Definition Was ist Software-Defined Perimeter (SDP)?

Anbieter zum Thema

Vitel GmbH

Software-Defined Perimeter ist ein Konzept, das die mit einem Netzwerk wie dem Internet verbundenen Geräte, Anwender, Server, Clients oder Infrastrukturkomponenten netztechnisch verbirgt. Da die Netzteilnehmer für Außenstehende unsichtbar sind, werden SDP-Realisierungen auch als Black Cloud bezeichnet. Nur authentifizierte und autorisierte User und Geräte erhalten Zugriff auf definierte Ressourcen.

Das Akronym SDP steht für Software-Defined Perimeter. Es handelt sich um ein Konzept und einen technischen Sicherheitsansatz, der auch als Black Cloud bezeichnet wird. In einer Black Cloud sind die Netzteilnehmer, die IT-Infrastruktur und die netztechnischen Anbindungen vor der Außenwelt verborgen. Die Netzwerkgrenzen sind nicht durch Hardware, sondern Software-definiert begrenzt.

Entwickelt hat SDP die Defense Information Systems Agency (DISA). Die Weiterentwicklung übernahm die Cloud Security Alliance (CSA). Software-Defined Perimeter basiert auf dem Zero-Trust-Modell, das grundsätzlich jedem Netzteilnehmer, Gerät, User oder Service misstraut und zur Teilnahme an der Kommunikation eine Authentifizierung und Autorisierung der Kommunikationspartner erfordert. Software-Defined Perimeter sorgt für eine umfassende Sicherheit für Rechenzentren, Server, IT-Systeme und Cloud-Umgebungen. Im Gegensatz zu einem Virtual Privat Network (VPN) sind die Zugriffe nicht auf Netzwerkebene freigeschaltet. Nur explizit für Anwender oder Geräte freigegebene einzelne Ressourcen sind nutzbar. Zahlreiche Hersteller haben technische SDP-Implementierungen in ihrem Produkt-Portfolio.

Was ist das Zero-Trust-Modell?

Software-Defined Perimeter basiert auf dem Zero-Trust-Modell. Dieses Modell wendet den Grundsatz an, dass keinem User, Gerät oder Service innerhalb oder außerhalb des eigenen Netzwerks vertraut wird. Soll eine Kommunikation zwischen Teilnehmern stattfinden oder ein Service genutzt werden, müssen sich die Beteiligten gegenüber einer prüfenden Instanz authentifizieren und werden erst dann autorisiert.

Elementare Forderungen des Zero-Trust-Modells sind neben der Authentifizierung und Autorisierung der Teilnehmer die Prüfung und die Verschlüsselung des Datenverkehrs. Das Zero-Trust-Modell verfolgt die Zielsetzung, die Angriffsfläche für Netzwerke, Anwendungen und Services zu minimieren und die Risiken für einen unbefugten Zugriff zu reduzieren. Sowohl externe als auch interne Gefahrenpotenziale lassen sich mit dem Modell ausschließen. Durch das grundsätzliche Misstrauen gegenüber allen Kommunikationsteilnehmern ergeben sich Auswirkungen für die IT-Sicherheitsarchitektur. Die Sicherheitssysteme sind nicht mehr nur an Netzwerkgrenzen vorzusehen. Sie müssen so implementiert sein, dass sie in der Lage sind, beliebigen Datenverkehr zu prüfen, alle Entitäten zu authentifizieren, externe oder interne Verbindungen zuzulassen oder zu verbieten und Zugriffsrechte bis auf die Anwendungsebene zu gewähren oder zu entziehen. SDP ist eine Möglichkeit zur Implementierung des Zero-Trust-Modells.

Die prinzipielle Funktionsweise von SDP

Software-Defined Perimeter schafft eine Black Cloud. Es handelt sich bei dieser Black Cloud um ein Software-definiertes, sicheres und privates Overlay-Netzwerk, das den Kommunikationsteilnehmern nur für einzelne Services dediziert nutzbare Verbindungen bereitstellt. Für SDP eingesetzte Technologien sind die Netzwerkvirtualisierung, die Netzwerksegmentierung, Software-basierte Netzwerkkonzepte, Verschlüsselung, Zugangskontrolle und Zugriffsteuerung basierend auf Policies.

