Inhalt
Peter, IT-Leiter, und die Netzwerksegmentierung – Ein Praxisbeispiel
Dieser Artikel gibt eine kleine Einführung in das Thema Netzwerksegmentierung und ist für Einsteiger gedacht. Wenn Sie tiefer in diese Thematik einsteigen wollen und schon fortgeschritten sind, lesen Sie in unserem Teil 2 weiter. Hier geht es zu unserem fortgeschrittenen Artikel
Peter ist IT-Administrator in einem Unternehmen. Für ihn ist es wichtig, dass er Zugriff auf die Server hat, die er verwaltet. Um technische Probleme lösen, Installationen und Wartungen durchführen sowie Server starten und stoppen zu können, braucht er hierfür Zugriff auf sensible Netzwerkdienste. Solche Dienste könnten beispielsweise der Konsolenzugang aus der Ferne über das Secure Shell (SSH) oder das Remote Desktop Protocol (RDP) sein.
Unternehmen haben häufig keine Netzsegmentierung implementiert
Am nächsten Tag muss Peter kurzfristig den Arbeitsplatz wechseln, da in seinem Büro gerade Sanierungsarbeiten durchgeführt werden. Mürrisch nimmt er sein Notebook und setzt sich runter in die Cafeteria, um zumindest ein paar Zeilen im Betriebshandbuch zu schreiben und einige Mails zu beantworten. Eine Chatnachricht seiner Kollegin Birgt poppt auf, sie hat heute Home Office.
“Hallo Peter, kannst du mir mal eben helfen? Ich bin aus der Session geflogen und muss den Server neu starten, damit der Server die Updates installiert”.
Wohlwissend, dass er Birgit aus der Cafeteria nicht helfen kann, beginnt er im Chatfenster zu tippen, während Peter aus Jux einfach mal das Desktop-Icon für den RDP-Login aufruft. “Tut mir leid Birgit, ich bin gerade in der Cafe…”
Peter hört auf zu schreiben, als er feststellt, dass er sich soeben erfolgreich am Server eingeloggt hat. Aber wie kann das sein? Peter befindet sich doch gerade in der Cafeteria. Diese Umgebung ist schließlich nicht sicher für die Administration hochsensibler Server, auf denen sich die Kronjuwelen des Unternehmens befinden: Kundendaten, Produktbeschreibungen, Preistabellen, ja sogar die Gehaltsabrechnungen seines Chefs befindet sich auf diesem Server.
Netzwerksegmentierung im eigenen Unternehmen umsetzen und lernen?
Unsere IT-Security Experten zeigen Ihnen in unserem Praxis-Workshop wie Netzwerksegmentierung funktioniert!
Warum eine Netzwerksegmentierung wichtig ist
In der Cafeteria ist Peter nicht nur den diebischen Blicken von Mitarbeitern anderer Abteilungen, sondern auch denen externer Lieferanten, Betriebsfremden und mitunter sogar Wirtschaftsspionen ausgesetzt.
“Das gibt’s doch nicht!”, bemerkt Peter mit Erstaunen und versucht sich auch noch auf anderen Servern einzuloggen. Das Active Directory, auf denen die Windows-Anmeldekonten der Mitarbeiter gespeichert sind, ist ebenso erreichbar wie die Datenbank des Gehaltsabrechnungssystems. Und sogar der E-Mail Server mit den Nachrichten des Vorstands darauf kann über das Netzwerk erreicht werden.
“Und das ganze über’s WLAN von der Cafeteria!”
Alles was ein Angreifer jetzt noch bräuchte um auf die Server zu kommen, wäre Peter’s Passwort. Das könnte er sich entweder per Shouldersurfing von ihm abgucken, oder indem er einen Netzwerksniffer laufen lässt und den Netzwerkverkehr abhört. Wenn sich Peter dann mal nicht mit einem verschlüsselten Protokoll anmeldet, sondern mit einer unverschlüsselten Variante wie RSH, hat er damit die Zugangsdaten von Peter erhascht.
