Dieser Artikel wurde automatisch übersetzt. Siehe die Referenzversion auf Englisch.
Alcatel-Lucent Rainbow™ ist ein Cloud-basierter, unternehmensgerechter, hybrider Cloud-Ansatz für Unified Communication as a Service. Rainbow bietet eine globale Lösung für Zusammenarbeit und Kommunikation und geht dabei auf die spezifischen Bedürfnisse der Endkunden von ALE ein. Ganz gleich, ob es sich um ein kleines Unternehmen handelt, das kosteneffiziente Mobilität benötigt, oder um ein multinationales Unternehmen, das einen einzigen Standard für Unified Communications in seiner komplexen IT-Umgebung mit einer Vielzahl von geografischen Standorten und Geschäftsprozessen wünscht - Rainbow kann seine UC-Anforderungen erfüllen. Rainbow bietet eine skalierbare Cloud-Computing UCaaS- und CPaaS-Plattform, die auf Hochverfügbarkeit und Ausfallsicherheit ausgelegt ist. Der Schutz der Vertraulichkeit, der Integrität und der Verfügbarkeit der Daten von ALE-Benutzern bei gleichzeitiger Wahrung ihres Vertrauens hat ebenfalls hohe Priorität.
Verantwortungsmodell
Die Rainbow-Infrastruktur wurde von vornherein auf Sicherheit ausgelegt. Sie bietet eine skalierbare und zuverlässige Plattform, die es den Kunden ermöglicht, schnell und sicher Schnittstellen zu benutzerdefinierten Anwendungen zu schaffen und diese einzusetzen. Die Infrastruktur von ALE wird gemäß den Sicherheitskontrollen und -richtlinien der Cloud-Branchenstandards wie OWASP aufgebaut und verwaltet. Wir nutzen redundante und mehrschichtige Kontrollen sowie kontinuierliche Validierung und Tests. Außerdem ist alles automatisiert, um sicherzustellen, dass die zugrunde liegende Infrastruktur 24x7x365 überwacht, zuverlässig und sicher ist.
ALE arbeitet nach einem Modell der geteilten Sicherheitsverantwortung, bei dem ALE für die Sicherheit der zugrundeliegenden Rainbow-Infrastruktur und -Dienste verantwortlich ist, während unsere Kunden ihre jeweilige Sicherheit auf der Anwendungsebene, einschließlich der Konnektivität zur Cloud, sowie die Datenschutzregeln für ihr Unternehmen und ihre Benutzer, die Identitäten und die Verwaltung der Zugriffskontrolle innerhalb der Rainbow-Umgebung verwalten können (siehe Abbildung 1).
Abbildung 1: Rainbow Modell der geteilten Sicherheitsverantwortung
Physische und umgebungsbezogene Sicherheit
Die Vertraulichkeit der Daten in der Infrastruktur, die Integrität der Serviceinhalte und die Verfügbarkeit der gespeicherten Daten sind die wichtigsten Anliegen von ALE. ALE ist für den Schutz der globalen Infrastruktur verantwortlich, auf der alle von Rainbow angebotenen Dienste laufen, einschließlich Hardware, Software, Netzwerkausrüstung und Einrichtungen, die Rainbow-Dienste betreiben. Die Rainbow-Rechenzentren nutzen moderne, ISO-27001- und SOC-zertifizierte Technologien, sind mit Stacheldrahtzäunen isoliert und der physische Zugang wird rund um die Uhr streng überwacht - sowohl an den Außengrenzen als auch an den Gebäudeeingängen durch professionelles Sicherheitspersonal mit Videoüberwachung. Autorisiertes Personal erhält einen namentlichen RFID-gesteuerten Ausweis mit wiederkehrenden Überprüfungen der persönlichen Akkreditierungen.
