Sichere Kiste

Das Stichwort »Total Cost of Ownership« (TCO) ist schon seit einigen Jahren der Inbegriff für die Gesamtkosten, die ein Investitionsgut, ein Prozess oder ein Objekt während seiner gesamten Lebenszeit mit sich bringt. Die TCO berücksichtigt nicht nur die Anschaffungskosten, sondern auch die Aufwendungen, die beispielsweise für den laufenden Betrieb durch Wartung und Unterhalt anfallen. Appliances sind hinsichtlich ihrer Anschaffungs- und Wartungskosten ein ideales IT-Gut: Die TCO lässt sich einfach ermitteln und den entsprechenden Prozesskosten zuordnen.

Unter einer Appliance-Lösung versteht man die Zusammenführung von Hard- und Software-Komponenten zu einer Gesamteinheit. Diese weist in der Regel eine begrenzte, streng definierte Funktionalität auf. Das Betriebssystem ist grundsätzlich transparent. Der IT-Verantwortliche bezieht schließlich eine Gesamtlösung an Stelle von einzelnen Komponenten wie Hardware, Software und Betriebssystem.

Neben diesen klassischen Hardware-Appliances kommen in jüngster Zeit zunehmend sogenannte »Soft-Appliances« oder »Virtual-Appliances« zum Einsatz. Dabei handelt es sich um Lösungen, die üblicherweise unter Vmware oder Virtual-PC zum Einsatz kommen. Appliance-Lösungen rücken bei Unternehmen immer mehr in den Vordergrund – aus gutem Grund, denn die Vorteile liegen für den Nutzer auf der Hand:

• Die Lösung ist aus einem »Guss« (Hardware, Betriebssystem und zugehörige Software).
• Die Liste der Lieferanten und Hersteller reduziert sich.
• Es gibt einen Ansprechpartner für Support-Anfragen und Vereinbarungen über die Supportlevel lassen sich einfach treffen und umsetzen, so dass eine hohe Wartbarkeit gewährleistet ist.
• Die vertraglichen Rahmenbedingungen vereinheitlichen sich entscheidend, da Hardware, Software und Applikation in Bezug auf Lizenzierung und Zeitraum in der Regel zusammenfallen.
• Die auf Prozesskosten basierte Rechnung wird dadurch verbessert, dass Prozesse hinsichtlich Kosten und damit das Eigentumsrecht besser zugeordnet werden können, da meist nur einzelne Prozesse auf einem physikalischen System zum Einsatz kommen.
• Einzelne Prozesse können einfacher ausgegliedert werden, wodurch sich auch bereits vollzogene oder hinfällige Prozess-Outsourcings leichter rückführen lassen.
• Die IT-Systeme sind insbesondere hinsichtlich Performance und Sicherheit technisch optimal abgestimmt, so dass die Durchsatzzahlen und die Anzahl der gleichzeitigen Verbindungen im Schnitt wesentlich höher sind als bei selbst aufgesetzten IT-Systemen.
• Beide Seiten profitieren von besseren Synergie-Effekten: Während der Vorteil für die Hersteller etwa in den Bereichen Entwicklung und Support-Handling liegen, sind es für den Kunden unter anderem die leichte Integration in vorhandene Prozesse und die Austauschbarkeit beim Wechsel eines Herstellers.

Appliances kamen bereits in den frühen 80er Jahren zur Anwendung – damals allerdings meist in Form von Krypto-Systemen im militärischen und später auch im zivilen Umfeld. Das Einsatzgebiet wurde über die Jahre ständig erweitert, so dass Firewall-Systeme, Proxy-Server und Applikationen im Bundle hinzukamen. Selbst Microsoft und viele andere etablierte Software-Hersteller stehen dem Appliance-Markt heute aufgeschlossen gegenüber.

Aus technischer Sicht ist es sinnvoll, Systeme als Appliance, also als fertige Hardware-Software-Kombination, auszuliefern wie beispielsweise bei Intrusion-Prevention-Systemen (IPS): Während Hersteller derartiger Sicherheitslösungen im Intrusion-Detection-Bereich (IDS) früher den großen Nachteil hatten, als Sensor auf bestehenden Systemen zu agieren, wird heute fast ausschließlich auf Appliance-basierende Systeme zurück gegriffen.

Insbesondere der IPS-Bereich zeigt, dass sowohl ASIC-basierte Appliances – ein Mikroprozessor basierendes System mit geringem Software-Anteil – als auch Geräte, die klassischerweise unter Linux zum Einsatz kommen, mit steigenden Anforderungen bei der Bandbreite zurecht kommen müssen. Im Hochperformance-Bereich finden sich nur Lösungen, die entweder voll auf ASIC basieren oder mit Hardware-Beschleunigern ausgestattet sind. Ein Beispiel sind hier die IPS-Appliances von McAfee. Diese gibt es mittlerweile mit einem garantierten Datendurchsatz von bis zu 10 GBit/s bei über einer Million gleichzeitiger Verbindungen. Linux-basierte Appliances könnten einen solchen Durchsatz hingegen kaum bewerkstelligen.

