Wat is uitgaand dataverkeer? Inkomend ten opzichte van uitgaand

De bedrieglijk eenvoudige definitie van data egress is gewoon "gegevens die een netwerk verlaten". Natuurlijk was het bewaken en controleren van uitgaand dataverkeer nooit eenvoudig. En in onze moderne wereld van e-commerce, cloudhosted IT-infrastructuur en de groeiende dreiging van cyberaanvallen, hebben zowel IT-professionals als bedrijfsmanagers een genuanceerd begrip nodig van uitgaand dataverkeer en de bijbehorende kosten en beveiligingsrisico's.

Kosten zijn bijvoorbeeld een punt van zorg voor bedrijven met een IT-infrastructuur in de cloud, omdat cloudleveranciers doorgaans kosten in rekening brengen voor uitgaand dataverkeer en deze kosten kunnen oplopen. Bij de beveiliging van uitgaande gegevens gaat het om waardevolle of gevoelige informatie die per ongeluk uit het netwerk kan worden verzonden of opzettelijk kan worden gestolen door een bedreigende factor die een organisatie in verlegenheid wil brengen of gegevens gijzelt voor losgeld.

De afhankelijkheid van internet en mobiele apps betekent dat gegevensuitwisseling en de bijbehorende risico's gewoon deel uitmaken van het zakendoen. Het bewaken van deze gegevensstromen is essentieel om financiële en veiligheidsrisico's te beperken.

Wat is uitgaand dataverkeer?

Uitgaand dataverkeer verwijst naar de informatie die uit een netwerk stroomt - via e-mail, interacties met websites of bestandsoverdrachten - naar cloudopslagcontainers of andere bronnen. Dit is hoe moderne organisaties met elkaar en met klanten communiceren. Naarmate bedrijven migreren naar cloudinfrastructuren en SaaS-toepassingen (Software-as-a-Service) gebruiken, gebruiken ze deze diensten ook via uitgaand en inkomend dataverkeer. Sterker nog, tenzij een organisatie een militair air-gapped netwerk gebruikt dat absoluut geen verbindingen buiten de eigen grenzen heeft, stroomt er voortdurend informatie in en uit.

Vóór de komst van het openbare internet en cloudcomputing in het begin van de jaren negentig waren bedrijfsnetwerken over het algemeen gesloten of alleen verbonden met netwerken die bewust door een organisatie waren gekozen. Dergelijke verbindingen werden tot stand gebracht via speciale privé netwerklijnen die bij telecombedrijven werden aangeschaft. Destijds waren de risico's van data-uitgang volledig gekoppeld aan beveiliging, dat wil zeggen, de mogelijkheid dat gevoelige informatie zou uitlekken of gestolen werd.

Nu de meeste bedrijfsnetwerken zijn blootgesteld aan internet, zijn die beveiligingsrisico's exponentieel toegenomen. Daarnaast is er een nieuw kostenrisico ontstaan omdat cloudserviceproviders de kosten voor uitgaand dataverkeer in rekening brengen, soms op contra-intuïtieve en verrassende manieren.

Uitgaande gegevens ten opzichte van inkomende gegevens

Het traditionele concept van uitgaande gegevens houdt strikt verband met het verlaten van een bedrijfsnetwerk, terwijl inkomende gegevens doorgaans worden beschouwd als ongevraagde gegevens die een netwerk binnenkomen. Wanneer informatie naar het netwerk wordt verzonden als reactie op een intern verzoek, laten firewalls deze meestal ongehinderd door. Om een organisatie te beschermen, houden firewalls over het algemeen ongevraagde gegevens tegen, tenzij er specifieke regels zijn opgesteld die het tegendeel bewijzen.