Jeder Raum des Rechenzentrums ist mit einem Brandmelde- und Löschsystem sowie mit Brandschutztüren ausgestattet, um Risiken zu vermeiden. Das Brandmeldesystem verwendet Rauchmeldesensoren in allen Räumen des Rechenzentrums, in den mechanischen und elektrischen Infrastrukturräumen, in den Kühlräumen und in den Räumen für die Generatorausrüstung und erfüllt die APSAD R4-Regel und die N4-Konformitätszertifizierung.
Jedes Stromversorgungssystem des Rechenzentrums ist so konzipiert, dass es vollständig redundant ist und ohne Beeinträchtigung des Betriebs 24 Stunden am Tag, sieben Tage die Woche gewartet werden kann. Es bietet eine anfängliche Autonomie von 48 Stunden, um einem Ausfall des Stromversorgungsnetzes entgegenzuwirken. Eine unterbrechungsfreie Stromversorgung (USV) sorgt außerdem für eine Notstromversorgung im Falle eines Stromausfalls.
Unsere Rechenzentren verfügen über ein eigenes, weltweites Glasfasernetz, das eine Gesamtbandbreite von bis zu 4,5 Tb/s in Europa und 8 Tb/s in Nordamerika bietet. Proprietäre DDoS-Abwehrtechniken (Distributed Denial of Service) werden auf der Netzwerkebene eingesetzt, um die ALE-Dienste vor verschiedenen Angriffen zu schützen. Sie werden in einem Zeitrahmen von einer Sekunde erkannt, filtern illegalen Datenverkehr und saugen ihn mit bis zu 4 Tb/s auf, während legitime Pakete mit einer Verzögerung von 1 ms durchgelassen werden.
Geographien
Rainbow ist so konzipiert, dass es mehrere geografisch isolierte Regionen unterstützt, um die gesetzlichen Bestimmungen einzuhalten und seinen Benutzern das bestmögliche Erlebnis zu bieten. ALE gewährleistet den Datenschutz auf regionaler Ebene, indem es den Benutzern garantiert, dass ihre sensiblen Daten niemals über Grenzen hinweg repliziert werden. Der Rainbow-Dienst wird dann über die Regionen verteilt, um die Service-Latenz gegenüber den Benutzern zu minimieren und gleichzeitig die Datengrenzen zu garantieren.
Zum jetzigen Zeitpunkt sind die Daten der Benutzer, wie in Abbildung 2 dargestellt, an sieben Schlüsselregionen gebunden: Nordamerika, Karibik und Lateinamerika, Europa, Naher Osten und Afrika (Standard), Deutschland, Asien-Pazifik, Australien - Neuseeland und Festlandchina, mit erweiterter Abdeckung in den USA und Asien. Die primären Rechenzentren von ALE befinden sich in Kanada, Brasilien, Frankreich, Deutschland, Singapur, Australien und China. Sekundäre Rechenzentren, in denen keine Daten gehostet werden, sondern die nur als Cache und Medienrelais fungieren, befinden sich in den Vereinigten Staaten, Südafrika und Japan. Diese Standorte entlasten die Netzwerkinfrastruktur, indem sie den Benutzern von Rainbow über einen IP AnyCast-Mechanismus direkten lokalen Zugriff auf statische Ressourcen bieten. ALE bietet auch ein spezielles Rechenzentrum für das Gastgeber von sensiblen Gesundheitsdaten.
Abbildung 2: Rainbow Verfügbarkeitsregionen
Business-Kontinuität
ALE hat Rainbow so konzipiert, dass Standort-, Rechenzentrums-, System- oder Hardwareausfälle mit minimalen Auswirkungen auf den Kunden toleriert werden. Alle ALE-Dienste werden in einer redundanten N+1-Konfiguration bereitgestellt, um sicherzustellen, dass es keinen Single Point of Failure (SPOF) gibt und genügend Rechenkapazität vorhanden ist, um den Datenverkehr im Falle eines Instanzausfalls auf die verbleibenden Server zu verteilen. Alle Anwendungsanfragen werden gleichmäßig auf interne und externe Load Balancer verteilt. Datenbanken und vom Benutzer generierte Daten werden alle mehrfach repliziert und regional gesichert, um einen möglichen Verlust auszuschließen. ALE fügt GeoDNS-Mechanismen und automatische Failover-Unterstützung hinzu, um mögliche Internet-Routing-Probleme zu bewältigen und den Zugriff der Benutzer auf den nächstgelegenen Präsenzpunkt sicherzustellen. Die gesamte Produktionsinfrastruktur von Rainbow ist automatisiert, um eine 100% zuverlässige und reproduzierbare Bereitstellung der verschiedenen Komponenten zu gewährleisten.
