Zero Trust im Fokus: Wir sind die Schnellsten – hier der Beweis

Im Januar und im März 2023 haben wir in Blogartikeln dargelegt, wie Cloudflare im Vergleich zu anderen Anbietern bei Zero Trust abschneidet. Das Ergebnis war in beiden Fällen, dass Cloudflare in einer Vielzahl von Zero Trust-Szenarien schneller war als Zscaler und Netskope. Für die Speed Week bringen wir diese Tests zurück und legen noch eine Schippe drauf: Wir testen mehr Anbieter gegen mehr öffentliche Internet-Endpunkte in mehr Regionen als in der Vergangenheit.

Für diese Tests haben wir drei Zero Trust-Szenarien erprobt: Secure Web Gateway (SWG), Zero Trust Network Access (ZTNA) und Remote-Browserisolierung (RBI). Wir haben gegen drei Konkurrenten getestet: Zscaler, Netskope und Palo Alto Networks. Wir haben diese Szenarien in 12 Regionen auf der ganzen Welt getestet, statt wie bisher in vier. Die Ergebnisse zeigen, dass Cloudflare in 42 % der Testszenarien das schnellste Secure Web Gateway ist, das ist der höchste Wert aller Anbieter. Cloudflare ist 46 % schneller als Zscaler, 56 % schneller als Netskope und 10 % schneller als Palo Alto Networks für ZTNA und 64 % schneller als Zscaler für RBI-Szenarien.

In diesem Blog erfahren Sie, warum Performance wichtig ist, wie wir für jedes Szenario schneller sind und wie wir die Performance der einzelnen Produkte gemessen haben.

Performance ist ein Bedrohungsvektor

Ihre Zero Trust-Lösung sollte eine tolle Performance bieten. Wenn Zero Trust nicht gut funktioniert, werden die Nutzer die Funktion deaktivieren und das Unternehmen unnötigen Risiken aussetzen. Zero-Trust-Dienste sollten unauffällig sein. Wenn die Dienste auffällig werden, hindern sie die Nutzer daran, ihre Arbeit zu erledigen.

Zero Trust-Dienste bieten zwar eine Menge praktischer Funktionen zum Schutz ihrer Kunden; all das nützt jedoch nichts, wenn sie ihre Mitarbeitenden daran hindern, ihre Arbeit schnell und effizient zu erledigen. Eine schnelle Performance fördert den Einsatz und macht die Sicherheit für die Nutzer transparent. Bei Cloudflare legen wir großen Wert darauf, dass unsere Produkte schnell und reibungslos funktionieren. Unsere Ergebnisse sprechen für sich. Kommen wir nun zu den Ergebnissen, beginnend mit unserem Secure Web-Gateway.

Cloudflare Gateway: Sicherheit im Internet

Ein Secure Web Gateway muss schnell sein, da es als Trichter für den gesamten Internetdatenverkehr eines Unternehmens fungiert.  Wenn ein Secure Web-Gateway langsam sein sollte, so gilt das auch für den für das Internet bestimmten Nutzer-Traffic.  Wenn der Traffic ins Internet zu langsam ist, laden Webseiten nur langsam, Videoanrufe werden gestört oder abgebrochen, und die Nutzer können ihre Arbeit nicht mehr erledigen. Nutzer können sich entscheiden, das Gateway zu deaktivieren, wodurch das Unternehmen Angriffsrisiken ausgesetzt wird.