De economie van cloudcomputing maakt dit eenvoudige model een stuk ingewikkelder. Cloudserviceproviders rekenen kosten per gigabyte voor het verzenden van gegevens, maar staan het invoeren van gegevens over het algemeen gratis toe. Bovendien hebben cloudservices nieuwe concepten geïntroduceerd voor uitgaande gegevens die in de praktijk meer typen netwerkgrenzen vaststellen dan de traditionele bedrijfsnetwerkgrenzen. Bij Amazon Web Services (AWS) wordt bijvoorbeeld verkeer vaak op hetzelfde virtuele netwerk gemeten en in rekening gebracht wanneer het van de ene beschikbaarheidszone naar de andere gaat. Beschikbaarheidszones verwijzen naar clouddatacenters die zich in dezelfde geografische regio bevinden, maar die bijvoorbeeld verschillende netwerkproviders en stroomleveranciers hebben, waardoor het zeer onwaarschijnlijk is dat ze tegelijkertijd uitvallen. Door resources over meerdere beschikbaarheidszones te verdelen, kunnen cloudproviders de impact van hardwarefouten, natuurrampen en netwerkstoringen op hun services minimaliseren. Maar hoewel beschikbaarheidszones uiteindelijk positief kunnen zijn, kunnen de bijbehorende kosten voor uitgaand dataverkeer een aanzienlijke, onverwachte kostenpost vormen, vooral wanneer een bedrijf voor het eerst naar de cloud migreert.

Wat betreft bewaking en beveiliging is het belangrijk om zowel inkomend als uitgaand dataverkeer te profileren. Hoewel onbekend inkomend verkeer meestal door firewalls wordt geblokkeerd, kan het profileren van dat verkeer nuttige bedreigingsinformatie opleveren voor beveiligingsteams. Door de aard en de prevalentie van firewalls is het gebruikelijk om inkomend dataverkeer te bewaken. Maar veel minder organisaties bewaken inkomende data net zo zorgvuldig. Firewalling en het beperken van uitgaand dataverkeer naar bekende doelen kan de impact van aanvallen beperken en tegen malware beschermen.

Voornaamste conclusies

• Uitgaand dataverkeer vormt een kostenrisico voor cloudklanten en een beveiligingsrisico voor alle organisaties.
• Het lekken van gevoelige gegevens kan aanzienlijke financiële en organisatorische risico's met zich meebrengen.
• Een zorgvuldige bewaking van inkomende gegevens kan helpen bij het beheren en optimaliseren van clouduitgaven en kwaadaardige aanvallen in een vroeg stadium detecteren.
• Firewalls kunnen worden geconfigureerd om inkomend en uitgaand verkeer te beperken tot bekende, vertrouwde locaties.
• DLP-tools (Data Loss Prevention) helpen bij het identificeren en classificeren van gevoelige gegevens en passen aanvullende controles toe om te voorkomen dat onbevoegden gegevens uitsturen.

Uitgaand dataverkeer uitgelegd

Uitgaand dataverkeer is een constante die zorgvuldig beheerd moet worden in termen van beveiliging en kosten. Als een bedrijf bijvoorbeeld zijn productcatalogus op een klantgerichte website plaatst, moeten de gegevens het interne netwerk verlaten waar de catalogus wordt onderhouden en het internet doorkruisen om de browser te bereiken waar de klant de site bekijkt. Of een bedrijf nu gegevens deelt met dochterondernemingen of partners of via internet met klanten communiceert, er zal altijd een zekere hoeveelheid gegevens het bedrijfsnetwerk verlaten.

Voor bedrijven die hun IT-infrastructuur geheel of gedeeltelijk naar de cloud hebben verplaatst, kan elke verplaatsing van gegevens kosten met zich meebrengen voor uitgaand dataverkeer in de cloud, afhankelijk van hun provider en het ontwerp van hun applicaties.

Afgezien van de kosten, brengt uitgaand dataverkeer ook het risico met zich mee dat gevoelige gegevens aan onbevoegde of onbedoelde ontvangers worden blootgesteld. Organisaties moeten kwaadaardige activiteiten van externe bedreigingen in de gaten houden en tegelijkertijd alert zijn op interne aanvallen zoals het exfiltreren van gegevens door insiders. Om een organisatie tegen deze aanvallen te beschermen, is een allesomvattende aanpak nodig met een solide netwerkontwerp, continue bewaking en goed geconfigureerde cloudapplicatiearchitecturen. Normaal gesproken beperken organisaties dataverkeer met firewalls en controleren ze het uitgaande verkeer op afwijkingen of kwaadaardige activiteiten. IT-beveiligingsafdelingen kunnen ook stappen ondernemen om de overdracht van grote hoeveelheden gegevens te beperken en bepaalde uitgaande bestemmingen te blokkeren.

