Was ist ein softwaredefinierter Perimeter? | SDP im Vergleich mit VPN

Was ist ein softwaredefinierter Perimeter (SDP)?

Ein softwaredefinierter Perimeter (SDP) ist eine Methode, mit dem Internet verbundene Infrastruktur (Server, Router usw.) zu verbergen, sodass externe Parteien und Angreifer sie nicht sehen können, unabhängig davon, ob sie lokal oder in der Cloud gehostet wird. Mit der SDP-Methode soll erreicht werden, dass die Grenzen des Netzwerks (der Perimeter) durch Software und nicht durch Hardware festgelegt werden. Ein Unternehmen, das ein SDP verwendet, legt gewissermaßen einen Mantel der Unsichtbarkeit über seine Server und sonstige Infrastruktur, sodass niemand sie von außen sehen kann. Autorisierte Benutzer können jedoch weiterhin auf die Infrastruktur zugreifen.

Ein softwaredefinierter Perimeter bildet für die Netzwerkebene eine virtuelle Grenze um die Ressourcen des Unternehmens, aber nicht für die Anwendungsebene. Das ist der Unterschied zu anderen zugriffsbasierten Kontrollen, die Benutzerrechte einschränken, aber umfassenden Netzwerkzugriff zulassen. Ein weiterer wesentlicher Unterschied besteht darin, dass bei einem SDP sowohl Geräte als auch die Benutzeridentität authentifiziert werden. Die Cloud Security Alliance hat das SDP-Konzept zuerst entwickelt.

Wie funktioniert ein SDP?

Mit einem SDP sollte es technisch unmöglich sein, unbefugt eine Verbindung mit einem Server herzustellen. SDPs erlauben den Benutzer erst den Zugriff, nachdem 1) die Benutzeridentität überprüft und 2) der Status des Geräts begutachtet wurde.

Nachdem Benutzer und Gerät authentifiziert wurden, stellt der SDP eine individuelle Netzwerkverbindung zwischen diesem Gerät und dem Server her, auf den es zugreifen soll. Ein authentifizierter Benutzer wird nicht in einem größeren Netzwerk angemeldet, sondern erhält eine eigene Netzwerkverbindung, auf die niemand sonst zugreifen kann und die nur die Dienste enthält, für die der Benutzer zugriffsberechtigt ist.

Stellen Sie sich einen Webserver vor, der mit dem Internet verbunden ist, aber keinerlei Verbindung zu irgendetwas herstellt. Er nimmt keine Anfragen an und sendet keine Antworten. Er hat keine offenen Ports und keinen Netzwerkzugriff, obwohl er an das Internet angeschlossen ist (ähnlich wie ein Toaster oder eine Lampe, die an eine Steckdose angeschlossen, aber ausgeschaltet sind, damit kein Strom hindurchfließt). Dies ist der Standardzustand für Server innerhalb eines softwaredefinierten Perimeters.

Man kann sich einen SDP auch wie eine Haustür vorstellen, die immer verschlossen bleibt. Niemand kann durch die Tür kommen oder etwa einen Blick hineinwerfen, bis die Person auf der anderen Seite der Tür überprüft hat, wer der Besucher ist und was er tut. Sobald der Besucher eingelassen wurde, schließt die Person im Haus die Tür wieder ab.

Wie erhält ein Benutzer Zugriff über einen SDP?

Überprüfung der Benutzeridentität: Die Identität des Benutzers wird normalerweise über einen Third-Party-Identitätsanbieter (IdP) geprüft. SDPs können auch in eine SSO-Lösung integriert werden. Der Benutzer kann durch eine einfache Kombination aus Benutzername und Passwort authentifiziert werden, Multifaktor-Authentifizierung mit irgendeiner Art Hardware-Token ist jedoch sicherer.

