Alcatel Lucent neemt voortouw in beveiliging Web 2.0

De niet te stuiten opgang van cloud computing zadelt de hele Web 2.0-wereld op met een torenhoog beveiligingsprobleem. Voor service providers is het onbegonnen werk alle inkomende dataverkeer voor de eindklant te filteren en tegen kwaadwillig opzet te beschermen. Bovendien is de uniformiteit qua aanpak ver zoek. Bovenop vertaalt het toenemende succes van de sociale netwerk-sites zich in nieuwe risico’s inzake reputatie- en privacy-management. Technologiebedrijf Alcatel Lucent benadert de problematiek met een nieuwe, originele insteek, met name “Security by Design (SbD)”. Dat is de vrucht van het achterliggende R&D-center Bell Labs. “Security by Design (SbD) biedt aan service providers een methodologie die vanaf het ontwerp van een nieuwe oplossing of product, structureel rekening houdt met de veilige toepassing ervan. Ook het eigen portfolio wordt voortaan vanuit een SbD-filosofie opgebouwd,” aldus Carlos C. Solari, vice president Quality Assurance, Security and Reliability bij Alcatel Lucent (Murray, New Jersey).

Voormalige werkgevers van Solari zijn het FBI en het Witte Huis, waar hij gedurende 2,5 jaar terug als cio optrad. Waarmee meteen duidelijk wordt hoe Alcatel Lucent tegen cyber-security aankijkt.

In april 2006 trok Alcatel Lucent Solari aan als verantwoordelijke voor IT-security met als opdracht voor het Bell Labs Security Framework de vertaalslag van theorie naar praktijk te maken.

“Tot op heden benaderden we IT-security met zijn allen op verkeerde wijze. Met firewalls en anti-virus-oplossingen bestrijden we malware vanuit een “after market”-insteek. In een convergerende wereld (web presence, collaboration, unified communications, …) is een dergelijke aanpak niet houdbaar. Net zo min als dat het geval is in de migratie naar cloud computing. Hoe weet je in hemelsnaam in hoeverre de cloud veilig is?”, aldus Solari.

Standaardaanpak

Door standaard voor de “Security by Design”-methodologie te opteren, omzeilt Bell Labs de omslachtige aanpak van technologiebedrijven allerhande die, naar verluidt, hun security-oplossingen op een zevenhonderdtal verschillende criteria aftoetsen.

In de nieuwe SbD-methodologie van Alcatel Lucent is het de service provider die de (toegangs- en gebruiks)rechten vast legt. Basis van SbD is de ITU/T X.805-standaard voor de beveiliging van end-to-end communicatie die van het Bell Labs beveiligingsmodel werd afgeleid. In de praktijk krijgt niet ieder product een firewall ingebouwd of een virus-scanner meegeleverd, maar wordt er gekeken naar de typische toepassing van het product.

Dat wordt vervolgens dermate ontworpen dat de beveiligingsrisico’s bij een dergelijke toepassing van het product fors worden herleid.

Alcatel Lucent’s “SbD”-methodologie spitst zich toe op drie lagen, met name de IT-infrastructuur, de diensten en de applicaties. Elk van die lagen staat  in relatie tot het beheer, de controle & foutmeldingen en de eindgebruiker, relaties die eveneens een afdoende beveiliging behoeven.

“Alcatel Lucent’s SbD-insteek spitst zich toe op een serie forensische “tools” die instaan voor de beveiliging van acht dimensies binnen de drie voornoemde lagen en bijhorende interacties. Het gaat met name om access control, non-repudiaton (onweerlegbaarheid), communicatiebeveiliging, beschikbaarheid, authenticatie, data-confidentialiteit, data-integriteit en privacy. Uitdaging is in de SbD-benadering na te gaan welke “tools “voor welke dimensies dienen geactiveerd en in welke mate dat moet gebeuren,” vult Solari aan.

De vice-president Quality Assurance, Security & Reliability ontkent overigens niet dat binnen Bell Labs de security-dimensie non-repudiation en authenticatie nog verdere ontwikkeling behoeven. Binnen voornoemde acht dimensies zijn er bijvoorbeeld voor een data-switch andere dimensies van belang dan voor een web-services gateway of een unified communications-applicatie.

De risico’s worden bijgevolg niet afgewenteld op de eindgebruiker maar conceptueel afgedekt van bij het ontwerp van de communicatie-oplossingen.

Alcatel Lucent stelt de methodologie niet alleen ter beschikking van zakelijke gebruikers van beveiligde services die ze bij service providers betrekken. Het SbD-concept wordt ook geïmplementeerd in de eigen oplossingen, zoals de unified communications-oplossingen, firewalls, IP-communicatie-servers of de Laptop Guardian-oplossing.

Eerste oplossingen begin 2010

Begin 2010 zullen de eerste “SbD”-oplossingen van Alcatel Lucent hun intrede in de markt doen, aldus Carlos Solari. Het zal in eerste instantie om de zogenaamde Tier 1-oplossingen gaan.

Verdere verfijningen zullen op korte termijn volgen. Niet in het minst omdat ook de virtualisatietendens voor nieuwe security-dreigingen zorgt.

“Een voordeel van virtualisatie is dat anomalieën snel kunnen worden gedetecteerd en hersteld. Nadeel is dan weer dat ook de hypervisor - zeg maar, de monitor van de virtuele machine die het mogelijk maakt verschillende operating-systemen gelijktijdig op de gastcomputer te draaien - kan gecompromitteerd zijn,” geeft Solari aan.

“Het blijft hoedanook gevaarlijk om alle eieren in één mand te leggen. Zeker op een ogenblik dat alle risico’s van een nieuwe technologie als virtualisatie nog niet zijn gekend,” wordt daaraan toegevoegd.

Onze gesprekspartner laat er tegen de achtergrond van de huidige evolutie overigens weinig twijfel over bestaan: precies omwille van de toenemende uitdagingen op vlak van IT-security en de vereiste expertise om zich tegen een en ander afdoend in te dekken, zullen KMO’s steeds vaker een beroep (moeten) doen op de diensten van leveranciers van managed security.

Nu al is overigens merkbaar dat steeds meer telecom providers security mee aanbieden als onderdeel van hun access-portfolio.

Citaat bij de foto:

Carlos C. Solari, in een vorig leven werkzaam voor de FBI en cio van het Witte Huis, is bij Alcatel Lucent Bell Labs als vice president verantwoordelijk voor Quality Assurance, Security & Reliability. Uit het professionele parcours van Solari wordt meteen duidelijk welk belang Alcatel Lucent aan zijn nieuwe “Security by Design”-portfolio hecht.