SDN, NFV und ihre Schwachstellen
SDN und NFV: Fluch oder Segen in Sachen Cybersicherheit?
Betrachtet man ein SDN-Netzwerk unter sicherheitstechnischen Aspekten, dann werden Dienste und Richtlinien von einem einzigen Punkt aus verwaltet und verteilt, dem zentralisierten SDN-Controller
Von Dave Larsson, Corero Network Security
Nach etlichen Diskussionen zum Thema beginnen sich die traditionellen Netzwerke in Richtung virtueller Netzwerkfunktionen und Steuerungen zu wandeln. Telekommunikationsunternehmen und Hosting Provider setzen vermehrt auf Software Defined Networks (kurz SDN) und Network FunctionsVirtualization (NFV). Die zugrunde liegenden Technologien versprechen nicht nur insgesamt leistungsfähigere, sondern auch schnellere Netzwerke, die besser zu skalieren sind.
Die Karriere der SDNs begann etwa 2015 mit einem rasanten Wachstum. Die beobachtenden Analysten prognostizieren dem SDN-Markt Wachstumsraten von jährlich 34 Prozent, was einem Wert von etwa 7 Milliarden US-Dollar im Jahr 2021 entspricht. Mit dieser Entwicklung wird sich die Art und Weise verändern, in der Netzwerke bisher aufgebaut, entwickelt und verwaltet worden sind. Durchsetzen wird sich eine sehr viel einheitlichere Herangehensweise beim Optimieren der Datenströme.
Betrachtet man ein SDN-Netzwerk unter sicherheitstechnischen Aspekten, dann werden Dienste und Richtlinien von einem einzigen Punkt aus verwaltet und verteilt, dem zentralisierten SDN-Controller. Das ist Fluch und Segen zugleich. Wird ein SDN-Controller erfolgreich angegriffen, hat ein Hacker ziemlich schnell die Kontrolle über das komplette Netzwerk.
Nimmt man das Beispiel einer DDoS-Attacke, kann ein SDN-Controller faktisch zu einer Schwachstelle werden, die Hacker problemlos ausnutzen können. Das Rückgrat eines SDN-Netzwerkes, nämlich die nahezu unbegrenzt verfügbare Bandbreite, kann sich schnell als nutzlos erweisen, wenn ein Controller kompromittiert wurde. Selbst eine relativ kleine, aber gut konzipierte 10 GB DDoS-Attacke kann dazu führen, dass ein komplettes Rechenzentrum Offline gehen muss. Einfach aufgrund der Tatsache, dass das Steuerungs-Panel mit Junk-Events und einer hohen Dichte von laufenden Sessions überschwemmt wird. Eher noch als in traditionellen Netzwerken kann eine einzige und relativ kleine DDoS-Attacke mit nur geringer Bandbreite in einem SDN-Netzwerk einen enormen Kollateralschaden anrichten.
Schutz vor DDoS-Angriffen
Will man für SDN- und NFV-Netzwerke eine sichere Umgebung schaffen, sollte man sich für eine automatisierte In-Line-Lösung bei der Abwehr von DDoS-Angriffen entscheiden, die an der Netzwerkgrenze des jeweiligen Rechenzentrums sitzt. Das ist der einzige Weg, Einblick in den kompletten Datenstrom in einem virtuellen Netzwerk zu bekommen und auf mögliche Vorkommnisse tatsächlich in Echtzeit reagieren zu können. Indem man den SDN-Controller und die DDoS-Abwehr über eine API miteinander verbindet, lässt sich ein potenziell kompromittierter Controller managen. DDoS-Angriffe werden dann abgewehrt, sobald sie auftauchen. Im Falle einer kritischen Übersättigung, signalisiert die DDoS-Abwehr das sehr schnell an die DDoS-Ressource in der Cloud, um die Attacke einzudämmen.
Abschließende Gedanken
Alles in allem bieten SDN und NFV enorme Vorteile, wenn es gilt die kritischen Netzwerkfunktionen bereitzustellen, die Unternehmen benötigen, und zwar ohne spezialisierte physische Appliances. Das reduziert Kosten und Komplexität auf der einen Seite, und erlaubt auf der anderen schnellere Bereitstellungen und bessere Skalierbarkeit. Aber ungeachtet aller Vorteile sind diese Netzwerke in sich anfällig für DDoS-Angriffe. Jeder, der sich mit dem Gedanken trägt ein SDN- oder NFV-Netzwerk aufzubauen, sollte sich intensiv mit geeigneten Sicherheitslösungen auseinandersetzen, will er virtualisierte Netzwerke und Daten schützen. (Corero Network Security: ra)
eingetragen: 23.10.16
Home & Newsletterlauf: 11.11.16
Corero Network Security: Kontakt und Steckbrief
Der Informationsanbieter hat seinen Kontakt leider noch nicht freigeschaltet.