Visualização de próximo nível e criação de políticas — Illumination 2.0

Em 2014, a Illumio foi pioneira no mapeamento de dependências de aplicativos em tempo real e na visibilidade para microssegmentação com Iluminação. Quando lançamos a Illumio Adaptive Security Platform (ASP), acreditávamos que as organizações não seriam capazes de criar políticas de segmentação para seus aplicativos abandonados sem um mapa de dependência de aplicativos (PJ Kirner, CTO da Illumio, explica por que você precisa de um mapa para segurança). em uma postagem recente no blog).

Desde nossa primeira versão até hoje, a Illumination forneceu uma maneira para as organizações usarem a visibilidade do fluxo de tráfego para criar uma política de microssegmentação, testá-la e, em seguida, começar a aplicar a fiscalização — aplicativo por aplicativo.

A evolução da visibilidade

A primeira versão do Illumination permitiu que as equipes centrais de segurança analisassem os fluxos de aplicativos e adicionassem manualmente regras baseadas em rótulos de lista branca para permitir que eles fossem permitidos. O único objetivo era ajudar os clientes a criar suas políticas de microssegmentação, e todos os fluxos de trabalho da Illumination se concentraram nesse único objetivo. Quando inicialmente concebemos o Illumination, pensávamos que os clientes emparelhariam um número limitado de cargas de trabalho, criariam políticas e depois migrariam essas cargas de trabalho para a fiscalização.

Como muitos de nossos clientes usaram o Illumination para segmentar seus data centers e sua infraestrutura em nuvem, eis o que aprendemos desde o lançamento:

1. A geração de políticas pode ser muito, muito difícil: A iluminação permitiu que as equipes de segurança analisassem as conexões de tráfego uma a uma e, com um fluxo válido, adicionassem uma regra ao modelo de política baseado em rótulos de lista branca da Illumio. Aprendemos que os aplicativos são extremamente interconectados e que apenas algumas centenas de aplicativos compostos por alguns milhares de cargas de trabalho podem ter milhões de conexões exclusivas que precisam ser analisadas. A melhor maneira de começar é gerar automaticamente uma política para permitir essas conexões. Isso corre o risco de permitir uma conexão que não deveria ser permitida (como você lerá abaixo, temos ferramentas para ajudar com isso); no entanto, a partir desse ponto, os clientes podem restringir o movimento lateral e detecte imediatamente as violações da política.
   
2. A criação centralizada de políticas nem sempre funciona: Os fluxos de trabalho no Illumination foram projetados para ajudar uma equipe central de segurança a criar políticas de microssegmentação para toda a infraestrutura. No entanto, aprendemos que criar políticas de microssegmentação é difícil e demorado sem delegá-las às equipes de aplicativos que entendem esses aplicativos. (Em breve: postagem no blog do nosso ex-vice-presidente de produto Matthew Glenn sobre o alinhamento da segmentação com sua organização. Fique ligado — é uma boa leitura).
   
3. A visibilidade pode ser usada para operações de conformidade e segurança: Quando lançamos pela primeira vez, a visibilidade no Illumination impulsionou a criação de políticas de microssegmentação. No entanto, quando adicionamos o contexto de rótulos e políticas ao tráfego, essa visibilidade se tornou extremamente benéfica para as equipes de operações de conformidade/auditoria e segurança. As equipes de conformidade usam a visibilidade para gerar relatórios que permitem que um auditor conclua seu trabalho com mais rapidez e eficiência. As equipes de operações de segurança usam a visibilidade para encontrar rapidamente violações de políticas, detectar ameaças e responder a essas ameaças com mais eficiência.
   
   Na verdade, alguns clientes da Illumio conseguiram detectar anfitriões afetados pelo WannaCry por meio da visibilidade da Illumio; qualquer host que violasse a política e tentasse se conectar em portas SMB foi rapidamente rastreado e corrigido. Outros clientes descobriram que alguns de seus servidores de data center estavam ouvindo músicas do Spotify e publicando atualizações no Facebook. Você deveria ter visto as expressões em seus rostos quando descobriram essas conexões.

Estamos constantemente ouvindo e aprendendo com nossos clientes. No ano passado, adicionamos o App Group Maps para ajudar as equipes de aplicativos a usar o Illumio e se concentrarem apenas nos aplicativos e nas cargas de trabalho que são importantes para elas. Hoje, temos o prazer de anunciar os seguintes novos recursos sob a égide do Illumination 2.0.

Novos recursos, visibilidade avançada

Introdução ao Policy Generator

Anos de ciclos de feedback de clientes e lições aprendidas deram lugar aos principais insights sobre políticas:

• Escrever políticas fluxo a fluxo em um ambiente grande não é realmente escalável. (Se você quiser uma prova de como um de nossos concorrentes flui por fluxo, assista a este vídeo).
• As equipes de segurança centralizadas nem sempre conhecem os detalhes de como os aplicativos funcionam; ao escrever políticas de segurança, elas não conseguiam validar se os fluxos estavam certos ou errados. Isso impulsionou o desejo de estender a criação de políticas às equipes de aplicativos que têm detalhes de seus aplicativos.
• As equipes de aplicativos podem ter opiniões sobre como os aplicativos devem ser protegidos, mas não têm experiência na criação de políticas de segurança (por exemplo, regras de firewall) — e colocar equipes de aplicativos em escolas de políticas de segmentação não é realmente uma opção.