Ein leistungsfähiges Web Gateway muss sich also in der Nähe der Nutzer befinden. Darüber hinaus muss es aber auch mit dem Rest des Internets gut vernetzt sein, um langsame Routen zu den von den Nutzern angesteuerten Websites zu vermeiden.  Viele Websites verwenden CDNs, um ihre Inhalte zu beschleunigen und ein besseres Erlebnis zu bieten. Diese CDNs sind oft gut erprobt und in die Netzwerke der letzten Meile eingebettet. Der über ein Secure Web-Gateway laufende Datenverkehr folgt jedoch einem Forward-Proxy-Pfad: Die Nutzer stellen eine Verbindung zum Proxy her und der Proxy stellt eine Verbindung zu den Websites her, auf die zugegriffen werden soll.  Wenn dieser Proxy nicht so gut überwacht ist wie die Ziel-Websites, muss der Traffic des Nutzers womöglich einen weiteren Weg zum Proxy zurücklegen, als wenn er nur die Website selbst ansteuern würde. Dadurch entsteht eine Serpentine, wie im folgenden Diagramm zu sehen ist:

Ein gut angebundener Proxy sorgt dafür, dass der Nutzer-Traffic eine geringere Distanz zurücklegt und somit so schnell wie möglich ist.

Um die Produkte für Secure Web-Gateways zu vergleichen, haben wir das Cloudflare Gateway und den WARP-Client gegen Zscaler, Netskope und Palo Alto Networks antreten lassen, die alle über Produkte mit den gleichen Funktionen verfügen. Cloudflare-Nutzer profitieren davon, dass Gateway und das Cloudflare-Netzwerk tief in die Netzwerke der letzten Meile in der Nähe der Nutzer eingebettet sind und mit über 12.000 Netzwerken verbunden werden. Diese erhöhte Konnektivität spiegelt sich darin wider, dass Cloudflare Gateway in 42 % der getesteten Szenarien das schnellste Netzwerk ist:

Diese Daten zeigen, dass wir zu mehr Websites von mehr Orten aus schneller sind als jeder unserer Wettbewerber. Um dies zu messen, betrachten wir die HTTP-Antwortzeit im 95. Perzentil: wie lange es dauert, bis ein Nutzer den Proxy durchläuft, der Proxy eine Anfrage an eine Website im Internet stellt und schließlich die Antwort zurückgibt. Diese Messung ist wichtig, weil sie ein genaues Abbild dessen ist, was die Nutzer erleben. Wenn wir das 95. Perzentil über alle Tests hinweg betrachten, sehen wir, dass Cloudflare 2,5 % schneller ist als Palo Alto Networks, 13 % schneller als Zscaler und 6,5 % schneller als Netskope.

Cloudflare gewinnt hier, weil das außergewöhnliche Peering von Cloudflare es uns ermöglicht, an Orten erfolgreich zu sein, an denen andere nicht erfolgreich sein konnten. Wir können uns an schwer zugänglichen Orten in aller Welt anschließen bzw. verbinden, was uns einen Vorteil verschafft. Sehen Sie sich zum Beispiel an, wie Cloudflare im Vergleich zu den anderen Anbietern in Australien abschneidet: Wir sind 30 % schneller als der nächstbeste Anbieter:

Cloudflare unterhält großartige Peering-Beziehungen in Ländern auf der ganzen Welt: In Australien haben wir lokale Peerings mit allen großen australischen Internetanbietern und können so vielen Nutzern auf der ganzen Welt ein schnelles Erlebnis bieten. Wir arbeiten weltweit mit über 12.000 Netzwerken zusammen und sind so nah wie möglich an den Nutzern dran, um die Zeit zu verkürzen, die Anfragen im öffentlichen Internet verbringen. Diese Arbeit hat es uns bisher ermöglicht, den Nutzern Inhalte schnell bereitzustellen, aber in einer Zero Trust-Welt verkürzt sie den Weg der Nutzer zu ihrem SWG, d. h. sie können schnell zu den Diensten gelangen, die sie benötigen.

Bisher haben wir bei diesen Tests nur von einer einzigen Azure-Region aus bis zu fünf Websites getestet. Bestehende Test-Frameworks wie Catchpoint sind für diese Aufgabe ungeeignet, da Performance-Tests erfordern, dass man den SWG-Client auf dem Test-Endpunkt ausführt. Außerdem mussten wir sicherstellen, dass alle Tests auf ähnlichen Rechnern an denselben Orten ausgeführt werden, um die Performance so gut wie möglich zu messen. Auf diese Weise können wir jene Ende-zu-Ende-Antworten messen, die von demselben Ort kommen, an dem beide Testumgebungen ausgeführt werden.