Die Rainbow Customer Care- und Operations-Teams setzen branchenübliche Diagnoseverfahren ein, um bei geschäftsschädigenden Ereignissen eine Lösung zu finden. Die Mitarbeiter sind rund um die Uhr (24x7x365) im Einsatz, um Vorfälle zu erkennen und die Auswirkungen und Lösungen zu verwalten. Es gibt interne Kommunikationsmethoden, die sicherstellen, dass die Mitarbeiter des ALE Cloud Operations-Teams ihre individuellen Rollen und Verantwortlichkeiten kennen und wissen, wie sie wichtige Ereignisse zeitnah kommunizieren können. ALE hat auch verschiedene Methoden der externen Kommunikation implementiert, um seinen Kundenstamm zu unterstützen. Es gibt Mechanismen, die es ermöglichen, das Kundensupport-Team über betriebliche Probleme zu informieren, die sich auf die Kundenerfahrung auswirken.
Routine-, Notfall- und Konfigurationsänderungen an der bestehenden Rainbow-Infrastruktur werden ausschließlich von ausgewiesenen Mitarbeitern des ALE Cloud Operations-Teams autorisiert, getestet, genehmigt, automatisiert und implementiert. Aktualisierungen an der Rainbow-Infrastruktur werden so vorgenommen, dass die Auswirkungen auf den Kunden und seine Nutzung der Dienste so gering wie möglich sind. Änderungen werden getestet, bevor sie in der Produktionsumgebung angewendet werden, um sicherzustellen, dass sie sich wie erwartet verhalten und keine negativen Auswirkungen auf die Leistung haben. Alle Änderungen müssen von internen Mitgliedern des Change Advisory Board (CAB) genehmigt werden, um eine angemessene Aufsicht und ein Verständnis für die potenziellen Auswirkungen auf das Business zu gewährleisten.
Wichtige Änderungen werden während der regulären Rollout-Fenster (Sonntag CET) geplant. Notfalländerungen an Produktionssystemen, die Abweichungen von den Standardverfahren für das Änderungsmanagement erfordern, werden mit einem Vorfall in Verbindung gebracht und entsprechend protokolliert und genehmigt.
Konstruktionsprinzipien
Rainbow bietet verschiedene Sicherheitsfunktionen und -dienste, um den Datenschutz zu erhöhen und die Netzwerkzugriffe zu kontrollieren. Dazu gehören Firewalls, Transitverschlüsselung mit der höchsten Stufe der TLS-Protokollspezifikationen für alle Dienste und Technologien zur DDoS-Abwehr.
Die Sicherheitsrichtlinien von Rainbow implementieren Regeln zur Blockierung des Datenverkehrs, um den gesamten Datenverkehr standardmäßig zu blockieren und nur die notwendigen Ports auf den verschiedenen Load Balancern zu öffnen. ALE-Systeme akzeptieren nur eingehende HTTPS/WSS (443)-Verbindungen, wobei alle Klartextzugriffe auf TLS-gesicherte Verbindungen umgeleitet werden. Bis auf hochgradig gesicherte Load Balancer, Mailserver und WebRTC-Medienrelais ist keine Komponente offen oder über das Internet (öffentlich) zugänglich. Der Betrieb solcher Server ist nur an stark kontrollierten Zugangspunkten über ein eingeschränktes, auf Zwei-Faktor-Authentifizierung basierendes VPN möglich, das einer "No-Password"-Richtlinie folgt, die jeden möglichen Brute-Force-Angriff verhindert.
