Die QSC AG bietet Unternehmen und professionellen Anwendern mit dem Produkt eine netzbasierte Firewall-Lösung, die eine funktionale Erweiterung zu Q-DSL -Internetzugängen darstellt. Mit wird die Internetanbindung eines bestehenden Q-DSL -Kunden nach dem jeweiligen Stand der Technik gegen Angriffe abgesichert. Da netzbasiert im QSC-Backbone implementiert ist, ist keine weitere Hardware-Installation auf Kundenseite nötig. Die Bestellung und Aktivierung des Produktes erfolgt online durch den Kunden über die QSC-Benutzerkonsole myqsc oder via Formular. Der Kunde kann zwischen mehreren Firewall-Profilen wählen und jeweils genau eines dieser Firewall-Profile aktivieren bzw. deaktivieren. Diese Firewall-Profile werden hierfür von der QSC AG fest vordefiniert und regelmäßig überprüft. Zusätzlich kann der Kunde die Profile durch von QSC definierte Regeln ergänzen. Dem Kunden wird ein Funktionstest und ein Reporting zur Verfügung gestellt. Um diese Leistungsbeschreibungen vollständig verstehen zu können, sind fundierte Kenntnisse der Informations- und Telekommunikationstechnik erforderlich! Für Erläuterungen steht das Kundenmanagement der QSC gern zur Verfügung. Für die Administration der Firewall sind Netzwerkgrundkenntnisse erforderlich. 1 Produktdefinition SICHERHEITSMECHANISMEN BEI : Die QSC AG setzt im Produkt unterschiedliche Mechanismen zur Absicherung des Kundennetzwerkes ein. Neben den in den Q-DSL -Internetzugängen schon implementierten Features Network Adress Translation (NAT) und ATM-Tunneling werden nachfolgend beschriebene Firewall-Mechanismen eingesetzt: State-aware-Packetfiltering: Filterung des IP-Datenverkehrs vor der Weitergabe in Richtung Internet bzw. in Richtung des Kundennetzwerkes. Hierbei werden neben der Absender-/ Empfängeradresse, dem Dienst und der genutzten Port-Nummer auch der Zustand der aktuellen IP-Verbindung sowie weitere Dienstinformationen ausgewertet. Antispoofing: Schutzmaßnahme gegen Angriffe, die auf der Fälschung von IP-Adressen basieren. Denial-of-Service-Schutz: Schutzmaßnahmen gegen bekannte Denial-of-Service- (DoS-) Attacken. AUSWAHLMÖGLICHKEITEN DES FIREWALL-PROFILS Die QSC AG definiert eine Anzahl entsprechender Firewall-Profile, die auf bestimmte Nutzergruppen bzw. auf ein bestimmtes Nutzungsverhalten zugeschnitten sind und aus denen der Kunde das für ihn geeignete Firewall-Profil auswählen kann. Die verschiedenen Security-Profile bauen aufeinander auf, so enthält z.b. ein Profil mit Streaming-Diensten auch das Web-Profil. Die Sicherheit der Firewall-Profile vermindert sich, je mehr Dienste freigeschaltet sind. Web-Profil (Freischaltung der Internet-Basisdienste) Streaming-Profil (zusätzliche Freischaltung gebräuchlicher Media- und Streaming-Dienste) Remote-Profil (zusätzliche Freischaltung typischer Fernwartungsprotokolle) One-Way-Profil (Freischaltung aller ausgehenden Dienste, nur Inbound-Filterung) LB-QSC-Firewall-2-0807.doc Seite 1/5
