20.18 Spezialtrainer – Firewall-Regeln und Sicherheitszonen

Eine Firewall ist ein System, das Netzwerkverkehr anhand von Regeln erlaubt oder blockiert.

Typische Kriterien:

Quelle

Ziel

Protokoll

Port

Richtung

Zone

Benutzer

Anwendung

Verbindungszustand

Merksatz:

Firewall = kontrollierter Netzwerkverkehr.

Die Regel ist unvollständig.

Es fehlen:

Quelle

Ziel

Protokoll

Richtung

Aktion

Zweck

Besser:

Quelle:
Internet

Ziel:
Webserver-DMZ

Protokoll:
TCP

Port:
443

Aktion:
erlauben

Zweck:
HTTPS-Zugriff auf Webserver

Merksatz:

Port allein ist keine vollständige Firewall-Regel.

Es fehlt das Transportprotokoll.

DNS nutzt:

UDP 53

und bei Bedarf:

TCP 53

Eine Regel für TCP 53 erlaubt nicht automatisch UDP 53.

Merksatz:

Portnummer immer mit TCP oder UDP nennen.

Default Deny bedeutet:

Standardmäßig ist Verkehr blockiert.

Nur ausdrücklich erlaubter Verkehr wird zugelassen.

Vorteile:

kleinere Angriffsfläche

bessere Kontrolle

weniger unbeabsichtigte Freigaben

klare Sicherheitsstruktur

Merksatz:

Erst blockieren,
dann gezielt erlauben.

Any-to-Any bedeutet:

jede Quelle

zu

jedem Ziel

Meist zusätzlich:

alle Ports

alle Protokolle

erlauben

Das ist kritisch, weil sehr viel Verkehr ungeprüft zugelassen wird.

Merksatz:

Any-to-Any ist eine sehr breite Freigabe.

Risiken:

große Angriffsfläche

schlechte Nachvollziehbarkeit

Sicherheitszonen werden umgangen

unnötige Freigaben

laterale Bewegung wird erleichtert

Fehler schwerer erkennbar

Besser:

gezielte Regeln mit Quelle,
Ziel,
Port,
Protokoll
und Zweck.

Merksatz:

Je breiter die Regel,
desto größer das Risiko.

B ist besser.

Begründung:

Die Regel ist genauer.
Sie erlaubt nur den benötigten DNS-Verkehr
zum vorgesehenen DNS-Server.

Regel A ist zu breit, weil sie jeden Verkehr zu jedem Ziel erlaubt.

Merksatz:

Genau erlauben,
nicht pauschal freigeben.

Passende Regel:

Wichtig:

Keine pauschale Freigabe vom Internet ins interne Netz.

Merksatz:

Öffentlich nur den benötigten Dienst freigeben.

Beispielregel:

Wichtig:

Nur der konkrete Webserver darf auf den konkreten Datenbankserver zugreifen.

Nur der benötigte Datenbankport wird erlaubt.

Kein Any-to-Any zwischen DMZ und internem Netz.

Merksatz:

DMZ zu intern nur minimal und gezielt erlauben.

Eine Datenbank enthält oft sensible Daten und ist ein attraktives Angriffsziel.

Risiken:

Brute Force

Exploits

Datenabfluss

Manipulation

DoS

Besser:

Zugriff nur vom Anwendungsserver

privates Netz

Firewall-Beschränkung

starke Authentifizierung

Logging

Merksatz:

Datenbankports gehören nicht offen ins Internet.

Typische Regeln:

Merksatz:

Gastnetz nur ins Internet,
nicht ins interne Netz.

Sinnvolle Regeln:

Adminnetz zu Servern:
benötigte Adminports erlauben

Adminnetz zu Switches:
SSH oder HTTPS erlauben

Clientnetz zu Managementnetz:
blockieren

Gastnetz zu Managementnetz:
blockieren

Internet zu Managementnetz:
blockieren

Zusätzlich:

MFA

Logging

getrennte Admin-Konten

Least Privilege

Merksatz:

Managementzugänge besonders schützen.

Regel:

Optional zusätzlich:

Clientnetz zu externen DNS-Servern blockieren,
wenn DNS zentral kontrolliert werden soll.

Merksatz:

DNS-Regeln brauchen UDP 53,
TCP 53 mitdenken.

Regel:

Je nach Umgebung zusätzlich:

HTTP TCP 80 erlauben oder blockieren

Proxy verwenden

Webfilter einsetzen

Logging aktivieren

Merksatz:

Webzugriff gezielt und protokolliert erlauben.