É por isso que criamos o Policy Generator.

Dependências de aplicativos sem políticas de segurança em um único aplicativo.

Recomendações de políticas de segurança para microssegmentação.

Aplicação da política de segurança em um único aplicativo.

O Policy Generator reduz drasticamente o tempo, o treinamento e os recursos necessários para escrever políticas de microssegmentação.

Ele usa algoritmos personalizados e histórico de tráfego de rede para gerar automaticamente políticas de microssegmentação baseadas em rótulos. O Policy Generator permite que os clientes definam o nível desejado de granularidade de segmentação no aplicativo, no nível do aplicativo ou até o nível da porta/protocolo. Depois que o nível desejado de política é selecionado, o Policy Generator gera automaticamente políticas de microssegmentação em conformidade em minutos. Além disso, a política de microssegmentação é uma linguagem natural, algo que qualquer equipe de aplicativos pode ler e entender.

O Policy Generator pode ser usado com controle de acesso baseado em funções (BRACO) para delegar a criação de políticas à respectiva equipe de aplicativos. As equipes de segurança podem realizar uma verificação final antes de promover a política criada pela equipe de aplicativos em produção, para que a política possa seguir o ciclo de vida de desenvolvimento de software (SDLC).

O Policy Generator permite que grandes organizações acessem um data center totalmente microssegmentado e uma infraestrutura de nuvem com tempo e recursos significativamente reduzidos.

Ele também permite que os clientes desenvolvam políticas de segmentação de forma iterativa. Por exemplo, uma organização pode gerar uma política inicial de microssegmentação. Em algumas semanas ou meses, o Policy Generator pode ser executado novamente para gerar políticas que acomodam novos fluxos ou ajustar a granularidade para restringir a política ao nível da porta/protocolo (também conhecida como nanossegmentação).

Apresentando o Explorer

Com o Explorer, estamos desbloqueando uma dimensão completamente nova de visualização para nossos clientes. Começamos a ver os clientes questionarem por que os fluxos estavam acontecendo e depois faziam perguntas como: “Isso está acontecendo em outro lugar?” Em seguida, mostraríamos a eles onde mais isso estava acontecendo (se fosse). A próxima pergunta foi: “O que mais estou perdendo?”

Foi isso que nos fez criar o Explorer.

O Explorer permite que as equipes de segurança, operações e conformidade criem consultas de tráfego. Aqui estão alguns exemplos que vimos:

• Uma equipe de conformidade pode usar a ferramenta Explorer para baixar rapidamente a lista de conexões que fluem para seu ambiente PCI. Eles podem então entregar esse relatório a um QSA para ajudar a aprovar um PCI auditoria.
• Uma equipe de operações de segurança pode solicitar todos os fluxos de tráfego entre o ambiente “Dev” e o “Prod” nas portas SSH e de banco de dados para que as equipes de aplicativos justifiquem as conexões.
• Uma equipe de operações pode fazer perguntas como: “Fale-me sobre todos os fluxos entre servidores em dois data centers diferentes”, que podem ser usadas para identificar dependências de aplicativos remotos ou para determinar se uma interrupção no data center pode afetar a disponibilidade de um aplicativo em geral.
  

As organizações estão usando o Explorer para encontrar a “agulha no palheiro” em milhões de fluxos para identificar violações ocultas de políticas ou ameaças à segurança.

O Explorer permite que os usuários abordem o tráfego de uma maneira muito diferente. Os usuários podem ver o tráfego associado a qualquer conjunto de rótulos usando um mapa de coordenadas paralelo (ilustrado abaixo). Em seguida, o usuário pode “clicar” nos pontos do mapa de coordenadas paralelas para acessar o tráfego que é interessante. Em seguida, eles podem baixar a lista de fluxos em um CSV, mas incluir o contexto do rótulo nas conexões das fontes e dos destinos. O Explorer também adiciona o contexto das políticas a cada conexão para informar rapidamente se a conexão é permitida pela sua política ou não.

Identifique quaisquer violações de políticas e ameaças à segurança.

Visualização de todas as comunicações em seu ambiente PCI.

Faça uma pergunta sobre o tráfego do seu aplicativo PCI.

Assista ao vivo no VMworld 2017

Embarcamos nessa jornada para fornecer mapeamento de dependências de aplicativos em tempo real e visibilidade para segmentação há três anos. Desde então, outros fornecedores do mercado de microssegmentação perceberam a importância da visibilidade e do mapeamento da dependência de aplicativos. No ano passado, quase todos eles tentaram preencher suas lacunas de produtos tentando criar ou adquirir uma solução. Enquanto outras empresas estão no início de sua jornada, estamos entusiasmados em levar a visibilidade a um novo nível adicionando o Policy Generator e o Explorer à Illumination.

O Illumination 2.0 permite que as organizações usem esses recursos de visibilidade para microssegmentar e proteger com mais eficiência sua infraestrutura de data center e nuvem, além de permitir que usem essa visibilidade para operações, conformidade e operações de segurança fluxos de trabalho.

Mostraremos esses novos recursos na VMworld 2017. Se você estiver indo para o show, venha nos visitar no estande #800 para uma demonstração ao vivo.