Maximieren Sie Ihre Firewall-Geräte: Fortgeschrittene Sicherheitstipps

Jenseits der Standardkonfiguration

Standard-Firewall-Konfigurationen existieren aus gutem Grund: Sie ermöglichen einen schnellen Systemstart mit minimalem Aufwand. Gleichzeitig stellen sie jedoch lediglich eine Basis dar – kein Endziel. Die Standard-Regelsätze, die mit den meisten Firewall-Geräten ausgeliefert werden, sind für eine breite Palette von Umgebungen konzipiert. Sie priorisieren Konnektivität vor Sicherheit und gewähren umfassenden Zugriff, um die Ersteinrichtung zu vereinfachen. Eine unveränderte Beibehaltung dieser Einstellungen führt zu unnötiger Exposition.

Die Wirksamkeit einer Firewall zu maximieren bedeutet, über die Standardeinstellungen hinauszugehen. Es bedeutet, die spezifischen Datenverkehrsmuster des zu schützenden Netzwerks zu verstehen und die Regeln entsprechend anzupassen. Es bedeutet, das Prinzip der geringsten Berechtigung nicht nur theoretisch, sondern praktisch anzuwenden – also ausschließlich das zuzulassen, was ausdrücklich erforderlich ist, und alles andere zu verweigern. Der dafür erforderliche Aufwand ist gering im Vergleich zum erzielten Sicherheitsgewinn.

Regelsatz-Hygiene: Beseitigen Sie angesammelten Ballast

Firewall-Regelsätze wachsen im Laufe der Zeit meist organisch. Eine vorübergehende Regel für einen Besuch eines Anbieters wird dauerhaft. Eine Testregel für eine neue Anwendung bleibt lange nach dem Livegang der Anwendung bestehen. Ausnahmen häufen sich – jede einzelne erhöht die Komplexität und birgt potenzielle Sicherheitsrisiken. Das Ergebnis ist ein Regelsatz, den niemand vollständig versteht und der weit mehr Zulassungen enthält, als tatsächlich erforderlich sind.

Regelmäßige Überprüfungen der Regelwerke beheben dieses Problem. Der Prozess ist unkompliziert: Exportieren Sie den aktuellen Regelbestand, dokumentieren Sie, was jede Regel tatsächlich bewirkt, prüfen Sie, ob jede Regel noch erforderlich ist, und entfernen oder verschärfen Sie alle nicht mehr benötigten Regeln. Die erste Überprüfung führt oft zu der größten Reduktion – viele Organisationen stellen fest, dass 20–30 % ihrer Regeln eliminiert oder zusammengefasst werden können. Folgende Überprüfungen entdecken kleinere, sich ansammelnde Regelbestände, bevor sie umfangreich werden.

Protokollierung: Das untergenutzte Diagnosewerkzeug

Firewall-Protokolle enthalten eine Fülle an Informationen, die in vielen Installationen ungenutzt bleiben. Jede zugelassene Verbindung, jeder blockierte Versuch und jeder Regel-Treffer erzeugt einen Protokolleintrag. Diese Protokolle dokumentieren normale Datenverkehrsmuster, enthüllen ungewöhnliche Aktivitäten und liefern Beweise, wenn etwas schiefgeht. Dennoch behandeln viele Organisationen die Protokollierung eher als eine Compliance-Pflicht denn als ein operatives Werkzeug.

Eine effektive Protokollverwaltung beginnt mit dem Verständnis dessen, was protokolliert wird. Nicht jedes Ereignis benötigt denselben Detaillierungsgrad. Die Protokollierung jeder zugelassenen Verbindung in einer Umgebung mit hohem Datenverkehr verursacht Speicherprobleme. Die Protokollierung ausschließlich blockierter Verbindungen und ungewöhnlicher Ereignisse liefert handlungsrelevante Erkenntnisse ohne unnötigen Aufwand. Der Schlüssel liegt in der angemessenen Konfiguration der Protokollebenen – detailliert genug, um nützlich zu sein, aber selektiv genug, um überschaubar zu bleiben. Regelmäßige Protokollüberprüfungen – selbst kurze – entdecken Probleme, die automatisierte Warnungen möglicherweise übersehen.

Inspektion industrieller Protokolle: Jenseits portbasierter Regeln

Standard-Firewall-Regeln, die sich auf Portnummern stützen, bieten für industrielle Netzwerke keinen ausreichenden Schutz. Ein Angreifer kann schadhafte Modbus-Befehle über Port 502 – den Standard-Modbus-Port – senden, und eine portbasierte Regel lässt sie problemlos durch. Die Firewall erkennt den korrekten Port und erlaubt den Datenverkehr, ohne den Inhalt zu prüfen.

Industrielle Firewall-Geräte mit protokollbewusster Inspektion analysieren den Inhalt industrieller Protokollnachrichten. Sie verstehen die Struktur von Modbus-Anfragen, den Befehlssatz von Profinet sowie das Datenformat von EtherNet/IP. Dieses Verständnis ermöglicht es ihnen, Anomalien zu erkennen – etwa einen Modbus-Schreibbefehl an ein schreibgeschütztes Register, eine Folge von Befehlen, die nicht den üblichen Betriebsmustern entspricht, oder eine Nachricht, die vernünftige Größenbegrenzungen überschreitet. Solche Anomalien deuten häufig entweder auf eine Fehlkonfiguration oder auf einen aktiven Angriff hin. Protokollbewusste Inspektion erfasst beides.

