Netzwerksegmentierung

Netzwerksegmentierung -

Beschreibung

Netzwerksegmentierung mindert Risiken

Sicherheitsbeauftragte achten darauf, dass eine Netzwerksegmentierung durchgeführt wird
Netzwerksegmentierung stellt sicher, dass eine Sicherheitslücke, wie abgehörtes Benutzerkennwort, keinen weiteren Schaden anrichten kann, solange der Angreifer keinen Zugriff auf das exponierte System hat.

Bei einer Netzwerksegmentierung handelt es sich um die Aufteilung von vernetzten Komponenten

Subnetze
VLANs

Nur Geräte, die sich im selben Netzsegment befinden, können miteinander kommunizieren, ohne an speziellen Routern und Firewalls vorbeizumüssen.

Wenn über ein Netzsegment hinweg kommuniziert werden soll, entscheidet hingegen wieder die Firewall darüber, ob dies genehm ist oder nicht.
Dadurch haben Sie eine bessere Kontrolle darüber, wer mit wem sprechen darf.

Instrument in der IT-Sicherheit

Nachdem wir im ersten Teil die Basics der Netzwerksegmentierung erläutert haben
möchten wir im zweiten Teil mehr in die technische Tiefe gehen

BSI Grundschutz

NET.1.1: Netzarchitektur und -design; „Um ein hohes Sicherheitsniveau zu gewährleisten, sind zusätzliche sicherheitsrelevante Aspekte zu berücksichtigen. Beispiele hierfür sind eine sichere Trennung verschiedener Mandanten und Gerätegruppen auf Netzebene und die Kontrolle ihrer Kommunikation durch Firewall-Techniken. Ein weiteres wichtiges Sicherheitselement, speziell im Client-Bereich, ist außerdem die Netzzugangskontrolle.“

Details

Das BSI fordert darin pauschal die strikte Trennung von Clients und Servern

siehe Anforderung NET.1.1.A5

Client-Server-Segmentierung: „Clients und Server müssen in unterschiedlichen Sicherheitssegmenten platziert werden.

Die Kommunikation zwischen diesen Segmenten muss mindestens durch eine Firewall kontrolliert werden.“

Außerdem wird eine bedarfsorientierte weitere Unterteilung des Netzes in Sicherheitssegmente empfohlen, die sich am Schutzbedarf der IT-Systeme orientiert.

stellt die Segmentierung schematisch dar

Datei:Bild1.png

Das Ergebnis ist eine Separierung unterschiedlicher Gruppen im Netz mit den Mitteln von beispielsweise VLANs

Die Übergänge zwischen den so geschaffenen Segmenten (Sicherheitszonen) werden meist durch Firewalls gebildet, die den ein- und ausgehenden Verkehr kontrollieren können.

Netzwerksegmentierung

Türen und Wände

Bei der Segmentierung werden dem Unternehmensnetzwerk sprichwörtlich Türen und Wände eingebaut

Aus technischer Sicht wird das gesamte Netzwerk in einzelne Netzwerksegmente, also IP-Subnetze, unterteilt.
Technisch und auch organisatorisch bedingt kann dies eine große Zahl Segmente ergeben, jedoch ist nicht für jedes einzeln eine Schutzbedarfs-Abklärung nötig.
Kriterien können etwa sein, ob die enthaltenen Systeme unmittelbar mit dem Internet verbunden sind, ob die Geräte direkt im Benutzerzugriff stehen oder ob im Segment sogar unkontrollierbare Fremdgeräte platziert werden können.

Netzwerkzonen

In welche Netzwerkzonen kann man pauschal segmentieren?

Trusted Zonen

Sind Zonen, in welchen ausschließlich verwaltete Geräte mit bekannter Konfiguration und bekanntem Gesundheitszustand zu finden sind.

