Firmen-Firewall konfigurieren und alte Regeln prüfen

Eine Firewall wird einmal eingerichtet, ihre Regeln wachsen jahrelang

Die Einführung einer Firewall ist ein Projekt. Es hat einen Anfang, ein Ende, Tests und eine Dokumentation. Danach beginnt der Alltag. Regeln werden einzeln ergänzt, meist unter Zeitdruck und meist mit dem Ziel, dass etwas endlich funktioniert.

Nach einigen Jahren gibt es ein Regelwerk, das niemand von Anfang bis Ende gelesen hat. Das liegt nicht daran, dass jemand einen Fehler gemacht hätte. Jede einzelne Regel war an dem Tag sinnvoll, an dem sie hinzugefügt wurde. Das Problem liegt in der Gesamtheit, nicht in den einzelnen Einträgen.

Das Symptom ist immer dasselbe. Niemand möchte etwas entfernen, weil niemand weiß, was danach nicht mehr funktioniert. Die Konfiguration wächst nur in eine Richtung und lässt sich von Jahr zu Jahr schwerer ändern.

Wie Unordnung im Regelwerk entsteht

Die Ursachen sind in fast jedem Unternehmen dieselben:

• Vorübergehende Regeln. Jemand brauchte für einen Tag Zugriff, um eine Einführung abzuschließen. Der Zugriff blieb vier Jahre bestehen.
• Offene Ports aus Projekten, die es nicht mehr gibt. Es kann sich um einen Shop handeln, der zu einem anderen Anbieter verlagert wurde, um einen abgeschalteten Testserver oder um eine Integration mit einem System, das das Unternehmen nicht mehr nutzt. Die Regel bleibt bestehen, weil niemand ihre Entfernung beantragt hat.
• Zugänge, die nach dem Weggang von Personen bestehen bleiben. Ehemalige Mitarbeiter, frühere Subunternehmer oder das Unternehmen, das vor fünf Jahren die Kameras installiert hat und dessen Adresse weiterhin freigeschaltet ist.
• Bei einer Störung ergänzte Regeln. Nachts wird der gesamte Datenverkehr in alle Richtungen freigegeben, um herauszufinden, wo das Problem liegt. Die Störung ist vorüber, die Regel bleibt.
• Fehlende Beschreibung. Nach einem Jahr lässt sich ein Eintrag ohne Angaben dazu, wer ihn angefordert hat, wozu und für welchen Zeitraum, nicht von einem wirklich notwendigen Eintrag unterscheiden.
• Mehrere Personen arbeiten am selben Gerät. Änderungen wurden von jemandem aus dem Unternehmen, jemandem von außerhalb und jemandem beim Systemanbieter vorgenommen. Alle verwendeten ihre eigene Namenskonvention.

Was Sie riskieren, wenn die Regeln ungeprüft bleiben

Das erste Risiko liegt auf der Hand. Eine Regel, die einen Dienst aus dem Internet erreichbar macht, ist eine Einladung für jeden, der öffentliche Adressen scannt. Diese werden ständig gescannt. Meist handelt es sich um den Zugang zu einem Remote-Desktop oder zu einer Verwaltungsoberfläche. Er wurde geöffnet, damit jemand von zu Hause aus arbeiten konnte, und nach der Rückkehr ins Büro vergessen.

Das zweite Risiko ist weniger sichtbar, verursacht aber höhere Kosten. Ein Regelwerk, das niemand versteht, blockiert Veränderungen. Bei einer Migration, einer neuen Niederlassung oder einem neuen Internetanschluss dauert alles länger und kostet mehr, weil jedes Mal zuerst geklärt werden muss, wozu die vorhandenen Regeln dienen.

Der dritte Punkt fällt bei einem Audit auf. Unternehmen, die Kartenzahlungen abwickeln, sind nach dem PCI DSS ausdrücklich verpflichtet, die Konfiguration ihrer Geräte zur Netzwerksicherheit mindestens alle sechs Monate zu überprüfen. Die NIST-Leitlinien für Firewalls empfehlen dasselbe, also regelmäßige Überprüfungen der Regeln und Änderungen nach einem formalen Prozess statt spontaner Eingriffe.

Wie eine gründliche Überprüfung abläuft

Bei einer Überprüfung geht es nicht darum, auf die Verwaltungsoberfläche zu schauen und alles zu löschen, was ungewöhnlich aussieht. Die Reihenfolge ist umgekehrt, von der Bestandsaufnahme bis zur Entscheidung:

• Alle Regeln werden in einer Liste zusammengeführt, einschließlich der Regeln für die Adressübersetzung und der nach außen veröffentlichten Dienste. Gibt es mehrere Geräte, reicht der Export eines einzelnen Geräts nicht aus.
• Jede Regel erhält einen Verantwortlichen. Dazu gehören eine Person oder eine Abteilung, der geschäftliche Grund und das Datum, bis zu dem die Regel gelten soll. Ohne diese Angaben muss die nächste Überprüfung in einem Jahr wieder von vorn beginnen.
• Ungenutzte Regeln. Die meisten Firewalls können anzeigen, wann eine bestimmte Regel zuletzt auf Datenverkehr angewendet wurde. Einträge, die seit Monaten keine Treffer verzeichnen, sind die ersten Kandidaten für eine Entfernung.
• Eingrenzung der Bereiche. Eine Regel von beliebiger Quelle zu beliebigem Ziel wird auf konkrete Adressen und konkrete Ports beschränkt. Das ist in der Regel der größte Teil der Arbeit und bringt den größten Nutzen.
• Schließen nicht benötigter Zugänge. Dazu gehören Dienste, die ohne Grund aus dem Internet erreichbar sind, Zugänge für Unternehmen, die nicht mehr für Sie arbeiten, sowie Konten auf dem Gerät selbst, einschließlich der Servicekonten des Herstellers.
• VPN-Konten und Zertifikate. Die Liste der Personen, die von außen auf das Netzwerk zugreifen können, veraltet schneller als jeder andere Teil der Konfiguration.
• Zugriff auf die Firewall selbst. Wer kann sich dort anmelden, von wo aus und ist dies direkt aus dem Internet möglich? Diese Frage steht am Ende, weil die Antwort oft am unangenehmsten ist.

