Best Practices für Netzwerksicherheit in Enterprise-IT-Teams

Robuste Netzwerksicherheits-Best Practices sind heute wichtiger denn je, um sich gegen die zunehmend ausgeklügelten Cyberbedrohungen zu schützen. Dieser Artikel untersucht eine Reihe von Netzwerk- und Sicherheits-Best Practices und Technologien, die Sie benötigen, um Ihr Netzwerk gegen unbefugten Zugriff und Datenverletzungen zu sichern.

Arten von Netzwerkgeräten und Sicherheitslösungen

Bevor wir uns mit den besten Praktiken für die Netzwerksicherheit von Unternehmen befassen, lassen Sie uns die gängigen Arten von Netzwerkgeräten und Sicherheitslösungen betrachten, von denen Organisationen profitieren können:

• Brücken wurden einst verwendet, um zwei oder mehr Hosts oder Netzwerksegmente zu verbinden. Sie sind veraltet und werden nicht mehr verwendet.
• Hubs wurden einst verwendet, um Geräte in einem lokalen Netzwerk (LAN) zu verbinden. Da sie keine eingebaute Intelligenz besitzen, werden Hubs in modernen Netzwerkkonfigurationen selten verwendet.
• Ein network switch ist das Standard-Netzwerkgerät, das Computer, Server, Drucker und andere Geräte in einem LAN verbindet. Es verwendet MAC-Adressen, um Daten zu verwalten und an spezifische Geräte weiterzuleiten. Im Gegensatz zu einem Hub kann ein Switch den Datenverkehr intelligent steuern, um Netzwerküberlastungen zu reduzieren und die Netzwerkleistung zu verbessern.
• Ein Netzwerk-Router leitet Datenpakete zwischen verschiedenen Netzwerken, um Internetverbindungen und interne Netzwerkkommunikation zu ermöglichen. Router verwenden IP-Adressen, um den effizientesten Weg für die Übertragung von Datenpaketen über Netzwerke zu bestimmen. Sie können auch Sicherheitsfunktionen wie Zugriffskontrolllisten bereitstellen, um den Netzwerkzugang zu beschränken.
• Ein Gateway dient als Vermittler für Geräte in getrennten Netzwerken und ermöglicht ihnen die Kommunikation, selbst wenn sie unterschiedliche Kommunikationsprotokolle verwenden.
• Eine firewall trennt ein Netzwerk von einem anderen. Firewalls gibt es in Hardware- und Softwareform und können in Geräte wie Router oder Server integriert werden. Das klassische Beispiel für eine Firewall ist ein dediziertes Gerät, das als Barriere zwischen dem internen Netzwerk und der Außenwelt dient.
• Ein network access control (NAC)-System prüft, ob Geräte, die versuchen, auf das Netzwerk zuzugreifen, definierte Sicherheitsstandards erfüllen (wie aktuelle Antivirensoftware, Systemupdates und spezifische Konfigurationseinstellungen) und gewährt oder verweigert dann den Zugang.
• Ein Webfilter beschränkt den Zugang zu Internetinhalten basierend auf vordefinierten Kriterien. Beispielsweise kann diese Art von Sicherheitslösung den Zugang zu bösartigen oder unangemessenen Websites blockieren, wie von den Richtlinien einer Organisation festgelegt.
• Ein Proxy-Server fungiert als Vermittler zwischen dem Gerät eines Benutzers und dem Internet. Proxy-Server können die IP-Adresse des Benutzers verbergen sowie Webanfragen filtern, um den Zugriff auf bösartige Websites oder Inhalte zu blockieren.
• Ein E-Mail-Filter (Spamfilter) hilft dabei, unerwünschte E-Mails daran zu hindern, das Postfach des Benutzers zu erreichen, oder liefert die E-Mail, entfernt jedoch potenziell bösartige Hyperlinks und Anhänge. Einfache Filter verwenden organisatorische Richtlinien oder vom Anbieter festgelegte Muster, um Spam zu erkennen; fortgeschrittene Filter setzen heuristische Methoden ein, um verdächtige Muster oder Wortfrequenzen zu identifizieren.
• DDoS-Mitigation Tools sind darauf ausgelegt, Distributed Denial of Service (DDoS)-Angriffe in ihren Anfangsstadien zu identifizieren, den damit verbundenen Anstieg des Datenverkehrs zu absorbieren und helfen, den Ursprung des Angriffs ausfindig zu machen.
• Load Balancer tragen zur Netzwerksicherheit bei, indem sie den Netzwerkverkehr gleichmäßig auf mehrere Server verteilen. Sie können beispielsweise verhindern, dass ein einzelner Server während eines DDoS-Angriffs überlastet wird.

Für weitere Hintergrundinformationen überprüfen Sie das OSI-Modell für Netzwerksysteme im Anhang A.

Best Practices für die Sicherheit von Unternehmensnetzwerken

Mit diesen Grundlagen im Hinterkopf, lassen Sie uns bekannte Netzwerksicherheits-Best Practices erkunden, die Ihrer Organisation helfen können, ihre Sicherheitslage zu verbessern, um Angriffe zu blockieren, sowie Best Practices für die schnelle Erkennung und Reaktion auf aktuelle Bedrohungen.