Ein Beispiel wäre ein gut geschütztes Client-Netz
In unserer Grafik in Magenta dargestellt
Jener Zonentyp garantiert implizit, dass keine Gefahr für die Nutzer der Zone durch Fremdgeräte herrscht.
Für Netzwerksegmente, welche Server/Services beinhalten, ist dies leicht zu garantieren.
Die einzige Schnittstelle ist der Zonenübergang an der Firewall.
Alle Systeme darin werden von Administratoren bereitgestellt und betrieben.
Eine Herausforderung hingegen sind die Clientnetzwerksegmente.
Einerseits sitzen hinter den Clients Benutzer, welche bei unzureichender Schutzkonfiguration aus Unwissenheit oder Absicht Unfug mit ihren Endgeräten betreiben können.
Andererseits sind Netzwerkports und WLAN-Zugänge häufig Dritten (Kunden, Passanten, Lieferanten) oder sogar der Öffentlichkeit zugänglich.
Für vertrauenswürdige Zonen gilt deshalb: Nebst einem durchdachten Firewall-Regelset ist auch der Zugriff auf das Netzwerk durch eine «Network Access Control»-Lösung (NAC-Lösung) zu implementieren.
Damit sind die Übergänge geschützt.
Diese sogenannten Endpoint-Clients sind nochmals durch eine Endpoint Security abgesichert. (Siehe hier), welche die Zweckentfremdung der Endgeräte weitgehend unmöglich macht.

DMZ-Zonen

Sind Zonen, welche den Austausch mit dem Internet in kontrollierter Art und Weise ermöglichen, um Dienste wie E-Mail, Webzugang, Authentisierung (Federation), etc. bereitzustellen

Jene Zonen exponieren sich im Internet
Dabei sollte darauf geachtet werden, dass die Systeme darin weitest möglich auf Netzwerkebene geschützt sind, sprich, die Systeme stehen hinter einer Perimeter-Firewall (externe Firewall), welche den Zugriff nur auf den nötigsten IPs und Ports erlaubt.
Ein häufiges Missverständnis sei noch erwähnt: DMZs erlauben zwar den Zugriff aus dem Internet, jedoch ist zu keiner Zeit ein Zugriff direkt auf dem Medium (Einstecken eines Endgeräts) zu erlauben.
Netzwerktechnisch handelt es sich um besonders gekapselte Zonen, in welchen keine Benutzerendgeräte anzutreffen sind.
Die im besteht lediglich auf Netzwerkebene und durch eine Firewall.

Management-Zonen

Sie beinhalten ausschließlich Systeme, welche zur Bereitstellung und Verwaltung der IT-Infrastruktur dienen und werden nur von privilegierten Administratoren genutzt.

Die Systeme darin sollten stets als äußerst sensitiv betrachtet werden, da mit ihnen die Steuerung der IT-Infrastruktur möglich ist.
Als Grundregel beim Erstellen der Zonenmatrix und beim Implementieren der Firewall-Regeln gilt: Aus Management-Zonen darf in verschiedene Zonen zugegriffen werden (Source), jedoch sind Zugriffe in Management-Zonen (Destination) weitestgehend zu vermeiden.
Medienzugriff aus dem Access-Bereich ist strikt untersagt.

Wichtig ist, dass alle Systeme innerhalb der Zone ähnliche Anforderungen an den Schutzbedarf stellen.

Gradmesser und Taktgeber ist jenes System, welches die höchsten Anforderungen stellt.

Mikrosegmentierung

Das leuchtet Paul ein und fragt wie die Kommunikation innerhalb der groben Segmente gesichert wird ?

Aus der Erfahrung heraus wird die Kommunikation auf Ebene des Netzes oft nicht weiter eingeschränkt und genau hier liegt ein interessantes Problem.

Nehmen wir das oben skizzierte Beispiel einer strikten Client- und Serversegmentierung.

Die Server sind so vor unberechtigten Zugriffen von Clients in einem gewissen Rahmen geschützt.
Nehmen wir außerdem an, dass die Server, die besonders kritische Daten verarbeiten, in einem zusätzlichen eigenen Sicherheitssegment für den hohen Schutzbedarf abgetrennt werden.
Auf den ersten Blick scheint dies eine passable Lösung zu sein, die einmal aufgebaut wird und dann ein solides Sicherheitsniveau liefern kann.

Datei:Bild2.png

Leider gibt es da noch die ausgesprochen dynamische Welt der Schwachstellen.

Es kann nämlich durchaus sein, dass (vielleicht sogar von den Servern mit hohem Schutzbedarf) gewisse Server als unsicher zu werten sind, da z. B.
die Betriebssysteme auf Grund der laufenden Anwendungen nicht geregelt (oder gar nicht) gepatcht werden dürfen oder die Anwendungen selbst Schwachstellen aufweisen, die auf absehbare Zeit nicht beseitigt werden können.
Diese Server stellen dann natürlich grundsätzlich eine Bedrohung dar.

Schwachstellen könnten von einem Angreifer ausgenutzt werden, um die betroffenen Systeme zu kompromittieren und Daten zu entwenden bzw.

zu manipulieren oder von dieser Angriffsbasis aus die anderen Server unter Beschuss zu nehmen.