Geräteüberprüfung: Hierzu muss auch geprüft werden, ob auf dem Gerät des Benutzers aktuelle Software ausgeführt wird, ob es von Malware betroffen ist und weitere Sicherheitsaspekte. Theoretisch könnte ein SDP sogar eine Blockierliste nicht zugelassener Geräte erstellen und überprüfen, ob das Gerät auf dieser Blockierliste steht.

Genehmigung durch den SDP-Controller: Der SDP-„Controller“ ist die logische Komponente des SDP, die entscheiden muss, welche Geräte und Server eine Verbindung herstellen dürfen. Sobald Benutzer und Gerät authentifiziert sind, übermittelt der Controller die Genehmigung des Benutzers und des Geräts an das SDP-Gateway. Am SDP-Gateway wird der Zugriff tatsächlich zugelassen oder verweigert.

Sichere Netzwerkverbindung hergestellt: Das SDP-Gateway öffnet das „Gate“, das virtuelle Tor, und lässt den Benutzer ein. Auf der einen Seite des Gateways wird eine sichere Netzwerkverbindung mit dem Benutzergerät hergestellt, auf der anderen Seite eine Netzwerkverbindung mit den Diensten, auf die der Benutzer zugreifen darf. Diese Verbindung wird durch keine anderen Benutzer oder Server genutzt. Bei solchen sicheren Netzwerkverbindungen wird normalerweise Mutual TLS und möglicherweise ein VPN eingesetzt.

Benutzerzugriff: Der Benutzer kann auf bisher verborgene Netzwerkressourcen zugreifen und sein Gerät wie gewohnt weiter verwenden. Er operiert in einem verschlüsselten Netzwerk, zu dem nur er und die Dienste, auf die er zugreift, gehören.

Was ist Mutual TLS?

TLS oder Transport Layer Security ist ein Verschlüsselungs- und Authentifizierungsprotokoll, mit dem überprüft wird, ob ein Server „echt“ ist, also ob er derjenige Server ist, der er zu sein vorgibt. Bei Mutual TLS überprüfen sich beide Seiten gegenseitig: Sowohl der Client als auch der Server werden überprüft. Weitere Informationen zu Mutual TLS finden Sie hier.

Was ist ein VPN?

Ein VPN (virtuelles privates Netzwerk) ist ein verschlüsseltes Netzwerk, das über ein unverschlüsseltes Netzwerk betrieben wird. Es stellt verschlüsselte Verbindungen zwischen Geräten und Servern her, sodass sie sich so verhalten, als befänden sie sich in einem eigenen privaten Netzwerk.

Traditionell wurden VPNs zur Absicherung und Verwaltung des Zugriffs auf die Unternehmensinfrastruktur eingesetzt. In einigen Fällen kann ein SDP ein VPN ersetzen.

SDP und VPN im Vergleich: Was sind die Unterschiede?

VPNs können in die Architektur eines SDPs integriert werden, um sichere Netzwerkverbindungen zwischen Benutzergeräten und den Servern herzustellen, auf die sie zugreifen müssen. Es gibt jedoch große Unterschiede zwischen SDPs und VPNs. In gewisser Hinsicht sind SDPs sicherer: Während VPNs allen angeschlossenen Benutzern Zugriff auf das gesamte Netzwerk gewähren, werden bei SDPs die Netzwerkverbindungen nicht gemeinsam genutzt. SDPs sind möglicherweise auch einfacher zu verwalten als VPNs, insbesondere wenn interne Benutzer mehrere Zugriffsebenen benötigen.

Wenn man mit VPNs mehrere verschiedene Zugriffsebenen für ein Netzwerk verwalten möchte, braucht man mehrere VPNs. Angenommen, Bert arbeitet bei der Muster AG in der Buchhaltung, Carola im Vertrieb und Alice in der Entwicklung. Wenn man den Zugriff auf Netzwerkebene verwalten möchte, müssen drei VPNs eingerichtet werden: 1) ein Buchhaltungs-VPN für den Zugriff auf die Buchhaltungsdatenbank, 2) ein Vertriebs-VPN für die Kundendatenbank und 3) ein Entwicklungs-VPN für die Codebasis. Dies ist nicht nur für die IT kompliziert zu verwalten, sondern auch weniger sicher: Jeder, der beispielsweise auf das Buchhaltungs-VPN zugreifen darf, kann jetzt auf die Finanzdaten der Muster AG zugreifen. Wenn Bert seine Anmeldedaten versehentlich an Carola weitergibt, ist die Sicherheit kompromittiert – und die IT bekommt möglicherweise gar nichts davon mit.