In unserer Testkonfiguration für diese Evaluierungsrunde haben wir vier VMs (virtuelle Maschinen) in 12 Cloud-Regionen nebeneinander gestellt: eine mit Cloudflare WARP, die sich mit unserem Gateway verbindet, eine mit ZIA, eine mit Netskope und eine mit Palo Alto Networks. Diese VMs haben alle fünf Minuten Anfragen an die 11 unten genannten Websites gestellt und die HTTP-Browser-Zeiten für die Dauer jeder Anfrage protokolliert.  So erhalten wir einen aussagekräftigen Überblick über die Performance aus Nutzerperspektive. Hier finden Sie eine vollständige Matrix der Standorte, von denen aus wir getestet haben, welche Websites wir verglichen haben und welcher Anbieter schneller war:

Leere Zellen bedeuten, dass die Tests für diese bestimmte Website keine genauen Ergebnisse lieferten oder während mehr als 50 % des Testzeitraums fehlgeschlagen sind. Basierend auf diesen Daten ist Cloudflare im Allgemeinen schneller, aber wir sind nicht so schnell, wie wir es gerne wären. Es gibt noch einige Bereiche, in denen wir uns verbessern müssen, insbesondere in Südafrika, den Vereinigten Arabischen Emiraten und Brasilien. Bis zur Birthday Week im September wollen wir die schnellste Verbindung zu all diesen Websites in jeder dieser Regionen sein. Damit werden wir uns von der schnellsten Verbindung in 54 % der Tests auf die schnellste Verbindung in 79 % der Tests verbessern.

Zusammenfassend kann man festhalten, dass der Gateway von Cloudflare weiterhin der schnellste SWG im Internet ist. Bei Zero Trust geht es aber nicht nur um SWG. Sehen wir uns an, wie Cloudflare in Zero Trust Network Access-Szenarien performt.

Sofortiger (Zero Trust)-Zugriff

Die Zugriffskontrolle muss nahtlos und für den Nutzer transparent sein: Das beste Kompliment für eine Zero Trust-Lösung ist, dass die Mitarbeiter sie kaum bemerken. Dienste wie Cloudflare Access schützen Anwendungen über das öffentliche Internet und ermöglichen einen rollenbasierten Authentifizierungszugang, anstatt sich auf Dinge wie ein VPN zu verlassen, um Anwendungen einzuschränken und zu sichern. Diese Form der Zugriffsverwaltung ist sicherer, aber mit einem performanten ZTNA-Service kann sie sogar schneller sein.

Cloudflare übertrifft unsere Konkurrenten in diesem Bereich und ist 46 % schneller als Zscaler, 56 % schneller als Netskope und 10 % schneller als Palo Alto Networks:

Für diesen Test haben wir Anwendungen erstellt, die in drei verschiedenen Clouds an 12 verschiedenen Standorten gehostet werden: AWS, GCP und Azure. Es ist jedoch anzumerken, dass Palo Alto Networks die Ausnahme war, da wir aufgrund logistischer Herausforderungen bei der Einrichtung der Tests nur Anwendungen messen konnten, die in einer Cloud aus zwei Regionen gehostet wurden: US-Osten und Singapur.

Für jede dieser Anwendungen haben wir mit Catchpoint Tests erstellt, die von 400 Standorten auf der ganzen Welt aus auf die Anwendung zugriffen. Jeder dieser Catchpoint-Knoten hat zwei Aktionen versucht:

• Neue Sitzung: Anmeldung bei einer Anwendung und Erhalt eines Authentifizierungstokens
• Bestehende Sitzung: Aktualisieren der Seite und Einloggen mit den zuvor erhaltenen Anmeldedaten

Wir messen diese Szenarien gerne getrennt, da wir bei der Betrachtung der Werte im 95. Perzentil fast immer neue Sitzungen ansehen würden, wenn wir neue und bestehende Sitzungen zusammenfassen.  Der Vollständigkeit halber zeigen wir die Latenz im 95. Perzentil von neuen und bestehenden Sitzungen zusammen.

