20.1 Trainer – Grundlagen und OSI-Modell

Merksatz:

MAC = lokal.
IP = logisch.
Port = Dienst.
DNS = Anwendung.
Kabel = Signal.

Richtig ist:

C: Ein Switch arbeitet hauptsächlich mit MAC-Adressen.

Begründung:

Ein Switch arbeitet hauptsächlich auf OSI-Schicht 2
und leitet Ethernet-Frames anhand von MAC-Adressen weiter.

Richtig ist:

B: Es ist ein praxisnahes Modell für reale Netzwerkkommunikation.

Begründung:

Das OSI-Modell ist ein theoretisches Referenzmodell mit sieben Schichten.
Das TCP/IP-Modell ist praxisnäher und wird zur Beschreibung realer Internetkommunikation genutzt.

Merksatz:

TCP/IP-Anwendung umfasst OSI-Sitzung,
Darstellung
und Anwendung.

Wahrscheinlich betroffen:

DNS

Begründung:

Wenn die IP-Adresse erreichbar ist,
aber der Name nicht funktioniert,
ist die Grundverbindung wahrscheinlich vorhanden.
Das Problem liegt wahrscheinlich bei der Namensauflösung.

IHK-sichere Antwort:

Da die IP-Adresse erreichbar ist,
der Name aber nicht aufgelöst wird,
sollte DNS geprüft werden.

Das ist eine APIPA-Adresse.

Bedeutung:

Der Client hat wahrscheinlich keine gültige IP-Adresse von einem DHCP-Server erhalten.

Typische Ursachen:

DHCP-Server nicht erreichbar
falsches VLAN
DHCP-Scope erschöpft
DHCP-Relay fehlt
Netzwerkverbindung fehlerhaft

Merksatz:

169.254.x.x deutet auf DHCP-Problem hin.

Zuerst prüfen:

Standardgateway

Weitere mögliche Ursachen:

Routing
NAT
Firewall
DNS bei Zugriff über Namen

Begründung:

Wenn lokale Kommunikation funktioniert,
aber externe Netze nicht erreichbar sind,
fehlt häufig der Weg aus dem eigenen Netz.

Merksatz:

Lokal ja,
extern nein:
Gateway prüfen.

Kapselung bedeutet:

Beim Senden werden Daten von Schicht zu Schicht weitergegeben
und jede Schicht ergänzt eigene Steuerinformationen.

Beispiel:

Anwendungsdaten
werden zu TCP-Segmenten,
IP-Paketen,
Ethernet-Frames
und schließlich Bits.

IHK-sichere Kurzformulierung:

Kapselung beschreibt das Verpacken von Daten durch die einzelnen Netzwerkschichten.
Jede Schicht ergänzt eigene Informationen,
die für die Kommunikation auf dieser Schicht benötigt werden.

Richtige Reihenfolge von oben nach unten:

Daten

Segment

Paket

Frame

Bits

Zuordnung:

Betroffen ist:

OSI-Schicht 1

Begründung:

Ein defektes Kabel betrifft die physische Signalübertragung.

Merksatz:

Kabel,
Stecker,
Funk
und Signal gehören zu Schicht 1.

Betroffen ist hauptsächlich:

OSI-Schicht 2

Begründung:

VLANs trennen Netzbereiche auf Layer 2.
Ein falsches VLAN kann dazu führen,
dass ein Gerät im falschen Broadcast-Bereich landet
oder eine falsche IP-Konfiguration erhält.

Betroffen ist:

OSI-Schicht 3

Begründung:

IP-Adresse,
Subnetzmaske,
Gateway
und Routing gehören zur Vermittlungsschicht.

Merksatz:

IP-Konfiguration ist Schicht 3.

Betroffen ist mindestens:

OSI-Schicht 4

Begründung:

TCP und Ports gehören zur Transportschicht.
TCP 443 ist der typische Port für HTTPS.

Wichtig:

Eine Firewall kann je nach Funktion auch auf mehreren Schichten arbeiten.

Betroffen ist hauptsächlich:

OSI-Schicht 6

Begründung:

TLS,
Zertifikate
Verschlüsselung
und Darstellung gehören zur Darstellungsschicht.

Merksatz:

Zertifikatsfehler:
Schicht 6.