Sinnvolle Block-Regel:

Besser:

Administration nur aus Adminnetz erlauben.

Merksatz:

Normale Clients sollen keine Adminports erreichen.

SSH ist ein Administrationszugang.

Wenn SSH aus allen Netzen erreichbar ist, steigt das Risiko für:

Brute Force

Missbrauch gestohlener Zugangsdaten

laterale Bewegung

unautorisierte Administration

Besser:

Quelle auf Adminnetz beschränken

MFA oder Schlüssel nutzen

Logging aktivieren

Merksatz:

Adminzugänge nur aus Adminnetzen erlauben.

RDP ist ein häufiges Angriffsziel.

Risiken:

Brute Force

Credential Stuffing

Exploits

unberechtigter Zugriff

Sicherer:

VPN

RDP-Gateway

MFA

Zugriff nur von bekannten Quellnetzen

Logging

Merksatz:

RDP nicht offen ins Internet stellen.

SMB ermöglicht Datei- und Druckfreigaben.

Risiken bei breiter Freigabe:

Datenabfluss

Malware-Ausbreitung

laterale Bewegung

Zugriff auf interne Freigaben

Ausnutzung von Schwachstellen

Besser:

SMB nur gezielt zwischen benötigten Systemen erlauben.

Merksatz:

SMB breit freigeben ist riskant.

Viele Firewalls verarbeiten Regeln von oben nach unten.

Die erste passende Regel entscheidet.

Problem:

Eine breite Erlauben-Regel kann spätere Block-Regeln wirkungslos machen.

Oder:

Eine frühe Block-Regel kann spätere Erlauben-Regeln überdecken.

Merksatz:

Firewall-Regeln auch in der richtigen Reihenfolge prüfen.

Prüfen:

Regelreihenfolge

Quelle korrekt?

Ziel korrekt?

Protokoll korrekt?

Port korrekt?

Richtung korrekt?

Zone korrekt?

NAT-Regel nötig?

Rückverkehr erlaubt oder stateful?

lokale Firewall auf Zielsystem

Dienst läuft?

Logs prüfen

Merksatz:

Eine Regel allein beweist noch nicht,
dass der Zugriff funktioniert.

Eine Stateful Firewall merkt sich den Zustand von Verbindungen.

Wenn ein Client eine Verbindung nach außen startet, kann die Firewall passende Antwortpakete automatisch erlauben.

Vorteil:

Rückverkehr muss nicht immer manuell als eigene Regel definiert werden.

Merksatz:

Stateful Firewall kennt Verbindungszustände.

Eine Stateless Firewall prüft Pakete einzeln.

Sie merkt sich keinen Verbindungszustand.

Folge:

Regeln für Hin-
und Rückrichtung müssen genauer berücksichtigt werden.

Merksatz:

Stateless Firewall kennt keine Verbindungshistorie.

ACL steht für:

Access Control List

Eine ACL ist eine Liste von Regeln, die Zugriff erlaubt oder blockiert.

Eine Firewall kann ACL-ähnliche Regeln nutzen, bietet aber je nach System weitere Funktionen:

Zustandsprüfung

Logging

NAT

Anwendungskontrolle

Benutzerbezug

IDS/IPS-Funktionen

Merksatz:

ACL ist Regelliste.
Firewall ist oft umfassenderes Schutzsystem.

Eine Security Group ist eine ressourcennahe Zugriffskontrolle in Cloud-Umgebungen.

Sie steuert typischerweise:

eingehenden Verkehr

ausgehenden Verkehr

Ports

Protokolle

Quellen

Ziele

Merksatz:

Security Group ist wie eine Cloud-nahe Firewall-Regelgruppe.

Prüfen:

Security Group erlaubt TCP 22?

Quelle korrekt eingeschränkt?

VM hat richtige IP?

Route ins Subnetz korrekt?

Network ACL korrekt?

lokale Firewall der VM?

SSH-Dienst läuft?

SSH lauscht auf TCP 22?

Benutzer oder Schlüssel korrekt?

Merksatz:

Cloud-Zugriff braucht Security Group,
Route,
lokale Firewall
und Dienst.

Richtig:

Webserver oder Load Balancer öffentlich erreichbar machen.

Datenbank in privatem Subnetz betreiben.

Zugriff auf Datenbank nur vom Anwendungsserver erlauben.

Security Group der Datenbank eng einschränken.

