Ein Software-definiertes, sicheres Unternehmensnetzwerk mit Junipers SDSN-Architektur

Wir freuen uns sehr, dass unser Team beim „Juniper OpenLab SDSN Throwdown“ vom 26. bis 28. Februar in Amsterdam erfolgreich Xantaros Kompetenz im Bereich Security, Software Defined Secure Networks (SDSN) und Automation unter Beweis stellen konnte. Im dreitägigen Wettbewerb forderte Juniper Networks mehrere Partner heraus, anhand einer praxisnahen Problemstellung schnellstmöglich eine individuelle SDSN-Lösung zu entwickeln. Ein Wettkampf, bei dem auch Xantaro antrat – und gewann!

OpenLab – eine hochmoderne Entwicklungsumgebung

Mit dem OpenLab bietet Juniper Networks eine höchst professionelle Testumgebung, in der vor allem die Entwicklung und der praktische Einsatz virtualisierter und automatisierter Netze erprobt werden kann. Juniper-Engineers stehen dabei mit Zugriff auf das gesamte Juniper-Produktportfolio vor Ort zur Verfügung. Sowohl Partner, Kunden als auch Studenten sammeln hier Erfahrungen mit Netzwerklösungen aus dem Bereich Software Defined Networking (SDN) und Network Function Virtualization (NFV). Bei regelmäßigen Hackathons wird insbesondere in Kooperation mit Universitäten Know-how zu aktuellen Technologien vermittelt.

Software Defined Secure Network (SDSN) by Juniper Networks

Mit seiner Software-Defined Secure Network (SDSN) Architektur und Funktionalität bietet Juniper Networks eine moderne Cyber-Sicherheitsplattform, welche Bedrohungen zentral und automatisiert abwehrt. Heutige Unternehmensnetze erstrecken sich in der Regel über mehrere Standorte und Clouds. Dabei werden Netze stetig weiterentwickelt, um neuen Anforderungen gerecht zu werden. Auf der anderen Seite entwickeln auch Cyberkriminelle immer wieder neue Methoden, um in die hochkomplexen Netzwerke einzudringen.

Junipers SDSN-Ansatz ist eine zentrale Sicherheitslösung, die Unternehmensnetze vor hochentwickelten Bedrohungen schützt. So wird beispielsweise der Datenverkehr aktiv nach Bedrohungen durchforscht und bei Gefahr werden automatisiert Schutzmaßnahmen ergriffen. So wird eine Bedrohung im Unternehmensnetz frühzeitig isoliert. Mit diesem Software-definierten Ansatz kombiniert Juniper die Stärken der eigenen Security-Produkte wie der Next Generation Firewall SRX, Sky ATP (Advanced Threat Prevention), Juniper Secure Analytics (JSA) oder dem Juniper Security Director.

Aufgabenstellung und Zeitrahmen – eine echte Challenge!

Beim Wettbewerb im OpenLab Amsterdam wurde den teilnehmenden Teams zu Beginn eine herausfordernde Aufgabe gestellt, um mit Junipers SDSN-Architektur eine spezifische Lösung zu erarbeiten. Skizziert wurde ein fiktives Szenario mit einem Unternehmen, welches einen kleinen Betrieb aufgekauft hat. Die neue Geschäftsstelle sollte nun in das bestehende Unternehmensnetz eingegliedert werden – ein realer Anwendungsfall also. Aufgrund erheblicher Sicherheitsmängel im angekauften Betrieb sollte im Zuge der Angliederung das Unternehmensnetzwerk modernisiert und sicherheitstechnisch auf den neusten Stand gebracht werden.

Netzaufteilung mit der virtuellen Firewall vSRX im Zentrum

Neben einer klassischen Separation in Sicherheitszonen wurde zudem gefordert, dass Denial-of-Service-Attacken (DoS) automatisch mitigiert und Malware-Gegenmaßnahmen implementiert werden. Infizierte Hosts sollten automatisch erkannt und vom Netz ausgeschlossen werden. Zudem sollte die Sichtbarkeit von Netzwerkaktivitäten und insbesondere die von Benutzern verwendeten Anwendungen verbessert werden, um die Aktivitäten im Unternehmensnetz transparenter überwachen zu können. Weiterhin sollten alle Netzwerkkomponenten vor Angriffen geschützt werden.