Endgeräte-Segmentierung im internen Netz

Das BSI IT-Grundschutz/Kompendium sagt dann auch folgerichtig in Anforderung NET.1.1.A6 Endgeräte-Segmentierung im internen Netz:

„Es dürfen nur Endgeräte in einem Sicherheitssegment positioniert werden, die einem ähnlichen Sicherheitsniveau entsprechen.“

Die Antwort darauf ist klar

Mit den Mitteln der Netzsegmentierung wird weiteres Sicherheitssegment als Käfig aufgebaut, in dem unsichere Systeme (in unserem Beispiel sind es IOT Geräte) gelagert werden

Hier werden beispielsweise alle Sprachassistenten, Live-Kameras, … in separate Netze gepackt
Der Verkehr von und zu dem Käfig kann dann z. B. durch ein besonders strenges Regelwerk und durch Intrusion-Prevention-Techniken genauestens kontrolliert werden

Mit den Mitteln einer Mikrosegmentierung könnte beispielsweise durch den Einsatz der Distributed Firewall ein solcher zielgerichteter Schutz von VMs bedarfsweise geschaffen werden

Diese Lösung ist hier auch deshalb interessant, weil die Distributed Firewall für das Netz transparent ist und das System netztechnisch nicht in ein anderes Sicherheitssegment umgezogen werden müsste

Netzwerksegmentierung aus Sicht der IT-Sicherheit ist ein dynamischer Prozess

In der Praxis zeigt sich immer wieder, dass Netzsegmentierungen auch stets den Umgang mit unsicheren Systemen berücksichtigen müssen und damit nie statischer Natur sind

Ohne ein Konzept für den Aufbau von Giftschränken und den Umgang mit ihnen ist eine Netzsegmentierung nicht besonders sinnvoll
Eine Netzsegmentierung muss also dynamisch und schnell genug auf neue Schwachstellen in den Systemen reagieren und flexibel einen zusätzlichen Schutz für betroffene Systeme schaffen können
Wenn dieser Schutz nicht mehr benötigt wird (weil vielleicht ein Patch die Schwachstellen beseitigt hat) muss er außerdem genauso flexibel wieder entfernt werden können
Der Schutz muss also hier möglichst nah an den betroffenen Endgeräten liegen und für Layer 3 transparent sein
Eine traditionelle Netzsegmentierung auf Basis von VLANs kann dies nicht leisten und SDN-basierte Lösungen werden vermehrt diese Lücke schließen

Anwendungen

Bei der Segmentierung von Netzwerken gibt es einige Best Practices

So sollten etwa Netzwerke, in die sich auch Betriebsfremde einwählen können, komplett von Ihren Unternehmensdaten abgeschottet sein.
Sie sollten sich also nicht im selben Netzwerk wie Mitarbeiter, Drucker, Telefone oder Server befinden.

Gewöhnliche Anwender, die beispielsweise ein E-Mail Programm wie Microsoft Outlook verwenden, brauchen keinen administrativen Zugriff auf den dahinter befindlichen Mailserver.

Der ist nur Administratoren wie Peter vorbehalten.

Funktionstrennung durch eine Netzwerksegmentierung

Und Peter wiederum administriert auch nicht alle Server des Unternehmens.

Peter braucht also lange nicht Zugriff auf alle Server, sondern nur zu denen, die unter seinen Zuständigkeitsbereich fallen.
Nur so etablieren Sie eine sauber Funktionstrennung und verhindern, dass Peter seine Allmacht irgendwann zu Kopf steigt.

Auch gibt es durchaus Netzsegmente, in denen sich nur Server oder andere Backend-Komponenten miteinander unterhalten.

Wenn etwa ein Shopsystem mit der darunterliegenden Datenbank kommuniziert, um sich Produktdaten und Preise abzuholen, hat niemand sonst etwas in diesem Segment zu suchen.

Sie können also durch eine ordentliche Netzwerksegmentierung auch eine Funktionstrennung einführen: Damit Peter den Online-Shop administrieren kann, erstellen Sie ein Netzsegment, in welchem sich Peter’s Admin-PC sowie der Shop-Server befindet.

Für die Kommunikation mit der Datenbank packen Sie den Online-Shop und die Datenbank in ein zweites Netzsegment, und damit der Online-Shop von Besuchern aus dem Internet genutzt werden kann, kommt noch eine dritte Zone hinzu.

Am Ende entscheidet dann die Firewall, wer mit wem über welches Protokoll sprechen darf.

