#75 TecPod: „Secure Networking – worauf es bei Firewalls wirklich ankommt“

00:00:02: Herzlich willkommen zum TechPod, dem Technologie-Podcast der Advanced Unibyte.

00:00:08: Innovationen, News und Hypes aus der Welt der Daten – direkt auf deine Ohren!

00:00:16: Das ist der

00:00:17: AU-TechPod.

00:00:23: Hallo und schön dass Sie dabei sind.

00:00:25: Eine Firewall soll Netzwerke schützen Doch wie sieht eine gute Firewall Architektur in der Praxis eigentlich aus?

00:00:31: In dieser Folge greifen unsere Experten Tobias Kammermeier und Alperin Uysal von der Advanced Unibyte Erfahrungen und Fragen aus den Gesprächen auf der Hausmesse, und sprechen über Segmentierung, Remote Access und Firewall-Migrationen.

00:00:47: Dabei geht es vor allem darum welche Entscheidungen sich in der Praxis bewährt haben – wo typische Stolpersteine liegen und warum eine gute Planung oft entscheidender ist als die reine Technik.

00:00:57: Hören wir rein!

00:01:00: Hallo und herzlich willkommen zu einer neuen Folge unseres AU-Tech Pots.

00:01:03: Ich bin Alperin Wiesal,

00:01:05: und ich bin Tobias Kammerweier.

00:01:06: wir sind beide System Engineers bei der Advanced Unibyte und wir reden heute über Secure Networking mit FortiGate.

00:01:12: Genau das Thema kennen einige vielleicht schon von unserer Hausmesse im Jahr zum Jahr zwanzig.

00:01:15: Dort haben wir an drei Tagen einen Tech Talk gehalten und das Besondere der Wand war, dass wir keinen klassischen Frontalvortrag machen wollten.

00:01:22: Unser Ziel war es mit den Besuchern ins Gespräch zu kommen.

00:01:25: deshalb haben wir von Beginn an abgefragt welche Firewall eingesetzt wird wann das letzte Firewallprojekt stattgefunden hat und welche Herausforderungen es gab und was die Teilnehmer rückblickend anders machen würden.

00:01:36: und ja dabei sind halt ein paar konkrete Themen zusammengekommen wie zum Beispiel Segmentierung, Remote Access mehrere Standorte, Migrationen, Rooting und so weiter.

00:01:45: Und was noch AI im Netzwerkbetrieb für eine Rolle spielt?

00:01:51: Heute greifen wir eben die wichtigsten Punkte aus diesen Gesprächen auf nicht als Produktpräsentation sondern eher mit Blick auf die Praxis.

00:01:58: also welche Entscheidungen funktionieren gut?

00:02:01: wo entstehen typische Probleme und was kann man aus bisherigen Projekten lernen?

00:02:05: Tobi, also wenn man an eine Firewall denkt, denken viele zuerst an die Verbindung zwischen internem Netzwerk und Internet.

00:02:11: Ist das heute noch ausreichend die Aussage?

00:02:14: In vielen Umgebungen ist es der Fall.

00:02:16: in klassischen Netzwerken liegt das Routing allerdings noch auf dem Chorswitch.

00:02:20: Hier liegen die ganzen Gateways aus den einzelnen Netzen an Und diese rutet dann zwischen diesen Netzen und auch Richtung Internet.

00:02:27: Das bedeutet ein Kleines aus dem Benutzer-V-Lan greift auf einen Server zu.

00:02:33: Wenn dieser Treffig noch eingeschränkt wird, wird das mit Hilfe von ACLs

00:02:37: gelöst.

00:02:38: Das ist aber relativ schwierig oder skaliert nicht so schön und bei komplexen oder größeren Produkten oder über größere Netzen ist es eher

00:02:48: schwierig.

00:02:50: Die Alternative wäre dann die Gateway auf die Forte Gate zu verschieben?

00:02:56: Genau, die Fortigate würde dann als Gate für diese einzelnen Netze gelten.

00:02:59: Hier hat man dann noch eine bessere Sicht auf das Netz und den Traffic der über die FortiGate geht.

00:03:05: Das klingt dem ersten Schritt erstmal nur also würden wir uns Routing ändern.

00:03:08: aber man erlangt einfach eine besseres Sichtbarkeit.

00:03:11: Man kann weitere Sicherheitssysteme wie IPS und Obligationskontrolle einfügen Verbindungen mit Hilfe Firewall-Regeln besser einkränzen.

00:03:20: Okay, und gibt es dann dabei auch Nachteile wenn man diesen Schritt

00:03:24: geht?

00:03:24: Natürlich!

00:03:25: Die Firewall muss dementsprechend gesized sein, sonst hat man hier natürlich ein Nadelöhr und das Netz wird langsam.

