P6SYSTEMS.DE

Autor: didde

  • Die VUCA Herausforderung mit Zero Trust bewältigen

    Auch erfahrene Manager in Deutschland stehen heute vor einer neuen Herausforderung – Sie müssen ihre Organisationen in einer neuen Welt leistungs- und sogar überlebensfähig erhalten. Diese neue Welt wird im Branchenjargon auch als VUCA-Welt bezeichnet. VUCA steht dabei für Volatility, Uncertaincy, Complexity und Ambigiotus, also für die permanenten Veränderungen, die Unsicherheiten, die steigende Komplexität und Mehrdeutigkeiten unserer heutigen Lebensumstände. Diese zu bewältigen gelingt nicht mehr mit den eingelernten Methoden der stabilen, wachstumszentrierten Umwelt.

    Das Gegenstück zu diesen Herausforderungen sind vier Bewältigungsstrategien: Adaption, Information, Abstraktion und Konzentration. Adaption heisst, sich auf veränderte Rahmenbedingungen einzustellen, sich anzupassen, agil zu agieren und dies als Fähigkeit in einer Organisation zu implementieren. Unsicherheit entsteht in der Regel durch Unwissenheit, deshalb ist Information der Schlüssel zum Verständnis und zur Bewältigung der Unsicherheit. Die Fähigkeit Situationen zu abstrahieren, Muster zu erkennen und Lösungen auf der Metaebene zu entwickeln hilft dabei Komplexität zu verarbeiten. Im Gegensatz dazu vermeidet die Konzentration auf Konkretes und Erkanntes dabei sich nicht von Mehrdeutigkeiten ablenken zu lassen, sondern Schwerpunkte zu setzen und erfolgreich wirksam zu sein.

    Diese Kombination aus Adaption, Information, Abstraktion und Konzentration oder englisch Adaption, Information, Abstraction und Concentration ergibt dann AICA, das Gegenstück zu VUCA.

    Auch die Situation in der IT-Sicherheit ist eine VUCA-Umgebung. Angriffstechniken entwickeln sich ständig weiter werden komplex, Angriffsvektoren sind volatil. Zu schützende Systeme werden komplexer – nicht zuletzt durch die erweiterten Nutzungsszenarien wie das Homeoffice oder mobiles Arbeiten. Technologien – z.B. AI – können sowohl zur Verteidigung als auch zum Angriff genutzt werden, erzeugen dadurch Mehrdeutigkeiten. Und die Informationsüberflutung im IT-Umfeld führt zum Wahrnehmungsmangel und damit zur Unsicherheit.

    Die Mitigationsstrategie zu Bewältigung der VUCA Herausforderung an die IT-Sicherheit ist die Zero Trust Sicherheitsarchitektur. Im Gegensatz zum eher statischen Perimeterschutz fokussiert Zero Trust auf die dynamische Kontrolle des Zugriffs von Nutzern, Diensten und Geräten auf Anwendungen, Dienste und Infrastrukturen. Damit ist Zero Trust ein Architekturmodell – und findet sich somit sowohl im Identity- und Access Management oder in der Datacenter Mikrosegmentierung, aber auch in der Netzwerk-Zonierung wieder. Dabei sind die Ausprägungen komplementär und können parallel und integriert betrieben werden.

    Zero Trust implementiert das AICA Prinzip. Das grundlegende Konzept der Kontrolle des Zugriffs ist nicht auf spezifische Anwendungen oder Infrastrukturen beschränkt, die Fokussierung auf die Kontrolle der Interaktion ermöglicht eine agile Implementierung in wechselnden Umgebungen.

    Die Kontrolle des Zugriffs erfolgt nicht statisch, sondern bedient sich verschiedener Informationen, vom Gerätzertifikat über das originäre Netzwerk bis zur Uhrzeit des Zugriffs. Der Authorisierungsprozess ist also informationsgetrieben.

