Moderne Firewall-Systeme. 1. Infotag Andreas Decker, Christian Weber

Transkript

1 Moderne Firewall-Systeme Andreas Decker Christian Weber 1. Infotag 2012 Andreas Decker, Christian Weber

2

3 BSI Standards zur Internet-Sicherheit - ISI Grundlagen BSI verweist auf die Studie Sichere Anbindung von lokalen Netzen an das Internet (ISI LANA) Staatliche Systeme arbeiten streng nach diesen Vorschlägen In heterogenen Netzen der freien Wirtschaft kaum zu 100% Umsetzbar Baukastensystem Verschiedene Varianten entsprechend den eigenen Anforderungen Auszugsweise sehr gute Ansätze Bausteine der Studie sehr gut anwendbar

4 Grundlagen moderner Firewallsysteme Firewall Application Layer Gateway - Firewall Firewalls sind etablierte Technik. Aber was sind gute Application Layer Gateway Produkte?

5 Astaro Security Gateway Produkte / Sophos UTM Hardware Appliance 110/ Einsatzbereich Kleine Netzwerke Mittlere Netzwerke Mittlere Netzwerke Große Netzwerke Große Netzwerke Sehr große Netzwerke Netzwerk Ports & 2 SFP 10 & 4 SFP 10 & 8 SFP Max. empfohlene FW Nutzer Max. empfohlene UTM Nutzer 10/ / Software Appliance Virtual Appliance Läuft auf Intel-kompatiblen PCs und Servern Läuft in jeder VMware-Umgebung

6 Astaro Mail Security Antivirus Zwei unabhängige Virenscanner für SMTP und POP3 Blockieren Malware bevor sie -Server oder Desktops erreichen Datenbank mit mehr als Virus-Signaturen Flexibles Management Blockierung anhand von Dateiformaten, MIME-Type oder einzelner Textstrings s können verworfen, abgelehnt, durchgelassen (mit Warnung), oder in die Quarantäne verschoben werden

7 Astaro Mail Security Antispam Höchste Erkennungsrate durch Kombination verschiedener Methoden: Reputations-basierter Dienst (unabhängig von Format oder Sprache) Realtime Blackhole Lists (RBLs)* Dialup Network Blocking* Greylisting* BATV (Bounce Address Tag Verification)* SPF (Sender Policy Framework)* Filter für reguläre Ausdrücke Empfänger-Verifikation* Reverse-DNS und HELO Syntax Checks * Flexibles Management s können verworfen, abgelehnt, durchgelassen (mit Warnung), oder in die Quarantäne verschoben werden

8 Astaro Mail Security Antiphishing Astaro identifiziert und blockt Phishing- s mit Hilfe verschiedener Techniken: Die Virenscanner identifizieren Phishing-Signaturen Der URL-Filter blockt Phishing-Server der Kategorie Suspicious Heruntergeladene Inhalte werden geblockt, wenn sie bekannten Phishing-Mustern ähneln

9 Astaro Mail Security Verschlüsselung Ver- und Entschlüsselung sowie digitale Signaturen für SMTP- s Vollständig transparent Einfaches Setup Zentrales Management aller Schlüssel und Zertifikate Sogar verschlüsselte SMTP- s können von den Virenscannern überprüft werden

10 Astaro Web Security Spyware-Schutz Blockt (ungewollte) Downloads von Spyware, Adware und anderer Arten von Schad-Software Verhindert das Zurücksenden von vertraulichen Informationen von infizierten Systemen an die Spyware-Server Überprüfung anhand einer Datenbank bekannter Spyware URLs Blockierung von Spyware auf dem Gateway komplettiert Anti-Spyware Desktop Tools

11 Astaro Web Security Web Antivirus/Malware Blockt Viren, Würmer, Trojaner und andere Arten von Malware Scannt HTTP, HTTPS und FTP Datenverkehr Zwei Virenscanner mit unterschiedlichen Erkennungsmethoden Datenbank mit mehr als Virus-Signaturen Flexibles Management

