologie wordt gegeven en handige functies worden uitgesplitst op het gebied van OA&M, infrastructuur, services, routing, Data Center, Campus Edge en branch. Klik op de onderstaande knop! 👇

En in ons volgende en laatste artikel in de reeks 'Exploring the Fantastic Fabric' vertellen we hoe je meer automatisering kunt toevoegen aan je security.