Solche Szenarien, wie Peter sie erlebt hat, sind leider in Unternehmen nicht ungewöhnlich und stellen ein hohen Bedrohungspotenzial für die IT Sicherheit dar. Auch wenn das WLAN in der Kantine häufig noch abgeschottet ist und nur zum Surfen verwendet werden kann, sind andere ungeschützte Bereiche wie beispielsweise die Lobby oder Meetingräume im selben Netzwerk wie die Administratoren. Damit haben Betriebsfremde de fakto Zugriff auf sensible Unternehmensbereiche und Daten, für die sie nur noch die passenden Zugangsdaten brauchen.
Eine Netzwerksegmentierung mindert Risiken
Als Sicherheitsbeauftragter in Ihrem Unternehmen sollten Sie daher darauf achten, dass Sie eine sogenannte Netzwerksegmentierung durchführen. Durch eine Netzwerksegmentierung stellen Sie sicher, dass eine Sicherheitslücke wie etwa ein abgehörtes Benutzerkennwort keinen weiteren Schaden anrichten kann, solange der Angreifer keinen Zugriff auf das exponierte System hat.
Bei einer Netzwerksegmentierung handelt es sich um die Aufteilung von vernetzten Komponenten in verschiedene Subnetze oder auch VLANs. Immer nur die Geräte, welche sich im selben Netzsegment befinden, können miteinander kommunizieren, ohne an speziellen Routern und Firewalls vorbei zu müssen. Wenn über ein Netzsegment hinweg kommuniziert werden soll, entscheidet hingegen wieder die Firewall darüber, ob dies genehm ist oder nicht. Dadurch haben Sie eine bessere Kontrolle darüber, wer mit wem sprechen darf.
Best Practices bei der Netztrennung
Bei der Segmentierung von Netzwerken gibt es einige Best Practices. So sollten etwa Netzwerke, in die sich auch Betriebsfremde einwählen können, komplett von Ihren Unternehmensdaten abgeschottet sein. Sie sollten sich also nicht im selben Netzwerk wie Mitarbeiter, Drucker, Telefone oder Server befinden.
Gewöhnliche Anwender, die beispielsweise ein E-Mail Programm wie Microsoft Outlook verwenden, brauchen keinen administrativen Zugriff auf den dahinter befindlichen Mailserver. Der ist nur Administratoren wie Peter vorbehalten.
Funktionstrennung durch eine Netzwerksegmentierung
Und Peter wiederum administriert auch nicht alle Server des Unternehmens. Peter braucht also lange nicht Zugriff auf alle Server, sondern nur zu denen, die unter seinen Zuständigkeitsbereich fallen. Nur so etablieren Sie eine sauber Funktionstrennung und verhindern, dass Peter seine Allmacht irgendwann zu Kopf steigt.
Auch gibt es durchaus Netzsegmente, in denen sich nur Server oder andere Backend-Komponenten miteinander unterhalten. Wenn etwa ein Shopsystem mit der darunterliegenden Datenbank kommuniziert, um sich Produktdaten und Preise abzuholen, hat niemand sonst etwas in diesem Segment zu suchen.
Sie können also durch eine ordentliche Netzwerksegmentierung auch eine Funktionstrennung einführen: Damit Peter den Online-Shop administrieren kann, erstellen Sie ein Netzsegment, in welchem sich Peter’s Admin-PC sowie der Shop-Server befindet.
Für die Kommunikation mit der Datenbank packen Sie den Online-Shop und die Datenbank in ein zweites Netzsegment, und damit der Online-Shop von Besuchern aus dem Internet genutzt werden kann, kommt noch eine dritte Zone hinzu.
Am Ende entscheidet dann die Firewall, wer mit wem über welches Protokoll sprechen darf. So darf sich Peter etwa per SSH auf den Shop schalten, während dieser sich über ODBC mit der Datenbank unterhalten kann. Die Besucher aus dem Internet hingegen haben einzig und allein per HTTPS Zugriff auf den Shop.
Testumgebungen von der Produktivumgebung trennen
Auch sollten Sie Testumgebungen von Produktivumgebungen trennen. Denn auf Testsystemen werden häufig Sachen ausprobiert und Performancetests gefahren. Wenn dabei etwas schief geht und beispielsweise eine Sicherheitslücke eingeführt oder aus Versehen das “falsche” System getestet wird, legen ihre Tester ganz schnell das Produktivsystem lahm.