Best Practices für Netzwerksicherheit zur Bedrohungsprävention

Segmentieren Sie Ihr Netzwerk.

Eine der grundlegenden Best Practices für Netzwerksicherheit, Network Segmentation beinhaltet die Aufteilung eines Netzwerks in logische oder funktionale Bereiche. Dies kann durch physische Mittel wie Router und Switches oder virtuell durch die Verwendung von VLANs erreicht werden. Das Ziel ist es, einen Sicherheitsvorfall auf einen einzelnen Bereich zu begrenzen und so Störungen und Schäden zu minimieren. Segmentierung ermöglicht es IT-Teams auch, verschiedene Sicherheitskontrollen und Überwachungen für jede Zone anzuwenden. 

Insbesondere können Organisationen eine demilitarized zone (DMZ) einrichten, die als Puffer zwischen ihrem internen Netzwerk und dem Internet oder anderen nicht vertrauenswürdigen Netzwerken dient. Die DMZ hostet extern zugängliche Dienste wie Webanwendungsserver; falls diese Dienste kompromittiert werden, hat ein Angreifer keinen direkten Zugang zum internen Netzwerk.

Eine extreme Form der Segmentierung ist der air gap, bei dem Systeme (wie Server mit Backups oder anderen sensiblen Informationen) vollständig vom Netzwerk getrennt sind.

Platzieren Sie Ihre Sicherheitsgeräte korrekt.

Wie Sie Ihre Sicherheitsgeräte positionieren, beeinflusst den Schutz, den sie bieten. Die effektive Positionierung von Firewalls ist besonders wichtig. Idealerweise sollte eine Firewall an jedem Netzwerkzonenübergang platziert werden, um als Barriere zwischen verschiedenen Segmenten zu dienen. Moderne Firewalls verfügen oft über integrierte Funktionen wie Intrusion-Detection- und -Prevention-Systeme, DDoS-Minderung und Webfilter, was sie besonders geeignet für die Perimeterverteidigung macht.

Webanwendungs-Firewalls (WAFs) sollten am besten in Zonen platziert werden, in denen Anwendungen gehostet werden, wie zum Beispiel in der DMZ. Diese Platzierung hilft dabei, Webanwendungen vor Bedrohungen wie SQL-Injection und Cross-Site-Scripting zu schützen. Lastverteiler, die den Anwendungsverkehr verwalten, oder DNS-Server sollten ebenfalls innerhalb der DMZ liegen, um den Datenverkehr zu optimieren und die Sicherheit zu verbessern.

Sichern Sie Netzwerkausrüstung physisch.

Eine weitere bewährte Methode für eine sichere Netzwerkinfrastruktur ist die strenge Kontrolle des Zugangs zur Netzwerkinfrastruktur. Nur autorisiertes Personal sollte Zugang zu Bereichen wie Verkabelungsschränken, Hauptverteilerrahmen (MDFs), Zwischenverteilerrahmen (IDFs), Servern und insbesondere Rechenzentren haben. Für den Zutritt in jedes kritische Gebiet sollte eine Authentifizierung erforderlich sein.

Zusätzlich sollten Organisationen die Verwendung von USB-Sticks und externen Laufwerken verbieten, um zu verhindern, dass Insider sensible Daten entfernen.

Verwenden Sie die Netzwerkadressübersetzung.

Network Address Translation (NAT) übersetzt alle privaten Adressen einer Organisation in eine einzige öffentliche IP-Adresse für externe Kommunikation. Ohne NAT wären die IPv4-Adressen schon vor langer Zeit erschöpft gewesen. Der Vorteil von NAT für die Netzwerksicherheit besteht jedoch darin, dass es die Struktur des internen Netzwerks vor Außenstehenden verbirgt und so eine zusätzliche Ebene der Privatsphäre und Sicherheit bietet.

Verwenden Sie persönliche Firewalls.

Persönliche Firewalls sind softwarebasierte Firewalls, die auf jedem Computer oder Server installiert sind. Obwohl sie häufig in das Betriebssystem integriert sind, können sie auch als Drittanbieteranwendungen installiert werden. Wie herkömmliche Firewalls beschränken sie den ein- und ausgehenden Datenverkehr, um das Gerät zu schützen.

Die Konfiguration persönlicher Firewalls kann anfangs zeitaufwändig sein aufgrund der Vielfalt an Anwendungen und Diensten, die auf einem Gerät laufen. Das Überspringen dieses Schrittes aus Bequemlichkeit kann Geräte jedoch anfällig für Malware und Hacking machen. Aktivieren Sie immer persönliche Firewalls, um die Sicherheit jedes Geräts innerhalb des breiteren Netzwerks zu gewährleisten.

Verwenden Sie Whitelisting, wenn möglich.

