Überprüfung des Konzepts und Vergleichstest von Firewalllösungen für die neu geplant Sicherheitsinfrastruktur der HVB IS GmbH

Kurzbeschreibung des Kunden
Die HVB Information Services GmbH, kurz HVB IS, ist seit 1991 eine hundertprozentige Tochter der  Bayerischen Hypo- und Vereinsbank AG (HypoVereinsbank) und gehört zu den größten IT-Dienstleistern für den Finanzdienstleistungssektor in Europa.
www.hvbis.com

Projektziele
Die HVB IS investiert in eine neue Sicherheitsinfrastruktur, um auch für die Zukunft weiterhin den hohen eigenen Sicherheits- und Skalierungsanforderungen im Unicreditkonzern gerecht zu werden. So entstand ein neues, modernes und komplexes Design der Sicherheitsinfrastruktur.

Zur externen Qualitätssicherung beauftragte uns die HVB IS zwei Testreihen durchzuführen. Dafür sollten qualitativ hochwertige Messgeräte eingesetzt werden, die auch sehr hohe Bandbreiten (10 Gbit Ethernet) emulieren können.

Das Ziel unserer ersten Testdienstleistungen bestand in der Überprüfung des Konzepts der neu geplanten Sicherheitsinfrastruktur der HVB IS in Bezug auf Leistungsfähigkeit, Skalierbarkeit sowie Robustheit und Hochverfügbarkeit. Zusätzlich sollten wir eine optimale Konfiguration für den späteren Betrieb austesten und gemeinsam festlegen.

Das Ziel der zweiten Testreihe war der Vergleich von zwei Firewalllösungen unterschiedlicher Hersteller. Die Ergebnisse und Analysen dieser Tests haben die Kaufentscheidung wesentlich unterstützt.

In beiden Testreihen sollten die Angaben auf den Herstellerdatenblättern überprüft werden, da die Hersteller in der Regel in einer Beispielkonfiguration mit stark optimiertem Datenverkehr testen, um die Grenzen ihrer Systeme nachzuweisen. Diese Beispeilkonfiguration entspricht unserer Erfahrung nach selten den realen Konfigurationen der Kunden, so dass wir im Ergebnis oft sehr unterschiedliche Leistungsgrenzen der Systeme ermitteln.

Die zu testende Sicherheitsinfrastruktur bestand aus einem redundant ausgelegten Intrusion Prevention System (IPS) gekoppelt mit einem ebenfalls redundant ausgelegten Firewallsystem.

Im einzelnen haben wir mit Datenverkehr auf der Anwendungsschicht (HTTP, FTP und SMTP) Tests mit folgenden Zielen durchgeführt:

• Werden die Anforderungen an das Durchsatzverhalten der Komponenten erfüllt?
• Kann die Konfiguration neue Verbindungen entsprechend schnell aufbauen und kann eine ausreichende Anzahl von Verbindungen parallel gehalten werden?
• Wie stabil und wie schnell sind die Umschaltvorgänge zwischen den redundant ausgelegten Komponenten?
• Können die aktiven bestehenden Verbindungen bei den Umschaltvorgängen aufrecht erhalten werden?

vorteile für den kunden

• Testdurchführung:
  Wir führten einen Proof-of-Concept mit anschließendem Vergleichstest durch. EANTC überprüfte das von der HVB IS entworfene Layout für ihre neue Sicherheitsinfrastruktur, die Machbarkeit des Konzepts und die Erreichbarkeit der geplanten Bandbreite. Danach führten wir einen Leistungsvergleich von zwei Firewallsystemen zum Einsatz in neuem System mit Prüfung von Durchsatz, Schnelligkeit und Anzahl der gleichzeitig aktiven Verbindungen durch.
• Erste Testreihe - Überprüfung und Optimierung:
  EANTC emulierte große Datenmengen im 10 Gbit/s Bereich, um den heutigen Verkehr der HVB IS exakt nachzubilden mit einem Skalierungsaufschlag für zukünftige Anforderungen und um die Stabilität unter Höchstlast des Systems zu überprüfen. Dadurch konnten wir eine genaue Aussage treffen, wie sich die Systeme im Realbetrieb verhalten werden. Desweiteren überprüften wir das Konzept, um gegebenenfalls eine Optimierung des Designs zu ermöglichen. Durch Austesten und Optimierung des Konzepts wurden genaue Richtlinien für den Betrieb und die Konfiguration der Systeme ermittelt.
• Zweite Testreihe - Vergleichstest:
  Unsere Tests waren eine Entscheidungshilfe bei der Auswahl des Firewallsystems, das die Anforderungen der HBV IS genau erfüllt. Auf Grundlage der Testergebnisse haben sich die Unterschiede der Systeme klar herauskristallisiert.
• Reale Leistungsgrenzen:
  EANTC überprüfte auch die Herstellerergebnisse aus Labortests, die auf dem Datenblatt dargestellt wurden. Unsere konkrete Installation mit exakt emuliertem heutigen Datenverkehr ergab, dass Leistungswerte nicht wie im Datenblatt beschrieben erzielt werden konnten. Unsere Tests waren daher absolut notwendig, um die realen Leistungsgrenzen der Geräte herauszufinden, was wiederum der HVB IS hilft, die Leistungsgrenzen in ihrer Konfiguration genau zu kennen und dadurch Leistungsengpässe im Betrieb zu vermeiden.
• Zeitlicher Vorteil:
  Durch die Vergabe der Testdurchführung an EANTC konnten wir die HVB IS mit unserem Know-How und unseren Ressourcen maßgeblich unterstützen und somit die Szenarien erheblich schneller überprüfen.
• Technischer Vorteil:
  Durch unsere Messungen konnten wir die Grenzen im Design aufdecken, was zur Optimierung des Konzepts führte. Zusätzlich konnte die HVB IS vom Hersteller die Beseitigung der Fehler und Grenzen vor Inbetriebnahme verlangen. Die optimale Konfiguration ermöglicht nun einen fehlerfreien Betrieb.
• Finanzieller Vorteil:
  Das jetzige optimierte Design erfüllt die Kapazitätsanforderungen langfristig und erspart somit viele teure Stunden für Kapazitätsplanung während des Betriebs. Der Nachweis der realen Leistungsgrenzen hat sofortige Nachbesserung der Hersteller der Geräte bewirkt. Durch den Vergleichstest konnte nicht nur die Kaufentscheidung unterstützt, sondern auch eine mögliche Fehlinvestition verhindert werden.