schwerpunkt - Midrange Magazin

2
SCHWERPUNKT
Schlüsselelement der VLAN-Sicherheit
Authentifizierung
Während der letzten zehn Jahre
hat sich die VLAN-Technologie
– vor allem die Bereiche Switching und
Routing – stark weiter entwickelt. Doch
während die Performance ständig verbessert
sowie neue Features und Funktionalitäten
hinzugefügt wurden, ist die
Architektur im Hinblick auf das Thema
Sicherheit weitgehend gleich geblieben.
Lange Zeit beschränkte sich der
Security-Aspekt auf die erprobte und
immerhin schon seit den frühen 90er
Jahren eingesetzte Access Control List
(ACL) an zentralen Routern oder Firewalls.
Damit hat man jedoch keine ausreichenden
Kontrollmöglichkeiten, um
den gegenwärtigen und zukünftigen
Bedrohungen adäquat zu begegnen, da
diese „zu spät“ eingreifen: Komplette
VLAN/IP Subnetz-Bereiche sind intern
ungeschützt.
Verschiedene Ansätze
ACL enthält lediglich die statische Information,
ob einem Benutzer oder
einer Benutzergruppe anhand der IP-
Adresse eine bestimmte Zugriffsart
durch den Router/die Firewall erlaubt
(allow oder permit) oder verweigert
(deny) wird. Bedenkt man die Breite
der Geräte sowie die Anwendungen in
einem VLAN – so wird deutlich, dass
dieser Ansatz nicht geeignet ist, hinreichende
Sicherheit herzustellen. Geräte
können sich direkt innerhalb eines
VLAN beeinflussen (zum Beispiel mit
einem Virus infizieren oder eine Denial
of Service-Attacke starten). Daher wird
oft empfohlen, pro Gerätekategorie
ein VLAN zu implementieren, was zur
MIDRANGE MAgAZIN · 07/2007
HOCHVERFÜgBARKEIT / IT-SICHERHEIT
Virtuelle LANs (VLANs) haben sich in der Vergangenheit als praktikable Möglichkeit
erwiesen, mehrere unabhängige – eben virtuelle – Netze innerhalb einer gemeinsamen
Infrastruktur zu betreiben.
Mikrosegmentierung und damit zu erheblich
größeren Routing-Infrastrukturen
führt. Außerdem wird dadurch das
Problem der direkten Geräte-zu-Geräte-
Kommunikation nicht unterbunden;
auch die Mobilität der Endsysteme kann
nicht außer Acht gelassen werden. Für
die Durchführung oder die Änderung
notwendiger Konfigurationen bedarf es
eines großen zeitlichen und operativen
Aufwands.
Kein Schutz von innen
Wie erwähnt lässt der traditionelle Ansatz
mit ACL kaum Mobilität zu. So sind
statische VLANs insofern sicher, als
dass ein potentieller Angreifer hier physischen
Zugang zum passenden VLAN
haben muss, da die VLAN-Zuordnung
fest am Switchport und damit an feste
Netzwerkdosen gebunden ist (was aber
heutzutage auch kein Problem mehr
darstellt). ACL-Regeln können so einen
Angriff von außen verhindern und davor
schützen, dass sich Bedrohungen
von einem virtuellen Netzwerk auf ein
anderes übertragen; ein Schutz innerhalb
eines VLAN ist hierdurch jedoch
nicht gegeben. Innerhalb des VLAN
können Devices immer noch miteinander
kommunizieren – was beinhalten
kann, dass sich dadurch beispielsweise
Viren, Würmer und sonstige Malware
verbreiten können.
Traditioneller VLAN-Technologie
mangelt es insgesamt an Flexibilität,
auf gegenwärtige Bedrohungen rasch
zu reagieren, da der administratorische
Aufwand für eine End-to-End-Sicherheit
sehr hoch ist. Markus Nispel ó
CLICK TO
www.midrange.de
Den vollständigen Artikel finden Sie in
unserer aktuellen Online-Ausgabe.
Enterasys Networks gmbH, Frankfurt
www.enterasys.com