Unternehmen im Gesundheitswesen wehrt Tausende von Cyberangriffen ab

Vielen Dank, dass Sie beide heute dabei sind. Wollen Sie kurz sich selbst und Ihre Rolle vorstellen und beschreiben, was Ihr Unternehmen tut?

Ja, ich bin Quynn Kars. Ich bin der Network Security Architect. Wir arbeiten für ein medizinisches Unternehmen. Und ich bin Evan Martinez. Ich bin unser Network Security Engineer und arbeite sehr eng mit Quynn zusammen. Ich bin also für die Einführung solcher Produkte verantwortlich.

Wie hat Ihre Beziehung zu Akamai begonnen und welche Produkte nutzen Sie heute innerhalb des Unternehmens?

Wir sind in erster Linie Kunde von Akamai Guardicore Segmentation. Wir waren auf der Suche nach einer Lösung für Mikrosegmentierung oder East‑West-Firewalls. Zu diesem Zeitpunkt hatten wir noch keine allzu konkrete Vorstellung und wir hatten gerade ein Anbieterevent besucht, zusammen mit einem unserer Partner, mit dem wir sehr eng zusammenarbeiten. Da hatte ich das Glück, jemanden aus dem Akamai-Vertriebsteam kennenzulernen. Wir haben ein gutes Gespräch darüber geführt, welche Anforderungen ich für unser Unternehmen sah und welche Branchentrends uns meiner Meinung nach zugutekommen könnten. So konnten wir Akamai Segmentation ziemlich schnell auf unseren Radar nehmen. Durch einige Demos und PoCs sind wir dann auf den richtigen Kurs gekommen und letztlich Kunde geworden.

Wenn Sie auf die Einführung von Guardicore in Ihrem Unternehmen zurückblicken: Inwiefern haben die Implementierung und die damit verbundenen Verbesserungen Ihrer Meinung nach dazu beigetragen, Ihr Unternehmen zu transformieren?

Als wir dieses Projekt durchgeführt haben, haben wir die klassischen Firewall-Konfigurationen untersucht, die seit Jahren in allen Umgebungen Standard waren. Aber wir wollten einen anderen Ansatz verfolgen, der weniger Personal erforderte, aber dennoch die gleichen Ziele erreichte. Und Guardicore bot all diese Vorteile. Es stellte uns eine agentenbasierte Lösung zur Verfügung. Es bot uns eine Lösung, die wir gleich am ersten Tag einsetzen konnten und uns umfassende Traffic-Transparenz und -Kontrolle ermöglichte, ohne dass wir umfangreiche Änderungen an der Infrastruktur in unserer gesamten Umgebung vornehmen mussten.

Welche Vorteile erleben Sie mit der KI‑gestützten Richtliniendurchsetzung und den Richtlinienempfehlungen erlebt? Wie haben sie sich auf organisatorische Verbesserungen in Ihrem Unternehmen ausgewirkt?

Die GPE bedeutet für uns eine enorme Prozessverbesserung, insbesondere im Netzwerksicherheitsteam, da wir hiermit beim Anwendungsrollout schneller den Durchsetzungsmodus erreichen können. Davon profitieren nicht nur die Anwendungsverantwortlichen, die schneller fertige, funktionsfähige Ringfencing-Lösungen bereitstellen können, sondern auch wir auf der technischen Seite: Der Aufwand für die eigentliche Bereitstellung hat sich dadurch erheblich verringert. Und auch die Anzahl der Arbeitsstunden, die erforderlich sind, um ein wirklich gutes Firewall-Konzept für alle Anwendungen in unserer Umgebung zu erstellen, hat sich deutlich reduziert. Das war definitiv die größte Erleichterung für uns.

Wie ist Ihr bisheriger Eindruck von der Einführung von Guardicore Segmentation und der Zusammenarbeit mit Akamai?

Er ist wirklich gut. Guardicore hat im Grunde alle Kriterien erfüllt, die wir uns gewünscht hatten. Wir wollten Transparenz, einfache Kontrolle und Präzision – und all diese Punkte wurden ab dem ersten Tag abgedeckt. Außerdem war der Rollout sehr einfach. Und es war wirklich leicht, Vertrauen in das Produkt aufzubauen. Es hat bisher in allen Bereichen unsere Erwartungen erfüllt.

