6 Best Practices für eine sichere Netzwerk-Firewall-Konfiguration

Eine Firewall ist eine Netzwerksicherheitsstruktur, die zum Schutz Ihres Netzwerks beitragen kann, indem sie den Netzwerkverkehr überwacht und Außenstehenden den unbefugten Zugriff auf private Daten in Ihrem Computersystem auf der Grundlage von vorher festgelegten Regeln verwehrt. Eine Netzwerk-Firewall stellt eine Barriere zwischen einem vertrauenswürdigen und einem nicht vertrauenswürdigen Netzwerk dar.

Darüber hinaus blockiert eine Netzwerk-Firewall nicht nur den nicht vertrauenswürdigen Datenverkehr, sondern auch bösartige Software, die Ihren Computer infizieren kann, während sie den legitimen Datenverkehr durchlässt. Netzwerk-Firewalls dienen in der Regel als erste Verteidigungslinie für die Sicherheit Ihres Heimnetzwerks.

8 Arten von Firewalls

Es gibt verschiedene Arten von Firewalls; sie werden jedoch normalerweise entweder als Host-basiertes System oder als Netzwerk-basiertes System kategorisiert. Ebenso können Netzwerk-Firewall-Sicherheitsanwendungen Funktionen anbieten, die nicht zur Firewall gehören, z. B. Virtual Private Network (VPN) oder Dynamic Host Configuration Protocol (DHCP). Nachfolgend sind die gängigsten Firewall-Typen aufgeführt.

Firewalls mit Paketfilterung

Dies ist der älteste und einfachste
Typ, der einen Kontrollpunkt für Pakete schafft, die zwischen Computern übertragen werden. Die Pakete werden nach Quell- und Zielprotokoll, IP-Adresse, Zielports und anderen oberflächlichen Informationen gefiltert, ohne dass das Paket geöffnet wird, um seinen Inhalt zu prüfen.

Wenn das Informationspaket nicht dem Prüfstandard entspricht, wird es verworfen. Diese Arten von Firewalls sind nicht extrem ressourcenintensiv. Allerdings sind sie im Vergleich zu Firewalls mit einer robusteren Inspektionskompetenz relativ leicht zu umgehen.

Gateways auf Leitungsebene

Im Gegensatz zu Firewalls mit Paketfilterung sind Gateways auf Leitungsebene extrem ressourcenintensiv. Dieser Firewall-Typ funktioniert durch die Überprüfung des TCP-Handshake (Transmission Control Protocol). Der TCP-Handshake ist eine Überprüfung, die sicherstellen soll, dass das Sitzungspaket von einer authentischen Quelle stammt.

Circuit-Level-Gateways sind einfache Firewalls, die den Datenverkehr schnell und einfach verweigern oder zulassen sollen, ohne dabei große Rechenressourcen zu verbrauchen. Allerdings wird bei diesem Firewall-Typ das Paket selbst nicht untersucht. Wenn ein Paket mit Malware versehen ist, aber den richtigen TCP-Handshake enthält, wird es durchgelassen.

Gateways auf Anwendungsebene/Layer 7

Proxy-Firewalls werden auf der Anwendungsebene ausgeführt, um den eingehenden Verkehr zwischen der Netzwerkquelle und Ihrem Netzwerk zu filtern. Diese Firewall-Typen werden über eine Cloud-basierte Lösung oder andere Proxy-Systeme bereitgestellt. Proxy-Firewalls prüfen sowohl das Paket als auch das TCP-Handshake-Protokoll. Sie können jedoch auch Deep-Layer-Paketinspektionen durchführen, um sicherzustellen, dass keine Malware vorhanden ist.

Der Hauptvorteil der Filterung auf Anwendungsebene besteht darin, dass sie bestimmte Anwendungen und Protokolle verstehen kann, einschließlich Hyper-Text Transfer Protocol (HTTP), Domain Name System (DNS) oder File Transfer Protocol (FTP).