    Durch die feingranulare, dynamische Zugangskontrolle und die Mikrosegmentierung der Kommunikation im Datacenter reduziert sich die die Angriffsfläche einer Attacke. Fokussierung auf das notwendige – Zugang nur wenn nötig – ist ein Kernprinzip einer Zero Trust Sicherheitsarchitektur.

    Zero Trust ist ein Concept of Operations (CONOPS). Als solches abstrahiert es die Sicherungsmechanismen von den Betriebsmechanismen und etabliert eine zusätzlicher Sicherheitsschicht, unabhängig von Anwendungen und bestehenden Systemen.

    Die Wirkmechanismen einer Zero Trust Sicherheitsarchitektur entsprechen also dem AICA Prinzip zur Bewältigung der Herausforderungen einer sich verändernden, unsicheren, komplexen und mehrdeutigen (VUCA) Geschäftswelt. Cisco unterstützt die Gestaltung und Realisierung einer Zero Trust Sicherheitsarchitektur nicht nur durch Dienstleistungen, sondern auch durch eine für das Zero-Trust Prinzip validierte Sicherheitsplattform. Dabei sind insbesondere die Lösungen Secure Access (erweitertes Identitätsmanagement), Secure Network  (Netzwerksicherung) und Secure Workload (Datacentersicherung) zu nennen, die das Netzwerkportfolio ergänzen.

    Dieser Artikel erschien zuerst unter gblogs.cisco.com.

  • Why the Transpormation in the Cloud is Indispensable

    Software development is not a new profession, people had programmed systems – analog and digital – for a time much longer you will expect. I think the earliest program I know is a time measurement program, developed by some ancient greek and realized in an analog way by letting water drip out of reservoir with an individual diameter as input and having a meter as a display. But let us focus on the electronical side where we have started with electronic tubes, going to transistor based host systems and further via workstations and PCs to client server based systems and finally the cloud as a service provider. This is huge development, but what cuses it? From my perspective it is not only the availability of technology – you could still use a dumb VT100 Terminal to book a holiday home on a host computer named airbnb. And it is not only the availability of a solution – you could also connect a terminal via phone line to the airobnb server much cheaper than using your iPhone 12 with you expensive flatrate. I do believe that the driving force for changing operational models of software is the efficiency of their development.

    In the beginning there was the host. He was hard to program because he could do only one thing at a time. He had only one user. And every change in a program – even a tiny change in a subroutine needs a shutdown of the whole software and sometimes the whole computer. Not very efficient.

    Then computers become smaller and more easily available – maybe you remember the MicroVax or the SGI Indigo. But more people got access to this compute power, so the demand grew. Because of this the use of computers rose, but software development became less efficient. For each change in a software you need to distribute the software to millions of computers and force the users to reinstall the software. That is when patch days were invented. And people hated it. In retrospective view it was a stepback from the host computer. This is why it is mostly gone

    In the same time the network was invented. The first use was the transfer of information – mail and ftp. And telnet brought back the host and the efficiency of host based software development. And client-server based computing tried to make host computing more efficient. This was done by creating fat clients, which took all the standard functions of a software which is changed seldom to the workstation and leaving the core functions, which are continuously developed, on a host-like server. This eases development a lot because changes could be implemented much faster.

    In the meantime the network developed and many people started to operate their own hosts – accessing them with the actual version of a dumb terminal, the webbrowser. And people found out that they can benefit from other people work by linking alien services in their own solutions. If I access my favorite news aggregator I use the ID of my favorite search engine as a login so the developer of my news aggregator does not need to take care of developing and operation the ID management which makes his development much more effective. I call this cloud usage and it differs significant from just using somebody else’s datacenter.

    This is the reason why I think that the move to the cloud is indispensable. Not because people want it, but because the development of solutions is more effective, therefore faster and therefore brings more value earlier to the user. Ignoring this leaves you behind the digitization front. And therefore the transformation into the cloud is indispensable.

    Der Beitrag erschien zuerst auf linkedin.

  • Trocken, Warm, Satt.

