- Anzeigen -


Sie sind hier: Home » Fachbeiträge » Grundlagen

SDN, NFV und ihre Schwachstellen


SDN und NFV: Fluch oder Segen in Sachen Cybersicherheit?
Betrachtet man ein SDN-Netzwerk unter sicherheitstechnischen Aspekten, dann werden Dienste und Richtlinien von einem einzigen Punkt aus verwaltet und verteilt, dem zentralisierten SDN-Controller

- Anzeigen -





Von Dave Larsson, Corero Network Security

Nach etlichen Diskussionen zum Thema beginnen sich die traditionellen Netzwerke in Richtung virtueller Netzwerkfunktionen und Steuerungen zu wandeln. Telekommunikationsunternehmen und Hosting Provider setzen vermehrt auf Software Defined Networks (kurz SDN) und Network FunctionsVirtualization (NFV). Die zugrunde liegenden Technologien versprechen nicht nur insgesamt leistungsfähigere, sondern auch schnellere Netzwerke, die besser zu skalieren sind.

Die Karriere der SDNs begann etwa 2015 mit einem rasanten Wachstum. Die beobachtenden Analysten prognostizieren dem SDN-Markt Wachstumsraten von jährlich 34 Prozent, was einem Wert von etwa 7 Milliarden US-Dollar im Jahr 2021 entspricht. Mit dieser Entwicklung wird sich die Art und Weise verändern, in der Netzwerke bisher aufgebaut, entwickelt und verwaltet worden sind. Durchsetzen wird sich eine sehr viel einheitlichere Herangehensweise beim Optimieren der Datenströme.

Betrachtet man ein SDN-Netzwerk unter sicherheitstechnischen Aspekten, dann werden Dienste und Richtlinien von einem einzigen Punkt aus verwaltet und verteilt, dem zentralisierten SDN-Controller. Das ist Fluch und Segen zugleich. Wird ein SDN-Controller erfolgreich angegriffen, hat ein Hacker ziemlich schnell die Kontrolle über das komplette Netzwerk.

Nimmt man das Beispiel einer DDoS-Attacke, kann ein SDN-Controller faktisch zu einer Schwachstelle werden, die Hacker problemlos ausnutzen können. Das Rückgrat eines SDN-Netzwerkes, nämlich die nahezu unbegrenzt verfügbare Bandbreite, kann sich schnell als nutzlos erweisen, wenn ein Controller kompromittiert wurde. Selbst eine relativ kleine, aber gut konzipierte 10 GB DDoS-Attacke kann dazu führen, dass ein komplettes Rechenzentrum Offline gehen muss. Einfach aufgrund der Tatsache, dass das Steuerungs-Panel mit Junk-Events und einer hohen Dichte von laufenden Sessions überschwemmt wird. Eher noch als in traditionellen Netzwerken kann eine einzige und relativ kleine DDoS-Attacke mit nur geringer Bandbreite in einem SDN-Netzwerk einen enormen Kollateralschaden anrichten.

Schutz vor DDoS-Angriffen
Will man für SDN- und NFV-Netzwerke eine sichere Umgebung schaffen, sollte man sich für eine automatisierte In-Line-Lösung bei der Abwehr von DDoS-Angriffen entscheiden, die an der Netzwerkgrenze des jeweiligen Rechenzentrums sitzt. Das ist der einzige Weg, Einblick in den kompletten Datenstrom in einem virtuellen Netzwerk zu bekommen und auf mögliche Vorkommnisse tatsächlich in Echtzeit reagieren zu können. Indem man den SDN-Controller und die DDoS-Abwehr über eine API miteinander verbindet, lässt sich ein potenziell kompromittierter Controller managen. DDoS-Angriffe werden dann abgewehrt, sobald sie auftauchen. Im Falle einer kritischen Übersättigung, signalisiert die DDoS-Abwehr das sehr schnell an die DDoS-Ressource in der Cloud, um die Attacke einzudämmen.

Abschließende Gedanken
Alles in allem bieten SDN und NFV enorme Vorteile, wenn es gilt die kritischen Netzwerkfunktionen bereitzustellen, die Unternehmen benötigen, und zwar ohne spezialisierte physische Appliances. Das reduziert Kosten und Komplexität auf der einen Seite, und erlaubt auf der anderen schnellere Bereitstellungen und bessere Skalierbarkeit. Aber ungeachtet aller Vorteile sind diese Netzwerke in sich anfällig für DDoS-Angriffe. Jeder, der sich mit dem Gedanken trägt ein SDN- oder NFV-Netzwerk aufzubauen, sollte sich intensiv mit geeigneten Sicherheitslösungen auseinandersetzen, will er virtualisierte Netzwerke und Daten schützen. (Corero Network Security: ra)

eingetragen: 23.10.16
Home & Newsletterlauf: 11.11.16


Corero Network Security: Kontakt und Steckbrief

Der Informationsanbieter hat seinen Kontakt leider noch nicht freigeschaltet.