Konfigurationssicherungen und Änderungshistorie

Eine Überprüfung ist nur sinnvoll, wenn sich ihr Ergebnis dauerhaft erhalten lässt. Dafür sind drei Dinge erforderlich. Sie sind alle technisch und langweilig.

Das erste ist eine Sicherung der Konfiguration jedes Geräts, die automatisch erstellt und außerhalb dieses Geräts gespeichert wird. Eine Firewall kann wie jedes andere Gerät ausfallen. Mehrere hundert Regeln aus dem Gedächtnis wiederherzustellen, ist nicht realistisch.

Das zweite ist die Versionierung, also eine Änderungshistorie, mit der sich der heutige Stand mit dem Stand der Vorwoche vergleichen lässt. Wenn nach einer Änderung etwas nicht mehr funktioniert, ist dieser Vergleich der kürzeste Weg zur Antwort.

Das dritte ist die laufende Dokumentation der Änderungen an einem zentralen Ort und nach einer einheitlichen Konvention. Datum, Autor, Grund und Ticketnummer. Eine neue Regel ohne Beschreibung wird später zum Problem, auch wenn heute noch alle wissen, warum sie erstellt wurde.

Warum die Überprüfung in einem Wartungsfenster erfolgt

Das Entfernen von Regeln ist eine Änderung am Produktivsystem, genau wie der Austausch einer Internetverbindung. Der Unterschied besteht darin, dass die Auswirkungen verzögert auftreten. Oft zeigen sie sich erst, wenn jemand etwas verwenden möchte, das einen Monat lang nicht genutzt wurde.

Deshalb werden Änderungen in einem festgelegten Wartungsfenster umgesetzt. Die Konfiguration wird vorher gespeichert und es wird klar festgelegt, ab welchem Punkt die Änderungen zurückgenommen werden. Regeln werden zunächst deaktiviert und erst nach einigen Wochen ohne Auffälligkeiten gelöscht. Eine deaktivierte Regel lässt sich in wenigen Sekunden wieder einschalten. Eine gelöschte Regel muss neu erstellt werden.

Außerdem sollte festgelegt werden, wer während der Änderung und direkt danach telefonisch erreichbar ist. Die meisten Meldungen nach einer solchen Überprüfung gehen an den ersten beiden Arbeitstagen ein und betreffen Dinge, an die niemand gedacht hat, nicht die Firewall selbst.

Wie oft die Überprüfung stattfinden sollte

Eine vollständige Überprüfung alle sechs Monate ist ein sinnvoller Rhythmus und für Unternehmen, die Kartenzahlungen verarbeiten, vorgeschrieben. Bei vielen Änderungen am Netzwerk ist eine vierteljährliche Überprüfung besser geeignet.

Unabhängig vom Zeitplan gibt es Anlässe, die eine Überprüfung erforderlich machen: das Ende eines Projekts, das Ausscheiden einer Person mit Zugriffsrechten, das Ende eines Vertrags mit einem Subunternehmer, ein Wechsel des Netzbetreibers, die Einführung eines neuen Systems und jede Störung, in deren Verlauf unter Zeitdruck etwas freigeschaltet wurde.

Entscheidend ist jedoch die Routine anstelle einer einmaligen Aktion. Wenn jede neue Regel bereits bei ihrer Erstellung einen Verantwortlichen, einen Grund und ein Ablaufdatum erhält, dauert die Überprüfung nach sechs Monaten eine Stunde statt zwei Tage.

Was zu tun ist

Ob eine Überprüfung notwendig ist, lässt sich in wenigen Minuten feststellen. Stellen Sie der Person, die die Firewall betreut, zwei Fragen. Wie viele Regeln gibt es? Wer ist für drei zufällig ausgewählte Regeln verantwortlich? Wenn die zweite Frage unbeantwortet bleibt, ist eine Überprüfung notwendig.

Wir konfigurieren und betreiben Firewalls und VPN-Konzentratoren. Deshalb ist die Überprüfung der Regeln für uns ein regulärer Bestandteil der Netzwerkbetreuung und kein separates Projekt. Den Umfang des Supports, einschließlich einer Rufbereitschaft rund um die Uhr, legen wir im Vertrag fest.

Wenn Sie den Zustand Ihrer Konfiguration nicht kennen, genügen in der Regel ein Export der Regeln und ein kurzes Gespräch. Danach ist klar, ob eine Stunde Aufräumarbeit genügt oder ob ein eigenes Wartungsfenster erforderlich ist.

IT-Service ansehen