    Seit langem bin ich mit meiner Frau im Trekking unterwegs. Die GTA, der Alta Via Uno, der Nortkalottruta und Kungsleden, der AT, PCT und der John-Muir-Trail sind meine Freunde geworden. Und über die Jahre habe ich eine Prioritätenliste entwickelt, die nicht nur mein direktes Handeln unterwegs, sondern auch meine Ausrüstung und meine Streckenwahl bestimmt: Gesund – Trocken – Warm – Satt. In dieser Reihenfolge verteile ich meine Ressourcen.

    In Trekkingausrüstung gedacht bedeutet das: Notfallpäckchen (Allzeit-Bereit-Päckchen :b), Regenjacke/Biwacksack, Daunenjacke/Schlafsack und die BP-5 Kekse. Oder in (Notfall)-Aktionen: Erste-Hilfe, Schutz suchen, warm halten und Kekse essen. Und dann in Ruhe weiterplanen oder nach Hilfe suchen.

    Haben wir das schon mal durchgespielt? Leider ja. Ein gesundheitliches Problem auf dem John-Muir-Trail zwang uns zur Unterbrechung. Also 1) Gesundheitsversorgung – soweit möglich, 2) einen Platz für das Biwak suchen, 3) Zelt aufbauen, einrichten und im Schlafsack entspannen. Dann 4) den Kocher anwerfen und Essen vorbereiten. Pause. Am nächsten Tag sind wir dann ruhig weitergegangen.

    Kann man dieses Modell auf die IT-Sicherheit übertragen? Ich denke ja.

    Gesund. Das System funktioniert. Eine IT-Sicherheit die veraltet ist, nur einen Teil der Systemumgebung abdeckt, nicht integriert ist oder Lücken hat ist nicht zielführend. Es gilt also, die vorhandenen Sicherheitsmassnahmen funktionsfähig und effizient zu halten.

    Trocken. Keine Beeinträchtigung durch externe Einflüsse. Der Perimeter- und Endpunktschutz verhindert Standard-Angriffe von aussen, sichert den Betriebsstatus. Eine Zero-Trust Architektur unterstützt das und gewährleistet die Handlungsfähigkeit

    Warm. Wärme gewährleistet Handlungsfähigkeit und schafft Übersicht. Gibt die Ruhe um die Fakten zu analysieren und die Situation zu überdenken. Die Visibilität über den Zustand der Systeme – Network, Workload, Workplace Visibility – ist das sicherheitstechnische Äquivalent. Hier greift zum ersten mal die Künstliche Intelligenz ein, analysiert und bewertet was ein Mensch übersehen kann.

    Satt. Energie von aussen. Baut auf und erweitert die Aktionsmöglichkeiten. Das Äquivalent der IT-Sicherheit ist Information oder spezieller: Bedrohungsinformation. Denn ich kann nur bekämpfen was ich kenne und sehe. Hier greift zum zweiten mal die Künstliche Intelligenz, macht aus unbekanntem bekanntes und damit etwas, was bewältigt werden kann.

    Cisco Security Lösungen arbeiten in allen Bereichen. SecureX sichert die Gesundheit, ist ein Bindeglied, das den Zugang zu allen Lösungskomponenten gewährleistet. Secure Firewall und Secure Endpoint halten trocken, sichern das IT-System vor bekannten Angriffen. Secure Network Analytics und Secure Workload halten warm, schaffen Sichtbarkeit und Handlungsfähigkeit. Und die Talos Threat Intelligence sättigt, liefert den kritischen Informationsvorsprung um komplexe Lagen zu bewältigen.

    Der Artikel erschien zuerst auf linkedin.

  • Spring Security Cleanup

    So, we are done. Finished the work to enable the employees to work from home. Implemented a video conferencing solution. Enabled access to the company data for the home workers. And the CEO is happy too. He can now work from the tablet of his oldest daughter. Time to grab a beer and relax.

    And after that well deserved beer it’s time to clean up. Have a look into the security rules and check that we are still up to date. Lets‘ see my checklist.

