Een organisatie die twee keer per week onbereikbaar is, houdt tegenwoordig geen klanten meer over. Personeel werkt vanuit huis, vanuit de trein, soms vanuit een hotelkamer aan de andere kant van Europa, en verwacht daar dezelfde toegang tot bedrijfssystemen als op kantoor. Die verwachting heeft de meeste organisaties gedwongen hun IT anders in te richten.
Het antwoord van veel bedrijven is een hybride netwerk, waarin eigen servers, private cloud en publieke cloud naast elkaar functioneren. De eigen infrastructuur blijft betrouwbaar voor gevoelige data, terwijl de cloud de flexibiliteit levert om snel op te schalen wanneer dat nodig is. Wat op papier een logische stap lijkt, blijkt in de praktijk een stuk lastiger te bouwen, en nog lastiger te beveiligen.
Om zo’n omgeving werkend te krijgen, moeten drie werelden die vroeger gescheiden waren nu op elkaar aansluiten. Campus en datacenternetwerken moeten rechtstreeks kunnen praten met private en publieke cloudomgevingen, kantoren en filialen moeten onderling verbonden zijn, en medewerkers buiten kantoor moeten, waar ze ook zitten, bij dezelfde systemen kunnen als hun collega’s op de zaak.
Waarom klassieke beveiliging vastloopt op een hybride netwerk
Een hybride netwerk geeft IT-teams veel vrijheid. Nieuwe applicaties, nieuwe locaties, nieuwe cloudverbindingen, het kan allemaal snel worden opgezet. Het probleem zit niet in die snelheid. Het probleem zit in de beveiliging die daaronder hoort te liggen.
De meeste bestaande beveiligingssystemen zijn ooit gebouwd voor een heel andere situatie, met een vaste, goed afgebakende netwerkrand. Ze draaien als een laag bovenop het netwerk, los van de infrastructuur die ze eigenlijk moeten beschermen. Zodra een modern hybride netwerk op zo’n verouderd systeem blijft leunen, ontstaan precies de kieren waar aanvallers naar op zoek zijn.
Welke risico’s brengt een hybride netwerk in de praktijk met zich mee
Wat maakt een hybride netwerk nu concreet lastiger te beveiligen dan de klassieke opzet met één kantoor en één datacenter? Een paar patronen komen bij vrijwel elke organisatie terug.
Het aanvalsoppervlak groeit sneller dan de beveiliging kan bijbenen
Meer locaties, meer applicaties, meer diensten. Elk nieuw netwerksegment vraagt in de klassieke aanpak weer om een eigen beveiligingsoplossing, waardoor IT-teams verstrikt raken in een steeds grotere verzameling losse producten. De echte opgave is die versnippering terug te dringen, met een systeem dat meegroeit zodra het netwerk zelf groeit.
Aanvallers zoeken gericht naar de zwakste schakel
Cybercriminelen gaan niet lukraak te werk. Ze speuren naar het onderdeel van het netwerk dat het minst goed is afgeschermd, en zodra ze daar binnen zijn profiteren ze van een gebrek aan interne segmentatie om zich verder te verspreiden. Aanvallen op IoT en industriële apparatuur, ook wel IIoT genoemd, laten dit patroon goed zien. De toegang verloopt vaak via een matig beveiligd onderdeel van het netwerk, waarna de aanvaller doorschuift naar de productieomgeving.
Beleid dat op de ene plek geldt en op de andere niet
Gebruikers, apparaten en applicaties bewegen zich inmiddels overal, maar niet elke beveiligingsoplossing kan overal worden ingezet of centraal worden beheerd. Zodra dat niet lukt, ontstaat ruimte voor inconsistentie. En juist workflows die tussen omgevingen bewegen, lopen daardoor het meeste risico.
Versleuteld verkeer dat niemand meer volledig inspecteert
Oudere beveiligingsoplossingen hebben eenvoudigweg niet de rekenkracht om het huidige volume aan versleuteld verkeer te inspecteren zonder dat de netwerksnelheid daaronder lijdt. IT-teams moeten dus verdedigen terwijl ze voor een deel blind zijn. Cybercriminelen weten dat, en malware via een versleutelde VPN-tunnel naar binnen smokkelen is inmiddels een geliefde tactiek.
Losse producten laten weinig ruimte voor automatisering
Bij de snelheid waarmee moderne aanvallen zich voltrekken is geautomatiseerde detectie en respons eigenlijk een minimum. Alleen lukt dat niet met tientallen losstaande beveiligingsproducten verspreid over het netwerk. In de praktijk moeten teams dreigingsinformatie handmatig koppelen aan netwerkgegevens, met als gevolg dat aanvallen worden gemist of de reactie te laat komt.
On-premises en cloud die elkaar nauwelijks spreken
Het probleem stopt niet bij beveiligingssystemen die geen informatie uitwisselen. Ook fysieke infrastructuur en on-premises applicaties hebben vaak moeite om te communiceren met wat er in de cloud draait, terwijl steeds meer workflows over beide omgevingen heen lopen. Wordt één onderdeel aangevallen, dan is er zelden een mechanisme dat de rest van het netwerk waarschuwt of automatisch extra bescherming activeert.
Netwerk en beveiliging laten samenkomen in één systeem
De oplossing voor deze opgestapelde problemen zit niet in nóg een los product erbij. Netwerk en beveiliging moeten in elkaar overlopen tot één systeem dat meebeweegt met een netwerk dat voortdurend verandert. Die gedachte heeft inmiddels een naam binnen de sector, de hybride mesh firewall, of HMF.