Die Anwendung von Whitelisting ist die Praxis, eine Liste von genehmigter Software zu erstellen und nur diesen Anwendungen die Ausführung zu erlauben. Diese Strategie kann das Risiko erheblich reduzieren; zum Beispiel kann sie verhindern, dass durch Phishing-Angriffe oder bösartige Websites übermittelte Malware ausgeführt wird.

Allerdings ist Whitelisting nicht immer praktikabel, da die Liste ständig mit allen Anwendungen aktualisiert werden muss, die jemand in der Organisation aus einem legitimen Grund ausführen darf.

Verwenden Sie einen Web-Proxy-Server, um den Internetzugang zu verwalten.

Durch die Authentifizierung und Überwachung ausgehender Verbindungen stellt ein Web-Proxy-Server sicher, dass nur von legitimen Benutzern initiierte Web-Traffic zugelassen wird. Dies hilft beispielsweise zu verhindern, dass Malware innerhalb des Netzwerks mit dem Command-and-Control-Server des Angreifers kommuniziert.

Durchsetzung des Prinzips der geringsten Berechtigungen.

Sich ausschließlich auf externe Cyberbedrohungen zu konzentrieren, kann dazu führen, dass die ebenso kritische Komponente von Insider-Bedrohungen übersehen wird. Es ist entscheidend, die Zugriffsrechte jedes Benutzers auf das für ihre Rollen Wesentliche zu beschränken; dies verringert den Schaden, den ein Benutzer versehentlich oder absichtlich anrichten kann, und die Macht, die ein Angreifer durch Kompromittierung des Kontos erlangen würde. Zusätzlich sollten starke Authentifizierungsmaßnahmen implementiert werden, um gestohlene Anmeldeinformationen nutzlos zu machen.

Erfordern Sie VPNs für den Fernzugriff.

Ein virtuelles privates Netzwerk (VPN) stellt über eine öffentliche Netzwerkinfrastruktur eine sichere und private Netzwerkverbindung her. Es ermöglicht entfernten Benutzern, sich mit dem Netzwerk zu verbinden, als wären sie lokal verbunden. VPNs können auch verwendet werden, um LANs sicher über das Internet zu verbinden, indem ein sicherer Tunnel verwendet wird, der alle Daten während der Übertragung verschlüsselt. VPNs benötigen entweder spezialisierte Hardware oder auf Servern und Arbeitsstationen installierte VPN-Software.

Best Practices für Netzwerksicherheit zur Bedrohungserkennung und Reaktion

Grundlegende Netzwerkprotokolle festlegen und die Nutzung überwachen.

Legen Sie die Basisnutzung verschiedener Protokolle in Ihren kabelgebundenen und drahtlosen Netzwerken fest. Um eine genaue Basislinie zu erstellen, sollten Daten aus einer Vielzahl von Quellen gesammelt werden, einschließlich Router, Switches, Firewalls, drahtlose Zugangspunkte, Netzwerk-Sniffer und spezielle Datensammler. Überwachen Sie dann Abweichungen von diesen Basislinien, die auf Daten-Tunneling, schädliche Software, die Daten an nicht autorisierte Ziele überträgt, und andere Bedrohungen hinweisen können.

Verwenden Sie Honeypots und Honeynets.

Ein Honeypot ist ein Täuschungssystem, das so gestaltet ist, dass es wie ein echtes Netzwerkasset aussieht, und ein Honeynet ist ein Netzwerk von Honeypots, das eine größere, komplexere Netzwerkumgebung simuliert. Sie sind darauf ausgelegt, Gegner dazu zu verleiten, mit ihnen zu interagieren, sowohl um bösartige Akteure von den wahren Assets abzulenken als auch um Sicherheitsteams zu ermöglichen, Angriffstechniken zu studieren und andere Erkenntnisse für ein effektives Threat Management zu sammeln.

Verwenden Sie Systeme zur Einbruchserkennung und -prävention.

Es ist entscheidend, Aktivitäten im Netzwerk zu überwachen und zu protokollieren sowie diese zu analysieren, um ungewöhnliche Anmeldungen, verdächtige Computerereignisse und andere Anomalien zu erkennen. Ein intrusion detection system (IDS) überwacht den Datenfluss im Netzwerk auf potenziell bösartige Aktivitäten und alarmiert Administratoren über Anomalien. Ein intrusion prevention system (IPS) überwacht ebenfalls den Netzwerkverkehr auf Bedrohungen; jedoch kann es zusätzlich zu den Warnungen an Administratoren automatisch Maßnahmen ergreifen, um Bedrohungen zu blockieren oder abzumildern. 

Diese Tools können ein wertvoller Teil Ihrer Netzwerksicherheitsstrategie sein. Zum Beispiel könnten sie durch den Vergleich der aktuellen Aktivität mit einer etablierten Basislinie einen Anstieg der Netzwerkaktivität erkennen, der auf einen Ransomware- oder SQL-Injection-Angriff hindeuten könnte. Sie können auch Angriffssignaturen verwenden — charakteristische Merkmale, die für einen spezifischen Angriff oder ein Muster von Angriffen typisch sind — um Angriffe zu erkennen, die keine Aktivitäten erzeugen, die gegen die Basislinie Ihrer Organisation verstoßen.