Stateful-Inspection-Firewalls

Stateful-Inspection-Firewalls kombinieren sowohl die TCP-Handshake-Authentifizierung als auch die Paketüberprüfung, um eine Netzwerksicherheit zu erreichen, die über das hinausgeht, was paketfilternde Firewalls oder Gateways auf Leitungsebene allein gewährleisten können. Allerdings verlangsamt dieser Firewall-Typ im Gegensatz zu den beiden anderen Architekturen die Übertragung authentischer Pakete.

Cloud-Firewalls

Der Hauptvorteil von Cloud-basierten Firewalls besteht darin, dass sie sich erstaunlich einfach mit Ihrem Unternehmen skalieren lassen. Cloud-Firewalls werden auch als Firewall-as-a-Service (FaaS) bezeichnet. Cloud-Firewalls werden als ähnlich wie Proxy-Firewalls betrachtet, da Cloud-Server oft in einer Firewall-Konfiguration eingesetzt werden.

Hardware-Firewalls

Diese Art von Firewall implementiert ein physisches Gerät, das sich ähnlich wie ein Verkehrsrouter verhält, um Verkehrsanfragen und Datenpakete zu prüfen, bevor sie mit dem Server des Netzwerks verbunden werden.

Software-Firewalls

Dazu gehört jede Firewall, die auf einem lokalen System installiert ist und nicht auf einer bestimmten Hardware oder einer Cloud-basierten Lösung. Software-Firewalls sind äußerst vorteilhaft, wenn es darum geht, eine Tiefenverteidigung einzurichten, indem verschiedene Netzwerkendpunkte voneinander getrennt werden.

Firewalls der nächsten Generation

Zu den Firewalls der nächsten Generation gehören die meisten der neu auf den Markt gebrachten Firewall-Produkte. Es gibt zwar keinen großen Konsens darüber, was eine Next-Gen-Firewall auszeichnet, aber zu den gängigen Funktionen gehören TCP-Handshake-Inspektion, Deep-Packet-Inspection und Surface-Level-Inspection-Packet.

Wie konfiguriert und verwaltet man eine sichere Firewall?

Es gibt mehrere geeignete Firewall-Standards, die Sie einsetzen können, um den Schutz Ihres Computernetzwerks zu gewährleisten. Die folgenden Schritte sind jedoch unabhängig von der gewählten Firewall-Plattform von entscheidender Bedeutung.

1. Stellen Sie sicher, dass Ihre Firewall sicher ist

Die Sicherung Ihrer Firewall ist der erste Schritt zur Konfiguration und Verwaltung einer sicheren Firewall. Erlauben Sie Ihrer Firewall niemals, Aktionen auszuführen, die nicht ordnungsgemäß abgesichert sind, sondern:

• Deaktivieren Sie das Simple Network Management Protocol (SNMP)
• Benennen, deaktivieren oder löschen Sie alle Standardbenutzerkonten und ändern Sie alle Standardkennwörter
• Erstellen Sie zusätzliche Administratorkonten auf der Grundlage von Zuständigkeiten, insbesondere, wenn mehrere Administratoren Ihre Firewall verwalten werden.

2. Erstellen Sie Ihre Firewall-Zonen und die entsprechenden IP-Adressen

Je mehr Zonen Sie einrichten, desto sicherer wird Ihr Netzwerk. Bevor Sie mit dem Schutz Ihrer wertvollen Anlagen beginnen, müssen Sie diese Anlagen identifizieren und dann Ihre Netzwerkstruktur planen, um die Netzwerke entsprechend ihrer Funktionalität und Empfindlichkeit zu positionieren.

Nachdem Sie eine sichere Struktur entworfen und die entsprechende IP-Adressenstruktur erstellt haben, sind Sie bereit, Ihre Firewall-Zonen einzurichten und sie den Firewall-Schnittstellen und/oder Sub-Schnittstellen zuzuordnen.