    1. Check the remote access

    Well, we opened out network to the outer world. Gave VPN access to all of our employees. Broaden the attack surface. Maybe the good old LDAP directory is not that secure anymore. Could be the right moment to enhance our login with a multi factor authentication? And may be assess the security status of all these remote-now devices?

    2. Secure the new endpoints

    Oops, all that devices out now. We told our people to take their company devices home. But hey – there was that guy ho said the video of his laptop was broken. We gave him VPN for his private computer. And the tablet of the CEOs‘ daughter. He said it is well managed because his daughters‘ friend knows IT and had made a million in Bitcoin. Maybe we should try to secure all that devices with an overall solution?

    3. Create visibility in the network

    Yeah, all that runs now for more than 3 weeks. What if somebody has already entered our network? There is enough stuff where he can hide. We should start to create some visibility. Maybe we can find these guys by looking for anomalies?

    4. Reorganise Security Zones

    And yes, we put all of our data on that network drive to make access as simple as possible. Hotline calls could have killed us. But right, now our financial data is visible to the engineering team. I think we should rethink what is visible to whom before these weird guys find out where to look.

    5. Verify your cloud solutions

    Ok, for god’s sake we started to use this cloud based messaging platform. I would not had slept for a week if we had to built that up on prem. But wait, yesterday I saw that the Executive Team shared their year end results? Hmm, it could make sense to have a closer look on how we protect our cloud services.

    This text appears first at linkedin.

  • Competing Targets

    Most mechanical engineers are familiar with the three competing targets „time to market“, „costs“ and „quality“. And most of them also understand the costs of changes: the earlier a change happens in the product development cycle, the cheaper it gets.

    An equivalent of these tripod for governmental organizations could be: time to completion, co-signing, collaboration & delegation and comprehensibility. And in security? The most obvious three axis are: Quality of detection, time to remediation and security efficiency.

    Quality of detection is the first target. It covers the most urgent question: Do I really detect all attacks I need to detect without over flooding my crew with false positives? And this question leads to additional ones. Can I really detect all important attacks by supervising only the endpoint? How do I correlate information from the endpoint, the network and the datacenter? And how reliable and fast is my threat intelligence information for these three sensors?

    Time to remediation is the second target. Once an incident is identified, how easy is it to drill down to patient zero, the first infection? How much time do you need to identify all other devices also attacked and penetrated? And how much time do you need to secure the rest of your system from those already infected.? Not to mention cleaning and resetting all compromised devices. And there is a similarity to engineering change here – the faster you fight an attack, the less impact this attack has on you overall system.

    Security efficiency is the third target. How much resources do you need to implement a reliable holistic prevention system and to create the capacity to quickly react and defend an attack. And how much impact does your security solution have on your operational processes? Security measures which reduce the efficiency of your business processes may be cheap in security but will cost you a fortune in OPEX.

    Measuring these three targets – or indicators, identifying KPIs is a difficult task, as one major component in analysis is unknown – the total number of attacks run on a specific system. So the number of attacks found by a specific security system could either be zero as the security system does not work or it could be zero as the target system does not undergo any attack. Therefore you need to define KPIs which work independently from the implementation or you need KPI which compare a before and after status.

    An example for an implementation independent KPI is the ratio of false positive detections to the total number of incidents found. This is a clear KPI measuring the quality of a detection algorithm. On the opposite, the “number of incidents found“ needs to be compared in a „before and after“ manner, assuming that the total number of attacks run is constant over time. 

    Consequently, running intensive Proof of Concepts before selecting a new security solution is key to validate the efficiency of a solution over all three axes. I also believe that a holistic security architecture combined with an integrated portfolio of security components is best for delivering highest prevention and attack detection as well as fastest threat remediation while delivering the best operational efficiency. 

    An integrated solution detects attacks not only on a single point, but across the whole security architecture. Exchanging information between the security components and between the security, network and IT infrastructure increases the ease of investigation. And integrating IT and security operations improves the operational efficiency.

    This Text appeared firs at linkedin.