Secure Defined Perimeter Suite
macmon Secure Defined Perimeter (SDP) Suite ist der Schlüssel für den sicheren Zugang zu allen Unternehmens-Ressourcen, egal ob sie sich lokal oder in der Cloud befinden. macmon SDP gewährleistet einen Zero Trust Network Access (ZTNA), der in IT und OT immer wichtiger wird. ZTNA basiert auf dem IT-Ansatz, einem Gerät oder einem Benutzer erst dann zu vertrauen, wenn es definitiv authentifiziert ist, zur Minimierung von Bedrohungsvektoren. Da sich unsere Arbeitswelt zunehmend durch mobiles Arbeiten verändert, Digitalisierung, das Internet der Dinge und das Auslagern verschiedener Dienste in die Cloud, ZTNA muss auch in Zukunft ein wichtiger Bestandteil integrativer IT-Sicherheitslösungen sein. Die macmon SDP Suite trägt diesem Wandel Rechnung.
Vorteile & Hauptmerkmale
- Gewährleistet Zero Trust Network Access-Ansatz: ZTNA sowohl in IT- als auch in OT-Umgebungen, um Angriffsvektoren deutlich zu minimieren.
- Sichere und direkte Kommunikation: Zusätzliche Sicherheit durch Multi-Faktor-Authentifizierung und Zeitersparnis durch Single Sign-on.
- Eine Lösung für den Zugriff auf alle Unternehmensressourcen: Ob im lokalen Netzwerk oder in der privaten oder öffentlichen Cloud.
- Eine Software, die alle Netzwerke unterstützt: Keine Anfangsinvestitionen in Hardware notwendig.
-
TECHNISCHES DETAIL
-
Merkmale
-
Häufig gestellte Fragen (FAQs
Funktionen von Belden macmon SDP
-
Sicherung lokaler Ressourcen
Mit der macmon SDP-Funktion "Next Generation VPN" erfolgt die Steuerung des Zugriffs auf traditionelle lokale Ressourcen im Firmennetzwerk.
Auf Geräten oder Benutzern, die Zugriff haben möchten, muss der macmon SDP Agent installiert sein, der eine Verbindung zum Cloud-Controller (macmon SDP Controller) herstellt. Im Gegensatz zum klassischen VPN authentifizieren sich sowohl der Agent als auch der Benutzer am macmon SDP-Controller.
Wenn Agent und Benutzer am Controller gültig und erfolgreich authentifiziert wurden, wird die Verbindung zum SDP-Gateway hergestellt, und der Zugriff auf das Netzwerk kann gewährt werden. Das Gateway befindet sich in der Regel in der DMZ des Unternehmens. Es kann entschieden werden, auf welche IP-Adressbereiche und auf welche Protokolle der Benutzer zugreifen darf. Daraus ergibt sich eine Segmentierung, die festlegt, welcher Benutzer mit welchem Gerät auf welche internen Ressourcen zugreifen darf.
Neben der Identität wird auch der Sicherheitsstatus des verwendeten Endgerätes geprüft und bei der Entscheidung berücksichtigt. Mit flexiblen Richtlinien kann je nach Sicherheitsstufe auf sensible Ressourcen zugegriffen werden.
-
Schutz in der Private Cloud
Sichere und direkte Kommunikation mit Ressourcen in der Private Cloud
Eine Private Cloud ist eine Cloud-Umgebung, die ausschließlich für eine Organisation, ein Unternehmen betrieben wird oder zugänglich sein soll. Der Zugriff auf diese Cloud-Ressourcen erfolgt entweder über das macmon Cloud-SDP Gateway oder über ein separates, selbstverwaltetes SDP Gateway.
Um eine Verbindung zu den Cloud-Ressourcen herzustellen, authentifizieren sich der Benutzer und der auf dem Endpunkt installierte Agent zunächst auf dem macmon SDP-Controller. Ist die Authentifizierung erfolgreich, wird eine Verbindung zum entsprechenden SDP-Gateway und damit eine Verbindung zu den gemeinsam genutzten Cloud-Ressourcen aufgebaut.
Welche Dienste für den jeweiligen Nutzer zugänglich sind, kann individuell mit Richtlinien definiert werden. Darüber hinaus wird auch der Sicherheitsstatus des Endpunkts mit einbezogen, sodass z.B. trotz gültiger Authentifizierung die Ressourcen aufgrund eines schlechten Sicherheitsstatus nicht zugänglich gemacht werden.