Wie schätzen Sie die KI‑Richtlinien-Engine im Vergleich zu bestehenden Segmentierungslösungen ein, die Sie vor dem Beta-Programm zur Richtlinienerstellung genutzt haben? Wie sieht der Vorher-nachher-Vergleich hinsichtlich der Bereitstellung aus?

Aus meiner Sicht – und auch in meiner engen Zusammenarbeit mit Quynn – erinnere ich mich noch gut an mehrere stundenlange Sitzungen, in denen ich dabei war und die Traffic-Protokolle zentraler Services rückentwickeln musste. Das allein waren so viele Arbeitsstunden. Aber nicht nur das: Der Traffic muss ja auch vorhanden sein, damit wir ihn untersuchen können – die Anwendung muss diesen Traffic erst einmal generiert haben. Wir hatten also nicht nur diese mehrstündigen Sitzungen, sondern gleich mehrere davon, verteilt über die ganze Woche, um den nötigen Traffic zu sammeln. Aber die GPE‑Engine erfasst nicht nur diese Echtzeitdaten, die wir früher selbst zusammenstellen mussten. Sie blickt auch auf die Protokolle zurück, die in den letzten 30 Tagen eingespeist wurden. Sie erfasst also Dinge, die mir entgangen sind, seit ich das letzte Mal die Trefferzahlen in der Warnungsrichtlinie zurückgesetzt habe. Sie bietet also einfach einen viel umfassenderen Überblick, als damals möglich war – und zwar ohne dass ich selbst immer mehr Zeit investieren muss.

Was glauben Sie – aus Ihrer Perspektive und in Ihrer Rolle –, welche Aufgaben die KI‑Richtlinien-Engine Ihrem Team abgenommen hat? Sie übernimmt den Erkennungsteil, oder?

Zu Beginn dieses Projekts hatten unsere Anwendungsverantwortlichen nicht immer eine klare Vorstellung davon, was ihre Anwendung tat, mit wem sie kommunizierte und all diese Dinge. Dank der Richtlinien-Engine haben wir in diesen Gesprächen einen übersichtlichen Überblick darüber, was ihre Anwendung tut und welche Regeln wir voraussichtlich einführen werden. Auf dieser Grundlage können wir unseren Anwendungsverantwortlichen diese Informationen präsentieren und sagen: „Hey, basierend auf dem Traffic der letzten 30 Tage muss wahrscheinlich Folgendes blockiert und Folgendes zugelassen werden.“ Und die Verantwortlichen müssen dann nur noch einen Validierungsschritt durchführen. Das macht den Prozess für uns deutlich einfacher und reibungsloser, und zwar End‑to‑End. Und es funktioniert wirklich hervorragend.

Wie wichtig ist es Ihrer Meinung nach für das Unternehmen, Richtlinien simulieren zu können, bevor sie tatsächlich durchgesetzt werden – sei es, um Fehlalarme zu vermeiden oder um Ausfälle zu verhindern? Wie hat sich das auf das Unternehmen ausgewirkt? Die Simulation von Warnungsregeln für jeden Richtlinien-Regelsatz ist für mich ein enormer Vorteil, um das Vertrauen meines Änderungsgremiums zu gewinnen.

Jedes Mal, wenn ich den Durchsetzungsmodus in einer Umgebung aktivieren wollte – egal, ob es sich um Tier 1, Tier 2, Tier 3 oder was auch immer handelte –, musste ich damals die entsprechenden Genehmigungen des Änderungsgremiums einholen. Doch heute ist es für mich zehnmal einfacher, das Vertrauen und die Akzeptanz dieser Genehmiger zu gewinnen – im Vergleich zu einer herkömmlichen Firewall, bei der wir beispielsweise versuchen, eine neue Blockierungsregel zu implementieren. Die neue Lösung ist also großartig für Führungskräfte, aber auch für die Anwendungsverantwortlichen selbst: Ich kann ihnen zeigen und die Gewissheit geben, dass ich ihnen keine Ausfallzeiten an ihrem freien Tag verursachen werde oder dass sie nicht mitten in der Nacht angerufen werden, weil Guardicore Traffic blockiert hat, den sie eigentlich nicht blockieren wollten. Das alles bietet also riesige Vorteile, was das Vertrauen innerhalb des Unternehmens angeht.