00:03:30: Man soll noch ein gutes Migrationskonzept haben um die ACLs durch schöne Firewallregeln zu ersetzen.

00:03:36: Also nicht einfach die Gate bis zu schieben sondern mit einer guten Strategie die Firewall als zentralen Kontrollpunkt in einem Netz etablieren.

00:03:44: Segmentierung wurde bei der Umfrage auch besonders häufig genannt.

00:03:48: Warum ist das Thema in der Praxis für so viele Kunden schwierig?

00:03:53: Weil es erstellen von der Fauland noch keine wirksame Segmentierungen sind, erst die Firewall-Regeln auf den Firewall segmentieren – die Netze voneinander.

00:04:01: Zum Beispiel als Server-Fauland oder ein IoT-Fallland.

00:04:04: Wenn es dann auf der Firewallregel eine NE-NE Regel gibt, gibt es überhaupt keine Trennung und man hat auch nichts gewonnen.

00:04:13: Warum entstehen solche Regeln dann trotzdem so häufig, wenn man dabei nichts gewonnen hat?

00:04:18: Meistens aus Zeitdruck oder Unsicherheit vor einer Migration.

00:04:21: Wenn die nicht gut genug geplant wird und man möchte den aktiven Betrieb von seinem Unternehmen auch gar nicht beeinflussen, dann kann man jetzt mal gerne eine NE-Regel, weil dann kann er quasi die Migration durchführen und alles läuft wie bisher weiter.

00:04:36: Wie würdest du dann stattdessen vorgehen?

00:04:38: Also, würdest Du erstmal mit einer any-any Regel überhaupt anfangen?

00:04:41: oder ja genau was wäre da deine Vorgehensweise.

00:04:44: Also nächst soll die Kommunikationsbeziehungen erfasst werden und klar definiert sein zum Beispiel DNS, NTP oder Updates von irgendwelchen Servern die gezogen werden Und diese schon mal klar definieren zu sein dass man einfach Mit einem guten Plan in die Migration geht.

00:04:59: und Dann kann man natürlich das Locking prüfen um das Ganze auszuwerten, ob der vorherige Plan auch vollständig war.

00:05:07: Okay und muss dann dabei jedes einzelne System in dein Segment?

00:05:11: oder wie geht man davor?

00:05:12: Naja eine Mikrosegnetierung ist kein Selbstzweck, dass natürlich auch ein hoher Aufwand.

00:05:16: je kleinteiliger das Segment wird desto größer wird der Betriebsaufwand.

00:05:21: deshalb vielleicht eher mit sinnvollen Zonen anfangen zum Beispiel eine Benutzerzone Server Zone Gästezone Und hier die wichtigsten Segmente mal zu nennen.

00:05:32: Also lieber mit solchen Zonen anfangen und mit nachvollziehbaren Regelwerk absichern.

00:05:38: Ein weiteres Thema aus der Umfrage war VPN, dabei ging es nicht nur um Einrichtung sondern auch um die Performance und die Migration.

00:05:45: Genau und ja Remote Access bzw.

00:05:48: VPN das Thema hat sich stark verändert die letzten Jahre.

00:05:51: früher hatten wir da ganz andere Anforderungen.

00:05:55: Also wie zum Beispiel der Benutzer braucht von außen Zugriff auf das Internet-Netzwerk.

00:05:59: und jetzt das Ganze sieht natürlich heute anders aus.

00:06:03: Heute müssen wir uns genauer fragen, auf welche Anwendungen der Benutzersugriff benötigt?

00:06:07: Von welchem Gerät aus er kommt?

00:06:09: Welche Identität und welche Sicherheitsbedingungen eben erfüllt werden müssen.

00:06:14: Und zusätzlich wenn wir schon bei dem Thema sind steht bei ForteGate Umgebung ein SSLVP Antunnel zu IPsec Vpn Tunnel an Das heißt ab FortiOS sieben sechs drei.

00:06:26: ist es so, dass die SSL VPN Funktionalität sowie diese Canon nicht mehr supportet ist.

00:06:33: Und ja genau dann ist halt der Kunde oder Leute mit einer Fortigate Umgebung sind dann gezwungen auf IP Sack umzusteigen.

00:06:40: Was muss denn bei dieser Migration vom SSLVPN beachtet werden?

00:06:44: Genau also Worauf muss man achten?

00:06:46: Also die eingesetzte Fortikline-Version wäre ein wichtiger Punkt, wie man seine Benutzer authentifiziert.

00:06:53: Welche Multifaktor-Authentifizierungsmethode man wählt ob man mit Zerifikaten arbeitet.

00:06:59: Kleinrollout, Split Tunneling, interne Routen, DNS Auflösung und natürlich die Firewall Regeln.

