Consolidação vs Segmentação

Hoje, apesar do atraso, respondo ao comentário de meu post do dia 9 de novembro, sobre Next Generation Firewalls. A pergunta foi "como tem evoluido a posicao das empresas em relacao a consolidacao de dispositivos de seguranca, no que diz respeito a famosa "separacao fisica"? Jah eh viavel termos um mesmo chassi implementando - de forma virtualizada - varias camadas de firewalls (externa, DMZ, interna) sem o pessoal de Seguranca ter um ataque cardiaco? "

O que tenho observado é que sim, muitas empresas estão encarando a consolidação/virtualização de firewalls com  naturalidade e, devido ao tema da TI Verde, a virtualização da segurança vem crescendo, mas não ainda no Brasil. Conheço empresas de diferentes segmentos no exterior, como um banco global, algumas empresas de telefonia e vários datacenters que já adotaram firewalls virtualizados, consolidados em um único chassis. Mas vamos por partes.

Segmentar será sempre mais seguro que virtualizar. Diferentes equipamentos permitem um nível de segurança maior que um equipamentos com múltiplas instâncias. Mas há dois fatores que contribuiram para a adoção da consolidação/virtualização:

1. Os produtos de consolidação e virtualização evoluiram e fornecem um nível de segurança muito próximo ao dos equipamentos individualizados;
2. Consolidar/virtualizar reduz custos, o que hoje é uma necessidade. Não é um cenário aceitável para um executivo que os servidores cada vez mais se concentrem enquanto os de segurança continuam individualizados. No exterior até que cunhou um termo para isso: "appliance sprawl", ou proliferação de appliances.

Alguns casos ilustram o que é isso. Um datacenter em um país na América Latina decidiu substituir 200 pequenos appliances de firewall por um único chassi com virtualização de firewall. É claro que um firewall individual por cliente dá mais segurança, mas como, nos dias de hoje, justificar 200 appliances utilizando muito espaço (200 u de rack), 200 patch cables, 200 portas de switch, etc? É claro que a empresa não migraria se o software e o hardware para virtualização de firewall não fossem maduros. Então ai está a questão: as grandes empresas terão que mais cedo ou mais tarde migrar para a virtualização, amparados por soluções mais robustas e maduras. O pessoal da Segurança terá que se adaptar, não tem jeito, procurando meios de implementá-la da forma mais confiável. E a indústria de segurança terá que fornecer as soluções, confiáveis, robustas e maduras.