Intelligente NetOps: Der Weg zum intelligenten Netzwerk

Die IT-Abteilung in Singapur überprüft ihre Konfigurationen, während die IT-Abteilung in der Zentrale in New York das Problem gar nicht bemerkt. Alle überprüfen manuell die Routing-Tabellen.

Ein NPM-Tool sendet eine Warnmeldung, dass Schwellenwert-Richtlinien überschritten wurden, doch die Fernpaketprüfung ergibt keine Auffälligkeiten. Schließlich korreliert das Team die DNS-Protokolle mit den Flussdaten im WAN und ermittelt die Ursache: Der Datenverkehr aus Singapur wird über die Zentrale in New York geleitet.

Ein Netzwerküberwachungstool erkennt eine Fehlkonfiguration, durch die der Datenverkehr über das Unternehmensnetzwerk geleitet wird. Es kommuniziert mit der DDI-Plattform, die die Einstellung aktualisiert, um den Datenverkehr korrekt weiterzuleiten. Da die Nutzer keine Verzögerungen bemerken, gibt es nichts zu beheben.

Die IT-Abteilung überprüft, ob die Anwendung korrekt und in der aktuellen Version installiert ist und ob die VPN-Verbindung stabil ist.

Mithilfe der Erkenntnisse aus dem NPM-Tool führt das Netzwerkteam das Problem auf eine Aktualisierung der Firewall-Richtlinie zurück, die den DNS-Verkehr blockiert.

Ein NWO-Tool identifiziert Spitzen bei den DNS-Ausfallraten, die mit dem Zustand der Geräte korrelieren. Das Intelligent Network erkennt und korrigiert automatisch Konfigurationsabweichungen in den Firewall-Richtlinien.

Die Mitarbeiter versuchen, das Problem zu beheben, geben dann aber auf und beenden die Besprechung. Niemand ruft die IT-Abteilung an.

Die Mitarbeiter erhalten eine automatische E-Mail mit der Aufforderung, ihre Zoom-Anwendung zu aktualisieren, die sie jedoch ignorieren – sie erhalten täglich etwa fünf ähnliche Benachrichtigungen.

Das Intelligent Network erkennt eine anhaltende Verschlechterung der QoS für den Zoom-Datenverkehr. Es löst eine Remote-Paketerfassung aus, korreliert die ISP-Latenz mit dem Zustand der Endgeräte und erzwingt ein Fallback-Routing, während gleichzeitig eine verifizierte Empfehlung für ein App-Update ausgegeben wird.

Synthetische Monitore melden weiterhin „alles im grünen Bereich“ und die Flussmetriken sehen normal aus. DevOps, NetOps und die Sicherheitsabteilung schieben sich gegenseitig die Schuld zu.

Nach stundenlangen Nachforschungen entdecken die Techniker einen vergessenen Alias, der immer noch einige Clients an die stillgelegte virtuelle IP-Adresse vor Ort weiterleitet; lange TTLs halten den Fehler aufrecht, doch die IT-Abteilung weiß das nicht und macht die gesamte Umstellung rückgängig, um den Zugriff wiederherzustellen.

Automatisierte Gerätezustandsprüfungen, die in voreingestellten Intervallen laufen, erkennen verwaisten Einträge, kennzeichnen sie als nicht verfügbar und entfernen sie aus allen Client-Antworten. (Das funktioniert jedoch nur, wenn man warten kann oder Glück mit dem Timing hat.)

Sobald sich der Datenverkehr verändert, gleicht das Intelligent Network die Live-DNS-Antworten mit dem autoritativen Bestand ab. Nicht zugeordnete Einträge werden markiert, korrigiert und mit einer TTL von einer Minute veröffentlicht. Caches werden in der Cloud und vor Ort geleert, und Paket- sowie Pfadprüfungen stellen innerhalb weniger Minuten die vollständige globale Auflösung sicher.

Die Firewall-Signaturen und Flow-Dashboards liefern keine eindeutigen Hinweise, sodass SecOps und NetOps Hypothesen austauschen, während die Daten unbemerkt abfließen. Stunden später werden Paketverläufe erfasst, die jedoch nicht einem Verantwortlichen zugeordnet werden können, da DHCP- und DNS-Einträge in einem anderen Silo gespeichert sind.

Ein NetOps-Ingenieur konfiguriert die Plattform zur Korrelation von Sicherheitsereignissen so, dass DNS-Spitzen, die einen Schwellenwert überschreiten, automatisch unter Quarantäne gestellt werden. Die Plattform erfasst die Geräteidentität, wodurch der größte Teil – jedoch nicht der gesamte – Datenleck-Verkehr erfasst wird, und blockiert fälschlicherweise einen Teil des zulässigen Datenverkehrs.

Das Intelligent Network erkennt das ungewöhnliche DNS-Volumen in Echtzeit, löst eine Paketerfassung aus, um verdeckte Nutzdaten zu bestätigen, und ordnet die betreffende IP-Adresse sofort ihrem Lease und ihrer Asset-Kennung zu. Anschließend stellt das System das Gerät automatisch unter Quarantäne, veröffentlicht eine Sperrliste, die an alle Resolver weitergeleitet wird, und überprüft, ob die Datenexfiltration gestoppt wurde – alles innerhalb weniger Minuten. Und das mit lückenloser Dokumentation.