00:07:04: also es gibt sehr viele Punkte worauf man achteen muss.

00:07:07: zusätzlich auch Tests mit verschiedenen Internetzugängen und Endgeräten da das wäre sehr wichtig Mal melden, dass die VPN-Leistung schlecht ist.

00:07:16: Dann gehen sehr viele davon aus, das die Firewall schuld ist.

00:07:19: aber man sollte nicht automatisch die Firewoll verdächtigen.

00:07:22: ja also die Hursache könnten auch MTO Probleme sein Paketverluste Die Internetanbindung von den Benutzer zu Hause ist Nicht die optimalste Security Profile die ungünstig konfiguriert sind.

00:07:34: Also es gibt sehr viele Punkte die Schulter dran seien könnten die man zuerst messen sollte bevor man mit dem Finger auf die Fireball zeigt.

00:07:42: Und entscheidend ist außerdem dann noch die grundsätzliche Frage, benötigter Benutzer wirklich Netzwerkzugriff oder nur Zugriff auf einzelne Anwendungen.

00:07:48: Also je nach Anwendung können auch Zero-Trust Network Access oder SESI Ansätze sinnvoll sein.

00:07:54: Kommen wir zu den Lessons Lounge.

00:07:55: was ist dir bei den Antworten besonderes aufgefallen?

00:07:58: Besonders aufgefallen ist mir dass sie ganzen Teilnehmer singemäßig gesagt haben das man besser planen sollte vor einer Migration die Mitarbeiter entsprechend schuld Im Idealfall, wenn man die Möglichkeit hat eine Lab-Umgebung aufbaut und halt eben weniger Altlast übernimmt.

00:08:14: Genau!

00:08:15: Und die Big Bang Migrationen davon sind ja auch keine Vereins gewesen, die Teilnehmer.

00:08:19: Warum werden die Farbe und Migration dann doch so oft unterschätzt?

00:08:22: Na weil die sichtbare Konfiguration erst mal nach wenig aussieht.

00:08:27: also klar man sieht Adressenservicees Regeln und Routen die man stupide übernehmen könnte aber man sieht dadurch halt nicht automatisch warum eine Regel überhaupt existiert ob diese noch benötigt wird oder ob diese überhaupt noch in Benutzung ist.

00:08:40: Und dann wird eben aus Sicherheitsgründen einfach mal alles übernommen und damit übernimmt man halt häufig auch veraltete Objekte zu viele breite Regeln und historische Ausnahmen, die so nicht mehr benötigt werden.

00:08:53: Und eine Migration ist deshalb halt eine gute Gelegenheit das Ganze zu bereinigen aber nicht zwingend der richtige Zeitpunkt um gleichzeitig jedes Detail neu zu gestalten.

00:09:02: Und wie findet man hier jetzt am besten einen Mittelweg?

00:09:05: Ich würde tatsächlich zwischen drei Kategorien unterscheiden.

00:09:08: Also die erste wäre die Konfiguration, die eindeutig benötigt wird.

00:09:12: Zweitens Einträge, die ein deutlich entfernt werden können.

00:09:16: und drittens unklare Regeln, die man zunächst protokollieren und beobachten soll und später dann bewerten

00:09:22: muss gehört noch zu einer guten Vorbereitung.

00:09:25: Ein dokumentierter Rollback-Plan wäre sehr von Vorteil, weil es ist sehr ärgerlich wenn man mitten in der Migration feststellt dass man zurückgehen muss aber keine entsprechende Dokumentation hat.

00:09:36: Dann noch Sachen wie aktuelle Backups, ein Test der HA Funktionen und außerdem sollte vorher feststehen wie Routing NAT, VPN, Authentifizierung und Logging nach der Umstellung überprüft werden.

00:09:49: Was ist mit dieser Lab-Umgebung, wo wir vorhin mal gehört haben?

00:09:52: Also wie gesagt wenn man die Möglichkeit hat dann auf jeden Fall also besonders bei Routingänderungen kann man diese Geschichten in der Lab Umgebung vor der eigentlichen Migration sehr gut testen und fällt dann schon eher weniger auf die Schnauze bei der eigentliche Migration.

00:10:06: Und nach der Migration, gibt es da auch noch Punkte die man beachten musste?

00:10:10: Ja klar.

00:10:10: Also die Punkte wie vorhin erwähnt unklare Regeln, die man eben protokollieren und beobachten soll.

00:10:15: also nach dem Migration kann man dann mit der Optimierung beginnen der Firewall.

00:10:20: Mit Optimierung ist gemeint temporäre Regeln zurückzubauen.

00:10:24: Die Locks auswerten und gucken welche dieser unklaren Regeln überhaupt noch benötigt werden.