Bringen wir nun noch einen vierten Beteiligten ins Spiel: David, den Finanzvorstand der Muster AG. David benötigt Zugriff auf die Buchhaltungsdatenbank und die Kundendatenbank. Ist es sinnvoll, dass David sich bei zwei separaten VPNs anmelden muss, um seine Arbeit zu erledigen? Oder sollte die IT-Abteilung der Muster AG noch ein weiteres VPN einrichten, das sowohl Zugriff auf die Buchhaltungs- als auch die Kundendatenbank bietet? Bei beiden Varianten ist die Verwaltung umständlich, und die zweite Variante birgt ein hohes Risiko: Ein Angreifer, der dieses neue VPN mit breitangelegten Zugriffsmöglichkeiten auf zwei Datenbanken kompromittiert, kann doppelt so viel Schaden anrichten wie zuvor.

SDPs sind dagegen viel granularer. Es gibt kein umfassendes VPN, bei dem sich jeder anmeldet, der auf dieselben Ressourcen zugreift. Stattdessen wird für jeden Benutzer eine separate Netzwerkverbindung hergestellt, fast so, als hätte jeder sein eigenes privates VPN. Darüber hinaus überprüfen SDPs sowohl Geräte als auch Benutzer, was es für einen Angreifer erheblich schwieriger macht, nur mit gestohlenen Anmeldedaten in das System einzudringen.

Es gibt noch weitere wichtige Features, die den Unterschied zwischen SDPs und VPNs ausmachen: SDPs sind standort- und infrastrukturunabhängig. Da SDPs eher auf Software als auf Hardware basieren, können sie überall bereitgestellt werden, wo die On-Premise-Infrastruktur, die Cloud-Infrastruktur oder beides geschützt werden soll. SDPs lassen sich auch problemlos in Multi-Cloud- und Hybrid-Cloud-Bereitstellungen integrieren. Und schließlich können SDPs Benutzer an beliebigen Standorten verbinden. Sie müssen sich nicht innerhalb des physischen Netzwerkperimeters eines Unternehmens befinden. Dies macht SDPs nützlich für die Verwaltung von Remote-Teams, die nicht in einem Firmenbüro arbeiten.

Was haben SDPs mit Zero Trust-Sicherheit zu tun?

Wie der Name schon sagt, bei Zero Trust-Sicherheit gibt es kein Vertrauen. Standardmäßig wird kein Benutzer, Gerät oder Netzwerk als vertrauenswürdig eingestuft. Zero Trust-Sicherheit ist ein Sicherheitsmodell, bei dem jede Person und jedes Gerät einer strengen Identitätsprüfung unterzogen werden, wenn diese versuchen, auf interne Ressourcen zuzugreifen. Das gilt unabhängig davon, ob sie sich innerhalb oder außerhalb des Netzwerkperimeters (oder des softwaredefinierten Perimeters) befinden.

Ein SDP ist eine Möglichkeit, Zero Trust-Sicherheit zu implementieren. Sowohl Benutzer als auch Geräte müssen überprüft werden, bevor sie eine Verbindung herstellen können, und sie bekommen nur den minimal benötigten Netzwerkzugriff. Kein Gerät, nicht einmal der Laptop eines CEOs, kann eine Netzwerkverbindung mit einer Ressource herstellen, zu deren Verwendung es nicht berechtigt ist.

Hier finden Sie weitere Informationen zum Thema Zero Trust-Sicherheit.