Seeing the Invisible: Network Monitoring in a Zero Trust World

Die Anwendungstransformation hat eine Realität geschaffen, in der herkömmliche Überwachungsansätze neu überdacht werden müssen: Anwendungen werden heute als SaaS und Infrastruktur über öffentliche Clouds bereitgestellt und User – ob Mitarbeiter, Partner oder Kunden – greifen über ihre Mobilgeräte von außerhalb des Unternehmens auf interne Ressourcen zu. Geschäfte werden nicht mehr innerhalb eines vertrauenswürdigen Unternehmensnetzwerks oder eines eindeutig definierten Sicherheitsperimeters getätigt. Hub-and-Spoke-Netzwerke mit Legacy-Sicherheitsmodellen nach dem Castle-and-Moat-Prinzip stammen aus einer Zeit vor der Cloud und einer mobilen Welt und sind den heutigen Herausforderungen deshalb nicht mehr gewachsen.

Mit seiner cloudbasierten Zero Trust Exchange macht Zscaler das Internet zu einem sicheren Ort für Geschäfte. Sie verbindet User, Geräte und Anwendungen auf sichere Weise, unabhängig von deren Standort. Die Zero Trust Exchange ist ein moderner Ansatz zur Herstellung schneller und sicherer Verbindungen zu Anwendungen, Ressourcen und Daten eines Unternehmens, wobei das Internet effektiv als Unternehmensnetzwerk fungiert. User erhalten von überall und mit jedem Gerät Zugriff, ohne dabei Abstriche bei Sicherheit und Data Protection in Kauf nehmen zu müssen. Die Plattform beruht auf dem Zero-Trust-Prinzip der minimalen Rechtevergabe und gewährleistet mithilfe kontextbasierter Identitäts- und Richtliniendurchsetzung umfassende Sicherheit.

Bei herkömmlichen Firewalls erfolgt der Anwendungszugriff, indem durch den Sicherheitsperimeter des Unternehmensnetzwerks eine Verbindung mit dem Internet hergestellt wird. Wie bei einer buchstäblichen Mauer können solche „Löcher“ in der Firewall jedoch zur Eingangstür für Cyberkriminelle werden. VPNs platzieren Remote-User im Netzwerk, wo sich Bedrohungen im Fall einer Sicherheitsverletzung lateral ausbreiten und alle übrigen Login-geschützten Netzwerke und Systeme infizieren können. In beiden Fällen vergrößert sich die Angriffsfläche also erheblich. Die Zero Trust Exchange macht Anwendungen unsichtbar und nur für autorisierte User zugänglich. Das Netzwerk fungiert nicht als Verteidigungsmauer und kann deshalb auch keine „Löcher“ bekommen. Mit Zero Trust gibt es keine Angriffsfläche mehr.

In der Vergangenheit war es nur schwer möglich, Anwendungs- und Netzwerkprobleme beim Zugriff auf interne Applikationen durch Remote-User zu diagnostizieren. Grund dafür waren fehlende Überwachungsdaten. In VPN-Umgebungen sind Netzwerkpfade innerhalb des VPN-Tunnels immer gekapselt und unsichtbar. WLAN-Latenzproblemen oder Paketverlusten am Gateway auf den Grund zu gehen, ist unter diesen Umständen nahezu unmöglich.

Auf den ersten Blick scheint es, als würde die Umstellung auf eine Zero-Trust-Architektur dieses Problem nur noch verschlimmern: Immerhin werden interne Anwendungen dabei sogar vollständig vor dem Netzwerk verborgen. Herkömmliche Techniken zur Netzwerkpfadanalyse wie Traceroute und Ping funktionieren nicht mehr. Wie sollen Traceroute- oder Ping-Befehle für ein Ziel ausgeführt werden, das im Netzwerk nicht sichtbar ist?

Die Lösung: Zscaler Digital Experience (ZDX).

ZDX ergänzt die Zero Trust Exchange als Overlay, um umfassende Transparenz über die Performance sowohl öffentlicher als auch privater Anwendungen zu bieten.

Durch die Integration von ZDX und Zscaler Private Access (ZPA) ist nun eine präzise Analyse der User Experience sowohl aus der Perspektive der Anwendung als auch des Netzwerks möglich. ZDX liefert alle paar Minuten für jeden einzelnen User Statistiken zur Anwendungsperformance. Gleichzeitig werden Netzwerkpfade zur ZPA Service Edge über CloudPath analysiert (siehe Abb. 1) – in Kürze wird dabei sogar lückenlose Pfadtransparenz möglich sein.

Abb. 1: ZDX macht Hop-by-Hop-Daten zu allen Netzwerkverbindungen für eine durch ZPA geschützte interne Anwendung sichtbar

CloudPath misst die Hop-by-Hop-Netzwerkleistung mithilfe des integrierten Client Connector Agent von Zscaler in regelmäßigen Abständen von wenigen Minuten. Dabei wird genau erfasst, wo Latenzen und Paketverluste sich negativ auf die Anwendungsperformance auswirken könnten. CloudPath profitiert von der einzigartigen 360-Grad-Überwachung mit ZDX (siehe dazu diesen Blogbeitrag), wobei der Netzwerkpfad sowohl vom Endgerät des Users (ausgehend) als auch über die Zero Trust Exchange vom Internet aus (eingehend) analysiert wird.

Anhand dieser Einblicke lassen sich Leistungseinbußen im Zusammenhang mit Serververzögerungen, DNS-Auflösungszeiten, schwachem WLAN, lokaler ISP-Latenz, dem Internet-Backbone und anderen Faktoren aufdecken. Was in herkömmlichen VPN-Umgebungen verborgen bleibt, wird auf diese Weise mess- und erfassbar.

Längst ist klar, dass der Umstieg von Legacy-VPN auf ein Zero-Trust-Modell deutlich erhöhte Sicherheit mit sich bringt. Doch wer hätte gedacht, dass sich auch erhebliche Vorteile im IT-Betrieb ergeben?