Hohe Netzwerksicherheit im Rechenzentrum – das bietet die Kombination aus Netzwerk-Switch und DPU-Chip

Dass die Gefahr von Cyberangriffen kontinuierlich steigt, ist längst kein Geheimnis mehr. Laut Studien von Bitkom, Allianz oder Cybersecurity Ventures bedrohen Cyberattacken die Geschäftswelt so stark wie nie zuvor (CANCOM.info berichtete). Um sich davor zu schützen, benötigen Unternehmen eine ganzheitliche IT-Security-Strategie, die unterschiedlichste Facetten miteinbezieht.

Eine wichtige Facette ist die Absicherung des Rechenzentrumsnetzwerks: Dort sind häufig Daten abgelegt, die für den Unternehmenserfolg entscheidend sind. Damit das gelingt, müssen Unternehmen neben der Peripherie auch den Netzwerk-Traffic innerhalb des Rechenzentrums, den sogenannten East-West-Traffic, vor Cyberangriffen schützen. Doch das ist leichter gesagt als getan – zumal moderne Data Center, angesichts der Zunahme von Edge-Rechenzentren, immer komplexere Strukturen aufweisen.

Wichtige Voraussetzungen: Visibilität und Mikrosegmentierung

So müssen mehrere Aspekte für den Schutz des East-West-Traffics berücksichtigt werden. Ein wesentlicher Faktor ist das Thema Visibilität: Unternehmen müssen exakt wissen, wie sich der Datenfluss im Rechenzentrumsnetzwerk gestaltet oder welche Paketdaten transportiert werden. Nur dann können sie frühzeitig potenzielle Anomalien und Bedrohungen erkennen und darauf reagieren. Um dieses Wissen zu erlangen, kommen Firmen um ein kontinuierliches Netzwerk-Monitoring mittels Telemetrie-Datenerfassung, um so eine 100-prozentige Visibilität zu erreichen, nicht herum.

Mindestens genauso bedeutend ist das Thema Mikrosegmentierung. Hier besteht die Grundidee darin, das Rechenzentrumsnetzwerk möglichst granular in logische Einheiten aufzuteilen. Jede dieser logischen Einheiten – im Normalfall einzelne Workloads – bekommt individuelle Sicherheitsrichtlinien und -regeln zugewiesen. Darunter fällt beispielsweise die Isolation eines Workloads, wenn dieser von einer Malware attackiert wird. Dies soll eine weitere Ausbreitung der Schadsoftware im Rechenzentrumsnetzwerk verhindern.

Um Maßnahmen wie das Monitoring oder die Mikrosegmentierung umzusetzen, benötigen Firmen entsprechende Lösungen. Diese müssen in der Regel extra dazugebucht werden, weil sie heute kein integraler Bestandteil der Netzwerkinfrastruktur im Data Center sind. Dazu zählen etwa Firewalls oder Management-Tools. Neben Zusatzkosten für Unternehmen besteht hier das Risiko, dass sich die Latenz im gesamten Netzwerk erhöht. Denn um eine Verbindung zu den “externen” Lösungen herzustellen, muss der entsprechende Netzwerk-Traffic über eine zentrale Engstelle geleitet werden. Dies kann bei Spitzen im Netzwerk-Traffic zu einer Netzwerküberlastung führen.

HPE Aruba CX 10000: Umfassende Security-Funktionen direkt auf dem Switch

HPE Aruba und der Chip-Hersteller Pensando Systems möchten diese Situation nun ändern: In Kooperation mit Pensando Systems hat HPE Aruba mit CX 10000 jüngst einen Netzwerk-Switch herausgebracht, auf dem der DPU (Data Processing Unit)-Chip von Pensando Systems im Voraus implementiert wurde. Diese Kombination aus Netzwerk-Switch und DPU-Chip ist weltweit bisher einmalig – so die IT-Konzerne.

Die Kombination hat zur Folge, das der CX 10000 über Funktionen verfügt, für die Unternehmen eigentlich separate Lösungen benötigen. Darunter fallen insbesondere die für die Mikrosegmentierung erforderlichen Firewall-Lösungen.

Konkret bedeutet das: Zusätzliche Firewalls für den East-West-Traffic (nicht für die Peripherie) sollen in Zukunft überflüssig werden, da die Netzwerk-Switches der CX 10000-Plattform diese vollständig ablösen sollen. Wie beide IT-Konzerne hervorheben, handle es sich beim CX 10000 tatsächlich um den ersten Switch, der skalierbare Layer 4 bis 7-Funktionalitäten aufweist.

Dazu gehören eben Security-Funktionen wie Stateful Firewalls oder der Schutz vor Denial of Service-Angriffen – aber auch das Monitoring mittels Telemetrie-Daten oder Management-Features seien inkludiert. Perspektivisch sollen weitere Features hinzukommen – wie Application Layer Firewalls und Load Balancing (für den Netzwerklastenausgleich, Anm. d. Red.). Hingegen seien klassische Switches nur in der Lage, Layer 1- bis 3-Features abzudecken.

Dank der hohen Flexibilität der CX 10000-Plattform hätten Unternehmen indes die Option, weitere Funktionen einfach per Software-Upgrade hinzuzufügen. Im Security-Bereich seien dies etwa Lösungen für das Thema Verschlüsselung.

Sinkende Kosten und höhere Performance

Neben einer hohen Sicherheit können Unternehmen laut HPE Aruba und Pensando Systems signifikant Kosten einsparen. Wie viel genau, haben die Marktforscher:innen der Enterprise Strategy Group am Beispiel einer Firma ermittelt, die 2.000 lokale Server betreibt. Das Ergebnis: Wenn diese Firma künftig Monitoring, Firewalls für den East-West-Traffic, Load Balancing und Mikrosegmentierung über den DPU-Chip von Pensando abbildet – der im CX 10000 ja integriert ist – und dadurch „externe“ Lösungen ersetzt, sind innerhalb von drei Jahren Kosteneinsparungen von 84 Prozent realistisch.

Ein weiterer Vorteil sei, dass der CX 10000 direkt in das Rechenzentrumsnetzwerk integriert sei – inklusive sämtlicher Funktionen. Dies erhöhe die Bandbreite und Performance des gesamten Netzwerks erheblich. Schließlich müsse der Netzwerk-Traffic nicht mehr über eine zentrale Engstelle geleitet werden. Die beiden IT-Konzerne sprechen in diesem Kontext von einer Leistungssteigerung um das 10-fache.

Einführung mithilfe von CANCOM

Bei der Einführung des CX 10000 kann CANCOM umfangreiche Unterstützung leisten. Neben einer umfassenden Beratung unterstützt CANCOM auch bei der konkreten Implementierung der Netzwerk-Switches. Dabei können Unternehmen wählen, ob sie mit der Einführung des CX 10000 einen kompletten Neuaufbau des Rechenzentrumsnetzwerks umsetzen oder die bestehende Netzwerkinfrastruktur mit den Switches erweitern möchten.

Sie wünschen eine unverbindliche Beratung zum Thema? Dann kontaktieren Sie gerne die Expert:innen von CANCOM.