Effectieve monitoring vereist een diepgaand begrip van normale verkeerspatronen en hoe deze verschillen tijdens een aanval of gegevensexfiltratie-incident. Het kan ook een echte uitdaging zijn voor IT-organisaties. De meest gebruikelijke manier om uitgaand dataverkeer te monitoren, is door logbestanden van netwerkapparaten aan de rand van cloud- of on-premises netwerken te bekijken en analyseren. De enorme hoeveelheid verkeer van dezeapparaten maakt dit echter een zware taak voor beheerders. Veel bedrijven gebruiken SIEM-tools (Security Information and Event Management) om bedreigingen beter te begrijpen. SIEM-tools omvatten doorgaans informatie over bekende bedreigingspatronen, naleving van regelgeving en geautomatiseerde updates om zich aan nieuwe bedreigingen aan te passen. Hoewel het implementeren van SIEM-systemen geen eenvoudig proces is, kan dit het inzicht van een organisatie in patronen voor uitgaand dataverkeer verbeteren, waardoor beveiligingsteams veel eerder aanvallen kunnen identificeren.

Zo kan een plotselinge toename van uitgaand dataverkeer wijzen op een aanval van gegevensexfiltratie, waarbij een bedreiger grote hoeveelheden gegevens naar een externe host of service exporteert. Evenzo kan zorgvuldige bewaking en controle van data-uitgangspatronen helpen bij het identificeren van malware die al aanwezig is in een bedrijfsnetwerk en die verdere instructies probeert te krijgen van het commando- en controlenetwerk. Veel moderne ransomware-aanvallen proberen grote hoeveelheden gegevens te exfiltreren om geld af te persen van een organisatie voordat die gegevens worden gecodeerd. Tools zoals DLP, netwerkverkeersanalysesystemen zoals packet sniffers en analyses van gebruikersgedrag om abnormale patronen te detecteren, kunnen IT helpen exfiltratie te detecteren. Uitgangsfiltering, waarbij IT uitgaand verkeer monitort en blokkeert als dat als schadelijk wordt beschouwd, helpt ook om deze risico's te beperken.

Naast firewalls gebruiken organisaties ook DLP-software om tegen gegevensexfiltratie te beschermen. Deze tools maken gebruik van technieken zoals het catalogiseren en taggen van gegevens met gevoeligheidslabels, codering en auditing om te voorkomen dat gevoelige gegevens het netwerk verlaten.

Bedreigingen voor uitgaand dataverkeer in de cloud

Naast het opdrijven van cloudkosten, kan een aanzienlijke hoeveelheid gegevens die wordt geëxporteerd, wijzen op verschillende soorten bedreigingen, waaronder een aanval van een bedreigingsfactor op het exfiltreren van gegevens of malware die zich lateraal verplaatst binnen een bedrijfsnetwerk via subnetcommunicatie.