Merksatz:

Web nach außen,
Datenbank privat.

Beispielregel:

Zusätzlich blockieren:

VPN-Dienstleister zu restlichem internen Netz

Merksatz:

VPN-Zugriff nach Least Privilege begrenzen.

Risiken:

kompromittierte VPN-Zugangsdaten führen zu großem Schaden

laterale Bewegung im Netz möglich

Dienstleister sehen zu viele Systeme

Angriffe können sich leichter ausbreiten

Besser:

Zugriff nach Gruppen

nur benötigte Zielsysteme

nur benötigte Ports

Logging

MFA

Merksatz:

VPN ist ein Eingang ins Netz,
kein Freifahrtschein.

Sinnvolle Grundidee:

Nur Backup-Clients oder Backup-Agenten dürfen zum Backup-Server kommunizieren.

Normale Benutzer dürfen nicht direkt auf Backup-Speicher zugreifen.

Administration nur aus Adminnetz.

Löschrechte stark begrenzen.

Backup-Logs und Monitoring erlauben.

Beispiel:

Merksatz:

Backups brauchen besonders strenge Zugriffskontrolle.

Ohne Zweck ist später unklar:

warum die Regel existiert

ob sie noch benötigt wird

wer verantwortlich ist

ob sie entfernt werden kann

welches Risiko sie abdeckt

Folge:

Regelwerke werden unübersichtlich
und unsichere Altregeln bleiben bestehen.

Merksatz:

Jede Firewall-Regel braucht eine Begründung.

Eine Regelwerksprüfung kontrolliert bestehende Firewall-Regeln.

Geprüft wird:

Ist die Regel noch nötig?

Ist Quelle und Ziel genau genug?

Ist der Port korrekt?

Ist Any-to-Any vorhanden?

Gibt es doppelte Regeln?

Gibt es ungenutzte Regeln?

Ist der Zweck dokumentiert?

Gibt es Ablaufdaten für temporäre Regeln?

Merksatz:

Firewall-Regeln müssen regelmäßig aufgeräumt werden.

Eine temporäre Regel ist nur für begrenzte Zeit gedacht.

Beispiele:

Wartung

Migration

Test

Fehleranalyse

Wichtig:

Ablaufdatum dokumentieren

Verantwortlichen nennen

nach Nutzung entfernen

Merksatz:

Temporäre Regeln dürfen nicht dauerhaft vergessen werden.

Logging bedeutet:

Erlaubter oder blockierter Verkehr wird protokolliert.

Nutzen:

Fehlersuche

Sicherheitsanalyse

Nachvollziehbarkeit

Erkennen von Angriffen

Regelwerksprüfung

Merksatz:

Firewall-Logs zeigen,
was wirklich passiert.

Bedeutung:

Verkehr zu TCP 443 wurde blockiert.

Prüfen:

Ist der Zugriff gewollt?

Quelle korrekt?

Ziel korrekt?

Regel fehlt?

Regelreihenfolge falsch?

falsche Zone?

falscher Port?

Merksatz:

Deny im Log ist ein konkreter Hinweis,
keine Vermutung.

Prüfen:

Gibt es eine frühere Allow-Regel?

Regelreihenfolge korrekt?

falsche Quelle oder falsches Ziel?

falsche Zone?

anderer Port oder anderes Protokoll?

NAT verändert Ziel oder Quelle?

Verbindung bereits bestehend bei Stateful Firewall?

Logs prüfen

Merksatz:

Wenn Block nicht wirkt,
Regelreihenfolge und Matching prüfen.

B ist besser.

Begründung:

Die Antwort nennt Risiko,
Wirkung
und bessere Maßnahme.

Merksatz:

Sicherheitsbewertung braucht Begründung.

B ist besser.

Begründung:

Die Antwort nennt konkrete Risiken und eine passende Maßnahme.

Merksatz:

Risiko und Maßnahme verbinden.

B ist besser.

Begründung:

Die Antwort bewertet fachlich
und nennt eine sichere Alternative.

Merksatz:

Öffentlich erreichbare Datenbanken vermeiden.

B ist besser.

Begründung:

Die Antwort erklärt den betrieblichen und sicherheitstechnischen Nutzen.

Merksatz:

Dokumentation hilft Sicherheit und Betrieb.

B ist besser.

Begründung:

Die Antwort nennt konkrete Prüfpunkte
und ist damit prüfungssicher.

Merksatz:

Firewall prüfen heißt:
Regel-Matching konkret prüfen.