Moderná podniková sieťová bezpečnosť sa rýchlo vyvíja. Tradičné modely zabezpečenia založené na perimetri už nestačia na ochranu komplexných hybridných infraštruktúrnych prostredí. S prijatím architektúr cloud computingu, virtualizácie a mikroservisov sa bezpečnosť prevádzky medzi východom a západom stala jednou z najdôležitejších výziev v modernom návrhu dátových centier.
Podnikové organizácie sa teraz musia rozhodnúť, či upgradujú perimetrické firewally, nasadia interné segmentačné firewally alebo implementujú hybridné bezpečnostné architektúry. Táto príručka vysvetľuje, ako navrhnúť nákladovo efektívnu architektúru podnikového firewallu a zároveň zachovať vysokú dostupnosť, výkon a škálovateľnosť.
- Časť 1: Posúdenie dopravnej situácie
- Časť 2: Perimetrické vs. interné segmentačné firewally
- Časť 3: Architektúra vysokej dostupnosti
- Časť 4: Veľkosť platformy firewallu
- Časť 5: Stratégia optimalizácie nákladov
- Časť 6: Stratégia obstarávania
- Časť 7: Budúce bezpečnostné trendy
- Časť 8: Často kladené otázky
Časť 1: Posúdenie dopravnej situácie
Prevádzka východ-západ sa vzťahuje na internú sieťovú komunikáciu medzi servermi, aplikáciami a virtualizovanými pracovnými zaťaženiami.
Na rozdiel od tradičnej severojužnej prevádzky, východozápadná prevádzka zahŕňa komunikáciu virtuálnych strojov, komunikáciu kontajnerov a komunikáciu aplikačných mikroslužieb.
V moderných dátových centrách môže prevádzka v smere východ-západ tvoriť 60 % až 80 % celkovej sieťovej prevádzky.
Kľúčové faktory analýzy podnikovej prevádzky
- Hustota virtuálnych strojov
- Komunikačné vzorce aplikácií
- Integrácia cloudových pracovných záťaží
Nesprávne zabezpečenie premávky východ-západ môže organizácie vystaviť bezpečnostným rizikám priečneho pohybu.
Časť 2: Perimetrické vs. interné segmentačné firewally
Tradičná sieťová bezpečnosť sa zameriavala predovšetkým na ochranu perimetra. Moderné bezpečnostné modely vyžadujú hlbší prehľad a kontrolu vnútornej prevádzky.
Architektúra perimetrického firewallu
Modely zamerané len na perimetrický obvod ponúkajú nižšie počiatočné náklady, ale môžu vytvárať vnútorné bezpečnostné slepé miesta.
Architektúra interného segmentačného firewallu
Interná segmentácia zlepšuje presadzovanie zabezpečenia Zero Trust, ale zvyšuje zložitosť architektúry.
Príklad porovnania:
| Modelka | výhody | Riziká |
| Iba obvod | Nižšie náklady a jednoduchšie nasadenie | Obmedzený vnútorný prehľad |
| Segmentačný firewall | Lepšie zabezpečenie s nulovou dôverou | Vyššie prevádzkové náklady |
Časť 3: Architektúra vysokej dostupnosti
Dostupnosť firewallu je kritická v podnikových prostrediach, kde výpadky siete priamo ovplyvňujú obchodné operácie.
Modely s vysokou dostupnosťou
- Aktívne-aktívne klastrovanie
- Aktívne-pasívne záložné prepnutie
- Distribuované presadzovanie bezpečnosti
Príklad príkazu CLI na overenie stavu HA:
diagnose system ha statusDizajn s vysokou dostupnosťou pomáha eliminovať jednotlivé body zlyhania počas údržby alebo udalostí zlyhania hardvéru.
Časť 4: Veľkosť platformy firewallu
Podnikové siete fungujúce v prostrediach 10G a 25G vyžadujú správne dimenzované bezpečnostné platformy.
Medzi popredných predajcov patria:
Pri dimenzovaní firewallu by sa malo zohľadniť:
- Kapacita súbežných relácií
- Priepustnosť kontroly hrozieb
- Výkon šifrovania
Časť 5: Stratégia optimalizácie nákladov
Aktualizácie podnikových firewallov by sa mali plánovať na základe zohľadnenia životného cyklu a obchodných rizík, a nie len veku hardvéru.
- Prognózy rastu sieťovej prevádzky
- Požiadavky na dodržiavanie bezpečnostných predpisov
- Koniec životného cyklu hardvéru
Oneskorené aktualizácie môžu ušetriť krátkodobé náklady, ale zvýšiť dlhodobé bezpečnostné riziko.
Časť 6: Stratégia obstarávania
Obstarávanie infraštruktúry zohráva kľúčovú úlohu v úspešnosti nasadenia a časovom harmonograme projektu.
Globálni dodávatelia, ako napr. Router-prepínač poskytujú sieťový hardvér od viacerých dodávateľov a rýchle možnosti globálnej dopravy.
Technická konzultácia o architektúre pred predajom môže organizáciám pomôcť vyhnúť sa nesprávnemu dimenzovaniu platformy.
Príklad platformy pre cenový prieskum: IT-Price
Časť 7: Budúce bezpečnostné trendy
Budúcnosť architektúry podnikovej bezpečnosti sa posúva smerom k modelom nulovej dôvery a automatizovanému presadzovaniu bezpečnosti.
- Bezpečnosť mikrosegmentácie
- Autentifikácia založená na identite
- Detekcia hrozieb riadená AI
Budúce platformy firewallov budú fungovať skôr ako platformy na presadzovanie bezpečnostných politík než ako základné zariadenia na filtrovanie paketov.
Časť 8: Často kladené otázky
Otázka 1. Prečo je bezpečnosť dopravy medzi východom a západom dôležitá?
Prevádzka medzi východom a západom často predstavuje väčšinu internej sieťovej komunikácie a môže byť zneužitá pri narušeniach bezpečnosti.
Otázka 2. Ako môžu podniky znížiť náklady na infraštruktúru firewallu?
Prijatím multi-vendorovej architektúry, správnym plánovaním kapacity a stratégiami riadenia životného cyklu.
Otázka 3. Je potrebná viacvrstvová architektúra firewallu?
Áno, najmä v moderných hybridných cloudových prostrediach, kde si interná prevádzka vyžaduje dodatočné bezpečnostné opatrenia.