Angesichts der zunehmenden Verbreitung von KI im gesamten Toolökosystem und auch hinsichtlich des KI‑Schutzes: Wie wichtig ist es Ihrer Meinung nach, über eine erklärbare KI mit einer soliden Evidenzbasis zu verfügen, die aufzeigt, was beobachtet wurde, um entsprechende Richtlinien durchzusetzen – nicht nur, um Vertrauen im gesamten Unternehmen zu schaffen, sondern auch, damit Menschen die Kontrolle behalten? Denn wir können zwar Richtlinienempfehlungen geben und Ihnen die nötigen Nachweise liefern, aber im Grunde muss der Mensch der entscheidende Faktor bei der Durchsetzung sein, statt dass alles vollautomatisiert erfolgt. Wie wichtig ist das für Sie?

Das ist ein interessanter Punkt. Denn das Ganze ist wirklich wichtig. Schließlich wollen wir mit diesen KI‑Richtlinien keine technischen Schulden aufbauen. Wir wollen, dass das, was aus diesen Systemen herauskommt, sauber ist und dem Unternehmen tatsächlich einen Mehrwert bietet. Daher ist es wichtig, dass wir über nachvollziehbare Informationen zu den Regeln verfügen, die daraus resultieren, sowie zu den Ergebnissen, die die KI den Technikern oder unseren Teams liefert. Und ich bin mir sicher, dass das alles in den kommenden Jahren zunehmend an Bedeutung gewinnen wird, da sich KI in der Branche immer stärker verbreitet.

Evan, können Sie uns ein Beispiel nennen, bei dem eine Empfehlung dazu beigetragen hat, die Sicherheit des Unternehmens zu verbessern? Haben Sie dazu irgendwelche Beispiele?

Ja, auf jeden Fall. Ein Beispiel im Zusammenhang mit der GPE ist, dass ich beispielsweise eine Verbindung von Anwendung 1 zu Anwendung 2 über Port 80, 443 oder welchen Port auch immer sehe. Und dann kommt eine zweite Empfehlung, bei der eine einzige IP‑Adresse genau dasselbe tut. Für mich ist das sofort ein Warnsignal dafür, dass wir bei der Bereitstellung oder bei der Kennzeichnung der Anwendung einen Agenten übersehen haben. Dann müssen wir also einige Untersuchungen durchführen, um festzustellen, unter welchem Endpoint Guardicore keine Kennzeichnung oder kein verwaltetes Asset erkennt. Anschließend kann ich mit dem Anwendungsteam zusammenarbeiten, herausfinden, um welchen Endpoint es sich handelt, und ihm die richtigen Tags zuweisen, damit wir tatsächlich die Transparenz, aber auch die damit verbundene Durchsetzung erhalten. So gibt es keine unkontrollierten Workloads, die in unserer Umgebung ausgeführt werden.

Gibt es messbare Vorteile, die Ihnen die Tools auf Betriebsseite gebracht haben – zum Beispiel bei Endnutzer-Fehlerbehebung, Zeitersparnis oder allem anderen, was Ihnen im Zusammenhang mit der Bereitstellung einfällt?

Ja, auf jeden Fall. Auf Betriebsseite bin ich zwar nicht wirklich an der Netzwerksicherheit beteiligt, aber ich werde tatsächlich bei Fehlerbehebungssitzungen, Ausfällen oder ähnlichen Problemen hinzugezogen, auch für Dinge, die nicht einmal mit den Anwendungen oder Systemen zu tun haben, die ich verwalte – einfach weil ich auf Prozessebene Einblick in das Geschehen habe. Ich kann also zum Beispiel erkennen, ob für einen Anwendungsserver ein SMTP‑Relay eingerichtet ist, für den ein DNS‑Eintrag existiert, aber kein Server vorhanden ist. Und dann sind die anderen 10 Server in der Farm allesamt auf etwas anderes konfiguriert, das antwortet – das ist dann sozusagen die ordnungsgemäße Konfiguration. Es kommt also oft vor, dass ich einfach zu einer Fehlerbehebungssitzung hinzugezogen werde, um das Problem auf Prozessebene zu untersuchen und Anwendungsverantwortlichen diese zusätzlichen Informationen bereitzustellen.

Wie wichtig ist es Ihrer Meinung nach anhand Ihrer Erfahrung, Ihren Kollegen zu erklären, was Akamai bei KI anders macht?