Cloudflare war sowohl im US-Osten als auch in Singapur schneller, aber lassen Sie uns ein paar Regionen näher beleuchten. Werfen wir einen Blick auf eine Region, in der die Ressourcen gleichmäßig zwischen den Wettbewerbern verteilt sind: US-Osten, genauer gesagt Ashburn, Virginia.

In Ashburn, Virginia, schlägt Cloudflare Zscaler und Netskope bei der ZTNA HTTP-Antwortzeit im 95. Perzentil mit Leichtigkeit:

Vielleicht fällt Ihnen auf, dass Palo Alto Networks bei den bestehenden Sitzungen (und damit beim gesamten 95. Perzentil) vor Cloudflare zu liegen scheint. Diese Zahlen sind jedoch irreführend, da sich das ZTNA-Verhalten von Palo Alto Networks geringfügig von unserem, dem von Zscaler oder dem von Netskope unterscheidet. Wenn sie eine neue Sitzung durchführen, fängt es die Verbindung vollständig ab und gibt eine Antwort von seinen Prozessoren zurück, anstatt die Nutzer auf die Anmeldeseite der Anwendung zu leiten, auf die sie zugreifen wollen.

Das bedeutet, dass die neuen Sitzungsantwortzeiten von Palo Alto Networks nicht wirklich die End-to-End-Latenz messen, nach der wir suchen. Aus diesem Grund sind ihre Zahlen für die Latenzzeit für neue Sitzungen und die Gesamtlatenzzeit für Sitzungen irreführend, sodass wir uns nur bei der Latenzzeit für bestehende Sitzungen sinnvoll mit ihnen vergleichen können. Wenn wir uns bestehende Sitzungen ansehen, bei denen Palo Alto Networks als Pass-Through fungiert, liegt Cloudflare immer noch 10 % vorn.

Dies gilt auch für Singapur, wo Cloudflare 50 % schneller ist als Zscaler und Netskope und auch 10 % schneller als Palo Alto Networks für bestehende Sitzungen:

Ein Kritikpunkt an diesen Daten könnte sein, dass wir die Zeiten aller Catchpoint-Knoten im 95. Perzentil zusammenfassen und nicht das 95. Perzentil der Catchpoint-Knoten in derselben Region wie die Anwendung betrachten. Wir haben uns auch das angesehen, und die ZTNA-Performance von Cloudflare ist immer noch besser. Betrachtet man nur die nordamerikanischen Catchpoint-Knoten, so schneidet Cloudflare bei P95 für bestehende Verbindungen 50 % besser ab als Netskope, 40 % besser als Zscaler und 10 % besser als Palo Alto Networks:

Schließlich wollten wir noch zeigen, wie gut die ZTNA-Performance von Cloudflare pro Cloud und Region ist. Die folgende Tabelle zeigt die Matrix der Cloud-Anbieter und der getesteten Regionen:

Es gab einige VMs in einigen Clouds, die nicht richtig funktionierten und keine genauen Daten meldeten. Aber in 28 der 30 verfügbaren Cloud-Regionen, für die wir genaue Daten hatten, war Cloudflare der schnellste ZT-Anbieter. Das bedeutet, dass wir in 93 % der getesteten Cloud-Regionen schneller waren.

Zusammenfassend kann man festhalten, dass Cloudflare auch bei der Bewertung von Zero Trust Network Access die beste Erfahrung bietet. Aber was ist mit einem weiteren Teil des Puzzles? Remote-Browserisolierung (RBI)?