Automatisieren Sie die Reaktion auf Angriffe, wenn dies angebracht ist.

Viele moderne Sicherheitstools können so konfiguriert werden, dass sie automatisch auf bekannte Bedrohungen reagieren. Zum Beispiel können diese Systeme:

• IP-Adresse blockieren — Ein IPS oder eine Firewall kann die IP-Adresse blockieren, von der der Angriff ausging. Diese Option ist sehr wirksam gegen Phishing- und Denial-of-Service-Angriffe. Allerdings fälschen manche Angreifer während der Angriffe die Quell-IP-Adresse, sodass die falsche Adresse blockiert wird.
• Verbindungen trennen — Router und Firewalls können so konfiguriert werden, dass sie die Verbindungen, die ein Eindringling mit dem kompromittierten System aufrechterhält, durch das Zielrichten von RESET TCP-Paketen auf den Angreifer unterbrechen.
• Beschaffen Sie zusätzliche Informationen — Tools können auch wertvolle Informationen sammeln, die dabei helfen festzustellen, wie der Punkt des Erstzugriffs, welche Konten kompromittiert wurden, wie sich die Eindringlinge im Netzwerk bewegt haben und welche Daten kompromittiert wurden.

Bonus-Best-Practice

Eine letzte Netzwerksicherheits-Best-Practice gilt sowohl für die Bedrohungsprävention als auch für die Erkennung & Reaktion.

Verwenden Sie mehrere Anbieter.

Die Verwendung von Lösungen verschiedener Anbieter stärkt die Cyber-Resilienz, indem das Risiko, das mit einem einzigen Ausfallpunkt verbunden ist, verringert wird – wenn eine Lösung eines Anbieters kompromittiert wird, hilft die Präsenz von Lösungen anderer Anbieter, den Verteidigungsschild aufrechtzuerhalten. Dieser Ansatz ermöglicht auch eine größere Anpassungsfähigkeit auf sich entwickelnde Bedrohungen und Sicherheitsanforderungen. Im weiteren Sinne kann dies zu wettbewerbsfähigen Preisen führen und Innovationen vorantreiben, da Anbieter bestrebt sind, die fortschrittlichsten und kostengünstigsten Lösungen anzubieten.

Fazit

Indem Sie sich an die hier detailliert beschriebenen besten Praktiken für Netzwerksicherheit halten, kann Ihre Organisation das Risiko kostspieliger Geschäftsunterbrechungen und Sicherheitsvorfälle verringern sowie die Einhaltung der heutigen strengen gesetzlichen Vorgaben gewährleisten.

Anhang A: Das OSI-Modell

Das OSI-Modell (Open Systems Interconnection) ist ein etabliertes Rahmenwerk für Netzwerksysteme. Es besteht aus sieben Schichten, von der physischen Hardware bis zu Interaktionen auf Anwendungsebene:

Netzwerksicherheit umfasst die Richtlinien, Technologien und Kontrollen, die die Netzwerkinfrastruktur einer Organisation vor unbefugtem Zugriff, Missbrauch und Störungen schützen.

Effektive Netzwerksicherheit adressiert beide Seiten dieses Problems: Kontrollen, die einschränken, wer oder was auf ein bestimmtes System zugreifen kann, und Überwachung, die Missbrauch von Zugriffen erkennt.

Arten von Netzwerkgeräten und Sicherheitslösungen

Sicherheitsteams, die sich ausschließlich auf den Perimeterschutz konzentrieren, stellen oft fest, dass Angreifer über falsch konfigurierte Geräte, übermäßige Benutzerrechte oder unüberwachte laterale Bewegungswege.

Das Verständnis der Geräte und Werkzeuge, die ein Unternehmensnetzwerk bilden, hilft Sicherheitsteams, fundierte Entscheidungen über Platzierung, Konfiguration und Überwachung sowie darüber zu treffen, wer oder was jedes Gerät den Zugriff auf das Netzwerk erlaubt.

Folgende sind die häufigsten Netzwerkkomponenten, die Organisationen verwalten:

• Bridges verbanden früher zwei oder mehr Hosts oder Netzwerksegmente. Die Technologie ist jetzt veraltet und wird in modernen Umgebungen nicht mehr eingesetzt.
• Hubs verbinden lokale Netzwerke (LAN). Ihr Mangel an integrierter Intelligenz macht sie in modernen Netzwerken selten, da sie größtenteils durch Switches ersetzt wurden.
• Ein Gateway dient als Vermittler für Geräte in getrennten Netzwerken und ermöglicht ihnen die Kommunikation, selbst wenn sie unterschiedliche Kommunikationsprotokolle verwenden.
• Ein Netzwerkrouter leitet Datenpakete zwischen verschiedenen Netzwerken, um die Internetverbindung und die interne Netzwerkkommunikation zu ermöglichen. Router verwenden IP-Adressen, um den effizientesten Weg für Datenpakete über Netzwerke zu bestimmen. Sie können auch Sicherheitsfunktionen wie Zugriffskontrolllisten bereitstellen, um den Netzwerkzugang einzuschränken.
• Ein Netzwerkswitch ist das Standardnetzwerkgerät, das Computer, Server, Drucker und andere Geräte in einem LAN verbindet. Er verwendet MAC-Adressen, um Daten zu verwalten und an bestimmte Geräte weiterzuleiten. Im Gegensatz zu einem Hub kann ein Switch den Datenverkehr intelligent lenken, um Netzwerküberlastungen zu reduzieren und die Netzwerkleistung zu verbessern.
• Eine Firewall trennt ein Netzwerk von einem anderen. Firewalls sind als Hardware- und Softwarelösungen verfügbar und können in Geräte wie Router und Server integriert werden. Eine häufige Implementierung ist ein dediziertes Gerät, das als Barriere zwischen dem internen Netzwerk und der Außenwelt dient.
• Ein Network Access Control (NAC)-System prüft, ob Geräte, die auf das Netzwerk zugreifen möchten, definierte Sicherheitsstandards erfüllen, wie aktuelle Antivirensoftware, Systemupdates und spezifische Konfigurationseinstellungen, und gewährt oder verweigert dann entsprechend den Zugriff.
• Ein Webfilter beschränkt den Zugriff auf Internetinhalte basierend auf vordefinierten Kriterien. Zum Beispiel kann diese Art von Sicherheitslösung den Zugriff auf bösartige oder unangemessene Websites gemäß den Richtlinien einer Organisation blockieren.
• Ein Proxy-Server fungiert als Vermittler zwischen dem Gerät eines Benutzers und dem Internet. Proxy-Server können die IP-Adresse eines Benutzers verbergen und Webanfragen filtern, um den Zugriff auf bösartige Seiten oder Inhalte zu blockieren.
• DDoS-Abwehrwerkzeuge erkennen frühzeitig verteilte Denial-of-Service-Angriffe (DDoS), absorbieren den daraus resultierenden Verkehrsanstieg und helfen, den Ursprung des Angriffs zu lokalisieren.

Für weitere Hintergrundinformationen darüber, wie diese Geräte mit der Netzwerkkommunikation zusammenhängen, lesen Sie das OSI-Modell in Anhang A.

• Ein E-Mail-Filter (Spam-Filter) hilft, unerwünschte E-Mails daran zu hindern, den Posteingang des Nutzers zu erreichen, oder liefert E-Mails mit entfernten potenziell schädlichen Hyperlinks und Anhängen. Einfache Filter verwenden organisatorische Richtlinien oder vom Anbieter vorgegebene Muster zur Spam-Erkennung; fortgeschrittene Filter nutzen heuristische Methoden, um verdächtige Muster zu identifizieren.
• Lastenausgleicher tragen zur Netzwerksicherheit bei, indem sie den Netzwerkverkehr gleichmäßig auf mehrere Server verteilen. Zum Beispiel verhindern sie, dass ein einzelner Server während eines DDoS-Angriffs überlastet wird.

Beste Praktiken der Netzwerksicherheit zur Bedrohungsprävention

Netwrix Auditor zeichnet Vorher-Nachher-Werte für Zugriffs- und Änderungsereignisse in hybriden Microsoft-Umgebungen auf. Laden Sie eine kostenlose Testversion herunter

Segmentieren Sie Ihr Netzwerk

Bedrohungspräventionskontrollen zielen darauf ab, die Angriffsfläche zu reduzieren, einzuschränken, wer oder was auf ein bestimmtes System zugreifen kann, und den Schaden eines möglichen Sicherheitsvorfalls einzudämmen.

Organisationen können eine demilitarisierte Zone (DMZ) einrichten, die als Puffer zwischen dem internen Netzwerk und dem Internet oder anderen nicht vertrauenswürdigen Netzwerken dient. Die DMZ beherbergt nach außen gerichtete Dienste wie Webanwendungsserver.

Netzwerksegmentierung bedeutet, ein Netzwerk in logische oder funktionale Zonen zu unterteilen, die sowohl durch die Zugriffsberechtigung als auch durch ihre physische Lage definiert sind. Dies kann durch physische Geräte wie Router und Switches oder virtuell über VLANs erfolgen.

Das Ziel ist es, eine Sicherheitsverletzung auf eine einzelne Zone zu beschränken, um Störungen und Schäden zu begrenzen. Die Segmentierung ermöglicht es IT-Teams auch, für jede Zone je nach Sensibilität der enthaltenen Daten oder Systeme unterschiedliche Zugriffsregeln, Sicherheitskontrollen und Überwachungsstufen anzuwenden.

Durchsetzung des Prinzips der geringsten Rechte und starker Authentifizierung

Wenn ein Angreifer diese Dienste kompromittiert, hat er keinen direkten Zugriff auf das interne Netzwerk. Eine extreme Form der Segmentierung ist das air gap, bei dem eine Organisation Systeme mit Backups oder hochsensiblen Daten vollständig vom network trennt.