Ich halte das für sehr wichtig. Denn viele Unternehmen integrieren KI in ihre Systeme, aber ob sie tatsächlich einen Mehrwert für das Endnutzererlebnis oder für die Arbeit der Entwickler liefert, ist fraglich. Und ich denke, die Herangehensweise von Akamai an dieses Thema gehört zu den besseren Methoden. Denn Akamai schafft tatsächlich einen Mehrwert. Die GPE‑Engine ist nicht einfach nur ein Tool, das Unsinn ausspuckt. Die Vorschläge, die aus der Engine kommen, sind wirklich nützlich. Sie bieten unserem Unternehmen einen Mehrwert und verschaffen uns echte Zeitersparnisse. Und genau das wünsche ich mir von mehr Anbietern.

Was hat Ihrer Meinung nach plattformübergreifend den größten Mehrwert für Ihr Unternehmen geliefert?

Ich würde definitiv sagen, dass die GPE‑Engine den größten Mehrwert geliefert hat. Abgesehen von den Segmentierungsanforderungen, die Guardicore in unserer Umgebung abdeckt, seit wir die Lösung gekauft und Kunden geworden sind, entsteht der Mehrwert hauptsächlich durch die Einführung der GPE‑Funktionen. Quynn und ich betreuen immer mehrere Projekte gleichzeitig. Wir sind beispielsweise an Meetings zur Fehlerbehebung für neue Initiativen beteiligt. Die Tatsache, dass wir einigen unserer Poweruser in der Bereitstellungsphase etwas mehr Zeit sparen konnten, war für uns also ein wirklich großer Vorteil. Denn so können wir Kapazitäten freisetzen und uns anderen Dingen widmen, die vielleicht nicht so effizient erledigt werden.

Sie haben sich ja verschiedene Segmentierungslösungen angesehen. Wie hat sich Guardicore letztendlich als Segmentierungsanbieter bewährt, wenn es um die Beschleunigung des Ringfencings geht?

Hat es den Nutzen in Bezug auf die geschätzte Zeit bis zur Bereitstellung im gesamten Unternehmen gesteigert? Wie hat Akamai das Unternehmen in diesem Punkt überzeugt?

Ich denke, man kann es am besten so ausdrücken: In der Branche gab es sehr lange eine festgelegte Vorgehensweise für die East‑West-Segmentierung. Das Ganze lief so: Man besorgte sich eine herkömmliche Firewall, integrierte sie an der gewünschten Stelle im Netzwerk und richtete dort die Firewall-Regeln ein – oder man richtete Zugriffskontrolllisten auf einem Switch ein. Mit einem Agenten legt man einfach eine Richtlinie fest, installiert sie auf dem Rechner und schon kann es losgehen. So ist die Bereitstellung wesentlich schneller geworden. Wir hatten ursprünglich vor, einen herkömmlichen Ansatz zu verfolgen und es hätte Monate an Ausfallzeiten, Wartungsfenstern und so weiter gedauert, bis wir an den Punkt gelangt wären, an dem wir Traffic sehen und Entscheidungen treffen können, die darauf basieren. Doch mit Guardicore dauerte es nur eine Woche, bis der Agent auf all unseren Rechnern installiert war und der Bereitstellungsprozess abgeschlossen war. Natürlich mussten wir, wie jeder andere auch, verschiedene Phasen durchlaufen, aber die Zeit bis zur Bereitstellung dieser Transparenz war um ein Vielfaches kürzer. Und im Anschluss können wir Richtlinien einführen und Entscheidungen treffen. Wir können tatsächlich etwas mit diesen Daten anfangen und sie sind einfach sofort verfügbar. Ich halte diesen Ansatz also für sehr hilfreich und glaube, dass dies definitiv die Richtung ist, in die sich die Branche entwickeln wird.

Wie hat Akamai Guardicore Ihrer Meinung nach dazu beigetragen, ein Zero‑Trust-Modell in Ihrem Unternehmen durchzusetzen? Hat es Ihnen operativ die Augen dafür geöffnet, welche Möglichkeiten Guardicore über die reine East‑West-Firewall-Funktion hinaus bietet? Gab es noch andere Anwendungsfälle und Vorteile, die Sie aus dem Tool ziehen konnten – abgesehen von Ihren ursprünglichen Anforderungen?