ALE kontrolliert die Sicherheitsqualität der exponierten Schnittstellen mit externen Tools wie Qualys SSL Labs und stellt so sicher, dass ein angemessenes Serviceniveau aufrechterhalten wird. Standardmäßige Wildcard SSL/TLS-Zertifikate von Comodo CA werden von 99,9 % der Browser verwendet und als vertrauenswürdig eingestuft. Sie verwenden einen 256-Bit-EC-Schlüssel und sind mit RSA SHA-256 signiert. ALE unterstützt nur die stärksten Chiffren, erzwingt TLSv1.2+ Verbindungen (und deaktiviert SSLv2, SSLv3, TLSv1.0 und TLSv1.1) und lehnt folglich Verbindungen von schwachen Browsern und Clients wie IE 6-10, Safari 5-6, Android < 4.4, Java 6-7 und OpenSSL < 1.0 ab.
Rainbow Load Balancer unterstützen Perfect Forward Secrecy (PFS) unter Verwendung von Diffie-Hellmann (DH) und Elliptic Curve Diffie-Hellmann Ephemeral (ECDHE) Chiffriersuites, Downgrade Attack Prevention, OCSP Stapling und sind bekanntermaßen sicher gegen alle gängigen Bedrohungen wie DROWN, BEAST, POODLE, HeartBleed und Spectre Attacken (unter anderem). ALE fälscht die Versionsnummern des Anwendungsservers, um scanbasierte Angriffe zu verhindern.
ALE verwendet Strict Transport Security (HSTS) und ist in den öffentlichen HSTS-Whitelists von Browsern vorinstalliert, um TLS-Verbindungen zu erzwingen. Die Rainbow-Server laufen alle unter der GNU/Linux-Distribution Debian, die so konfiguriert ist, dass sie immer dem neuesten Sicherheitszweig folgt, um sicherzustellen, dass die Systempakete im Falle von Zero-Day-Lücken aktualisiert werden. Das Rainbow-Produktionsnetzwerk ist ein völlig autonomes Informationssystem, das vom ALE-Firmennetzwerk durch eine komplexe Reihe von Netzwerksicherheits- und Authentifizierungsmechanismen abgetrennt ist.
Anwendungsschicht
Um sicherzustellen, dass nur autorisierte Benutzer und Administratoren von Rainbow auf ihre Konten und die damit verbundenen Ressourcen zugreifen können, verwendet Rainbow verschiedene Arten von Anmeldeinformationen für die Authentifizierung. Die Benutzerauthentifizierung erfolgt mit einer Basisauthentifizierung über TLS, bei der die E-Mail Adresse des Benutzers und sein privates Passwort verknüpft werden. Weitere Anrufe bei der API basieren auf einem signierten JSON Web Token (JWT). Die Passwörter der Benutzer werden in der internen Datenbank von Rainbow gehasht und gesalzen. Folglich und aus Sicherheitsgründen können vergessene Anmeldedaten nicht wiederhergestellt werden, was dem Benutzer zusätzliche Sicherheit im unglücklichen Fall einer Datenpanne bietet. Das Rainbow-System setzt dann das Passwort des Benutzers zurück.
Für den Zugriff auf ein Rainbow-Konto ist ein Passwort erforderlich. Es wird bei der Erstellung des Kontos festgelegt und kann jederzeit geändert werden. Für Benutzer-Passwörter ist ein hohes Maß an Komplexität vorgeschrieben, mit mindestens acht Zeichen, darunter mindestens ein Kleinbuchstabe, ein Großbuchstabe, eine Zahl und ein Sonderzeichen. Rainbow Multi-Faktor-Authentifizierung (MFA) ist eine zusätzliche Sicherheitsebene, wenn es um die Selbstregistrierung von Konten oder den Mechanismus zum Zurücksetzen von Passwörtern geht. Ein einmaliger temporärer sechsstelliger PIN-Code wird an die E-Mail Adresse des Benutzers gesendet und muss in Rainbow bestätigt werden, um die Einrichtung des Passworts zu gewährleisten.