• Ongebonden kosten voor uitgaand dataverkeer: cloudleveranciers kunnen kosten in rekening brengen voor uitgaand dataverkeer per gigabyte. De kosten hangen af van het type cloudservice en de afstand van de doellocatie tot het oorspronkelijke netwerk of netwerksegment. Overtollige kosten voor uitgaand dataverkeer kunnen verschillende oorzaken hebben. De meest voorkomende zijn onjuiste configuraties van applicaties die resources met veel netwerkverkeer in verafgelegen regio's en hybride publiek-private systemen plaatsen, waarbij cloudservices voortdurend grote hoeveelheden gegevens naar lokale computers sturen.
• Uitgangskosten voor cloudopslagservice: cloudopslagservices worden vaak gebruikt om website-activa te hosten, zoals afbeeldingen of documenten, en de kosten kunnen verrassend snel oplopen. Deze services passen twee lagen van uitgangskosten toe: een set voor lezen en schrijven van en naar de opslagaccount en een andere set als deze leesbewerkingen regio's doorkruisen of naar het internet gaan.
• Slechte prestaties van applicaties: applicaties die zijn geconfigureerd om cloudnetwerkverkeer tussen regio's te versturen, hebben een hoge end-to-end latentie. Hoewel dit op het eerste gezicht geen beveiligingsprobleem of budgetprobleem is, zorgt dit wel voor een suboptimale gebruikerservaring, wat uiteindelijk van invloed kan zijn op de omzet.
• Aanvallen van exfiltratie van gegevens door insiders: elke insider die probeert grote hoeveelheden bedrijfsgegevens uit het netwerk te exporteren, moet worden onderzocht. Een typisch voorbeeld is een ontevreden verkoper die een klantenlijst uit een bedrijfsdatabase exporteert naar een persoonlijke spreadsheet.
• Aanvallen van exfiltratie van gegevens door externe bedreigingsactoren: een tactiek die vaak wordt gebruikt door externe bedreigingsactoren is het minimaliseren van de kans op vroegtijdige detectie door een netwerk met eenvoudige malware te infiltreren. Eenmaal binnen kan de malware verbinding maken met een externe command-and-control-site om software te downloaden en de aanval uit te breiden of bedrijfsgegevens te exfiltreren.
• Ongecodeerde gegevensoverdracht: Als gevoelige informatie zonder versleuteling wordt overgedragen, kan deze mogelijk worden onderschept en door kwaadwillende personen misbruikt. Dit kan leiden tot aanzienlijke financiële of reputatieschade voor een organisatie.
• Gegevensresidentie en nalevingsproblemen: afhankelijk van het land of de branche van een organisatie en de gevoeligheid van de gegevens, kan het exporteren van gegevens naar andere regio's juridische en nalevingsrisico's met zich meebrengen. Hierbij kan het gaan om problemen met de verblijfplaats van gegevens, aangezien sommige landen wettelijk vereisen dat bepaalde soorten gegevens binnen specifieke geografische grenzen blijven.

7 best practices voor beveiliging en beheer van uitgaand dataverkeer in de cloud

Organisaties kunnen de beveiligingsrisico's van uitgaande gegevens op een aantal manieren beperken, zoals het opnieuw inrichten van cloudservices om uitgaand verkeer te beperken. De volgende zeven best practices worden door veel organisaties gebruikt om de veiligheidsrisico's voor uitgaand dataverkeer beter te controleren en te beheren:

1. Gebruik een firewall om uitgaand verkeer te beheren: de meeste organisaties gebruiken firewalls om inkomend verkeer te beperken. Veel minder maken gebruik van hun firewalls om het uitgaande verkeer strak te regelen, zelfs voor servernetwerken waar de meest gevoelige gegevens zich bevinden. Netwerkbeheerders moeten ook het uitgaande verkeer nauwlettend controleren, om zo zowel de monitoring als de beveiligingscontroles te versterken.
2. Stel een beleid op voor uitgaand dataverkeer: het opstellen van een beleid dat de toegang van gebruikers beperkt tot vooraf goedgekeurde diensten, vooral voor netwerken waarin gevoelige gegevens zijn opgeslagen, beperkt de mogelijkheid van aanvallen van exfiltratie van gegevens.
3. Gebruik SIEM om netwerkverkeer te bewaken: een netwerkbeheerder kan niet al het verkeer van alle beheerde apparaten op een groot netwerk controleren. Met automatisering op basis van door de beheerder vastgestelde regels en met machine learning en AI-technologie kan een SIEM-tool aanvallen eerder identificeren en extra beschermingsniveaus bieden.
4. Gebruik DLP om gevoelige gegevens te categoriseren, labelen en beschermen: Net als SIEM maakt ook DLP gebruik van machine learning om gegevens te inspecteren, de context ervan te begrijpen, deze te matchen met vastgestelde beleidsregels voor uitgaand dataverkeer en gegevensoverdrachten te blokkeren die deze beleidsregels zouden kunnen schenden.
5. Beheer de toegang tot gevoelige gegevens: zodra de locaties van de meest gevoelige gegevens zijn geïdentificeerd en via DLP gecatalogiseerd, kunnen netwerkbeheerders de toegangscontroles voor deze gegevenssets verder verfijnen.
6. Codeer gevoelige gegevens: codering kan een laatste verdedigingslinie zijn tegen aanvallen van exfiltratie van gegevens. Als informatie onderweg en in rust wordt versleuteld, blijven de gegevens onleesbaar als ze worden ge-exfiltreerd zonder de juiste versleutelingscode.
7. Implementeer een incidentresponsplan: bij een aanval of datalek kan een duidelijk gedefinieerd responsplan de reactietijd van een organisatie versnellen en de algehele effectiviteit ervan vergroten. Net als een noodherstelplan moet een incidentresponsplan worden afgetekend door een leidinggevende en regelmatig worden getest via oefeningen, zodat iedereen zijn rol begrijpt.