-
Schutz in der Public Cloud
Sichere und direkte Kommunikation mit Ressourcen in der Public Cloud
Unter der "Public Cloud" versteht man im Allgemeinen Ressourcen, die im Internet frei zugänglich sind. Da diese Dienste jedoch für Unternehmenszwecke genutzt werden und in der Regel auch Unternehmensdaten enthalten, ist eine Zugriffskontrolle im Sinne der Cybersicherheit unerlässlich.
Um Zugriff auf die Cloud-Ressourcen zu erhalten, authentifiziert sich der Benutzer zunächst am macmon SDP-Controller. Je nach Anforderungen und Richtlinien kann auch eine gültige Authentifizierung des Agenten auf dem Endpunkt erforderlich sein, sodass die Nutzung bestimmter Geräte oder zumindest ein gewisses Sicherheitsniveau auch für öffentlich zugängliche Dienste erzwungen werden kann. Wenn die Authentifizierung erfolgreich ist, kann auf Dienste in der Public Cloud zugegriffen werden. Der Zugriff auf diese Ressourcen kann sowohl über einen verschlüsselten Tunnel über ein macmon SDP Gateway als auch direkt über das Internet erfolgen.
Mit der Identity Access Management Funktion von macmon SDP wird der Zugriff kontrolliert und gleichzeitig Single Sign-On über Standards wie SAML und OpenID sowie andere Technologien ermöglicht. Da die Kommunikation ausschließlich über den Client-Browser erfolgt, ist keine Verbindung zwischen dem macmon SDP Cloud-Service und Ihren internen Systemen notwendig, sodass Single Sign-On nicht nur für Cloud-Anwendungen, sondern auch für Ihre internen Ressourcen zur Verfügung steht.
Vorteile von macmon SDP
- Reduzierung der Angriffsfläche durch Mikrosegmentierung
- Definition individueller Richtlinien auf Benutzer- und Geräteebene
- Minimaler Wartungsaufwand und niedrige Betriebskosten dank SaaS
- Inklusive Cloud Identity Provider / Identity Access Management (IAM)
- Nahtlose Integration von Cloud-Ressourcen und reduzierter Datenverkehr
- Split-Tunneling
- Verhinderung von Account-Hijacking
- Hochgradig skalierbar für beliebig viele Benutzer
- Globale Verfügbarkeit
- DSGVO-konform
FAQ für macmon SDP
Bevor Sie sich an unseren technischen oder Produkt-Support wenden, lesen Sie bitte unsere FAQ-Antworten auf die häufig gestellten Fragen.
Technische FAQs
-
Was sind die Vorteile der einzelnen Verbindungen gegenüber einer klassischen Tunnelverbindung?
Reduziert man die Anbindungsmöglichkeiten auf genau die Ressourcen, die jeder einzelne Nutzer für seine Arbeit benötigt, reduziert sich auch die Angriffsfläche für einen Angreifer. Wenn jemand beispielsweise einen Laptop und die Zugangsdaten eines Mitarbeiters "kapert" und so eine Verbindung zum Unternehmen herstellt, kann dieser Angreifer nicht sofort auf das gesamte Netzwerk zugreifen. Der Schutz wird durch die erweiterte Reduzierung auf bestimmte Ports weiter erhöht. Ein Angreifer könnte sich z.B. nur über die Webseite (https) mit dem CRM verbinden, aber nicht zusätzlich den darunterliegenden Server mit einem PortScan auf Sicherheitslücken prüfen, um diesen zu übernehmen und so weiteren Zugriff auf das Netzwerk zu erhalten. Auch Viren, Würmer und Trojaner verteilen sich gerne selbstständig in einem Netzwerk. Wenn jedoch die anderen Clients und auch die Server gar nicht erreichbar sind, sondern nur die Webseiten der jeweiligen Anwendungen, kann sich Schadsoftware nicht so leicht verbreiten. Diese Maßnahme fällt unter den Begriff Mikrosegmentierung.
-
Was sind Ressourcen und wie werden sie definiert?
Ressourcen können alles sein. Der Schutz erfolgt entweder durch die Verbindung mit den Ressourcen über ein Gateway (lokal oder auch in der Cloud) oder durch High-Level-Single-Sign-On-Authentifizierung über SAML oder OpenID. Innerhalb der Richtlinien können einzelnen Anwendungen Benutzern und Geräten zugewiesen werden, ebenso wie z.B. Netzwerkbereiche, einzelne IPs, bestimmte Protokolle/Ports, etc.
