Seit Jahrzehnten ist das virtuelle private Netzwerk (VPN) ein fester Bestandteil des täglichen Lebens für Fachleute, die außerhalb des Büros arbeiten. Hier ist noch ein weiterer Grundpfeiler: Sich über das VPN zu beschweren.
Endbenutzer bedauern die zusätzliche Zeit, die VPNs zur Anmeldung im Unternehmensnetzwerk hinzufügen, und leiden über einen langsameren Internetzugang, sobald sie sich verbinden. Netzwerkadministratoren müssen die Helpdesk-Anrufe von diesen wütenden Benutzern eingeben. Alle scheinen VPNs unpraktisch, unpraktisch und ärgerlich zu finden.
Und das war vor der Pandemie. Traditionell kauften die meisten Unternehmen gerade genug VPN-Kapazität, um etwa 10 % ihrer Mitarbeiter gleichzeitig zu bedienen – genug, um sicherzustellen, dass Vertriebsmitarbeiter auf ihren Runden, Führungskräfte und andere ihre Arbeit erledigen können, wenn sie außerhalb des Büros arbeiten.
Aber plötzlich arbeiteten alle von zu Hause aus, und wenn Sie nicht schnell die On-Premise-Hardware nutzen konnten, die für den Betrieb herkömmlicher VPNs (bekannt als VPN-Konzentratoren) erforderlich ist, waren Unternehmen hart drängt, die Mitarbeiter mit sicheren, zuverlässigen Verbindungen zu versorgen.
„Unternehmen mussten ihre VPN-Kapazität um das Zehnfache erhöhen, und die Benutzer erhalten eine schlechtere Leistung als je zuvor.“Richard Stiennon
„Was früher ein Ärger war, beeinträchtigt jetzt die Geschäftsabwicklung“, sagt Richard Stiennon, Gründer von IT-Harvest, einem Sicherheitsanalyseunternehmen. „Unternehmen mussten ihre VPN-Kapazität um das Zehnfache erhöhen, und die Benutzer erhalten eine schlechtere Leistung als je zuvor.“
Führungskräfte in einer Umfrage, die von Tanium durchgeführt wurde Juni 2020, bezeichneten übersteuerte VPNs tatsächlich als zweitgrößte Sicherheitsherausforderung, der sie sich beim Wechsel zu verteilteren Belegschaften gegenüber sahen. (Nr. 1 identifizierte neue Computergeräte im Netzwerk, da Remote-Mitarbeiter mit ihren persönlichen Geräten angemeldet waren.) Infolgedessen gaben 40 % an, dass sie ihre Abhängigkeit von der Technologie in Zukunft reduzieren würden.
[Watch: Gute Sicherheit wird von der IT gut durchgeführt]
Ein Grund: Cybersicherheitsteams mussten so viel Zeit aufwenden, um sichere Verbindungen für Remote-Mitarbeiter einzurichten, dass sie andere Aufgaben vernachlässigten, sagt Stiennon. In der Tanium-Umfrage gaben 26 % der Führungskräfte auf C-Ebene an, dass ihre Unternehmen Patching und andere Sicherheitsaktivitäten in den ersten Monaten der Krise priorisieren mussten. Im Jahr 2021 suchen viele Unternehmen nach sichereren, skalierbareren Alternativen, wenn die Pandemie nachlässt.
Zeit für ein Upgrade
Glücklicherweise haben Unternehmen eine Alternative. Da immer mehr digitale Aufgaben mit Cloud-basierten Diensten ausgeführt werden – Denken Sie an Microsoft360, Slack und Zoom – haben große Anbieter Funktionen entwickelt, die schneller, automatisierter und sicherer als VPNs sind. Dies macht VPNs zunehmend veraltet, sagt Rob Sadowski, Vertrauens- und Sicherheitsmarketingleiter bei Google Cloud.
„Der in die Cloud integrierte Remote-Zugriff ist für den Benutzer und die Administratoren eine bessere Erfahrung.“Alex J. Philips
„VPNs sind einfach nicht die beste Lösung für die erweiterte Belegschaft“, sagt Sadowski. „Der in die Cloud integrierte Remote-Zugriff ist eine bessere Erfahrung für den Benutzer und die Administratoren.“
Alex J. Philips, CIO von National Oilwell Varco in Houston, stimmt zu. „VPNs sind wahrscheinlich die wichtigste Quelle für Probleme in meiner Welt“, sagt er.
Das Öl-Well-Dienstleistungsunternehmen in 2016 hat mehr als ein Dutzend seiner VPN-Router eingestellt und auf einen cloudbasierten Dienst umgestellt, der Hunderte von Zugangspunkten auf der ganzen Welt bot. Ein Techniker in Singapur könnte sich beispielsweise sicher bei Cloud-basierten Anwendungen anmelden, ohne ein VPN verwenden zu müssen. Das Ergebnis war eine bessere Benutzererfahrung, unabhängig davon, ob sich der Mitarbeiter mit der Spesenverfolgungsanwendung des Unternehmens verbindet oder solche cloudbasierten Dienste wie Zoom oder Slack nutzte.
Ein weiterer Vorteil war die Skalierbarkeit, sagt Philips. Mit dem VPN betrug die maximale Anzahl der Mitarbeiter, die sich remote angemeldet haben, 2 000. Als die Pandemie eintrat, stellten 9 000 Mitarbeiter gleichzeitig Verbindungen her. Das Cloud-System hat sie ohne Anhänge bearbeitet.