3. eine konfigurierte Zugriffskontrollliste (ACLs)

Nachdem Sie Ihre Netzwerkzonen eingerichtet und den Firewall-Schnittstellen zugewiesen haben, müssen Sie im nächsten Schritt festlegen, welcher Datenverkehr in die einzelnen Zonen hinein und aus ihnen heraus fließen soll. Dies wird durch Zugriffskontrolllisten (ACLs) ermöglicht. Verwenden Sie sowohl ausgehende als auch eingehende ACLs für jede Schnittstelle und Unterschnittstelle Ihrer Netzwerk-Firewall, um nur genehmigten Verkehr in und aus jeder Zone zuzulassen.

4. Konfigurieren Sie andere Firewall-Dienste nach den erforderlichen Standards

Abhängig von der Fähigkeit Ihrer Firewall, als Intrusion Prevention System (IPS), Network Time Protocol (NTP), DHCP usw. zu fungieren, können Sie die von Ihnen benötigten Dienste konfigurieren und alle zusätzlichen Dienste, die für Sie nicht relevant sind, deaktivieren.

Sie müssen die PCI DSS-Anforderungen konsultieren und die Anforderungen für 10.2 bis 10.3 des PCI DSS erfüllen, um Ihre Firewall so zu konfigurieren, dass sie ordnungsgemäß an Ihren Protokollierungsserver berichtet.

5. Führen Sie Tests der Netzwerk-Firewall-Konfiguration durch

Sie müssen Ihre Firewall testen, um zu überprüfen, ob sie wie erwartet funktioniert. Sie sollten sowohl Penetrationstests als auch Schwachstellenscans durchführen, um Ihre Firewall-Konfiguration zu testen. Denken Sie daran, Ihre Firewall-Konfiguration immer zu sichern.

6. Konstantes Firewall-Management

Nach Abschluss der Firewall-Konfiguration müssen Sie ein sicheres Firewall-Management gewährleisten. Um dies effektiv zu tun, müssen Sie

• Scans auf Schwachstellen durchführen
• Protokolle überwachen
• Regelmäßig die Firewall-Regeln überprüfen
• Firmware auf dem neuesten Stand halten
• Fortschritt dokumentieren

Zusätzliche Tipps für die sichere Konfiguration einer Firewall

1. Standardvorgaben erfüllen, wie NIST, PCI DSS, ISO, und NERC
2. Führen Sie häufige Änderungen an der Firewall-Konfiguration durch
3. Sperren Sie den Datenverkehr standardmäßig und überwachen Sie den Benutzerzugriff
4. Richten Sie nur eine sichere Verbindung ein und verwenden Sie diese
5. Streamlinieren Sie die Konfigurationsänderungen und beseitigen Sie Konfigurationslücken
6. Testen Sie Ihre Firewall-Konfiguration ständig
7. Erfassen Sie alle Konfigurationsänderungen in EchtzeitEchtzeit

Zusätzliche Tipps für die sichere Verwaltung einer Firewall

1. Haben Sie einen klar definierten Plan für die Verwaltung von Firewall-Änderungen
2. Testen Sie die Auswirkungen der geänderten Firewall-Richtlinien
3. Bereinigen und optimieren Sie die Firewall-Regelbasis
4. Aktualisieren Sie regelmäßig die Firewall-Software
5. Zentralisieren Sie die Firewall-Verwaltung fürHersteller-Firewalls

Erfahren Sie mehr über die Erstellung einer sicheren Netzwerk-Firewall

Der Certified Network Defender (CND) ist ein Zertifizierungsprogramm, das versierte Netzwerkadministratoren ausbildet, die in der Erkennung, Abwehr, Reaktion und Entschärfung von Bedrohungen gut geschult sind, Schwachstellen und Angriffe auf das Netzwerk zu erkennen, darauf zu reagieren und sie zu entschärfen. Das CND-Zertifizierungsprogramm umfasst praktische Übungen, die mit Hilfe bekannter Netzwerksicherheitssoftware, -tools und -techniken durchgeführt werden und dem zertifizierten Netzwerkadministrator reale und aktuelle Kenntnisse über Netzwerksicherheitstechnologien und -abläufe vermitteln. Klicken Sie hier, um weitere Informationen über das CND-Programm von EC-Council zu erhalten.

FAQS