Was ist SD-Security?

SD-Security ist eine rein softwarebasierte, mandantenfähige Sicherheitslösung von Versa Networks , die integrierte Sicherheitsdienste – Firewall, Bedrohungsschutz und Inhaltsfilterung – in eine Versa SD-WAN-Bereitstellung einbindet. Sie läuft an beliebiger Stelle innerhalb der Fabric, in der Zweigstelle, in der Cloud oder im Rechenzentrum, wobei die Richtlinien zentral über Versa Director verwaltet werden.

Die wichtigsten Erkenntnisse

• Rein softwarebasiert: Es muss keine spezielle Sicherheitshardware angeschafft oder gewartet werden.
• Lässt sich überall im Netzwerk bereitstellen – in einer Zweigstelle, einem Hub, in der Cloud oder im Rechenzentrum.
• NGFW, Dateifilterung, DNS-Filterung und Virenschutz sind nativ integriert.
• Zentral über Director verwaltet, mit weltweit geltenden Richtlinien.
• Zertifiziert durch ICSA Labs, NSS Labs, ONUG und als „VMware Ready for NFV“.

Auf dieser Seite: Warum das wichtig ist · So funktioniert es · SD-Security-Bereitstellungsmodelle · SD-Security und die „ VersaONE “-Plattform · Häufig gestellte Fragen

Warum ist SD-Security wichtig?

Sicherheit bedeutete bisher in der Regel eine Reihe dedizierter Geräte – hier eine Firewall, dort ein IPS, ein Secure Web Gateway, das nachträglich hinzugefügt wurde –, die jeweils separat von dem Netzwerk, über das der Datenverkehr geleitet wird, erworben, lizenziert und verwaltet wurden. SD-Security fasst diese Geräte zu einer Software zusammen, die als Teil derselben VOS-Instanz läuft, die bereits den SD-WAN-Datenverkehr weiterleitet. So werden die Pfade der Steuer- und Datenebene inline überprüft, ohne dass ein weiteres Gerät in die Kette eingebunden werden muss.

Da SD-Security mandantenfähig und auf Carrier-Niveau ausgelegt ist, kann eine einzige Bereitstellung zahlreiche voneinander isolierte Organisationen mit unabhängig verwalteten Steuerungs-, Sicherheits- und Bedrohungsrichtlinien bedienen – eine Eigenschaft, die es Dienstanbietern ermöglicht, Managed Security zusammen mit Managed SD-WAN bereitzustellen, anstatt für jeden Kunden separate Stacks einzurichten. Zentralisierte Richtlinien bedeuten, dass eine einmal im Director festgelegte Regel überall, wo sie gilt, identisch durchgesetzt wird: in Zweigstellen, Hubs und Rechenzentren, vor Ort oder in der Cloud.

Was ist SD-Security?

SD-Security ist die Sicherheitsschicht des Software-Stacks von „ Versa“ und keine separate Appliance: Sie läuft innerhalb von VOS auf jeder Zweigstelle, jedem Hub, jedem Gateway oder jeder Cloud-Instanz, wo sie benötigt wird. Zu den mehrschichtigen Diensten gehören native NGFW- und UTM-Funktionen, Dateifilterung (nach Typ, Größe, Protokoll und Richtung, mit SHA-256/SHA-384-Hash-Zulassungs- und Sperrlisten sowie cloudbasierten Reputationsabfragen), DNS-Filterung (Zulassungs-/Sperrlisten, Erkennung von DNS-Tunneling und Reputationsabfragen für neu beobachtete Domänen) sowie Antiviren-Scans des Web- und E-Mail-Verkehrs.

Richtlinien und Bedrohungsdaten werden zentral verwaltet: Kontroll-, Sicherheits- und Bedrohungsrichtlinien werden einmal erstellt und global bereitgestellt, und dynamische Bedrohungsinformationen – IP-Adressen, Ports und URLs – können flottenweit auf dem neuesten Stand gehalten werden, beispielsweise durch Tools wie VSync, das aktualisierte Feeds an SD-Security-Geräte verteilt, ohne diesen Datenverkehr über Director selbst zu leiten. Die Lösung verfügt über Zertifizierungen wie ICSA Labs Firewall, NSS Labs NGFW/NG-IPS/SSL-Proxy, ONUG SD-WAN und SD-Security Top 10 sowie VMware Ready für NFV.