Betroffen ist hauptsächlich:

OSI-Schicht 7

Begründung:

HTTP ist ein Anwendungsprotokoll.
Ein HTTP-500-Fehler deutet auf einen serverseitigen Anwendungsfehler hin.

Merksatz:

HTTP-Statuscodes gehören zur Anwendungsschicht.

Richtig ist:

B: ping prüft ICMP-Erreichbarkeit.

Begründung:

ping nutzt ICMP.
Ein erfolgreicher ping bedeutet nicht automatisch,
dass ein bestimmter Dienst wie HTTPS,
SSH
oder SMB funktioniert.

Merksatz:

ping ist kein Diensttest.

Authentifizierung:

Prüfung der Identität.

Beispiel:

Benutzer meldet sich mit Passwort und MFA an.

Autorisierung:

Prüfung der Berechtigung.

Beispiel:

Benutzer darf eine Datei lesen oder nicht.

Merksatz:

Authentifizierung:
Wer bist du?

Autorisierung:
Was darfst du?

Wahrscheinlicher ist:

Autorisierungsproblem

Begründung:

Die Anmeldung funktioniert bereits.
Das Problem liegt daher wahrscheinlich bei Berechtigungen,
Gruppen,
ACLs,
Freigaberechten
oder Dateisystemrechten.

Merksatz:

Login ja,
Zugriff nein:
Rechte prüfen.

TCP:

verbindungsorientiert
zuverlässig
bestätigt Daten
stellt Reihenfolge sicher
mehr Overhead

UDP:

verbindungslos
schneller
weniger Overhead
keine eingebaute Zustellgarantie

Beispiele:

Merksatz:

TCP = zuverlässig.
UDP = schnell und schlank.

ARP steht für:

Address Resolution Protocol

Aufgabe:

ARP löst im lokalen IPv4-Netz eine IP-Adresse in eine MAC-Adresse auf.

Beispiel:

Ein Client möchte sein Gateway erreichen.
Dafür benötigt er die MAC-Adresse des Gateways.
Diese ermittelt er mit ARP.

Merksatz:

ARP findet MAC-Adressen im lokalen IPv4-Netz.

Verwendet wird:

die MAC-Adresse des Standardgateways

Begründung:

Das IP-Ziel bleibt der entfernte Zielhost.
Aber lokal wird das Frame an den nächsten Hop gesendet,
also an das Gateway.

Merksatz:

IP zeigt zum Endziel.
MAC zeigt zum nächsten lokalen Hop.

Switch:

arbeitet hauptsächlich auf Schicht 2
leitet Frames anhand von MAC-Adressen weiter
verbindet Geräte im lokalen Netz

Router:

arbeitet auf Schicht 3
leitet Pakete anhand von IP-Adressen weiter
verbindet unterschiedliche IP-Netze

Merksatz:

Switch verbindet lokal.
Router verbindet Netze.

VLAN:

logische Trennung auf Schicht 2

Subnetz:

logische IP-Aufteilung auf Schicht 3

Wichtig:

In der Praxis wird einem VLAN häufig ein eigenes IP-Subnetz zugeordnet.
Fachlich sind VLAN und Subnetz aber nicht dasselbe.

Merksatz:

VLAN = Layer 2.
Subnetz = Layer 3.

VLANs sind voneinander getrennte Layer-2-Bereiche.

Damit Geräte aus unterschiedlichen VLANs miteinander kommunizieren können, braucht man Routing zwischen diesen Netzen.

Das nennt man:

Inter-VLAN-Routing

Möglich über:

Router
Layer-3-Switch
Firewall

Merksatz:

VLANs trennen.
Routing verbindet gezielt.

NAT:

übersetzt IP-Adressen

Firewall:

erlaubt oder blockiert Verkehr anhand von Regeln

Wichtig:

Viele Geräte kombinieren NAT und Firewall.
Fachlich bleiben es unterschiedliche Funktionen.

Merksatz:

NAT übersetzt.
Firewall filtert.

PAT steht für:

Port Address Translation

PAT ist eine Form von NAT, bei der zusätzlich Ports genutzt werden, um viele interne Verbindungen über eine öffentliche IP-Adresse zu unterscheiden.

Merksatz:

PAT nutzt Ports zur Zuordnung mehrerer Verbindungen.

Any-to-Any ist kritisch, weil dadurch jede Quelle zu jedem Ziel kommunizieren darf.