Merk op dat deze praktijken geen afzonderlijke eenmalige oplossingen zijn; ze zijn eerder afhankelijk van elkaar. Bijvoorbeeld, het categoriseren van gegevens in DLP en het maken van een beleid voor uitgaand dataverkeer zou beide informatie opleveren voor firewallconfiguraties en toegangscontrole-instellingen.

Hoe kunnen osten voor uitgaand dataverkeer in de cloud verlaagd worden

Kosten voor uitgaand dataverkeer kunnen al vroeg in het cloudmigratieproces van een organisatie tot dure verrassingen leiden. Het is dus belangrijk om de kosten voor uitgaand dataverkeer in de cloud dagelijks te bewaken om er zeker van te zijn dat ze binnen het budget blijven en om onderzoek te doen als dat niet het geval is. Alle publieke cloudproviders ondersteunen waarschuwingen die gekoppeld zijn aan uitgaven, zodat de kosten voor uitgaand dataverkeer kunnen worden bewaakt, net als het CPU-gebruik van een virtuele machine. Bewaking is echter slechts de eerste stap in het terugdringen van de kosten voor het exporteren van cloudgegevens. Hier volgen enkele tips voor het verlagen van de kosten voor uitgaand dataverkeer in cloudapplicaties.

• Behoud cloudresources in dezelfde regio: hoewel dit logisch lijkt, kunnen bepaalde services in sommige cloudregio's beschikbaar zijn en in andere niet, wat leidt tot dure implementaties in verschillende regio's.
• Verlaag de kosten met caching: door gegevens op te slaan in in-memory caches die zich dicht bij de applicatie bevinden, kunnen ritten naar databases en opslagdiensten worden voorkomen.
• Koop speciale privélijnen: directe privénetwerkverbindingen bieden lagere prijzen voor gegevensoverdracht, soms zelfs een vast tarief per maand voor onbeperkte gegevensuitstroom, afhankelijk van de cloudprovider.
• Gebruik CDN's (Content Delivery Networks): op dezelfde manier kunnen apps CDN's gebruiken om webactiva, zoals afbeeldingen, documenten en video's, dichter bij gebruikers in de cache te plaatsen. Naast het verlagen van de kosten voor uitgaand dataverkeer leidt het gebruik van CDN's over het algemeen tot een betere surfervaring voor gebruikers.
• Comprimeer netwerkverkeer waar mogelijk: door gegevenscompressie toe te passen wanneer netwerkverkeer tussen regio's of beschikbaarheidszones verplaatst, kunnen de kosten ook laag worden gehouden. Wanneer bijvoorbeeld een drukke database naar een andere regio wordt gerepliceerd om noodherstel te ondersteunen, kunnen de CPU-kosten voor het comprimeren en decomprimeren van die gegevens veel lager zijn dan de potentiële kosten voor uitgaand dataverkeer.
• Gebruik deduplicatie: vooral voor back-upprocessen kan het gebruik van deduplicatie naast compressie het volume van gegevens die worden overgedragen verder verminderen, waardoor de kosten worden verlaagd.
• Ontwerp applicaties opnieuw: het herzien van bestaande apps om ze cloudnative te maken, kan de kosten voor uitgaand dataverkeer verlagen door het gebruik van gegevens efficiënter te maken.

Hoewel deze wijzigingen een aanzienlijke eenmalige investering kunnen vereisen om te implementeren, kunnen ze uiteindelijk de terugkerende cloudfacturen verlagen, wat resulteert in een sterk rendement op de initiële kosten en een beter cloudkostenbeheer. Als de kosten voor uitgaand dataverkeer een groot deel van de cloudkosten van uw organisatie uitmaken, kan het een nettowinst zijn om deze wijzigingen prioriteit te geven boven andere technische projecten.