Een hybride mesh firewall is een beveiligingsaanpak van één leverancier die consistente bescherming levert over meerdere locaties en locatietypen tegelijk. De term slaat op het samenbrengen van fysieke hardware firewalls, virtuele firewalls, cloud-native varianten en firewall-as-a-service onder één architectuur, aangestuurd vanuit een gecentraliseerd, cloud-gebaseerd managementplatform.
Het is geen marketingverzinsel van één fabrikant. Gartner omschrijft een hybride mesh firewall in de Market Guide for Hybrid Mesh Firewall Platforms als een multideployment firewall die hardware, virtuele appliances, cloud-gebaseerde en as-a-service varianten combineert onder één cloud-gebaseerd managementplatform. Voor wie op zoek is naar een eenduidige, onafhankelijke definitie van de categorie, is dat op dit moment het meest concrete ijkpunt vanuit de analistenwereld. Bij Fortinet vormen FortiGate firewalls de basis van die aanpak.
Wat een hybride mesh firewall in de praktijk verandert
Eén beleid, ongeacht waar de data staat
Bedrijven werken zelden nog met alleen on-premises infrastructuur. Publieke cloud, private cloud en soms een combinatie van beide horen er inmiddels bij. Een HMF is gebouwd om precies die mix te beschermen, met beveiligingsregels die overal gelden, ongeacht waar een applicatie of dataset op dat moment draait.
Minder losse consoles, minder ruimte voor fouten
Het beheren van meerdere afzonderlijke beveiligingsproducten kost tijd en gaat, vroeg of laat, een keer mis. Met één centraal managementplatform voor zowel hardware firewalls in het datacenter als virtuele firewalls in de cloud valt die operationele last grotendeels weg, en houdt het beveiligingsteam tijd over voor werk dat er echt toe doet.
Dreigingen herkennen voordat ze schade aanrichten
De meeste HMF platformen zetten kunstmatige intelligentie en machine learning in om verkeer te beoordelen. Dat maakt het makkelijker om onbekende aanvalspatronen, waaronder zero-day kwetsbaarheden, in een vroeg stadium te signaleren en tegen te houden, in plaats van pas nadat er al schade is ontstaan.
Thuiswerken zonder dat het netwerk kwetsbaar wordt
Nu een groot deel van het personeel structureel op afstand werkt, moet beveiliging even ver reiken als die medewerkers zelf. Cloud-gebaseerde firewallfuncties binnen een HMF zorgen ervoor dat mensen buiten kantoor veilig toegang krijgen tot bedrijfssystemen, zonder dat het netwerk daarvoor open hoeft te staan.
Overzicht dat verder gaat dan één locatie
Vanuit één interface zien beheerders wat er op het hele netwerk gebeurt, in plaats van per locatie of omgeving apart te moeten inloggen. Dat overzicht maakt het makkelijker om risico’s op tijd te herkennen, ook in een omgeving die uit tientallen verschillende onderdelen bestaat.
Meegroeien met de organisatie
Of een bedrijf nu meer cloud gaat gebruiken, personeel aanneemt of het aantal IoT apparaten ziet toenemen, een HMF is erop gebouwd om mee te bewegen. Nieuwe capaciteit toevoegen hoeft niet te betekenen dat de hele opzet opnieuw wordt ingericht.
Wanneer mesh juist niet de beste keuze is
Een hybride mesh firewall is een indrukwekkende oplossing voor complexe, verspreide netwerken. Dat betekent niet dat elke organisatie er ook wat aan heeft. Een klein bedrijf met één locatie, weinig cloudgebruik en nauwelijks thuiswerkers schiet weinig op met zo’n uitgebreid systeem. Een gewone, degelijke firewall doet in die situatie precies wat nodig is, tegen een fractie van de kosten en de complexiteit.
Er is ook een andere kant. Het beheren van een HMF vraagt kennis die niet elke organisatie in huis heeft, of wil opbouwen. Wie niet de tijd, het budget of de mensen heeft om zo’n systeem goed te configureren, te monitoren en actueel te houden, haalt er weinig voordeel uit en creëert eerder een nieuw risico dan dat er een wordt weggenomen. In dat geval is het vaak verstandiger om eerst te kijken naar bredere netwerk security, of naar externe ondersteuning, dan meteen te investeren in een platform dat vervolgens grotendeels op de plank blijft liggen.
Meedenken over de juiste strategie
Elk netwerk is anders opgebouwd, en dat geldt evengoed voor de beveiliging die daarbij past. Voordat u overstapt op een hybride mesh firewall, is het goed om eerst te weten waar de huidige kwetsbaarheden precies zitten. Met een security scan brengt SolidBE dat in kaart, van buitenaf en van binnenuit, zodat een eventuele overstap gebaseerd is op feiten in plaats van op een gevoel.
Onze engineers werken dagelijks met FortiGate firewalls van Fortinet en helpen organisaties, van een enkele vestiging tot een opzet met meerdere locaties en clouddiensten, bij het opzetten van een architectuur die past bij de manier waarop zij werken. Heeft u vragen over firewall, netwerk of strategie, of wilt u weten of een hybride mesh firewall aansluit bij uw situatie? Neem contact op met SolidBE, onze specialisten denken graag mee.