[Lesen Sie auch: Wie die Bank of America ihre digitale Zukunft skaliert]
„In der Zwischenzeit haben sich alle anderen Unternehmen bemüht, mehr VPN-Kapazität zu kaufen, zu einer Zeit, als globale Lieferketten stilllegten und man nicht mehr Hardware finden konnte“, sagt er. „Wenn wir noch unsere alte VPN-Architektur hätten, weiß ich nicht, was wir getan hätten, aber es wäre brutal gewesen.“
Cloudbasierte Dienste bieten ihre eigenen integrierten Sicherheitsfunktionen, die nicht über die inhärenten Schwachstellen von VPNs verfügen. Google Cloud entwickelte beispielsweise eine Open-Source-Technologie namens BeyondCorp , sodass sich seine eigenen Mitarbeiter sicher von ihrem Heim-Wi-Fi oder einem anderen ungesicherten Netzwerk aus anmelden konnten, ohne sich mit einem VPN verheddern zu müssen.
Als New York City seinen Cyber Command erstellte, um eine gemeinsame Infrastruktur für alle Websites und Dienste der Stadt zu schaffen, entschieden sich die Beamten für Google Cloud, zum Teil, weil sie die Nutzung von VPNs vermeiden konnten. „Sie haben Mitarbeiter, die die größte Stadt des Landes schützen, und sie benötigen diese Mitarbeiter, um auf kritische Anwendungen und Ressourcen zuzugreifen, wann immer sie wollen“, sagt Sadowski.
Vertrauen in Zero Trust gewinnen
BeyondCorp verfügt nicht nur über eine im Wesentlichen unbegrenzte Bandbreite, sondern verfolgt auch einen Sicherheitsansatz, der „Null-Vertrauen“ genannt wird, bei dem Benutzer ihre Identität jedes Mal auf verschiedene Weise nachweisen müssen, wenn sie sich bei Unternehmenssystemen, Anwendungen und Websites anmelden. Ein Problem bei herkömmlichen VPNs besteht darin, dass Benutzer, sobald sie in ein Netzwerk aufgenommen werden, freie Kontrolle haben, wo immer sie möchten – einschließlich, vielleicht, in sensible Kunden- und Mitarbeiterdatenbanken.
Kürzlich erhielten Hacker über ein VPN Zugang zum Netzwerk eines Wasseraufbereitungsunternehmens in Oldsmar, Florida, und es gelang nahezu, gefährliche Mengen an Laugen in das Wassersystem zu injizieren, so Presseberichte.
Ein Zero-Trust-System bestätigt nicht nur die Identität jedes Geräts, sondern stellt auch sicher, dass es ordnungsgemäß konfiguriert wurde und keine alte, nicht unterstützte Software ausführt. Es überprüft die Identität des Benutzers, sodass sich entlassene Mitarbeiter nicht anmelden können. Und kontrolliert den Zugriff auf jede Anwendung, um sicherzustellen, dass der Benutzer berechtigt ist, darauf zuzugreifen.
[Lesen Sie auch: Wie Tanium Endpunktvisibilität für Googles BeyondCorp bietet]
VPNs, die zuerst von einem Microsoft-Ingenieur im mid-1990s konzipiert wurden, arbeiten, indem sie einen temporären, verschlüsselten „Tunnel“ zwischen einem Unternehmensrouter und dem PC des Mitarbeiters erstellen. Sie wurden entwickelt, um dem Benutzer nur Zugriff auf Anwendungen im Unternehmensnetzwerk zu gewähren, und sie waren nicht für die heutigen Always-On-Verbindungen vorgesehen.
Die Nachfrage nach VPN-Lösungen wird natürlich nicht schnell verschwinden. Viele Unternehmen haben sich nicht nur dafür entschieden, mehr Kapazität zu kaufen, anstatt zu neuen Ansätzen zu wechseln, sondern Anbieter, einschließlich IBM, haben auch Wege gefunden, ihre VPN-Angebote anzupassen, um sie cloudbasierter zu machen.
Wenn jedoch die Arbeit von zu Hause aus für Millionen von Mitarbeitern Realität wird, müssen Netzwerkadministratoren weitaus mehr Geräte effizienter sichern – und nicht nur die sorgfältig konfigurierten PCs, an denen die Mitarbeiter seit Jahrzehnten gearbeitet haben. Sicherer Zugriff ist für den Heimlaptop, mobile Geräte und alle neuen Clients in den kommenden Jahren erforderlich. Das bedeutet einen reichen Jagdgrund für Cyberdiebe und Hacker, da mehr Geräte mehr Möglichkeiten bedeuten, Passwörter und andere Zugangsdaten zu stehlen.
Technologieanbieter arbeiten zunehmend zusammen, um dieses byzantinische Managementproblem zu lösen. Tanium kündigte beispielsweise im Jahr 2020 eine Partnerschaft mit Google an, sodass Unternehmen, die unser Endpunktmanagementsystem und BeyondCorp verwenden, den gesamten Datenverkehr in einem Chrome-Browser kontinuierlich auf Malware und andere Bedrohungen überprüfen können.
„Es gibt einen Grund, warum jeder das VPN hasst“, sagt John Pescatore, Director of Emerging Security Trends am SANS Institute. „Sie sollten in der Lage sein, auf die gleiche Weise zu arbeiten, unabhängig davon, ob Sie sich von Ihrem Büro, Ihrem Heim-WLAN oder von einem Parkplatz oder Hotelzimmer verbinden, ohne überhaupt wissen zu müssen, dass es ein VPN gibt.“
