Arten von Firewall-Regeln
Firewall Regeln werden basierend auf der Richtung definiert, in die sich der Verkehr bewegt. Zu den beiden Typen gehören:
Eingehende Regeln: Eingehende Regeln werden auf eingehenden Datenverkehr angewendet, der versucht, in das geschützte Netzwerk einzudringen. In der Regel lehnen Organisationen eingehenden Datenverkehr standardmäßig ab und definieren dann Ausnahmen für zulässige Arten von Datenverkehr. Viele Unternehmen lassen beispielsweise zu, dass HTTPS- und DNS-Datenverkehr in ihr Netzwerk gelangt, um das Surfen ihrer Mitarbeiter im Internet zu unterstützen.
Regeln für ausgehende Datenverkehr: Regeln für ausgehende Datenverkehr geben die Arten von ausgehendem Datenverkehr an, die das Netzwerk verlassen dürfen, und lassen häufig standardmäßig ausgehenden Datenverkehr zu. Die Organisationen geben dann die Arten von Datenverkehr an, die nicht verlassen werden dürfen. Das Blockieren von ICMP-Datenverkehr am privaten Netzwerkperimeter kann z. B. zum Schutz vor Netzwerk-Scans und Informationslecks aufgrund von Fehlermeldungen beitragen.
Bestandteile Firewall Rules
Firewall Regeln können zulässigen oder verweigerten Datenverkehr anhand einiger verschiedener Funktionen identifizieren, darunter:
- Quell-IP-Adresse: Die Quell-IP-Adresse identifiziert den Ursprung des Datenverkehrs. Eine Organisation kann Datenverkehr von bestimmten bekanntermaßen ungültigen IP-Adressen oder IP-Bereichen blockieren. Alternativ kann es sein, dass auf bestimmte Computer oder Dienste nur über IP-Adressen zugegriffen werden kann, die auf der Zulassungsliste stehen.
- Ziel-IP-Adresse: Die Ziel-IP-Adresse gibt an, wohin der Datenverkehr geht. Beispielsweise kann ein Unternehmen angeben, dass Benutzer nicht zu bestimmten Domänen navigieren können, von denen bekannt ist, dass sie bösartig sind oder gegen Unternehmensrichtlinien verstoßen.
- Protokoll-Typ: Firewall-Regeln können auch angeben, ob der Datenverkehr das Transmission Control Protocol (TCP), das User Datagram Protocol (UDP) oder das Internet Control Message Protocol (ICMP) verwendet. Beispielsweise blockieren Organisationen häufig ICMP-Datenverkehr am Netzwerkperimeter.
- Port-Bereich: TCP/UDP-Ports werden verwendet, um anzugeben, welche Anwendung den Netzwerkdatenverkehr überwacht, und Firewallregeln verwenden diese Ports, um die Arten von Anwendungsdatenverkehr anzugeben, die in das Netzwerk ein- oder ausgehen dürfen. Eine Firewallregel, die eingehenden HTTPS-Datenverkehr zulässt, würde z. B. angeben, dass TCP-Datenverkehr an Port 443 in das Netzwerk gelangen darf.
Auswertung von Firewall-Regeln
Eine Firewall wird wahrscheinlich mit zahlreichen verschiedenen Regeln konfiguriert , die die verschiedenen Arten von Datenverkehr definieren, die in das geschützte Netzwerk ein- und ausgehend zugelassen werden sollen.
Jeder Firewallregel ist ein Prioritätswert zugeordnet, der die Firewall in der Reihenfolge anweist, in der die Regeln berücksichtigt werden sollen. In der Regel arbeitet sich die Firewall durch die Liste der priorisierten Regeln, bis sie eine passende Regel findet. Anschließend wenden sie die in dieser Regel angegebene Aktion an, z. B. das Zulassen des Datenverkehrs, das Blockieren oder das Protokollieren eines potenziell verdächtigen Datenverkehrsflusses.
Best Practices für Firewall Regeln
Eine Firewall ist nur so effektiv wie die Regeln, die sie durchsetzt. Zu den wichtigen Überlegungen beim Definieren von Firewallregeln gehören:
- Restriktive Regeln vs. freizügige Regeln: Firewall Regeln können so erstellt werden, dass sie standardmäßig restriktiver (Standardverweigerung) oder freizügiger (Standardzulassung) sind. Im Allgemeinen wird durch das standardmäßige Verweigern von Datenverkehr und das anschließende Erstellen von Ausnahmen ein sichereres System geschaffen, während die Standardakzeptanz sicherstellt, dass Versehen legitimen Datenverkehr nicht blockieren.
- Anpassen Firewall Regeln: Eine Firewall-Lösung kann mit einer Reihe allgemeiner "Best Practice"-Firewall-Regeln geliefert werden. Diese Regeln sind jedoch so konzipiert, dass sie eine "Einheitsgröße" sind und nicht den individuellen Anforderungen eines Unternehmens entsprechen. Unternehmen sollten diese Regeln so anpassen, dass sie eine optimale Mischung aus Netzwerksicherheit und Benutzerfreundlichkeit bieten.
- Protokollieren und Überwachen von Firewall-Regeln: Firewall-Regeln sollten eine Protokollierung implementieren, die regelmäßig überwacht werden sollte. Dies kann dazu beitragen, potenzielle Sicherheitsbedrohungen zu erkennen und falsche Firewall-Regeln zu identifizieren, die restriktiver oder freizügiger gestaltet werden müssen.
Sicherheitsüberlegungen für Firewall Regeln
Bei der Auswahl von Firewall-Lösungen und dem Definieren von Regeln für diese Lösungen sind unter anderem folgende wichtige Sicherheitsaspekte zu berücksichtigen:
- Schutz vor unbefugtem Zugriff: Inbound Firewall-Regeln helfen, unbefugten Zugriff auf Unternehmensressourcen zu verhindern. Beispielsweise kann ein Unternehmen eingehenden SSH-Datenverkehr blockieren, sodass Remote-Benutzer nur über eine VPN oder eine andere Remotezugriffslösung eine Verbindung zum Unternehmensgerät herstellen können.
- Umgang mit unerwünschtem Datenverkehr: Eingehende Firewallregeln können auch verwendet werden, um zu verhindern, dass unerwünschter Datenverkehr sein beabsichtigtes Ziel erreicht. Beispielsweise kann ein Unternehmen IP-Adressen blockieren, von denen bekannt ist, dass sie Spam versenden, oder Teil eines DDoS-Botnets sein.
- Firewall Regeln in Cloud Umgebungen: Cloud Umgebungen, wie z. B. Google Cloud, sollten ebenfalls durch die Firewall geschützt werden. Diese Plattformen verfügen über eigene integrierte Firewall-Funktionen, die korrekt konfiguriert sein sollten, um den Datenverkehr zu Cloud-Ressourcen zu verwalten.
- Firewall der nächsten Generation (NGFWs): NGFWs sind Firewalls, die erweiterte Sicherheitsfunktionen enthalten, wie z. B. ein Intrusion Prevention System (IPS) oder Data Loss Prevention (DLP). NGFWs sind unerlässlich, um sich vor modernen, fortschrittlichen Cyberangriffen zu schützen.
- Anwendung Level Gateway (ALGs): ALGs sind Firewalls, die auf der Anwendungsschicht des OSI-Modells ausgeführt werden. Diese Firewalls fungieren als Proxys und bieten zusätzliche Sicherheit für die Anwendung eines Unternehmens.
Feedback