Drie netwerkstrategieën voor de connected enterprise

De uitrol van de digitale transformatie in het bedrijfsleven is nog altijd een allegaartje. We zien een explosieve toename in het aantal verbonden apparaten (het IoT-fenomeen) en grote vooruitgang in de mogelijkheden van toepassingen die de bedrijfsproductiviteit verbeteren. Maar we zien ook de uitdagingen om deze technologieën veilig te implementeren, wat een bredere acceptatie door bedrijven mogelijk vertraagd.

Beveiliging werd eind 2016 een heet hangijzer in de nasleep van enkele spraakmakende beveiligingsaanvallen. Het Mirai-botnet dat enkele van de meest vooraanstaande websites ter wereld platlegde en het onlangs door Yahoo toegegeven gegevenslek van meer dan een miljard user accounts in 2013 zijn slechts twee voorbeelden hiervan. 

Deze problemen worden alleen maar groter naarmate de acceptatie van verbonden apparaten en IoT-technologie in organisaties toeneemt, terwijl organisaties nog steeds proberen hun verouderde netwerkinfrastructuur te handhaven.

Ik denk dat er drie specifieke aandachtsgebieden zijn die een grote impact zullen hebben op bedrijfsnetwerken in 2017: het netwerk beschermen tegen mogelijk kwetsbare IoT-implementaties, zorgen voor bescherming tegen dure DDoS-aanvallen (Distributed Denial of Service) en de acceptatie van “as-a-Service”-implementatiemethoden om zodoende tot een kosteneffectieve overgang naar een meer inherent beveiligde netwerkinfrastructuur te komen.

1. In 2017 zien we het beheersen, maar niet beperken, van IoT-technologie

De voordelen van IoT worden in steeds meer bedrijfstakken benut: gezondheidszorg, onderwijs en productie zijn slechts enkele van de bedrijfssectoren waar nieuwe IoT-apparaten productiviteitsverbeteringen, besparingen op energiekosten en grotere zichtbaarheid opleveren. De voordelen van deze nieuwe verbonden apparaten gaan echter gepaard met nieuwe problemen voor het IT-team: het zijn slecht beveiligde, op IP-gebaseerde apparaten aan de rand van het netwerk die aanvallers een achterdeur tot het bedrijfsnetwerk bieden. 

De opkomst van IoT dwingt beveiligingstechnici om nieuwe manieren te bedenken om netwerken en het groeiende aantal verbonden apparaten te beheren. Doorlopende servicekwaliteit (QoS), het op een intelligente wijze prioriteit geven aan de belangrijkste apparaten en een hoge beschikbaarheid dragen allemaal bij aan een hoge kwaliteitservaring voor de netwerkgebruikers. Maar in een groot, onvoldoende beheerd netwerk ontstaan er na verloop van tijd onvermijdelijke zwakheden. Door het "beheersen" van IoT in verschillende virtuele omgevingen in een bedrijfsnetwerk kunnen bedrijven het worst case scenario van een beveiligingslek grotendeels inperken. De inbreuk wordt beheerst en kan niet verder spreiden en andere bedrijfsactiviteiten bedreigen. 

Hoe men IoT-netwerken het effectiefst kan beveiligen en beheren, wordt een belangrijk discussiepunt in 2017 en het beheersen van IoT zal een kernonderdeel van die oplossing vormen. Met een gesegmenteerde benadering van IoT kunnen de ingezette apparaten alleen worden beheerd en bediend door de medewerkers die ze gebruiken. Dit vereenvoudigt het IoT-beheer voor de onderneming. Het IoT-netwerk kan bijvoorbeeld zo worden gesegmenteerd, dat het besturingssysteem van de verwarming, ventilatie en airconditioning worden bediend door specialisten die het systeem kunnen configureren, bewaken en bedienen zonder dat dit van invloed is op de rest van het netwerk. Dit neemt een last weg van de toch al overbelaste IT-organisatie.   

2. Beveiliging tegen DDoS wordt een noodzaak voor ieder bedrijf

Beheersing speelt ook een belangrijke rol in het beveiligingsbeheer van bedrijfsnetwerken. Door de toegang tot virtuele netwerken en apparaten te beperken, kan voorkomen worden dat gecompromitteerde apparaten ook andere gebieden van het netwerk bereiken.  

Herinnert u zich het grote beveiligingslek van de Amerikaanse winkelketen Target in 2014? Het hele Target-netwerk werd aangevallen na een kleine inbreuk in het verbonden airconditioningsysteem. Eenvoudige netwerksegmentatie had een grotere dreiging van een onbeveiligd airconditioningsysteem kunnen voorkomen, omdat de dreiging bij segmentatie wordt beperkt tot het gebied waar de inbreuk optreedt.

Volgens Akamai zijn DDoS-aanvallen op bedrijven in 2016 met meer dan 12% toegenomen ten opzichte van 2015 en deze trend zal naar verwachting doorzetten. In 2016 waren we getuige van één van de grootste DDoS-aanvallen ooit. Een botnet van op IP-gebaseerde apparaten geïnfecteerd met Mirai-malware voerde een aanval uit op Dyn, een belangrijke provider van managed domain name services (DNS), met als gevolg dat belangrijke websites urenlang offline waren. Malware, zoals Mirai, kan naar onbeveiligde apparaten zoeken en deze misbruiken wanneer bedrijven en consumenten IoT-apparaten met spoed in gebruik nemen met de standaard beveiligingsinstellingen en wachtwoorden. 