Die QSC AG passt die Anzahl bzw. die Inhalte der vordefinierten Firewall-Profile entsprechend den aktuellen Kundenanforderungen an. Veränderungen an bestehenden Firewall-Profilen werden dem - Kunden vorab mitgeteilt. Die zur Verfügung stehenden Firewall-Profile können detailliert beschrieben über die QSC-Benutzerkonsole myqsc und im Internetauftritt der QSC AG eingesehen werden. Folgende Merkmale gelten uneingeschränkt für alle Firewall-Profile: Alle beschriebenen Firewall-Profile sind generell Outbound-Profile (d. h. vom Kunden ins Internet wirksam). Sämtliche Verbindungen werden statusabhängig behandelt. Notwendige Netzwerkkontrollprotokolle (ICMP-Ping) sind vom Kunden ins Internet freigeschaltet. Management-Verkehr (ping, telnet, tftp, snmp) vom QSC-Backbone zum Q-DSL -Router des Kunden ist zugelassen. Vom Internet eingehende Authentifizierungsanfragen (Ident, TCP-Port 113) werden zurückgewiesen (standardmäßig werden ungültige Datenpakete verworfen). Individuelle Regeln: Zusätzlich zu den Firewall-Profilen hat der Kunde die Möglichkeit, individuelle Regeln für den Inbound-Traffic zu aktivieren. QSC bietet Dienste wie z. B. eigene Server (Webserver, E-Mailserver, etc.) für Zugriffe vom Internet auf das Kunden-Netzwerk an. Die Definition der Regeln erfolgt auf Basis der jeweils zur Verfügung stehenden IP- Adressen. Auf der Dienste-Ebene kann die Freischaltung vordefinierter Dienste erfolgen. Es sind folgende Optionen möglich: Auswahl eines Dienstes (Webserver, E-Mailserver, etc.). Die entsprechenden Ports werden automatisiert zugeordnet. Auswahl einer zugewiesener IP-Adresse. Die QSC AG erweitert die Anzahl bzw. die Inhalte der zur Auswahl stehenden Dienste entsprechend den aktuellen Kundenanforderungen. Die zur Verfügung stehenden Dienste können über die QSC- Benutzerkonsole myqsc eingesehen werden. Abhängig von der Komplexität des vom Kunden gewählten Profils, ist die Anzahl der individuellen Regeln begrenzt. Der Kunde wird über die Anzahl der zur Verfügung stehende Regeln durch die Webschnittstelle in Echtzeit informiert. Wichtig: Die individuellen Regeln ergänzen die Regeln des ausgewählten Firewallprofils. Aktivierung von Firewall-Änderungen: Sowohl eine Firewallprofil-Änderung als auch eine individuelle Regeländerung wird erst nach einer kurzen Trennung der Verbindung aktiv. LB-QSC-Firewall-2-0807.doc Seite 2/5
Der Kunde kann die Verbindung direkt nach einer Regeländerung oder innerhalb der nächsten 24 Stunden trennen, um keine Geschäftsprozesse zu beeinträchtigen. Der Zeitpunkt kann in fest definierten Schritten ausgewählt werden. Funktionsprüfung: Die QSC AG bietet dem Kunden eine Funktionsprüfung. Der Funktionstest wird in Form eines Portscans dürchgeführt. Die Funktionsprüfung wird nach der Aktivierung des aktuellen Regelsatzes durchgeführt und dem Kunden via E-Mail zur Verfügung gestellt. Reporting bietet ein detailliertes Reporting. Es werden folgende Kennwerte angezeigt: 1. Volumen Informationen über das gesamte Daten-Volumen, das die Firewall passiert hat. 1.1. Tabelle: Übertragenes Volumen gesamt Das Volumen aufgeteilt nach Up-, Downstream- und Gesamt-Volumen (Summen und Anteile). 1.2. Grafik: Übertragenes Volumen nach Tageszeit Für jede Stunde des Tages das übertragene Volumen aufgeteilt nach Up- und Downstream. 1.3. Tabelle: Übertragendes Volumen nach Tageszeit Die Information aus der Grafik 1.2. als Tabelle beinhaltet für jede Stunde des Tages das übertragene Volumen (Summe und Anteile), ebenfalls nach Up- und Downstream aufgeteilt. 2. Protokolle Das übertragende Volumen in Abhängigkeit der dabei verwendeten Ports, bzw. Protokolle. Diese Informationen erlauben Rückschluss auf die verwendeten Dienste. 2.1. Grafik: Übertragungsvolumen nach Protokoll Monatsübersicht mit den Werten der einzelnen Tage. Die drei am häufigsten verwendeten Protokolle werden einzeln, farblich herausgestellt. LB-QSC-Firewall-2-0807.doc Seite 3/5
