Die Firewall ist eingeschaltet. Und dann?

Die Firewall steht im Serverraum, die Lampe leuchtet gruen, und seit der Inbetriebnahme hat niemand mehr hineingesehen. Das ist keine Nachlaessigkeit, sondern der Normalfall: Ein Geraet, das keine Fehlermeldung produziert, faellt niemandem auf. Nur schuetzt eine Firewall nicht dadurch, dass sie eingeschaltet ist, sondern durch das Regelwerk, das darin hinterlegt ist. Und dieses Regelwerk altert, waehrend der Betrieb sich veraendert. Wer Firewall-Regeln pruefen laesst, findet fast immer Eintraege, die vor Jahren einen Sinn hatten und heute nur noch ein offenes Tor sind.

Was eine Firewall tatsaechlich tut

Eine Firewall ist im Kern eine Liste von Erlaubnissen und Verboten fuer Datenverkehr. Sie steht zwischen Ihrem internen Netz und dem Internet und entscheidet bei jeder Verbindung, ob sie durchgelassen wird. Die Voreinstellung ist bei jedem vernuenftig konfigurierten Geraet: von aussen nach innen ist alles gesperrt, ausser es steht ausdruecklich eine Ausnahme in der Liste. Diese Ausnahmen nennt man Freigaben oder Portfreigaben.

Genau diese Ausnahmen sind der interessante Teil. Jede einzelne davon wurde irgendwann von jemandem angelegt, weil etwas funktionieren musste: eine Kamera, eine Fernwartung, ein Zugriff auf den Server von zuhause. Das Anlegen dauert zwei Minuten. Das Entfernen, wenn die Kamera abgebaut oder der Server ersetzt wird, unterbleibt praktisch immer, weil sich niemand zustaendig fuehlt und weil das Entfernen keine sichtbare Verbesserung bringt.

Warum alte Regeln gefaehrlicher sind als gar keine

Eine Freigabe, die auf ein Geraet zeigt, das es nicht mehr gibt, klingt harmlos. Der Datenverkehr laeuft ins Leere. Das Problem entsteht, wenn die interne IP-Adresse, also die Nummer, unter der ein Geraet im Hausnetz erreichbar ist, spaeter neu vergeben wird. Dann zeigt die alte Freigabe ploetzlich auf den neuen Drucker, das neue Kassensystem oder den neuen Server, und zwar mit einer Berechtigung, die dort niemand haben wollte.

Dazu kommt der zweite Effekt: Was aus dem Internet erreichbar ist, wird auch aus dem Internet gescannt. Automatisierte Suchlaeufe klopfen jede oeffentliche IP-Adresse rund um die Uhr auf offene Zugaenge ab. Ein Geraet, das vor sechs Jahren aktuell war und seither keine Aktualisierung mehr bekommen hat, ist fuer diese Suchlaeufe ein leichtes Ziel. Der Angreifer braucht keine Kenntnis Ihres Betriebs, er braucht nur die Adresse und eine bekannte Schwachstelle.

Was eine Durchsicht typischerweise findet

Wenn wir ein gewachsenes Regelwerk zum ersten Mal durchgehen, wiederholen sich die Funde in bemerkenswerter Regelmaessigkeit. Es sind selten spektakulaere Konfigurationsfehler, sondern fast immer Reste aus dem normalen Betrieb, die einfach liegen geblieben sind. Die folgenden Punkte sehen wir oefter, als uns lieb ist:

• Fernwartungszugaenge fuer Dienstleister, mit denen seit Jahren keine Geschaeftsbeziehung mehr besteht.
• Freigaben fuer Ueberwachungskameras oder Zeiterfassungsgeraete, die laengst durch andere Modelle ersetzt wurden.
• Ein weit geoeffneter Bereich von Ports, den irgendwann jemand angelegt hat, weil eine Anwendung sonst nicht lief, und den danach niemand eingeschraenkt hat.
• VPN-Zugaenge, also verschluesselte Verbindungen ins Firmennetz, die noch auf Namen ehemaliger Mitarbeiter lauten.
• Regeln ohne jede Beschreibung, bei denen niemand im Haus mehr sagen kann, wofuer sie einmal gedacht waren.
• Zugriffe, die auf jede beliebige Quelladresse weltweit erlaubt sind, obwohl sie nur aus einem einzigen Buero gebraucht werden.