-
Was ist der Unterschied bei der Anmeldung zwischen SDP und VPN?
Der Anmeldeprozess für SDP und VPN unterscheidet sich für den Nutzer nicht grundlegend. Es gibt einen Agenten, bei dem sich der Benutzer authentifizieren muss. Der macmon SDP Agent prüft jedoch nicht nur die Benutzeridentität, sondern auch die Identität und den Sicherheitsstatus des Endpunkts. Diese Informationen werden dann an den Controller übermittelt und geprüft. Ergänzend dazu bietet die GUI des SDP-Agenten mit der Anzeige der verfügbaren Ressourcen in Form von Anwendungen und Links mehr Komfort als eine VPN-Lösung. -
Warum ist SDP leistungsfähiger als VPN?
Neben IPSec bieten wir mit WireGuard die neueste VPN-Technologie an und kombinieren diese mit einer selbst entwickelten Kontrolle, wer und was den Tunnel nutzen darf. Dadurch können wir mit deutlich weniger "Altlasten" arbeiten. Des Weiteren können wir insbesondere bei der Anbindung von Ressourcen in Private Clouds den Weg deutlich verkürzen und den Verbindungsumweg über die lokale Infrastruktur eliminieren. Der Vorteil liegt hier also in erster Linie in der direkteren Anbindung ohne mögliche Engpässe durch begrenzte lokale Bandbreiten.
-
Ist die Funktionalität von macmon SDP nicht zu kompliziert und damit fehleranfällig?
macmon secure ist ein vertrauenswürdiger Hersteller für Netzwerksicherheit. Wie bei unserer NAC-Lösung haben wir den Fokus auf eine einfache Handhabung und Nutzung gelegt. Vor allem durch das Angebot als Cloud-Service werden Administratoren von viel Aufwand entlastet und die Inbetriebnahme ist einfacher und schneller als bei jeder klassischen VPN-Lösung. -
Kann macmon SDP mit verschiedenen Betriebssystemen betrieben werden?
Der macmon SDP Agent ist eine "Cross-Plattform-Lösung" und kann auf Endgeräten mit den Betriebssystemen Windows, mac OS, Linux, Android und iOS betrieben werden. Grundsätzlich arbeitet der Agent "transparent", kommuniziert mit dem Cloud-Controller und stellt nach erfolgreicher Authentifizierung die sicheren Verbindungskanäle zur Verfügung. -
Reicht ein Login für alles (lokal, öffentlich, privat)?
Ein Login genügt, um sich mit allen Tunneln zu verbinden – also mit lokalen Ressourcen und mit Ressourcen in privaten Clouds. Ressourcen in Public Clouds erfordern den Einsatz der Single-Sign-On-Technologie, die derzeit eine separate (einmalige) Anmeldung im Browser erfordert. -
Wie lange dauert die Implementierung von macmon SDP?
Für die Umsetzung gibt es verschiedene Strategien, um möglichst schnell von den Mehrwerten zu profitieren. So kann beispielsweise im ersten Schritt die bestehende VPN-Lösung einfach ausgetauscht werden – dazu sind in der Regel nur wenige Regeln, die Verteilung der Agenten und die Implementierung des Gateways erforderlich. Da auch der Parallelbetrieb mit einem klassischen VPN kein Problem darstellt, kann die Migration sehr reibungslos verlaufen. Insgesamt kann eine Migration in nur wenigen Stunden abgeschlossen werden, zuzüglich der Agentenverteilung. Darauf aufbauend können dann Schritt für Schritt Ressourcen hinzugefügt werden. -
Wie funktioniert macmon SDP in einer verteilten IT-Infrastruktur mit vielen Standorten bzw. verteilten Ressourcen?
Dies ist einer der größten Vorteile der cloudbasierten SDP-Lösung. So ist es beispielsweise möglich, mit einem Gateway zu starten, wenn die Ressourcen bereits intern vorhanden sind. Dann können zusätzliche Gateways pro Standort hinzugefügt werden, wenn IT-Ressourcen in Betrieb sind, um die Verfügbarkeit zu erhöhen und den Datenverkehr zu reduzieren. Cloud-basierte Ressourcen und Anwendungen sind direkt über macmon-eigene Cloud-Gateways erreichbar, so dass hier kein Aufwand auf Seiten des Kunden entsteht. -
Muss für SDP eine vollständige Public-Key-Infrastruktur eingerichtet und ausgerollt werden?