Remote-Browserisolierung: ein sicherer, in der Cloud gehosteter Browser

Produkte zur Remote-Browserisolierung sind sehr stark vom öffentlichen Internet abhängig: Wenn die Verbindung zum Browserisolierungsprodukt schlecht ist, beeinträchtigt das die Nutzererfahrung, unter anderem aufgrund längerer Ladezeiten. Um für den Nutzer reibungs- und nahtlos funktionieren zu können, ist die Remote-Browserisolierung außerordentlich Performance-abhängig: Wenn alles so schnell ist, wie es sein sollte, dann sollten die Nutzer nicht einmal bemerken, dass Browserisolierung verwendet wird.

Für diesen Test treten wir erneut gegen Cloudflare und Zscaler an. Netskope hat zwar ein RBI-Produkt, aber wir konnten es nicht testen, da es einen SWG-Client erfordert. Das bedeutet, dass wir nicht in der Lage sind, die Teststandorte so genau zu bestimmen, wie wir es bei Cloudflare und Zscaler tun würden. Unsere Tests haben gezeigt, dass Cloudflare bei Remote-Browsing-Szenarien 64 % schneller ist als Zscaler: Hier ist eine Matrix der schnellsten Anbieter pro Cloud pro Region für unsere RBI-Tests:

Dieses Diagramm zeigt die Ergebnisse aller Tests, die mit Cloudflare und Zscaler für Anwendungen durchgeführt wurden, die in drei verschiedenen Clouds an 12 verschiedenen Standorten gehostet werden, und zwar von denselben 400 Catchpoint-Knoten wie bei den ZTNA-Tests. In jedem Szenario war Cloudflare schneller. Tatsächlich hatte kein Test gegen einen von Cloudflare geschützten Endpunkt eine HTTP-Antwortzeit im 95. Perzentil von über 2105 ms, während kein von Zscaler geschützter Endpunkt eine HTTP-Antwortzeit im 95. Perzentil von unter 5000 ms hatte.

Um diese Daten zu erhalten, haben wir dieselben VMs genutzt, um Anwendungen zu hosten, auf die über RBI-Dienste zugegriffen wird. Jeder Catchpoint-Knoten würde versuchen, sich über RBI bei der Anwendung anzumelden, Authentifizierungsdaten zu erhalten und dann versuchen, durch Übermittlung der Daten auf die Seite zuzugreifen. Wir betrachten dieselben neuen und bestehenden Sitzungen wie bei ZTNA, und Cloudflare ist sowohl bei neuen Sitzungen als auch bei bestehenden Sitzungen schneller.

Wir müssen schnell(er) sein

Unsere Zero Trust-Kunden wollen, dass wir schnell sind, nicht weil sie den schnellsten Internetzugang wollen, sondern weil sie wissen wollen, dass die Produktivität ihrer Mitarbeiter durch den Wechsel zu Cloudflare nicht beeinträchtigt wird. Das bedeutet nicht unbedingt, dass unsere oberste Priorität darin besteht, schneller als unsere Konkurrenten zu sein, obwohl wir das sind. Das Wichtigste ist für uns, die Erfahrung zu verbessern, damit sich unsere Nutzer wohlfühlen und wissen, dass wir ihre Nutzererfahrung ernst nehmen. Wenn wir im September in der Birthday Week neue Zahlen veröffentlichen und schneller sind als zuvor, bedeutet das nicht, dass wir die Zahlen einfach nach oben geschraubt haben: Es bedeutet, dass wir unseren Service ständig evaluieren und verbessern, um unseren Kunden das beste Erlebnis zu bieten. Es ist uns wichtiger, dass unsere Kunden in den Vereinigten Arabischen Emiraten eine bessere Office365-Erfahrung haben, als einen Mitbewerber in einem Test zu schlagen. Wir zeigen diese Zahlen, um Ihnen zu verdeutlichen, dass wir Performance ernst nehmen und uns dafür einsetzen, Ihnen das beste Erlebnis zu bieten, egal wo Sie sind.