Der letzte Punkt ist der haeufigste und zugleich der am leichtesten zu behebende. Sehr viele Freigaben muessen gar nicht der ganzen Welt offenstehen, sondern nur einem bekannten Standort oder einem bekannten Adressbereich. Diese Einschraenkung kostet fuenf Minuten und nimmt automatisierten Suchlaeufen die Angriffsflaeche.

Wie eine Durchsicht praktisch ablaeuft

Die Arbeit besteht aus einem Abgleich zwischen dem, was die Firewall erlaubt, und dem, was der Betrieb tatsaechlich braucht. Man exportiert das Regelwerk, geht jede Zeile durch und stellt zu jeder dieselben drei Fragen: Wozu ist diese Regel da, existiert das Ziel noch, und muss sie so weit offen sein, wie sie ist. Was nicht beantwortet werden kann, wird nicht sofort geloescht, sondern zunaechst deaktiviert und beobachtet.

Dieses Vorgehen ist wichtig, weil in jedem Betrieb Dinge existieren, an die im Gespraech niemand denkt: die Anbindung des Steuerberaters, ein Datenexport an die Zentrale, ein Geraet in der Werkstatt, das einmal im Quartal etwas hochlaedt. Deaktivieren statt loeschen heisst, dass eine Regel innerhalb von Sekunden wieder aktiv ist, falls sich doch jemand meldet. Nach einigen Wochen ohne Beschwerde kann sie endgueltig verschwinden.

• Jede Regel bekommt eine Beschreibung im Klartext, inklusive Datum und Grund der Einrichtung.
• Jede Regel bekommt eine Quelleinschraenkung, wenn nur bestimmte Standorte zugreifen muessen.
• Alte Eintraege werden zuerst deaktiviert und erst nach einer Beobachtungszeit entfernt.
• Die Firmware der Firewall wird auf den aktuellen Stand gebracht, weil auch das Geraet selbst Schwachstellen haben kann.
• Das Ergebnis wird als Liste dokumentiert, damit die naechste Durchsicht nicht wieder bei null anfaengt.

Warum einmal im Jahr die richtige Frequenz ist

Taeglich hineinsehen bringt nichts, weil sich ein Regelwerk nicht taeglich veraendert. Alle fuenf Jahre ist zu selten, weil in fuenf Jahren ein kompletter Geraetepark ausgetauscht wird und der Zusammenhang zwischen Regel und Zweck vollstaendig verloren geht. Ein Jahr ist der Abstand, in dem sich noch jemand erinnert, wofuer eine Freigabe angelegt wurde, und in dem die Menge der Aenderungen ueberschaubar bleibt.

Der Aufwand fuer ein durchschnittliches KMU-Netz liegt bei wenigen Stunden, wenn das Regelwerk gepflegt ist, und bei einem knappen Tag beim ersten Mal. Sinnvoll ist es, die Durchsicht mit einem ohnehin anstehenden Termin zu koppeln, etwa mit dem Firmware-Update oder dem jaehrlichen Blick auf die Netzwerktechnik. Wenn Sie wissen wollen, wie eine solche Durchsicht des Firewall-Regelwerks und der Netzwerksicherheit in Ihrem Haus konkret aussieht, ist das ein Gespraech von einer halben Stunde.

Fazit

Eine Firewall ist kein Geraet, das man aufstellt und danach vergisst, sondern ein Regelwerk, das mit dem Betrieb altert. Die gefaehrlichen Eintraege sind selten die falsch gesetzten, sondern die vergessenen: Freigaben fuer Geraete, die es nicht mehr gibt, und Zugaenge fuer Leute, die nicht mehr im Haus sind. Wer einmal jaehrlich die Firewall-Regeln pruefen laesst und jede Zeile mit einer Begruendung versieht, hat den Grossteil des Risikos ohne zusaetzliche Anschaffung beseitigt. Der Aufwand dafuer ist ueberschaubar und planbar, der Aufwand nach einem Vorfall ist es nicht. Der beste Zeitpunkt fuer die erste Durchsicht ist der, an dem noch niemand nachfragt, warum sie nicht stattgefunden hat.