Der IEC-62443-Standard verlangt ausdrücklich diese Art der eingeschränkten Datenflusssteuerung zwischen Zonen. Regeln, die auf Ports basieren, erfüllen die Anforderungen des Standards nicht. Eine protokollbewusste Inspektion tut dies jedoch. Organisationen, die gesetzlichen oder regulatorischen Compliance-Anforderungen unterliegen, müssen sicherstellen, dass ihre Firewall-Geräte diese Funktion unterstützen und ordnungsgemäß konfiguriert sind.

Redundanz und Failover: Planung für das Unvermeidliche

Firewall-Geräte fallen irgendwann aus. Stromversorgungen verschlechtern sich. Firmware-Updates schlagen fehl. Konfigurationsfehler sperren Administratoren aus. Die Frage lautet nicht, ob ein Ausfall eintreten wird – sondern ob das Netzwerk weiterhin geschützt bleibt, wenn er eintritt.

Konfigurationen mit hoher Verfügbarkeit begegnen diesem Problem, indem Firewall-Geräte in aktive-passive oder aktive-aktive Setups gepaart werden. Bei einer aktiven-passiven Konfiguration verarbeitet ein Gerät den gesamten Datenverkehr, während das zweite Gerät bereitsteht. Falls das aktive Gerät ausfällt, übernimmt das passive Gerät nahezu unterbrechungsfrei die Aufgabe. Bei aktiven-aktiven Konfigurationen wird der Datenverkehr auf beide Geräte verteilt, wodurch sowohl Lastverteilung als auch Redundanz gewährleistet sind.

Der Konfigurationsaufwand ist erheblich. Status-Tabellen müssen zwischen den Geräten synchronisiert werden, damit aktive Verbindungen einen Failover-Vorgang überstehen. Das Routing muss die Änderung des aktiven Geräts berücksichtigen. Tests müssen bestätigen, dass der Failover wie erwartet funktioniert. Doch dieser Aufwand lohnt sich, wenn um 2 Uhr morgens eine Stromversorgung ausfällt und die Produktion nahtlos weiterläuft.

Ein Praxisbeispiel: Richtige Remote-Zugriffslösung

Ein Wasserversorgungsunternehmen, das ein mittelgroßes Ballungsgebiet versorgt, benötigte einen Fernzugriff für Gerätehersteller und Wartungsunternehmen. Die ursprüngliche Lösung nutzte ein VPN-Gerät mit weit gefassten Zugriffsregeln – jeder authentifizierte Benutzer konnte auf jedes Gerät im OT-Netzwerk zugreifen. Diese Konstellation funktionierte, schuf jedoch erhebliches Risiko: Ein kompromittierter Account eines Herstellers hätte Zugriff auf das gesamte Leitsystem ermöglicht.

Das Unternehmen gestaltete die Architektur für den Fernzugriff neu und setzte Firewall-Geräte mit feingranularen Zugriffskontrollen ein. Jeder Hersteller erhielt Zugriff ausschließlich auf die spezifischen Systeme, die er unterstützen musste. Wartungsunternehmen konnten nur die Geräte an den Standorten erreichen, die sie betreuten. Die Firewall erzwang diese Beschränkungen auf Netzwerkebene und ergänzte die Authentifizierung des VPNs durch Autorisierungsregeln, die definierten, was authentifizierte Benutzer tatsächlich tun durften. Die neue Konstellation reduzierte die Angriffsfläche erheblich, ohne legitimen Nutzern zusätzliche Komplexität aufzuerlegen.

Überwachung und Alarmierung, die wirklich hilft

Firewall-Geräte generieren Alarmsignale aus einem Grund – um auf Ereignisse hinzuweisen, die einer Untersuchung bedürfen. Doch Alarmermüdung ist real. Zu viele Alarme, insbesondere von geringer Qualität, führen zu ignorierten Benachrichtigungen und übersehenen Vorfällen. Eine wirksame Alarmierung erfordert Feinabstimmung: Reduzierung falsch-positiver Meldungen, Priorisierung kritischer Ereignisse und Gewährleistung, dass Alarme die richtigen Personen erreichen.

Beginnen Sie damit, Alarme nach Schweregrad zu kategorisieren. Konfigurationsänderungen, administrative Anmeldungen und kritische Ausfälle erfordern unverzügliche Aufmerksamkeit. Wiederholte fehlgeschlagene Anmeldungen von externen Adressen rechtfertigen eine Untersuchung, erfordern aber möglicherweise keine Alarmierung um 2 Uhr morgens. Datenverkehrsspitzen zu ungewöhnlichen Zieladressen liegen irgendwo dazwischen. Die Kategorisierung sollte die Risikotoleranz und betrieblichen Einschränkungen der Organisation widerspiegeln. Ein rund-um-die-Uhr laufender Fertigungsbetrieb hat andere Alarmierungsanforderungen als ein Büro-Netzwerk, das nur tagsüber genutzt wird.

Regelmäßige Sitzungen zur Überprüfung von Warnmeldungen – wöchentlich oder monatlich durchgeführt – decken Muster auf, die einzelne Warnmeldungen nicht offenbaren. Eine Reihe von Warnmeldungen mit geringer Schweregradstufe aus verschiedenen Quellen kann gemeinsam auf einen koordinierten Angriff hindeuten. Der Überprüfungsprozess liefert zudem Feedback für die Feinabstimmung: Warnmeldungen, die sich wiederholt als irrelevant erweisen, können unterdrückt oder neu konfiguriert werden.