Hervorragende Bedingungen im OpenLab

Zur Umsetzung wurden für die Dauer des gesamten Wettbewerbs alle benötigten Netzelemente in einer Sandbox-Umgebung bereitgestellt. Auf diese Weise konnte jedes Team ohne großen Konfigurationsaufwand auf die bereitgestellten Juniper-Produkte, Server oder auch Windows- und Linux-Clients zugreifen. Bei Fragen zur Infrastruktur oder Details zu den Systemen standen die Kollegen von Juniper tatkräftig zur Seite.

Xantaros Integrationsansatz überzeugt die Jury

Ziel unseres Teams war, die einzelnen Produkte unter der Berücksichtigung der gesetzten Anforderungen zu einer vollautomatisierten SDSN-Gesamtlösung zusammenzusetzen. Die Lösung sollte sowohl flexibel aber auch robust in einem realen Kontext einsetzbar sein. So wurde beispielsweise Junipers Sky ATP in das Netz integriert, was gegen bereits bekannte aber ebenso gegen Zero-Day Malware schützt. Infizierte Hosts werden automatisch anhand von Signaturen erkannt, an den Security Director gemeldet und vom Netz ausgeschlossen.

Die Experten von Xantaro identifizierten zunächst die Abwehr von UDP-Flood-Attacken auf das Unternehmen als größte Herausforderung. Dabei handelt es sich um einen DoS-Angriff, bei dem ein Ziel im Netzwerk mit einer sehr hohen Anzahl an UDP-Paketen „beschossen“ wird. Zweck des Angriffs ist es, das Ziel zu überlasten und damit faktisch vom Netz zu nehmen. Um diesen Angriffen entgegenzuwirken, bot sich die Nutzung des Intrusion-Prevention-System (IPS) der Firewall an. So können die registrierten UDP-Floods an die Juniper Secure Analytics (JSA) Appliance weitergemeldet werden.

Im Mittelpunkt unserer Integration steht an dieser Stelle eine von Xantaros Engineering-Team entwickelte Schnittstellen-Anwendung. Diese fragt die Informationen von der durch die Juniper JSA kontextualisierten und bewerteten Angriffe dynamisch ab. Aus den gewonnen Daten werden temporäre Blocklisten für das Netzwerk erstellt, die zudem von der Anwendung selbstpflegend verwaltet und an Junipers Policy Enforcer übergeben werden. Letztendlich werden diese Listen in einem dynamischen Feed an die Firewall gesendet, wodurch die Angreifer automatisiert geblockt werden.

Der besondere Vorteil dieser Lösung ist die Integration einer flexiblen Schnittstelle, um neben JSA auch externe Datenquellen einbinden zu können. So ist es möglich, auch externe Listen, wie beispielsweise TOR-Exit-Nodes, problemlos einzubinden und einem dynamischen Feed hinzuzufügen.

Xantaros Service-Integration verbindet Produkte zu einzigartigen Lösungen

Der Wettbewerb in Amsterdam hat einmal mehr gezeigt, dass Xantaro für die Zukunft gerüstet ist, und wir auch in kürzester Zeit eine individuelle, vollautomatisierte Lösung erarbeiten können. Die Multi-Layer- und Multi-Vendor-Expertise unserer Engineers und Consultants sowie das eigene DevOps- und Software-Entwicklungsteam erlaubt es, schnell Produkte unterschiedlicher Hersteller, Technologien und/oder Netzebenen zu spezifischen Lösungen zu kombinieren.

Als Juniper Networks Elite-Partner hat Xantaro Zugriff auf die neusten Produkte und Technologien und steht permanent im engen Austausch mit den Experten des Herstellers. Mit dem XT³Lab in Frankfurt verfügt Xantaro zudem über eine leistungsfähige Infrastruktur, um Kunden mit Junipers einzigartiger SDSN-Architektur vertraut zu machen. Mittels modernster Testgeräte lassen sich hier individuell auf die jeweiligen Kundenanforderungen zugeschnittene Lösungen auf Herz und Nieren testen, bevor sie in Produktionsumgebungen gebracht werden. So unterstützen wir unsere Kunden, neue Systeme problemlos in bestehende Systemlandschaften zu integrieren, Betriebsumgebungen zu automatisieren oder neue Anwendungen für Endkunden zu entwickeln.