Der Standort von Sicherheitsgeräten in der Netzwerkarchitektur bestimmt, wie viel Schutz sie bieten. Die Platzierung ist genauso wichtig wie die Konfiguration. Firewalls sollten idealerweise an jedem Netzwerkknotenpunkt platziert werden, um als Barrieren zwischen verschiedenen Segmenten zu dienen. Moderne Firewalls enthalten oft integrierte Funktionen wie Intrusion Detection und Prevention, DDoS-Minderung und Webfilterung.

VPNs für den Fernzugriff erforderlich machen

Positionieren Sie Ihre Sicherheitsgeräte korrekt

Web Application Firewalls (WAFs) funktionieren am besten in Zonen, in denen Anwendungen gehostet werden, wie der DMZ, und schützen Webanwendungen vor SQL-Injection- und Cross-Site-Scripting-Angriffen. Load Balancer und DNS-Server sollten ebenfalls innerhalb der DMZ platziert werden, um den Datenverkehr zu optimieren und die Exponierung der internen Infrastruktur zu reduzieren.

Physisch sichere Netzwerkausrüstung

Netzwerkadressübersetzung verwenden

Kontrollieren Sie den physischen Zugang zur Netzwerkinfrastruktur. Nur autorisiertes Personal sollte Zugang zu Verkabelungsschränken, Hauptverteilern, Zwischenverteilern, Serverräumen und Rechenzentren haben. Authentifizierungsanforderungen sollten für alle kritischen physischen Bereiche gelten. Organisationen sollten auch die Verwendung von USB-Sticks und externen Laufwerken verbieten, um zu verhindern, dass Insider sensible Daten entfernen.

Die Network Address Translation (NAT) ordnet private interne Adressen einer einzigen öffentlichen IP-Adresse für die externe Kommunikation zu. NAT verbirgt die interne Netzwerkstruktur vor Außenstehenden und reduziert so die für potenzielle Angreifer bei der Aufklärung verfügbare Netzwerktopologie-Information.

Verwenden Sie persönliche Firewalls

Application Whitelisting erstellt eine Liste genehmigter Software und erlaubt nur diesen Anwendungen die Ausführung. Dies verringert das Risiko, dass Malware, die über Phishing oder bösartige Websites eingeschleust wird, ausgeführt wird. Die Pflege der genehmigten Liste erfordert kontinuierlichen Aufwand, da sie aktualisiert werden muss, wenn sich legitime Anwendungsbedürfnisse in der Organisation ändern.

Wenden Sie Anwendungs-Whitelisting an, wenn möglich

Persönliche Firewalls sind softwarebasierte Firewalls, die auf jedem Computer oder Server installiert werden. Sie sind oft in das Betriebssystem integriert, können aber auch als Drittanbieteranwendungen eingesetzt werden. Wie Netzwerkfirewalls beschränken sie den ein- und ausgehenden Datenverkehr auf Geräteebene. Persönliche Firewalls bieten eine wichtige Schutzschicht, selbst in Umgebungen mit starken Perimetersicherungen, insbesondere für Geräte, die sich von außerhalb des Unternehmensnetzwerks verbinden.

Ein Webproxy-Server authentifiziert und überwacht ausgehende Verbindungen und erlaubt nur von legitimen Benutzern initiierten Datenverkehr. Dies hilft, zu verhindern, dass Malware im Netzwerk mit dem Command-and-Control-Server eines Angreifers kommuniziert. Außerdem ermöglicht er Sicherheitsteams, ausgehende Verkehrsmuster zu protokollieren und anomale Kommunikation zu erkennen.

Leiten Sie den Internetverkehr über einen Webproxy

Starke Authentifizierungsmaßnahmen, einschließlich Multi-Faktor-Authentifizierung (MFA), schützen Anmeldeinformationen selbst bei Passwortdiebstahl. Das Zero-Standing-Privilege-Modell geht über das Prinzip der geringsten Rechte hinaus, indem es persistente Admin-Konten vollständig eliminiert, erhöhte Zugriffe nur bei Bedarf gewährt und diese anschließend automatisch widerruft.

Halten Sie Software und Firmware gepatcht

Ein virtuelles privates Netzwerk (VPN) stellt eine sichere, verschlüsselte Verbindung über eine öffentliche Netzwerkinfrastruktur her und ermöglicht es entfernten Benutzern, sich so zu verbinden, als wären sie direkt im Firmennetzwerk. VPNs verringern die Exponierung interner Ressourcen gegenüber nicht vertrauenswürdigen Netzwerken und verschlüsseln Daten während der Übertragung.

Schützen Sie Endpoints vor Malware

Die Beschränkung der Zugriffsrechte jedes Benutzers auf das für seine Rolle Wesentliche begrenzt Schäden durch versehentliche oder absichtliche Fehlanwendung und reduziert das Ausmaß, das ein Angreifer mit einem kompromittierten Konto erreichen kann. Role-based access control (RBAC) bietet einen strukturierten Ansatz zur Zuweisung von Berechtigungen basierend auf der Funktion. Dies verringert das Risiko, dass Zugriffe sich ansammeln oder übersehen werden, und adressiert einen häufigen insider threat-Vektor.