2.2. Tabelle: Die Zehn am häufigsten verwendeten Protokolle Die Summen und Anteile der zehn Ports, die am häufigsten verwendet wurden. Well Known Ports werden dabei zu den jeweiligen Protokollen aufgeschlüsselt. 2.3. Grafik: Up- & Downstream nach Protokollen Anteile der übertragenen Protokolle nach Up- und Downstream aufgeteilt. Nur die am häufigsten verwendeten Protokolle werden dargestellt, die anderen werden in einer Restkategorie zusammengefasst. 3. Regeln & Sicherheit Information zu den Sicherheitsfunktionen der Firewall Grafik: Events Aufgrund des zugrundeliegende Regelwerkes bewertet die Firewall den gesamten Datenverkehr und beurteilt die einzelnen Transaktionen oder Ereignisse als erlaubt (permit) oder verboten (deny). Aufgrund dieser Beurteilung lässt die Firewall die Transaktion passieren oder blockt die Anfrage ab. Jeder dieser Vorgänge wird als Event bezeichnet. Das Reporting ist jederzeit via myqsc einsehbar. Die QSC AG verwendet bekannte und bewährte Hard- und Software, die regelmäßig aktualisiert wird. Dennoch kann die QSC AG einen erfolgreichen Angriff nicht ausschließen. Dies liegt daran, dass es immer eine gewisse Zeitspanne zwischen dem Auftreten einer neuen Angriffsmethode und der Reaktion darauf gibt. 2 Vertragslaufzeit Der Vertrag ist täglich zum nächsten Werktag kündbar, nicht jedoch vor Ablauf einer Mindestvertragslaufzeit von einem Monat. 3 Netzmanagement und Service Das Netzwerk der QSC AG wird im Network Operation Center (NOC) der QSC AG an 365 Tagen im Jahr, 24 Stunden täglich überwacht. Die Endkundenverfügbarkeit entspricht der des zugrunde liegenden Datendienstes. Geplante und / oder dem Kunden mitgeteilte Wartungsarbeiten, Behinderungen des Zugangs zur Kundenlokation im Fehlerfall, Zeitverluste, die nicht von der QSC AG verschuldet sind sowie Zeitverluste durch Verzögerungen bei der Entstörung, für die der Kunde verantwortlich ist, gehen nicht in die Berechnung der Verfügbarkeit ein. LB-QSC-Firewall-2-0807.doc Seite 4/5
4 Service und Entstörung Die QSC AG beseitigt Störungen ihrer technischen Einrichtungen im Rahmen der technischen und betrieblichen Möglichkeiten unverzüglich. Annahme von Störungsmeldungen Die QSC AG nimmt Störungsmeldungen des Kunden täglich von 00:00 bis 24:00 Uhr entgegen. Der Kundenservice ist für den Kunden wie folgt erreichbar: Täglich 00:00-24:00 Uhr Tel.: 0800 77 22 375 E-Mail-Adresse: business-support@qsc.de 5 Wartungsarbeiten Zur Optimierung und Leistungssteigerung des Netzes sieht die QSC AG Wartungsfenster vor. Diese liegen im Regelfall in der Nacht von Samstag auf Sonntag zwischen 02:00 und 06:00 Uhr. Zur schnellen notwendigen Entstörung von Systemen bei akuten Problemen im Netzwerk kann die QSC AG Reparaturfenster auch außerhalb der üblichen Wartungsfenster vorsehen. Sollte ein solches Wartungsfenster von der QSC AG in Anspruch genommen werden, so werden die betroffenen Kunden in der Regel fünf Kalendertage im Voraus informiert. Während der Wartungszeit können die technischen Einrichtungen im notwendigen Umfang außer Betrieb genommen werden. LB-QSC-Firewall-2-0807.doc Seite 5/5