Die Agenten verfügen bereits über eine integrierte Authentifizierung, die die Identität des Endpunkts genau überprüft. Für die Verbindungen zu den Gateways wird eine transparente verschlüsselte Kommunikation auf Basis von Shared Secrets verwendet, die sich für jede Verbindung ändern – eine separate PKI ist somit nicht erforderlich. -
Ist der SDP-Controller auch in der Cloud mandantenfähig?
Ja, unser Ansatz ist mandantenfähig. So können Sie Mandanten oder Kunden betreiben, ohne dass diese gegenseitigen Einblick in ihre Daten, Benutzerverwaltung etc. haben. -
Wo werden die Richtlinien festgelegt?
Richtlinien werden im SDP-Controller individuell auf Benutzer- und Geräteebene festgelegt. -
Kann das lokale macmon SDP Gateway auch auf physischer Hardware installiert werden?
Das Gateway wird als virtuelle OVF-Appliance (Open Virtualization Format) angeboten. Auf Anfrage ist jedoch auch ein Debian-Paket erhältlich, das auf dedizierter Hardware mit einem vorinstallierten Debian Linux installiert werden kann. Die Konfigurationsschritte sind dann natürlich etwas mehr, denn die können wir nicht im Vorfeld machen, wie wir es mit der virtuellen Appliance machen. Selbstverständlich können wir Sie aber auch bei der Umsetzung unterstützen. -
Ist der Datenverkehr über Cloud SDP Gateway unbegrenzt?
Prinzipiell ja, aber laut Nutzungsbedingungen gibt es ein monatliches Limit pro Nutzer. Wenn dieses Limit überschritten wird, ist für jeden Benutzer, der das Limit überschreitet, eine zusätzliche Lizenz erforderlich. Die Frage wirft jedoch eine weitere grundsätzliche Frage bezüglich der geplanten Nutzung auf - der Ansatz von ZTNA besteht darin, explizit zu definieren, welcher Verkehr durch einen Tunnel fließt und dass nur bestimmte Ressourcen zugänglich sein sollen. Das erhöht die Sicherheit und minimiert gleichzeitig den Datenverkehr, so dass das Erreichen des Limits höchst unwahrscheinlich ist, da alles andere direkt ins Internet gehen kann und nicht über ein Cloud-Gateway laufen muss.
Häufig gestellte Fragen zum Vertrieb
-
Ist macmon SDP ein eigenständiges Produkt (auch ohne NAC)?
Beide Produkte können völlig unabhängig voneinander eingesetzt und betrieben werden. In Zukunft wird es verschiedene Integrationen geben, weitere Details können aber noch nicht kommuniziert werden. -
Gibt es macmon SDP im MSP-Modell?
macmon SDP ist im MSP-Modell verfügbar. Tatsächlich war macmon SDP in erster Linie als Service geplant, bei dem wir als Anbieter die Infrastruktur bereitstellen, Managed Service Provider jedoch die Dienstleistungen wie Wartung und Administration erbringen. Die umfangreiche Mandantenfähigkeit erlaubt eine granulare Steuerung darüber, wer Zugriff erhält und kann die entsprechenden Konfigurationen bereitstellen – und damit auch den MSP. -
Wo kann ich macmon SDP kaufen?
macmon SDP wird weltweit nur indirekt vertrieben. Das bedeutet, dass die Lösung nicht direkt von der macmon secure GmbH bezogen wird, sondern über einen unserer Partner, der auch beim Testen, Lizenzieren und Implementieren unterstützt. Für Partner erfolgt der Kauf über unseren Vertrieb.
-
Wie kann ich macmon testen?
Sie haben mehrere Möglichkeiten, um detailliertere Informationen über macmon zu erhalten. Hier können Sie eine Testanfrage starten. Unsere Mitarbeiter melden sich schnellstmöglich unverbindlich mit einer Demoversion bei Ihnen.
-
Wo kann ich mehr über macmon SDP erfahren?
Für weitere Informationen über macmon SDP und seine Funktionsweise empfehlen wir Ihnen unsere Produktseiten oder unser Datenblatt.