Bevor sich ein User oder ein Gerät mit einem Service oder mit einer Anwendung verbinden kann, muss die Authentifizierung und Autorisierung der beteiligten Kommunikationsteilnehmer bei einer prüfenden Instanz erfolgen. Zur Authentifizierung lassen ich verschiedene Merkmale wie Kombinationen aus Benutzernamen und Passwort, Gerätetyp und -zustand sowie Kombinationen aus mehreren Faktoren nutzen. Ein SDP-Controller steuert, wer mit wem Kommunizieren darf. Er teilt diese Informationen einem SDP-Gateway mit, das die eigentlichen Verbindungen realisiert. Je nach Implementierung kann das Gateway sowohl die Verbindungen der Anwender als auch der Services terminieren und diese miteinander "verschalten". Die realisierten Verbindungen sind für den jeweiligen Verwendungszweck explizit reserviert und erlauben keine Nutzung weiterer Services. Grundsätzlich ist der komplette Netzwerkverkehr verschlüsselt. SDP kennt abhängig von den notwendigen Kommunikationsbeziehungen verschiedene Deployment-Modelle. Diese Modelle sind:

• Client-to-Gateway-Modell: für den Zugriff der Clients auf die Server sind diese hinter einem Gateway platziert

• Client-to-Server-Modell: den Zugriff der Clients steuert eine direkt auf dem Server integrierte SDP-Komponente

• Server-to-Server-Modell: die SDP-geschützte Kommunikation zwischen den Servern läuft über eine API (Application Programming Interface)

• Client-to-Server-to-Client-Modell: stellt eine geschützte Peer-to-Peer-Beziehung (P2P) zwischen den Clients her

Abgrenzung zwischen Software-Defined Perimeter und Virtual Private Network

Ein Virtual Private Network hat zwar ebenfalls das Ziel, für eine sichere und verschlüsselte Kommunikation zwischen Netzteilnehmern zu sorgen, verfolgt aber ein im Vergleich zum Software-Defined Perimeter abweichendes Konzept.

In einem VPN sind die Netzteilnehmer wie Clients und Server in einem verschlüsselten Netzwerk miteinander verbunden. Die Teilnehmer haben untereinander auf Netzwerkebene Zugriffsmöglichkeiten. Auf der Anwendungsebene findet seitens des VPNs keine weitere Kontrolle und Zugriffsteuerung statt. Dies müssen zusätzliche Instanzen höherer Ebenen leisten. Die in einem VPN freigeschaltete Netzwerkressourcen sind für die VPN-Teilnehmer sichtbar und erreichbar.

Für einen Angreifer mit Zugriff auf das VPN bietet sich eine riesige Angriffsfläche. Da die Verbindungen nicht auf einzelne Anwendungen beschränkt sind, kann er sich von Service zu Service oder Komponente zu Komponente weiter hangeln. SDP verbirgt die netztechnischen Anbindungen und macht sie für alle unsichtbar. Nur authentifizierte und autorisierte Geräte, Anwender und Services erhalten gegenseitigen Zugriff. Die dahinterliegende Netzinfrastruktur bleibt allerdings verborgen und die Verbindungen sind explizit auf einzelne Services beschränkt. Eine Kombination von SDP und VPN ist möglich.

Vorteile von Software-Defined Perimeter

Typische Vorteile von Software-Defined Perimeter sind:

• Verbergen der Netzinfrastruktur und Minimierung der Angriffsfläche

• Zugriffssteuerung auf Anwendungs- und nicht auf Netzwerkebene

• Verbindungen nur explizit für einzelne Services nutzbar

• sichere Umsetzung des Zero-Trust-Modells

• Authentifizierung und Autorisierung aller Kommunikationsteilnehmer

• geeignet für unterschiedliche Umgebungen, Konzepte und Systeme wie On-Premises-Umgebungen, Cloud-Umgebungen, Internet of Things (IoT), Bring Your Own Device (BYOD) oder mobile Geräte

• zuverlässiger Schutz vor unterschiedlichen Angriffsszenarien wie Distributed Denial of Service (DDoS), Cross-Site-Scripting (XSS), Rechteausweitung, Malware, Man-in-the-Middle-Angriffe, Code-Injection oder SQL-Injection

(ID:47471186)