SD-Security-Bereitstellungsmodelle

SD-Security passt sich den Anforderungen an, wo Sicherheit erforderlich ist. Im Einklang mit SD-WAN ist dies die Standardeinstellung: VOS-Knoten in Zweigstellen und Hubs wenden SD-Security auf dieselben IPsec-over-VXLAN-Tunnel an, über die der Daten- und Steuerungsverkehr geleitet wird, sodass Overlay-Pfade ohne zusätzliche Hops gesichert werden. Eine eigenständige Firewall setzt eine VOS-Instanz ausschließlich als Sicherheitskontrollpunkt ein – im Virtual-Wire-, Layer-2- oder Layer-3-Modus – für Standorte, die eine Firewall benötigen, ohne über ein vollständiges SD-WAN zu verfügen. Bei Bereitstellungen in der Cloud und im Rechenzentrum wird dasselbe Richtlinienmodell auf Workloads außerhalb des Unternehmensgeländes ausgeweitet, wodurch sowohl der Nord-Süd- als auch der Ost-West-Datenverkehr gleichermaßen geschützt wird. Bei mandantenfähigen Anbieter-Bereitstellungen werden Kontroll-, Sicherheits- und Bedrohungsrichtlinien pro Organisation auf einer gemeinsam genutzten Infrastruktur isoliert.

SD-Security und die „ VersaONE “-Plattform

SD-Security ist neben SD-WAN und SD-Branch eine der drei Lösungssäulen, die die „ Versa “ Secure Cloud IP-Plattform als softwaredefinierte Dienste der Schichten 3 bis 7 bereitstellt. Jede SD-Security-Instanz läuft als Teil von VOS, demselben Betriebssystem, das auch SD-WAN und SD-Branch zugrunde liegt, sodass eine einzige Appliance alle drei Funktionen ohne separate Lizenzierung pro Funktion ausführen kann. Der „ Versa Director“ stellt SD-Security-Richtlinien flottenweit bereit und überwacht diese, während Dienstprogramme wie das VSync-Tool externe Bedrohungs-Feeds mit jedem SD-Security-Gerät synchronisieren, sodass die Durchsetzung ohne manuelle Updates stets auf dem neuesten Stand bleibt.

Häufig gestellte Fragen

Was ist der Unterschied zwischen SD-Security und einer herkömmlichen Firewall-Appliance?

Eine herkömmliche Firewall ist ein eigenständiges Gerät, das den durch sie hindurchfließenden Datenverkehr überprüft. SD-Security ist eine Software, die innerhalb derselben VOS-Instanz läuft, über die bereits der SD-WAN-Datenverkehr geleitet wird. Daher erfolgen Firewall-Funktionen, Bedrohungsschutz und Inhaltsfilterung inline ohne separates Gerät, und die Richtlinien werden zentral statt geräteweise verwaltet.

Benötigt SD-Security spezielle Sicherheitshardware?

Nein. SD-Security ist ausdrücklich eine reine Softwarelösung – sie läuft auf derselben x86-basierten VOS-Appliance, virtuellen Instanz oder demselben Cloud-Knoten, die bzw. der SD-WAN- oder SD-Branch-Funktionen ausführt. Es gibt keine proprietäre Sicherheits-Appliance, die separat vom Rest des Netzwerks installiert, lizenziert oder gewartet werden muss.

Wie erhält SD-Security aktuelle Informationen zu Sicherheitsbedrohungen?

Unternehmen verwalten Bedrohungsdaten – IP-Adressen, Ports, URLs – auf Web- oder REST-API-Servern. Tools wie VSync erkennen Aktualisierungen dieser Quellen automatisch und leiten die konsolidierten Daten direkt an SD-Security-VOS-Geräte weiter, wobei der Director umgangen wird, sodass die Aktualisierungen zügig erfolgen und der eigene Betrieb des Directors davon unberührt bleibt.

Kann SD-Security für mehrere Mandanten auf einem System bereitgestellt werden?

Ja. SD-Security ist von Grund auf auf Carrier-Niveau ausgelegt und mandantenfähig: Kontroll-, Sicherheits- und Bedrohungsrichtlinien gelten jeweils für einzelne Organisationen, sodass eine einzige Bereitstellung viele voneinander isolierte Kunden bedienen kann, die jeweils unabhängig voneinander verwaltet werden. Dies ist von zentraler Bedeutung für die Art und Weise, wie Dienstanbieter Managed Security Services bereitstellen.

Über welche Zertifizierungen verfügt SD-Security?

SD-Security wurde von ICSA Labs für Stateful-Firewall und DoS-Schutz sowie von NSS Labs für NGFW, NG-IPS und SSL-Proxy gemäß den von den ONUG-Arbeitsgruppen für SD-WAN und SD-Security verifizierten „Top 10“-Anforderungen zertifiziert und erhielt die „VMware Ready for NFV“-Zertifizierung.

Mehr dazu unter Versa SD-Security

Wenn Sie mehr erfahren möchten, finden Sie hier Quellen, denen wir vertrauen.

Verwandte Begriffe

Wenn Sie sich gerade über SD-Security informieren, sollten Sie sich als Nächstes diese Artikel ansehen.