Nach der Authentifizierung sorgen die Rainbow ACLs dafür, dass jedem Benutzer die begrenzte Anzahl von Funktionen zur Verfügung steht, die sein Profil derzeit bietet. Unternehmensadministratoren haben die Möglichkeit, Benutzer mit ihrem Unternehmen zu verknüpfen, Benutzer auf verschiedene Rainbow-Serviceplanstufen hochzustufen und die Sichtbarkeit des Unternehmens in Rainbow zu aktualisieren. Mit Ausnahme des öffentlichen "Rainbow"-Unternehmens sind private Unternehmen standardmäßig isoliert. Die Standard-Sichtbarkeit schränkt es ein, andere Unternehmen als das eigene zu erreichen, wie in Abbildung 3 dargestellt.
Abbildung 3: Sichtbarkeit von Rainbow Unternehmen
Es gibt erzwungene Datengrenzen, die jeden logischen Zugriff auf die Daten von Benutzern und Unternehmen verhindern, außer für explizit autorisierte Peers.
Einhaltung des Sicherheitsrahmens
Die Rainbow-Infrastruktur, die ALE seinen Kunden zur Verfügung stellt, wird in Übereinstimmung mit Cloud-Sicherheitsstandards entwickelt und verwaltet. Die ALE Cloud Services sind nach ISO/IEC 27001:2013, 27017:2015 und 27018:2014 sowie HDS 1.1 zertifiziert, der Gastgeber von ALE ist nach ISO/IEC 27001:2013, SOC 1 / SSAE 16 / ISAE 3402 (früher SAS 70), SOC 2 und SOC 3 zertifiziert und die Mitarbeiter von ALE Operations sind ebenfalls nach ISO 27001 "Lead Implementer" zertifiziert.
Die Infrastruktur und die Softwarelösung von ALE werden ständig mit Hilfe von Schwachstellenscannern für Netzwerke und Webanwendungen von Drittanbietern sowie durch manuelle Sicherheitsaudits von externen, unabhängigen Akteuren überprüft. Da Sicherheit Priorität hat, werden alle notwendigen Maßnahmen ergriffen, um jede entdeckte Bedrohung zu mindern oder zu beseitigen.
Einhaltung des Datenschutzes
Die Rainbow-Dienste sind so konzipiert, dass sie mit den Regeln und Vorschriften zum Schutz personenbezogener Daten und insbesondere mit der Europäischen Datenschutzgrundverordnung (GDPR), die den Schutz der Privatsphäre und der Daten von Einzelpersonen durchsetzt, konform sind. Die GDPR basiert auf drei Hauptprinzipien, die die Philosophie der Datensicherheit von Rainbow bestimmen: Datenschutz durch Design, Sicherheit durch Voreinstellung und Verantwortlichkeit. Der Schutz der Kundendaten steht an erster Stelle. Deshalb hat ALE Sicherheitsmechanismen und -prozesse entwickelt, die eine umfassende Sicherheit für den Schutz der Privatsphäre der Betroffenen gewährleisten. Ihre Daten gehören nur Ihnen selbst und werden niemals zu kommerziellen Zwecken verarbeitet oder an Dritte weitergegeben, es sei denn, dies ist notwendig. Das Niveau des Schutzes personenbezogener Daten entspricht mindestens dem von der DSGVO geforderten Niveau, wenn Ihre Daten übertragen werden und Sie zuvor Ihre Zustimmung erteilt haben. Die Daten der Benutzer werden außerdem in den Ländern gespeichert, zu denen sie gehören, so dass die Rechtskonformität überall dort gewährleistet ist, wo sie angewendet wird.