Risiken:

große Angriffsfläche
schlechte Nachvollziehbarkeit
Umgehung von Sicherheitszonen
unnötige Freigaben

Besser:

genaue Regeln mit Quelle,
Ziel,
Port,
Protokoll
und Zweck.

Merksatz:

Firewall-Regeln so genau wie möglich formulieren.

Default Deny bedeutet:

Standardmäßig ist Verkehr verboten.

Nur ausdrücklich erlaubter Verkehr wird zugelassen.

Vorteil:

bessere Kontrolle
kleinere Angriffsfläche
weniger ungewollte Freigaben

Merksatz:

Erst blockieren,
dann gezielt erlauben.

RPO:

Recovery Point Objective

maximal akzeptabler Datenverlust

RTO:

Recovery Time Objective

maximal akzeptable Wiederherstellungszeit

Merksatz:

RPO = Datenverlust.
RTO = Zeit bis Wiederherstellung.

Ein Snapshot ersetzt kein Backup, weil er oft auf demselben Speicher oder System liegt wie die Produktivdaten.

Risiken:

Speicherdefekt betrifft Snapshot ebenfalls
Ransomware kann Snapshot erreichen
Snapshot kann gelöscht werden
Speicherplatz kann volllaufen

Merksatz:

Snapshot ist Momentaufnahme,
aber kein vollständiges Backup-Konzept.

Merksatz:

Erst Schutzziel erkennen,
dann Maßnahme auswählen.

IDS:

Intrusion Detection System

erkennt und meldet Angriffe

IPS:

Intrusion Prevention System

erkennt und blockiert Angriffe zusätzlich

Merksatz:

IDS meldet.
IPS blockiert.

Least Privilege bedeutet:

Benutzer,
Dienste
und Prozesse erhalten nur die Rechte,
die sie für ihre Aufgabe wirklich benötigen.

Ziel:

Schaden bei Fehlern oder Angriffen begrenzen.

Merksatz:

So wenig Rechte wie möglich,
so viele wie nötig.

MFA steht für:

Multi-Faktor-Authentifizierung

Dabei werden mehrere Faktoren kombiniert.

Beispiele:

Wissen:
Passwort

Besitz:
Smartphone,
Token,
Smartcard

Sein:
biometrisches Merkmal

Merksatz:

MFA sorgt dafür,
dass ein Passwort allein nicht reicht.

Brute Force:

viele Passwortversuche gegen ein Konto oder Ziel

Password Spraying:

ein häufiges Passwort gegen viele Konten

Credential Stuffing:

bereits geleakte Zugangsdaten werden bei anderen Diensten getestet

Merksatz:

Brute Force:
viele Versuche.

Password Spraying:
ein Passwort,
viele Konten.

Credential Stuffing:
geleakte Zugangsdaten.

Hardening bedeutet:

ein System sicherer zu konfigurieren,
indem unnötige Funktionen deaktiviert
und Angriffsflächen reduziert werden.

Beispiele:

unnötige Dienste deaktivieren
Standardpasswörter ändern
unsichere Protokolle abschalten
Rechte begrenzen
Logging aktivieren
Updates einspielen

Merksatz:

Hardening verringert die Angriffsfläche.

IaaS:

Infrastructure as a Service

virtuelle Infrastruktur,
zum Beispiel virtuelle Maschinen,
Netzwerk
und Speicher

PaaS:

Platform as a Service

verwaltete Plattform für Anwendungen

SaaS:

Software as a Service

fertige Anwendung aus der Cloud

Merksatz:

IaaS = Infrastruktur.
PaaS = Plattform.
SaaS = Software.

Shared Responsibility bedeutet:

Cloud-Anbieter und Kunde teilen sich die Verantwortung.

Typisch:

Anbieter schützt die Cloud-Infrastruktur.

Kunde schützt Daten,
Identitäten,
Zugriffsrechte,
Konfigurationen
und Anwendungen je nach Modell.

Merksatz:

Cloud bedeutet geteilte Verantwortung.

B ist besser.

Begründung:

Die Antwort nennt eine wahrscheinliche Ursache
und begründet sie mit dem Fehlerbild.

Merksatz:

Ursache,
Begründung,
Prüfung.

B ist besser.

Begründung:

Die Antwort nennt ein konkretes Risiko
und passende Schutzmaßnahmen.

Merksatz:

Sicherheitsantwort:
Risiko,
Maßnahme,
Wirkung.