Einen weiteren Vorteil spielen diese Systeme bei der IT-Sicherheit aus: Appliances lassen sich besser schützen, da sie von Haus aus gehärtete Betriebssysteme mitliefern und diese auch auf das Gesamtsystem abgestimmt sind. Zum anderen stellen sie eine Art Blackbox für ihr Umfeld dar und haben somit nur dezidierte Kommunikationsverbindungen nach außen. So lassen sich beispielsweise durch Intrushield-Appliances von McAfee private Schlüssel eines https-Servers hinterlegen (Key-Escow), um »on-the-wire«, also im Fluss verschlüsselten http-Traffic auf Bedrohungen zu analysieren – ohne das System an sich ad absurdum zu führen. So wird vermieden, dass ein neues Sicherheitsproblem entsteht. Unterstützt wird diese Technologie durch Akzeleratoren, die in solchen Appliances dezidiert als Hardware-Modul zum Einsatz kommen und damit eine Entschlüsselung in Echtzeit ermöglichen. Dazu kommt, dass gerade solche Appliances in der Lage sein müssen, auf ihren Scan-Interfaces keine IP- oder gar MAC-Adressen preiszugeben. Die Verwaltung solcher Systeme erfolgt somit durch ein dezidiertes Out-of-Band-Management-Interface.

Komplexere Appliance-Systeme zeigen zunehmend unterschiedliche Prozesse auf, die zusammen geführt und auf einem System zur Verfügung gestellt werden. So agieren insbesondere im Bereich der Content-Security-Appliances mittlerweile zahlreiche Hersteller am Markt. Von Firewalls, VPN-Zugang, Anti-Virus bis Anti-Spam gibt es unterschiedliche Konstellationen in Appliance-Form. Anzumerken ist jedoch, dass eine übermäßige Zusammenführung von Prozessen auf einer Appliance-Lösung nur eingeschränkt Sinn macht und funktional lediglich begrenzt in Betracht gezogen werden sollte.

Der Vorteil einer »smarten« Box für dezidierte Aufgaben kann dann schnell durch einen möglichen Single-Point-of-Failure oder mangelnde Trennung von Funktionen zunichte gemacht werden. Daher sind neben Optionen für die Hochverfügbarkeit, etwa durch das Spanning-Tree-Protokoll, auch solche für die Integration in Management-Systeme ein wesentlicher Erfolgsfaktor beim Einsatz von Appliances. Viele Hersteller bieten darüber hinaus Werkzeuge für die zentrale Verwaltung von Appliances an, da es keinen Sinn macht, jede Appliance separat zu verwalten. Definierte Schnittstellen wie Syslog oder SNMP sind dann ein Erfolgsgarant für eine problemlose Integration in vorhandene Infrastrukturen.

Einen interessanten Ansatz und Kompromiss für den Einsatz extrem leistungsfähiger Appliances im Hochperformance-Bereich bilden Blade-Server. Hierbei werden beispielsweise Sicherheitsfunktionen wie Anti-Virenschutz, Anti-Spyware-Protection, Anti-Spam-Funktionen, URL-Filter oder Content-Schutz für dezidierte Protokolle zusammengefasst. Neben der Hoch- verfügbarkeit durch das Blade bieten diese Lösungen eine nahezu unerschöpfliche Kaskadierungs- und Erweiterungsmöglichkeit. Damit ist auch für sehr große Unternehmen oder ISPs eine Möglichkeit gegeben, höchste Performance-Anforderungen umzusetzen.

Neben den genannten klassischen Appliances bieten mehr und mehr Hersteller auch Soft- oder Virtual-Appliances an. Diese lassen sich wie eine reguläre Appliance als Vmware-Instanz beispielsweise auf einem ESX-Server betreiben. Dort ist zwar der Hardware-Anteil nicht mehr gegeben, jedoch resultieren aus den erläuterten Vorteilen die nahezu selben Synergien, da nun auf einem physikalischen System mehrere virtuelle Systeme zum Einsatz kommen können. Vom Handling unterscheiden sich solche Soft-Appliances nicht von den Hardware-Varianten.

Zusammenfassend kann man festhalten, dass Appliances, seien sie ASIC-basiert, auf Basis von 19-Zoll-Geräten im Bundle, als Soft-Appliance oder auch Blade zunehmend die IT-Landschaft prägen. Neben der wirtschaftlichen Betrachtung dieser Lösungen bilden insbesondere die technische Integration und ihre Leistung wesentliche Erfolgsfaktoren.

Rolf Haas
Diplom-Informatiker (FH), CISSP, Lead Security Systems Engineer, McAfee