12 Astaro Web Security URL Filter Kontrolliert die Webnutzung von Mitarbeitern anhand von 96 vordefinierten Kategorien Berücksichtigt Reputation einer Website Zusätzliche Whitelists und Blacklists Viele Möglichkeiten der Benutzer-Authentifizierung IP-Adresse, Benutzer- und Gruppen-basiert, Active Directory SSO, edirectory SSO, LDAP, RADIUS/TACACS+ Zeit-basierter Zugang

13 Astaro Web Security Application Control (Next Gen. Firewall) Sehen was passiert in Echtzeit Anwendungen komplett blockieren oder erlauben Datenverkehr priorisieren oder limitieren Überwachen, wie Regeln wirken

14 Astaro Web Application Security

15 Astaro Web Application Security Features der Web Application Security Security Patterns Cookie Signing - Verwirft Cookies, die geändert wurden URL und Formular Härtung Antivirus für Webapplication Down- und Upload z.b. Für Outlook Web Access

16 Cisco ASA 5500-X Plattform

17 Vergleich Cisco ASA 5500 ASA 5500-X

18 Cisco ASA 5500-X

19 Cisco Identity Based Firewall System Cisco ASA Identity Firewall Deployment

20 Microsoft Forefront Threat Management Gateway Basierend auf dem Windows Server 2008 R2 Als Hardware Appliance verfügbar aber auch komplett virtualisierbar! TMG benötigt als reiner Proxy, Reverseproxy oder Firewall keine zusätzliche Userlizenzen

21 Microsoft Forefront Threat Management Gateway Unterschiede TMG und UAG Threat Management Gateway (TMG) Klassische Edge-Security Lösung Firewall, Proxy, Mail-Relay, VPN Unifified Access Gateway (UAG) Basiert auf der Technik des TMG Ori Yosefi, Senior Program Manager, Forefront Threat Management Gateway SSL VPN und Remote Access Lösung Zusätzliche Direct Access Funktionalität

22 Microsoft Forefront Threat Management Gateway TMG Proxy Internet Proxy Authentisierender Proxy für Web Protokolle Web Protection Antivirus und URL Filter Pattern basiertes Network Inspection System Forefront TMG Client Authentisierung und Filter auch für nicht Web Protokolle Ermöglicht Winsock Applikationen transparente Kommunikation Authentisierung für sonst nicht Auth-fähige Protokolle Firewall Mail Relay mit Exchange Edge Rolle

23 Management und Überwachung nur aus der Management Zone?

24 Terminalserver als grafische Firewall Management Zone die grafische Firewall Aufwendiges Setup In virtuellen Umgebungen sehr viele Netzwerkschnittstellen notwendig Erschwerter Fernzugriff Das Prinzip der graphischen Firewall Trennung der Sicherheitszonen und ausschließliche Übertragung der grafischen Oberfläche Einfache und sichere Veröffentlichung durch Remotedesktop Gateway Konsolen-Sitzung in virtuellen Systemen Terminal Server Lösungen für Remotesupport

25 IPv6 Bei Anschaffung von neuen Produkten IPv6 Kompatibilität prüfen Alles Features IPv6 fähig? RIPE 554 Bei der Planung der Firewallumgebung IPv6 Adressierung berücksichtigen Chance auf Grüne Wiese

26 Microsoft Direct Access Direct Access Always on VPN ohne VPN Client Software Tunnel sind bereits während der Startphase des PCs verfügbar Direkte Anmeldung am DC und Anwendung von Computerrichtlinien Verwendet intern IPv6 Setzt zumindest intern eine IPv6 Infrastruktur voraus DNS64 übersetzt IPv4 nach IPv6, ist aber keine Garantie dafür, dass alte Anwendungen funktionieren Derzeit übernimmt das Forefront Unified Access Gateway 2010 (UAG) diese Funktion In Windows Server 2012 wird diese Funktion (wahrscheinlich) integriert sein

27 Mögliches Szenario für mittelgroße Unternehmen mit normalem Schutzbedarf

28 Quellen Zu Guttenberg BSI-Standards zur Internet-Sicherheit (ISi-Reihe) Sichere Anbindung von lokalen Netzen an das Internet (ISi-LANA) Sicherer Fernzugriff auf das interne Netz (ISi-Fern)