Automatisierte Microsegmentierungsstrategie basierend auf Digital Twin Netzwerk-Mapping

Wie lassen sich abstrakte Kommunikationsanforderungen automatisiert in eine konsistente VLAN-Segmentierung überführen? Diese Bachelorarbeit verbindet einen graphbasierten Digital Twin mit einer schnellen Heuristik und dem SMT-Solver Z3 und vergleicht beide Verfahren anhand von 72 synthetischen Netzwerkszenarien.

Graphbasierter Digital Twin eines einfachen Netzwerks

Ausgangslage

Moderne IT-Infrastrukturen bestehen aus einer stetig wachsenden Zahl physischer und virtueller Systeme, Container, Cloud-Dienste und weiterer vernetzter Komponenten. Dadurch werden Kommunikationsbeziehungen zunehmend komplex und schwer überschaubar. Eine manuell gepflegte Netzwerksegmentierung ist in solchen Umgebungen zeitaufwendig, fehleranfällig und nur begrenzt skalierbar.

Microsegmentierung reduziert die Angriffsfläche, indem ausschliesslich tatsächlich notwendige Kommunikation erlaubt und alle übrigen Verbindungen unterbunden werden. Für eine automatisierte Umsetzung müssen dabei sowohl die Sicherheitsanforderungen als auch die reale Netzwerktopologie berücksichtigt werden – ein Aspekt, der in bestehenden datengetriebenen und rein regelbasierten Ansätzen häufig zu kurz kommt.

Forschungsfrage

Im Zentrum der Arbeit steht die Frage, wie sich die Microsegmentierung von Netzwerken durch eine Kombination aus Digital-Twin-Modellierung und automatisierter Regel-Synthese effektiv und konsistent umsetzen lässt. Ergänzend wird untersucht, wie sich Netzwerke und ihre Kommunikationsbeziehungen für eine automatisierte Analyse geeignet modellieren lassen und inwiefern sich heuristische und constraintbasierte Verfahren hinsichtlich Korrektheit, Skalierbarkeit und Praktikabilität unterscheiden.

Zielsetzung

Ziel der Arbeit war die Entwicklung eines Forschungsprototyps, der ein Netzwerk als graphbasierten Digital Twin modelliert und daraus automatisiert eine VLAN-basierte Segmentierung ableitet. Erlaubte und verbotene Kommunikationsbeziehungen werden als High-Level-Constraints vom Typ ALLOW und DENY beschrieben. Die Graph Engine bestimmt die relevanten Kommunikationspfade und berücksichtigt dabei auch die dazwischenliegenden Switches.

Für die eigentliche Segmentierung wurden zwei unabhängige Verfahren umgesetzt: eine schrittweise arbeitende Heuristik für schnelle Ergebnisse und ein formaler Ansatz mit dem SMT-Solver Z3. Ein zusätzlicher, in Flask entwickelter Web-Editor erleichtert das Erstellen, Importieren und Exportieren von Netzwerkszenarien.

Systemaufbau

Die Verarbeitung erfolgt als mehrstufige Pipeline: Nach dem Laden eines Datensatzes werden die Constraints erweitert und die Netzwerktopologie als Graph aufgebaut. Anschliessend berechnen Heuristik und Z3-Solver unabhängig voneinander eine Segmentierung. Beide Resultate werden validiert und als Metriken sowie interaktive Visualisierungen ausgegeben.

Verarbeitungspipeline des entwickelten Prototyps

Ergebnisse

Die Evaluation umfasste 72 synthetische Netzwerkszenarien. Untersucht wurden Star-, Tree- und Mesh-Topologien mit 5 bis 120 Hosts und jeweils niedriger, mittlerer oder hoher Constraint-Dichte. Alle Datensätze wurden so konstruiert, dass grundsätzlich eine gültige Segmentierung existiert, damit der Vergleich der beiden Verfahren nicht durch unlösbare Instanzen verfälscht wird.

Laufzeitvergleich

Die Heuristik arbeitet bei erfolgreichen Durchläufen deutlich schneller. Der Z3-Solver benötigt mehr Rechenzeit, zeigt aber über alle Topologien hinweg ein kontrolliertes Laufzeitwachstum.

Robustheit der Verfahren

Mit steigender Constraint-Dichte sinkt die Erfolgsrate der Heuristik deutlich – von durchwegs über 75 % bei niedriger Dichte auf teils unter 15 % bei hoher Dichte. Der Z3-Solver findet hingegen für alle 72 als lösbar konstruierten Szenarien eine gültige Segmentierung.

• Z3: 72 von 72 Szenarien lieferten eine gültige Segmentierung.
• Heuristik: 33 von 72 Szenarien konnten gültig segmentiert werden.
• Geschwindigkeit: Bei erfolgreichen Durchläufen war die Heuristik im Mittel rund 376-mal schneller als Z3.
• VLAN-Nutzung: Die Heuristik erzeugt bei erfolgreichen Durchläufen nahezu durchgehend eine minimale Anzahl VLANs; der Z3-Solver verwendet im Mittel 6,9–7,3 VLANs, da eine Minimierung der VLAN-Anzahl aktuell nicht als Optimierungsziel modelliert ist.
• Topologiebezug: ALLOW- und DENY-Regeln werden nicht nur für Endpunkte, sondern entlang der relevanten Netzwerkpfade ausgewertet.
• Konflikterkennung: Der Z3-Ansatz kann widersprüchliche Anforderungen als UNSAT erkennen und über UNSAT-Cores eingrenzen.

Die Resultate zeigen einen klaren Zielkonflikt zwischen Geschwindigkeit und Zuverlässigkeit. Die Heuristik eignet sich als schneller erster Lösungsversuch, kann sich durch frühe, lokale Entscheidungen jedoch selbst blockieren, obwohl grundsätzlich eine gültige Gesamtlösung existiert. Der Z3-Solver betrachtet alle Bedingungen gleichzeitig und liefert dadurch deutlich zuverlässiger eine gültige Lösung – auf Kosten von Rechenzeit und einer tendenziell höheren VLAN-Anzahl.

Das entwickelte Modell bildet Hosts, Switches und deren Verbindungen als statischen Digital Twin ab und beschränkt sich auf VLAN-basierte Segmentierung; dynamische Topologien, Protokolle, Ports sowie eine Optimierung der VLAN-Anzahl im Solver sind bislang nicht abgedeckt. Eine Erweiterung um Optimierungsziele, grössere und reale Netzwerke sowie dynamische Topologie- und Policy-Daten sind daher naheliegende nächste Schritte.

Technische Schlüsselbegriffe

• Microsegmentierungfeingranulare Netzwerksegmentierung nach dem Least-Privilege-Prinzip
• Digital Twingraphbasierte digitale Abbildung von Hosts, Switches und Verbindungen
• High-Level-Constraintsabstrakte ALLOW- und DENY-Kommunikationsanforderungen
• SMT / Z3formale Lösung und Prüfung des Segmentierungsproblems
• NetworkXGraphmodellierung und Pfadanalyse in Python
• VLANtechnische Umsetzung der berechneten logischen Segmente
• FlaskWeb-Editor zur Erstellung und Bearbeitung von Netzwerkszenarien

Team