Ungepatchte Schwachstellen in network devices, Betriebssystemen und Anwendungen gehören weiterhin zu den am häufigsten ausgenutzten Schwachstellen in Unternehmensumgebungen. Sicherheitsteams sollten ein aktuelles Inventar aller Software- und Firmwareversionen führen und Patches anwenden, sobald die Anbieter diese veröffentlichen.

Ein Programm zur kontinuierlichen Schwachstellenverwaltung verfolgt die Exposition zwischen Patch-Zyklen und priorisiert die Behebung basierend auf Ausnutzbarkeit und Geschäftsauswirkungen. Automatisierte Patch-Management-Tools verkürzen das Zeitfenster zwischen Schwachstellenbekanntgabe und Behebung, insbesondere in Umgebungen mit hohem Volumen, in denen manuelles Patchen nicht praktikabel ist.

Organisationen, die auf Remote-Access-Sicherheit Modelle basierend auf Zero-Trust-Prinzipien umstellen, stellen möglicherweise fest, dass zero trust network access (ZTNA) eine granularere Kontrolle bietet, indem jede Sitzung einzeln überprüft wird, anstatt beim Verbindungsaufbau einen umfassenden Netzwerkzugang zu gewähren.

Beste Praktiken der Netzwerksicherheit für Bedrohungserkennung und -reaktion

Basis-Netzwerkprotokolle und Überwachung von Abweichungen

Prävention reduziert die Exposition, aber Erkennungs- und Reaktionsfähigkeiten bestimmen, wie schnell ein Team eine durchkommende Bedrohung identifiziert und eindämmt, insbesondere eine, die sich bereits unter einer legitimen, aber kompromittierten Identität bewegt.

Verwenden Sie Honeypots und Honeynets

Ein Honeypot ist ein Ködersystem, das so gestaltet ist, dass es wie ein echtes Netzwerk-Asset erscheint. Ein Honeynet ist ein Netzwerk von Honeypots, das eine komplexere Netzwerkumgebung simuliert. Beide lenken Angreifer von Produktionsressourcen ab und ermöglichen Sicherheitsteams, Angriffstechniken zu studieren und Bedrohungsinformationen zu sammeln, ohne Live-Systeme zu gefährden.

Setzen Sie Systeme zur Erkennung und Verhinderung von Eindringlingen ein

Ein Intrusion Detection System (IDS) überwacht den Netzwerkverkehr auf potenziell bösartige Aktivitäten und alarmiert Administratoren. Ein Intrusion Prevention System (IPS) geht weiter und blockiert oder mindert Bedrohungen automatisch zusätzlich zur Generierung von Warnungen.

Endpoints sind häufige Einstiegspunkte, da Phishing, Drive-by-Downloads und Diebstahl von Zugangsdaten Geräte anstelle der Netzwerkinfrastruktur direkt angreifen. Endpoint Management-Tools, einschließlich endpoint detection and response (EDR) und Endpoint Protection Platform (EPP)-Lösungen erweitern die Sichtbarkeit des Geräteverhaltens und blockieren bekannte Bedrohungen. Die Anwendung von Verhaltensüberwachung zusammen mit Anwendungs-Whitelisting schafft mehrere Erkennungsebenen auf Geräteebene.

Erstellen Sie Basisnutzungsmuster für verschiedene Protokolle in kabelgebundenen und drahtlosen Netzwerken sowie dafür, wer normalerweise von wo und wann auf welche Systeme zugreift. Sammeln Sie Daten von Routern, Switches, Firewalls, drahtlosen Zugangspunkten, Netzwerkschnüfflern und dedizierten Datensammlern. Überwachen Sie Abweichungen von diesen Baselines, die auf Datentunnel, Malware, die mit externen Servern kommuniziert, ein Konto, das Systeme nutzt, auf die es zuvor nie zugegriffen hat, oder andere Bedrohungsaktivitäten hinweisen können, die sonst unbemerkt blieben.

Automatisieren Sie die Reaktion auf bekannte Bedrohungen

Viele moderne Sicherheitstools können so konfiguriert werden, dass sie automatisch auf bekannte Bedrohungen reagieren. Zum Beispiel können diese Systeme:

Durch den Vergleich der aktuellen Netzwerkaktivität mit festgelegten Baselines können diese Tools Spitzen erkennen, die auf Ransomware-Aktivitäten oder SQL-Injection-Versuche hinweisen. Angriffssignaturbibliotheken erweitern die Erkennung auf bekannte Bedrohungsmuster.

Die Kombination dieser Tools mit SIEM-Firewall-Integration ermöglicht Sicherheitsteams, Warnungen aus mehreren Datenquellen, einschließlich Identity- und Access-Protokollen, zu korrelieren, wodurch Fehlalarme reduziert und echte Bedrohungen schneller erkannt werden.