00:10:29: wenn diese nicht mehr benötig werden kann man sie dann eben löschen.

00:10:32: Und natürlich sollte man noch seine Dokumentation aktualisieren für den Fall der Fälle, dass irgendwas schiefläuft oder bei der nächsten Migration man darauf zurückgreifen kann.

00:10:42: Also in der Umfrage haben nur wenige Teilnehmer angegeben, AI bereits im Zusammenspiel mit der Fireball zu verenden?

00:10:48: Woran liegt das?

00:10:49: Mein Grund ist vermutlich, dass viele bei AI denken, dass die AI dann auch automatisch Fireball-Regeln erstellt und man sich da noch ein bisschen unsicher ist ob das überhaupt hinbekommt und da noch eine gewisse Art Skepsis dagegen hat.

00:11:01: Wo ist dein AI heute bereit sinnvoll?

00:11:04: vor allem bei der Auswirkung großer Datenmengen, also die ganzen Logs, die Analyse-Daten, die verschiedenen Systeme generieren und da diese Zusammenhänge und die wichtigsten Informationen herauszufiltern.

00:11:17: Das ist gerade im Bereich AIOps ganz toll weil dann können nämlich die FortiAI die Daten von LAN, WLAN, SDWAR zusammen koalieren und die wichtigsten Informationen bereitstellen.

00:11:30: Okay, nicht schlecht.

00:11:31: Und wie verhält es sich da mit AI-Assist?

00:11:34: Der AI-assist kann beim Verstehen von der Konfiguration helfen, außerdem von der Analyse und aktuellen Problemen oder beim Generieren oder beim Erstellen neuer konfiguration unterstützen.

00:11:49: Der Administrator hält aber die Verantwortung.

00:11:53: und in der letzten Freigabe, also die AI tut nicht selbst denn nicht irgendetwas konfigurieren sondern es muss immer noch mal bestätigt werden.

00:12:01: Okay, also so Geschichten wie Verantwortlichkeiten und Changeprozesse bleiben dann auch so bestehen?

00:12:06: Genau, die bleiben so bestehen und admin hat da weiterhin die Kontrolle darüber.

00:12:10: Albi, wenn unsere Zuhörer drei Punkte aus dieser Folge mitnehmen sollen, welche wären das?

00:12:15: Erstens – Die Firewall sollte nicht nur als Übergang zum Internet betrachtet werden also richtig positioniert kann sie auch den internen Verkehr sichtbar machen und kontrollieren.

00:12:23: Zweitens – Segmentierung bringt nur dann ein Sicherheitsgewinn, wenn zwischen den Segmenten auch nachvollziehbare und möglichst gezielte Regeln gelten.

00:12:31: Und drittens, eine erfolgreiche Firewall-Migration benötigt mehr als seine technische Konverzierung.

00:12:36: Also Planung, Tests, Dokumentationen, Rollback und die anschließende Bereinigung sind mindestens genauso wichtig.

00:12:42: Um beim Thema AI gilt klein anfangen konkrete Anwendungsfälle definieren und die Ergebnisse weiterhin fachlich prüfen.

00:12:49: Wer wissen möchte wie gut die eigene Umgebung ist kann das einfach beispielsweise mit Firewall Checkup oder Architektur und Softwarestandstest beginnen dann weitermachen mit Vorverfügbarkeit, Backup und Monitoring.

00:13:04: Genau, ein richtiger Punkt also.

00:13:05: unser Firewall-Checkup, den bieten wir ja bei uns an kommt gerne auf uns zu Und wir werden dann euch behilflich sein mit dem Thema Ja.

00:13:14: Damit wären wir am Ende unserer heutigen Folge.

00:13:17: Vielen Dank fürs Zuhören

00:13:18: Auch von mir.

00:13:18: vielen Dank bis zur nächsten Folge unseres Tech Pots.

00:13:21: Macht's gut

00:13:22: Ciao.

00:13:23: Vielen Dank, dass Sie dabei waren.

00:13:25: Wir hoffen, die Folge hat Ihnen einige praktische Impulse für den Betrieb, die Segmentierung und die nächste Migration Ihrer Firewall-Umgebung mitgegeben!

00:13:33: Wenn Sie Ihre eigene Umgebung einmal genauer unter die Lupe nehmen möchten, unterstützen unsere Experten sie auch mit einem Firewall Check.

00:13:41: Bei Fragen zufolge schreiben Sie uns gerne an podcastatau.de.

00:13:46: Bis zum nächsten

00:13:46: Mal.

00:13:47: Das war der AU TechPod Innovationen, News und Hypes aus der Welt der Daten.

00:13:55: Direkt auf deine Ohren!

00:13:58: Wir hören

00:13:59: uns im nächsten

00:14:00: AU-Tekport.