Ja, auf jeden Fall. Wir hatten natürlich unseren Projektplan dafür, wie der Rollout aussehen sollte, als wir Kunde wurden. Und dann haben wir ein Gefühl dafür bekommen, wozu das Produkt fähig ist. Und wie Sie schon andeuten, haben sich unsere Ziele im Laufe der Zeit geändert, als wir mehr Erfahrung mit dem Produkt gesammelt und langsam wirklich verstanden haben, was wir damit alles machen können. Ohne hierbei zu sehr ins Detail zu gehen: Es gab beispielsweise einige Anwendungen, die wir anfangs nur abgrenzen und es dabei belassen wollten. Aber dann haben wir in einer zweiten Bereitstellungsphase noch einmal einen Blick auf besonders sensible Systeme geworfen – vielleicht, um eine alternative Lösung für ein System bereitzustellen, das keine Sicherheitsupdates mehr erhält – und sind dabei bei den prozessbasierten Regeln viel strenger vorgegangen. Wir haben ein deutlich engeres Ringfencing konfiguriert. Anstatt also vielleicht eine Anwendung in einer Umgebung abzugrenzen, beschränken wir einen einzelnen Servercluster, der nicht mit Workstations, dem Mailserver oder mit was auch immer kommunizieren soll.

Wie viele Anwendungen schützen Sie derzeit ungefähr in Ihrer Bereitstellung?

Wir liegen bei etwas über 100 Anwendungen – und diese Zahl wächst natürlich weiter, da das Unternehmen weiter expandiert. Und Akamai hat diesen Prozess definitiv stark vereinfacht.

Wie lange dauert es Ihrer Meinung nach, bis man sich mit der Vorfallsreaktion auskennt, und hat die Lösung Ihre MTTR verkürzt – auch im Hinblick auf die Untersuchung im Unternehmen?

Ja, auf jeden Fall. Unsere SOC‑Analysten und unsere Vorfallsreaktionsteams – darunter auch Evan und ich, wir sind ja ebenfalls Teil dieses Teams – können mit der Lösung wirklich schnell erkennen, was vor sich geht. Wenn beispielsweise eine XDR‑Warnung für einen Prozess auftritt, müssen wir mit dieser Übersicht auf Prozessebene nicht die XDR‑Protokolle durchforsten und versuchen, uns ein Bild von alledem zu machen, sondern können einfach alle Details sehen: Mit wem hat dieser Rechner in den letzten 7 Tagen kommuniziert? Was genau hat er gemacht? Hat er Netzwerktraffic erzeugt? Und so haben wir tatsächlich ein ganz neues Maß an Transparenz gewonnen, das ein XDR‑Tool vielleicht nicht bietet – oder zumindest nicht annähernd so gut wie Guardicore.

Wenn es um die Konfiguration bei der Bereitstellung einer Mikrosegmentierungslösung mit Ringfencing geht: Wie oft stoßen Sie auf Fehlkonfigurationen oder schädliche Aktivitäten, von denen Sie glauben, dass sie ohne Akamai Guardicore Segmentation übersehen worden wären?

Ich würde sagen, bei fast jeder zweiten Anwendung, die wir überprüfen – vielleicht stellt nicht alles ein Sicherheitsrisiko dar, aber es handelt sich definitiv um Fehlkonfigurationen. Beides habe ich also sehr häufig beobachtet, sei es etwas so Einfaches wie ausgehende Anfragen über Port 80 statt 443 oder FTP- statt SFTP‑Jobs, die über kritische Systeme ausgeführt werden. Diese Transparenz lässt sich für uns ganz einfach über die GPE oder auch nur anhand der Protokolle erreichen – bis hinunter auf Prozessebene. Und wir können diese Netzwerkprotokolle ganz einfach exportieren, sie dem Anwendungsverantwortlichen zur Verfügung stellen und dann eine Behebungsaufgabe zuweisen, in der wir sagen: „Hey, wir möchten, dass dies innerhalb des nächsten Monats oder so behoben wird. Sollte das nicht möglich sein, meldet euch einfach wieder bei uns, und wir werden versuchen, eine Lösung zu finden.“ Aber schon allein die Transparenz hat uns eine Fülle von Erkenntnissen geliefert, mit der wir diese Aufgaben angehen können. Damit kommen wir zum Ende.

Vielen Dank Ihnen beiden für Ihre Zeit. Wir schätzen die Partnerschaft und die Zusammenarbeit mit Ihnen sehr. Und vielen Dank auch an die Zuschauer zu Hause.