Netzwerke nach Geräteart trennen
Eine weitere Option, Netzwerke zu trennen, ist nach der Geräteart. Warum sollten beispielsweise IP-Telefone im selben Netzwerk sein wie ein Drucker? Durch eine saubere Netzwerksegmentierung verhindern Sie somit, dass jemand ein IP-Telefon in einem Meeting-Raum hackt und über eine zweite Schwachstelle Druckeraufträge abfängt und auf einen USB-Stick speichert.
Die wichtigste Trennung: Demilitarisierte Zone
Die wohl wichtigste Trennung in Ihrem Netzwerk geschieht zwischen Ihrem internen Unternehmensnetzwerk und der Außenwelt: Als Puffer zwischen Ihrem internen Netzwerk und dem öffentlichen Internet sollten Sie eine sogenannte DMZ einrichten. DMZ steht für “Demilitarisierte Zone” und ist ein Netzwerksegment, welches über Router sowohl mit Ihrem internen Unternehmensnetzwerk als auch mit dem öffentlichen Internet verbunden ist. Server, welche Daten in das öffentliche Internet exponieren oder aus diesem abrufen, gehören hier hin. Typische Beispiele sind beispielsweise Webserver mit dem öffentlichen Internetauftritt Ihres Unternehmens, öffentlich erreichbare Mailserver oder ein Proxyserver für den Internetzugang der Mitarbeiter.
Durch die demilitarisierte Zone stellen Sie sicher, dass ein potenzieller Angreifer beim Kapern eines Ihrer Server sich nicht gleich im internen Netzwerk befindet und mit den wirklich sensiblen Systemen Ihres Unternehmens kommunizieren kann. Denn es stellt noch einmal eine zusätzliche Hürde für einen Angreifer dar, aus der demilitarisierten Zone auszubrechen und in das interne Netzwerk einzudringen.
Mit diesen Best Practices haben Sie nun die Kommunikationsregeln der einzelnen Geräte in Ordnung gebracht und somit eine solide Verteidigungsmauer gegenüber Angreifern etabliert.
Netztrennung ist kein Allheilmittel
Eins sollte Ihnen aber bewusst sein: Eine Netzwerksegmentierung ist nur eine weitere Verteidigungslinie n der Stärkung Ihrer technischen IT-Sicherheit. Auch wenn ein Angreifer keinen Netzwerkzugriff auf ein sensibles System hat, sollten Sie dennoch diese Systeme schützen, patchen und härten. Denn wenn eine Ihrer Verteidigungslinien einmal bricht, weil beispielsweise eine Firewall umgangen werden kann, müssen die dahinter geschalteten Fangnetze diese Schwachstelle auffangen können.
Kombinieren Sie also eine Netzwerksegmentierung immer zumindest mit regelmäßigen Systemupdates, schwer zu erratenden Zugangsdaten sowie mit Systemen zur Erkennung von Angriffen.
Handeln Sie jetzt
Nun ist es an Ihnen. Schaffen Sie heute eine solide Grundlage für die Absicherung Ihrer Kronjuwelen und Daten, indem Sie sensible Netzbereiche von öffentlichen Segmenten trennen. Eine Netzwerksegmentierung ist der erste Schritt für mehr IT-Sicherheit in Ihrem Unternehmen und kann häufig auf Basis bereits existierender Firewallsysteme in Ihrem Unternehmen umgesetzt werden. Als erfahrener Partner bieten wir langjährige Expertise bei der Konzeptionierung von Netzwerktopologien und der Firewallkonfiguration und verhelfen Ihnen zu einer sicheren Infrastruktur in Ihrem Unternehmen.
Nicht nur für Ihr gutes Gewissen lohnt sich eine Investition in die Segmentierung Ihrer Netze: Denn auch gängige Industrienormen für IT Sicherheit, wie etwa die ISO 27001, fordern eine Trennung der Netze. Sie verhelfen sich mit diesem Schritt also nicht nur zu einer soliden IT Sicherheit, sondern können damit nach außen auch das Vertrauen Ihrer Kunden stärken.
Netzwerksegmentierung verstehen und lernen in unserem Praxis-Workshop