- Anzeigen -





Kostenloser IT SecCity-Newsletter
Ihr IT SecCity-Newsletter hier >>>>>>

- Anzeigen -


Meldungen: Grundlagen

  • Ransomware: Es kommt schlimmer

    Seit ich im Jahr 2014 meine erste Keynote zu diesem Thema gehalten habe beschäftige ich mich mit Ransomware-Prognosen. Seinerzeit wagte ich etwa ein Dutzend Vorhersagen und tatsächlich sind alle eingetroffen. Vor kurzem wurde ich gebeten einen Beitrag für das ITSP Magazine beizusteuern. Und dieses Mal sollten die Prognosen nicht nur spezifischer sein, sondern die Sache auf die Spitze treiben. Sprich, welche Prognosen kommen dabei heraus, wenn man die aktuellen Szenarien bis zu Ende denkt. Soviel lässt sich sagen, alle sind einigermaßen beängstigend. Soeben hat eine Analyse von @David Formby eine der schlimmsten Befürchtungen bestätigt: Kritische Infrastrukturen geraten zunehmend ins Visier von Ransomware-Attacken (Targeting Critical Infrastructure for Ransom). Im letzten Frühjahr litten vornehmlich Krankenhäuser unter der sogenannten SamSam-Ransomware, und im Rahmen unserer Incident Containment-Methode haben wir drei Dinge übereinstimmend festgestellt.

  • Von IT-Sicherheitsexperten lernen

    Die Varonis Blog-Autoren haben inzwischen mit etlichen Sicherheitsexperten aus den unterschiedlichsten Bereichen gesprochen: mit Penetrationstestern, Anwälten, CDOs, Datenschützern, IT-Experten und sogar einem IT-Security-Guru. Wir haben die wichtigsten Analysen und Tipps hier für Sie zusammengetragen. Die Weltformel: Das Internet der Dinge (IoT) ist ein guter Ausgangspunkt, um seine Lehren in Sachen IT-Sicherheit zu ziehen. Mit dem IoT, also dem Internet der Dinge mit seiner überwältigen Zahl an Geräten, werden Unternehmen und Endverbraucher mit praktisch allen Datenschutz- und Datensicherheitsproblemen konfrontiert, die man sich denken kann.

  • Lösegeld-Erpressung über Ransomware

    Die Erpressung von Lösegeld war im abgelaufenen Jahr weltweit das häufigste Motiv für Angriffe auf Netzwerke, Server und Anwendungen von Unternehmen und Organisationen. Das geht aus dem jetzt veröffentlichten Global Application and Network Security Report 2016-2017 von Radware hervor, in dem über 40 Prozent der knapp 600 befragten Unternehmen angaben, dass die Lösegelderpressung 2016 der häufigste Grund für Angriffe auf ihre Netzwerke gewesen sei. Speziell in Europa liegt dieser Wert mit 49 Prozent noch deutlich höher als im weltweiten Durchschnitt. Die Erpressung von Lösegeld erfolgt in der Regel über Ransomware oder über Ransom Denial of Service (RDoS). Ransomware nennt man einen Trojaner, einen Wurm oder eine andere Schadsoftware, die ein System unter ihre Kontrolle bringt und den legitimen Zugriff darauf unmöglich macht, bis ein Lösegeld gezahlt wird (und manchmal auch darüber hinaus). In der Regel werden dabei die Daten verschlüsselt, und das Opfer muss für die Entschlüsselung zahlen.

  • Volumetrische DDoS-Angriffe abwehren

    Experten sind sich einig. IoT-Geräte - gerade für Endverbraucher - bekommen mangelnde Sicherheit quasi automatisch mitgeliefert. Und wir in den letzten Wochen die Quittung. Für Sicherheitsspezialisten keine große Überraschung, sie warnen schon lange. Die jüngsten Angriffe aber haben gezeigt, in welche Dimensionen uns IoT-basierte Botnetze bei DDoS-Angriffen katapultieren und welche Schäden sie in der Lage sind anzurichten. Die Attacke auf den DNS-Provider Dyn im Oktober dieses Jahres war ein solcher Weckruf. Das prognostizierte Szenario ist keine bloß theoretische Annahme mehr, sondern real. Und es gibt Handlungsbedarf. Unternehmen und Verbraucher fragen sich angesichts einer steigenden Zahl von im Internet der Dinge verbundenen Geräten wie sie sich besser schützen können. Es ist kein großes Geheimnis, dass IoT-fähige Geräte aus sicherheitstechnischer Hinsicht wenig überzeugend sind. Die überwiegende Zahl von ihnen integriert kaum Sicherheitsmechanismen, und ist mit äußerst simplen Standard-Passwörtern ausgestattet. Das macht die Geräte für potenzielle Angreifer zu einer leichten Beute. Die Folge: Hacker machen sie beispielsweise zum Teil eines Botnetzes von dem DDoS-Angriffe mit enormer Bandbreite ausgehen können.

  • S/MIME und wie es funktioniert

    S/MIME, oder Secure/Multipurpose Internet Mail Extensions, ist eine relativ bekannte Technologie um E-Mails zu verschlüsseln. S/MIME basiert auf asymmetrischer Verschlüsselung, um E-Mails vor unerwünschtem Zugriff zu schützen. Zusätzlich dient S/MIME dazu E-Mails digital zu signieren, um den legitimen Absender einer Nachricht als solchen zu verifizieren. Das macht S/MIME zu einer effektiven Waffe gegen verschiedene Arten von Phishing-Angriffen. Das ist, kurz gefasst, worum bei S/MIME geht. Wenn es allerdings darum geht, S/MIME praktisch einzusetzen, taucht meist noch eine Reihe von Fragen beim Anwender auf.