Het zal niemand verbazen dat de beveiliging in datacenters een steeds complexere aangelegenheid wordt. Zo zorgen consolidatie en virtualisatie ervoor, dat er niet alleen maar fysieke objecten beveiligd moeten worden. Virtuele servers kunnen in principe overal in het netwerk beschikbaar zijn. Daar komt nog de schaalbaarheidsproblematiek bij en wat er met de security gebeurt als ondanks alles hardware uitvalt. Maar ook vanuit het perspectief van de afnemer wordt het er niet eenvoudiger op. Op de beveiliging van een dienst uit de cloud heb je geen grip, die geef je immers ook uit handen. Die complexiteit vergt een voortdurende evaluatie of de beveiliging nog wel aan de eisen voldoet. Menig organisatie zou dat beter mogen beseffen.
Het beeld van het datacenter is dat van een goed beveiligd fort. Maar het is een fort dat voortdurend onder vuur ligt. Bijvoorbeeld door de opkomst van slimmere mobiele devices, met meer apps en functies die voor meer risico zorgen (malware, lekken) en die de veiligheid van het datacenter bedreigen. Wapening tegen deze voortdurend wisselende bedreigingen kan alleen, als het fort van meet af aan gebouwd is met beveiliging in het achterhoofd. Een palissade die achteraf rond het fort is gezet zal de vijand niet lang buiten kunnen houden.
Security moet dus onderdeel zijn van de kern van het datacenter. Een goede aanpak is daarbij uitgaan van een gelaagde architectuur. Op de eerste laag vindt de eerste filtering plaats en wordt bepaald welk type verkeer waar naar toe gaat. Op de volgende laag bevinden zich de firewall-functies die netwerkverkeer tegenhouden of doorlaten. Daarna komt een laag met services, bijvoorbeeld voor ‘intrusion prevention’ en het regelen van de toegang tot al dan niet gevirtualiseerde servers. Een dergelijke architectuur maakt het mogelijk om verschillende omgevingen binnen het datacenter (voor verschillende klanten) van elkaar te scheiden en goed te isoleren.
Naast deze architectuur is er nog een aspect dat voor een goede beveiliging essentieel is: een goede planning en beheer van de talloze communicatiestromen in het datacenter. Denk aan een policy die bepaalt welke stromen doorgelaten mogen worden en welke niet. Maar ook dat is nog niet voldoende. Beleid zal niet alles op voorhand kunnen ondervangen. Het is daarom noodzakelijk dat die communicatiestromen ook zichtbaar zijn voor de beheerder. Dat betekent, dat die stromen goed gemonitord moeten worden en dat onbekende, mogelijk schadelijke stromen meteen gedetecteerd worden, zodat daar meteen actie op kan worden ondernomen. Voor al deze beveiligingsaspecten zijn overigens goede oplossingen beschikbaar, al vergt het goed omgaan hiermee veel ervaring van de leverancier of partner die hiervoor wordt ingeschakeld.
Het resultaat van dit alles is een veiligheidsschil rond het datacenter, die het mogelijk maakt om tot op applicatieniveau te bekijken wat er aan de hand is. Het zal duidelijk zijn, dat wie dat goed voor elkaar heeft, clouddiensten kan aanbieden waarvan de beveiliging gegarandeerd is. Dat klinkt natuurlijk goed, maar als afnemer van de clouddienst is het toch zaak om zo’n beveiligingsgarantie goed te begrijpen. Verschillende cloudproviders zullen ook verschillende garanties geven. Bovendien kan een provider ook nog eens verschillende beveiligingsniveaus aanbieden. Hoe hoger het niveau hoe complexer en ongetwijfeld ook duurder. Dat is nóg een argument voor de afnemer om vooraf vast te stellen in hoeverre de aangeboden beveiliging bij de eisen van zijn organisatie past.
Wat we alleen zien in de praktijk, is dat beveiliging te vaak wordt gezien als een vast gegeven. Het zou goed zijn als organisaties zich bewuster worden van het feit dat beveiliging voortdurend moet worden bijgewerkt om in de veranderende ICT-wereld stand te houden. Dat vergt dus ook een continue evaluatie van de security – zowel door de provider als door de afnemer!
Michel Schaalje (1970), Technisch Manager, Cisco