• IP-Adresse blockieren: Ein IPS oder eine Firewall kann die IP-Adresse des angreifenden Hosts blockieren. Diese Option ist sehr effektiv gegen Phishing- und Denial-of-Service-Angriffe. Allerdings fälschen einige Angreifer während der Angriffe die Quell-IP-Adresse, wodurch die falsche Adresse blockiert wird.
• Verbindungen beenden: Router und Firewalls können so konfiguriert werden, dass sie Verbindungen, die ein Eindringling zum kompromittierten System hält, durch das Senden von TCP RESET-Paketen an den Angreifer beenden.

Erstellen und testen Sie einen Incident-Response-Plan

• Gewinnen Sie zusätzliche Einblicke: Tools können auch wertvolle Informationen sammeln, um den ursprünglichen Einstiegspunkt zu bestimmen, welche Konten kompromittiert wurden, wie sich Eindringlinge im Netzwerk bewegt haben und welche Daten sie gestohlen haben.

Verwenden Sie Lösungen von mehreren Anbietern

Cloud- und Remote-Arbeitssicherheit

• Zugriff widerrufen oder aussetzen: Identity- und privileged access-Tools können ein kompromittiertes Konto deaktivieren oder bestehende Berechtigungen widerrufen, sobald anomales Verhalten erkannt wird, und so den Weg blockieren, bevor ein Angreifer weitere Eskalationen vornehmen kann.

Der Einsatz von Sicherheitstools verschiedener Anbieter reduziert das Risiko eines einzelnen Ausfallpunkts. Wenn die Lösung eines Anbieters kompromittiert wird, erhalten die Lösungen anderer Anbieter die Verteidigungsposition aufrecht. Ein Multi-Anbieter-Ansatz ermöglicht zudem eine größere Anpassungsfähigkeit, wenn sich die Bedrohungslandschaft weiterentwickelt und sich die Sicherheitsanforderungen ändern.

Pläne, die auf den Richtlinien des NIST Cybersecurity Framework basieren, bieten eine anerkannte Struktur für jede Phase des Reaktionszyklus. Das Incident-Response-Team sollte den Plan durch Tabletop-Übungen proben, bevor ein echter Vorfall eintritt.

Erkennung ohne einen strukturierten Reaktionsplan führt dazu, dass Sicherheitsteams unter Druck Entscheidungen treffen müssen, ohne definierte Rollen oder Verfahren. Ein information security policy-Rahmen sollte einen dokumentierten incident response-Plan enthalten, der Rollen und Verantwortlichkeiten zuweist, Kommunikationskanäle für wichtige Stakeholder etabliert und Eindämmungsschritte für bekannte und Zero-Day-Bedrohungen beschreibt.

Moderne Unternehmensnetzwerke erstrecken sich weit über den Unternehmensperimeter hinaus. Remote-Mitarbeiter, Cloud-Arbeitslasten und SaaS-Anwendungen bedeuten, dass Netzwerksicherheitskontrollen den Benutzern und Daten überall folgen müssen, wo sie tätig sind.

Wie Netwrix Ihnen hilft, Ihr Netzwerk zu überwachen und zu sichern

Netwrix beantwortet die Frage, die immer wieder auftaucht: Wer und was kann Ihr Netzwerk erreichen und was passiert, wenn sie drin sind.

Cloud-Sicherheit Richtlinien sollten die Zugriffsverwaltung für cloud-gehostete Ressourcen, die Verschlüsselung von Daten während der Übertragung und im Ruhezustand sowie die Überwachung der Umgebungen von Cloud-Service-Anbietern abdecken. Modelle der geteilten Verantwortung bedeuten, dass Cloud-Anbieter die zugrunde liegende Infrastruktur sichern, aber Organisationen sind weiterhin für die Sicherheit dessen verantwortlich, was darauf läuft.

Für Remote-Mitarbeiter erweitern VPNs und ZTNA-Lösungen den sicheren Zugriff auf Geräte außerhalb des Netzwerks. Organisationen sollten dieselben data loss prevention-Kontrollen auf entfernte Endpunkte anwenden wie auf lokale Geräte und die Sichtbarkeit der Daten, auf die entfernte Benutzer zugreifen und die sie übertragen, aufrechterhalten.

Netwrix Privilege Secure, die der oben beschriebenen Reaktion „Zugriff widerrufen oder aussetzen“ entspricht, jedoch integriert statt nachträglich hinzugefügt ist.

Netwrix Auditor bietet kontinuierliche Transparenz über Benutzeraktivitäten, Konfigurationsänderungen und Zugriffsereignisse in hybriden Microsoft-Umgebungen. Es ist das Protokoll, das erkennt, wenn ein Konto auf etwas zugreift, das es zuvor nie berührt hat, sodass Teams untersuchen können, bevor es zu einem Vorfall wird.

Fordern Sie eine Demo an und sehen Sie, wie Netwrix Ihnen hilft, Netzwerkaktivitäten zu überwachen, das Prinzip der geringsten Rechte durchzusetzen und Bedrohungen zu erkennen, bevor sie eskalieren.