So darf sich Peter etwa per SSH auf den Shop schalten, während dieser sich über ODBC mit der Datenbank unterhalten kann.
Die Besucher aus dem Internet hingegen haben einzig und allein per HTTPS Zugriff auf den Shop.

Testumgebungen von der Produktivumgebung trennen

Auch sollten Sie Testumgebungen von Produktivumgebungen trennen.

Denn auf Testsystemen werden häufig Sachen ausprobiert und Performancetests gefahren.
Wenn dabei etwas schief geht und beispielsweise eine Sicherheitslücke eingeführt oder aus Versehen das “falsche” System getestet wird, legen ihre Tester ganz schnell das Produktivsystem lahm.

Netzwerke nach Geräteart trennen

Eine weitere Option, Netzwerke zu trennen, ist nach der Geräteart.

Warum sollten beispielsweise IP-Telefone im selben Netzwerk sein wie ein Drucker? Durch eine saubere Netzwerksegmentierung verhindern Sie somit, dass jemand ein IP-Telefon in einem Meeting-Raum hackt und über eine zweite Schwachstelle Druckeraufträge abfängt und auf einen USB-Stick speichert.

Die wichtigste Trennung: Demilitarisierte Zone

Die wohl wichtigste Trennung in Ihrem Netzwerk geschieht zwischen Ihrem internen Unternehmensnetzwerk und der Außenwelt: Als Puffer zwischen Ihrem internen Netzwerk und dem öffentlichen Internet sollten Sie eine sogenannte DMZ einrichten.

DMZ steht für “Demilitarisierte Zone” und ist ein Netzwerksegment, welches über Router sowohl mit Ihrem internen Unternehmensnetzwerk als auch mit dem öffentlichen Internet verbunden ist.
Server, welche Daten in das öffentliche Internet exponieren oder aus diesem abrufen, gehören hier hin.
Typische Beispiele sind beispielsweise Webserver mit dem öffentlichen Internetauftritt Ihres Unternehmens, öffentlich erreichbare Mailserver oder ein Proxyserver für den Internetzugang der Mitarbeiter.

Durch die demilitarisierte Zone stellen Sie sicher, dass ein potenzieller Angreifer beim Kapern eines Ihrer Server sich nicht gleich im internen Netzwerk befindet und mit den wirklich sensiblen Systemen Ihres Unternehmens kommunizieren kann.

Denn es stellt noch einmal eine zusätzliche Hürde für einen Angreifer dar, aus der demilitarisierten Zone auszubrechen und in das interne Netzwerk einzudringen.

Mit diesen Best Practices haben Sie nun die Kommunikationsregeln der einzelnen Geräte in Ordnung gebracht und somit eine solide Verteidigungsmauer gegenüber Angreifern etabliert.

Sicherheit

Handlungsbedarf prüfen

Schaffen Sie heute eine solide Grundlage für die Absicherung Ihrer Kronjuwelen und Daten, indem Sie sensible Netzbereiche von öffentlichen Segmenten trennen.
Eine Netzwerksegmentierung ist der erste Schritt für mehr IT-Sicherheit in Ihrem Unternehmen und kann häufig auf Basis bereits existierender Firewall-Systeme in Ihrem Unternehmen umgesetzt werden.

Nicht nur für Ihr gutes Gewissen lohnt sich eine Investition in die Segmentierung Ihrer Netze: Denn auch gängige Industrienormen für IT-Sicherheit, wie etwa die ISO 27001, fordern eine Trennung der Netze

Netztrennung ist kein Allheilmittel

Eins sollte Ihnen aber bewusst sein: Eine Netzwerksegmentierung ist nur eine weitere Verteidigungslinie n der Stärkung Ihrer technischen IT-Sicherheit.

Auch wenn ein Angreifer keinen Netzwerkzugriff auf ein sensibles System hat, sollten Sie dennoch diese Systeme schützen, patchen und härten.
Denn wenn eine Ihrer Verteidigungslinien einmal bricht, weil beispielsweise eine Firewall umgangen werden kann, müssen die dahinter geschalteten Fangnetze diese Schwachstelle auffangen können.

Kombinieren Sie also eine Netzwerksegmentierung immer zumindest mit regelmäßigen Systemupdates, schwer zu erratenden Zugangsdaten sowie mit Systemen zur Erkennung von Angriffen.

Siehe auch

NET.1.1 Netzarchitektur und -design

Dokumentation

RFC

Man-Page

Info-Pages

Links

Projekt

Weblinks