Verlaag de kosten voor uitgaand dataverkeer met Oracle

Verschillende cloudproviders brengen verschillende bedragen in rekening voor uitgaand dataverkeer. Zelfs bij één cloudprovider kunnen de prijsmodellen voor uitgaand dataverkeer per afzonderlijke service verschillen. Het verminderen van de complexiteit en de algehele kosten van uitgaand dataverkeer waren de belangrijkste overwegingen van Oracle om Oracle Cloud Infrastructure (OCI) te ontwikkelen. Door deze principes vanaf het begin te volgen, kon Oracle wereldwijde prijzen aanbieden voor verschillende cloudservices en veel lagere kosten voor uitgaand dataverkeer dan andere providers zoals Amazon Web Services (AWS) en Google Cloud.

Met de lagere tarieven voor uitgaand dataverkeer van OCI kunnen ondernemingen grote hoeveelheden gegevens verplaatsen tussen cloudregio's, intern of naar hun klanten. Klanten van OCI in Noord-Amerika en Europa betalen bijvoorbeeld 783 dollar voor 100 terabytes (TB) uitgaande gegevens naar locaties op het openbare internet, vergeleken met ongeveer 8.000 dollar voor gebruikers van AWS en Google Cloud. Klanten die een speciale OCI FastConnect 10-gigabit-per-seconde privélijn kopen, betalen een vast tarief van 918 dollar per maand voor onbeperkt uitgaand dataverkeer. Uitgaande van een gebruik van 50% van die lijn (1.620 TB overgedragen), zouden de equivalente kosten voor een AWS Direct Connect-privélijn 34.020 dollar zijn.

De prijzen voor uitgaand dataverkeer van OCI maken een groot verschil voor organisaties die cloudservices bouwen waarvoor grote hoeveelheden bandbreedte nodig zijn. Grote apps die profiteren van deze tarieven zijn onder andere live videostreaming, videoconferenties en gaming.

Gebruik de OCI-kostencalculator als u wilt weten wat de kosten van uitgaand dataverkeer en andere cloudkosten voor uw organisatie zouden zijn als klant van Oracle Cloud.

Onbelemmerd uitgaand dataverkeer kan zowel een beveiligingsrisico als een financieel risico voor organisaties vormen. Het implementeren van een niet-cloud-native of slecht ontworpen applicatie in de cloud kan leiden tot ongecontroleerde kosten voor uitgaand dataverkeer en ontoereikende beveiliging. waardoor organisaties het risico lopen op data-exfiltratie en ransomware-aanvallen.

Daarom is het belangrijk om uitgaand verkeer van een bedrijfsnetwerk te beperken, te versterken en te controleren. Kortom, organisaties moeten controleren waar hun gegevens naartoe kunnen bewegen en uitkijken naar afwijkende patronen. Best practices voor netwerkbeveiligingsorganisaties omvatten het implementeren van een goed incidentresponsplan en het gebruik van SIEM- en DLP-technologieën. Daarnaast kan het kiezen van de juiste cloudprovider voor hun vereisten en het ontwerpen of herontwerpen van applicaties met de kosten van uitgaand dataverkeer in gedachten aanzienlijk bijdragen aan de cloud-ROI van een organisatie.

Veelgestelde vragen over uitgaand dataverkeer (data egress)

Wat zijn kosten voor uitgaand dataverkeer?

Naast de kosten van reken- en opslagresources, meten en factureren cloudproviders ook voor het verzenden van gegevens. Hoewel deze kosten per cloudaanbieder kunnen verschillen, worden ze meestal per gigabyte in rekening gebracht voor gegevens die tussen cloudregio's, beschikbaarheidszones of naar het internet of on-premise netwerken worden verplaatst. Kosten voor uitgaand dataverkeer kunnen ook verschillen op basis van de doellocatie en cloudprovider. U kunt dit verminderen door gegevens te comprimeren, content delivery-netwerken te gebruiken en gegevens onder te brengen om regio-overschrijdend verkeer te beperken.

Wat is uitgaand verkeer (egress) in cloudcomputing?

Egress wordt gedefinieerd als gegevens die van het ene netwerk naar het andere gaan, maar de term wordt nog complexer in cloudcomputing. Bij virtuele machines en netwerken wordt standaardnetwerkverkeer tussen cloudregio's of beschikbaarheidszones als uitgaand dataverkeer beschouwd. Bovendien worden gegevens die vanuit de cloud teruggaan naar on-premises netwerken of het internet ook als uitgaande data gemeten.