De DDoS-dreiging voor bedrijven is tweeledig. Allereerst is er de directe dreiging dat u slachtoffer wordt van een DDoS-aanval op uw netwerk. Ten tweede kan de DDoS-aanval de verbonden apparaten infecteren en niet alleen binnen uw netwerk aanvallen uitvoeren, maar ook andere bedrijven aanvallen. Dit is slechts één beveiligingszorg voor de grootste online organisaties en ISP's, stelt u zich eens voor hoe groot het financieel verlies kan zijn wanneer de website(s) van een e-commerce bedrijf platgelegd worden tijdens een drukke vakantieperiode!

Bedrijven en organisaties zouden in 2017 naar mijn mening elk aspect van hun netwerken onder de loep moeten nemen, tot op de hardware van de netwerkinfrastructuur. Het blijft moeilijk om DDoS-aanvallen volledig te voorkomen, maar door het invoeren van beveiliging op toegangsswitch niveau kunnen ondernemingen hun eerste verdedigingslinie verbeteren en kwaadaardig verkeer detecteren, filteren en ten slotte blokkeren voordat hun activiteiten hier hinder van ondervinden.

Bestaande, en veelal verouderde, netwerktechnologie heeft vaak niet de embedded intelligentie om deze verdedigingslaag te bieden. Ondernemingen die hun netwerkinfrastructuur willen verbeteren, zij het ter ondersteuning van de nieuwe bandbreedte en netwerkvereisten van IoT-apparaten of ter vervanging van verouderde apparatuur, moeten ervoor zorgen dat apparaten ten minste aan de volgende drie essentiële beveiligingsvereisten voldoen, pas dan beschikken ze over een allesomvattende strategie voor de eerste verdedigingslinie:

1. De systeem broncode is onafhankelijk gecertificeerd door beveiligingsexperts;
2. De software is gescrambled in het geheugen van de hardware, om de kans dat aanvallers kwetsbaarheden in het systeem vinden tot een minimum te beperken;
3. Software wordt geleverd via een vertrouwde, beveiligde infrastructuur om het risico weg te nemen dat code waarmee is geknoeid op het systeem ontvangen en geïnstalleerd wordt.

3. Nieuwe netwerk leveringsmodellen voor 2017 – IT voorbij OPEX brengen

De beheersing van IoT-apparaten en strategieën, om het risico van een DDoS te beperken, vereisen vaak functionaliteit die alleen in de laatste generatie netwerk toegangsapparatuur wordt gevonden. De uitdaging voor het bedrijfsleven is dat er vaak al een bestaande infrastructuur is. En door voortdurend krimpende budgetten hebben de meeste organisaties weinig middelen om deze nieuwe apparatuur aan te schaffen en te implementeren.   

Hoe pakt een onderneming dit dan wel aan? Eén aanpak is om een voorbeeld te nemen aan het SaaS-model (Software-as-a-Service). In de afgelopen jaren hebben we in de softwarewereld een snelle verschuiving gezien van CAPEX-implementaties (zoals databases, CRM-systemen en productiviteitssuites voor kantoren) naar OPEX- en cloudimplementaties. Deze bieden lagere aanloopkosten, de flexibiliteit om snel te kunnen inspelen op de behoeften van de onderneming én onafgebroken beschikbaarheid voor de steeds meer mobiel werkende medewerkers van vandaag. Dezelfde voordelen zijn nu mogelijk met Netwerkinfrastructuur-as-a-Service (NaaS).    

Net als bij SaaS hebben NaaS-implementaties aanzienlijk lagere aanloopkosten en kunnen deze op basis van OPEX on-demand of via betaling op basis van gebruik worden beheerd. IT-organisaties kunnen met geringe aanloopkosten en alleen lopende operationele kosten de laatste generatie netwerk beveiligingstechnologie uitrollen om te voorzien in hun behoeften aan mobiliteit, digitale transformatie en het IoT. Dit is in de meeste gevallen zelfs goedkoper dan het werkend houden van bestaande verouderde infrastructuur.

Digitale transformatie – het kan op een veilige manier…

Digitale transformatie is een must voor bedrijven die relevant willen blijven in het zich snel ontwikkelende digitale tijdperk. De implementatie hiervan heeft echter mogelijk valkuilen die grote gevolgen kunnen hebben, zowel op financieel gebied als voor de reputatie van de organisatie. Een goed uitgewerkt plan, dat op basis van een netwerkinfrastructuur die de diverse IoT-systemen kan isoleren en beheersen, levert een infrastructuur op met inherent beveiligde toegang en zorgt ervoor dat u de laatste generatie netwerkapparatuur gebruikt. Dit kan ervoor zorgen dat uw digitale transformatie de best mogelijke resultaten voor uw bedrijf oplevert.

Door: Johan Ragmo, Market Development & Networks Director, EUNO, bij Alcatel-Lucent Enterprise