Übungsaufgaben zu Firewall, DMZ, Proxy und IDS/IPS

Je Risiko 1 Punkt (Entscheidung und, wo nötig, passende Maßnahme):

• Allow-List: Nur ausdrücklich erlaubte Verbindungen (z. B. DNS, DHCP, HTTP/HTTPS ins Internet) sind zugelassen; alles andere wird verworfen (1 Punkt).

• Block-List: Nur ausdrücklich verbotene Verbindungen (z. B. Zugriff auf das Orga-Netz) werden gesperrt; alles andere ist erlaubt (1 Punkt).

• Begründung (2 Punkte): Für das Gäste-WLAN ist die Allow-List besser. Die Geräte sind unbekannt und nicht verwaltet; mit einer Block-List wären neue interne Netze, Dienste oder Angriffswege automatisch offen, bis jemand sie sperrt. Die Allow-List gibt nur frei, was Gäste wirklich brauchen.

Lücken (je 1 Punkt): C udp, D Zielport 67, E Ziel 10.140.0.10/32, F udp (auch tcp/udp richtig).

Reihenfolge, z. B. D, F, E, B, A, G, C, H. Bewertung (3 Punkte):

• E und F stehen vor B (1 Punkt): Info-Server und DNS-Dienst der Firewall liegen in 10.0.0.0/8; stünde B davor, wären beide gesperrt.

• B steht vor A, C und G (1 Punkt): „any“ umfasst auch die internen Netze; stünden die Web-Regeln davor, käme ein Gast per HTTP(S) an jeden internen Webserver.

• H steht am Ende (1 Punkt), sonst wird nichts erlaubt.

D darf vor oder hinter B stehen, weil die Broadcast-Adresse nicht in 10.0.0.0/8 liegt; die erste DHCP-Anfrage hat noch keine eigene Adresse, deshalb ist die Quelle any (eigentlich 0.0.0.0). Verlängert ein Gerät später seine Adresse, fragt es die Firewall direkt unter 10.200.0.1 an; dafür bringen viele Firewalls eine eingebaute Regel mit, sonst braucht es eine weitere Regel vor B. deny darf auch reject oder drop heißen.

Die DNS-Anfrage geht per UDP an Port 53 einer Adresse im Internet. Regel F erlaubt Port 53 nur zur Firewall (10.200.0.1), die Regeln A, C und G erlauben ins Internet nur die Ports 80 und 443 (1 Punkt). Also greift erst Regel H und verwirft die Anfrage; ohne Namensauflösung findet der Browser keine Webseite, obwohl Adressvergabe und Verbindung funktionieren (1 Punkt).

Bewertung (1 Punkt): Eine zusätzliche Regel ist nicht nötig. Der Gast stellt den DNS-Server auf „automatisch“ (per DHCP) um und nutzt dann die Firewall. So bleiben Filterung und Protokollierung der Namensauflösung an einer Stelle. Vertretbar ist auch, DNS ins Internet freizugeben, wenn Gäste eigene Resolver nutzen sollen – dann lässt sich die DNS-Filterung aber umgehen. (Ein Browser mit DNS über HTTPS käme übrigens schon jetzt durch, weil Port 443 erlaubt ist.)

Die Firewall arbeitet mit Stateful Packet Inspection: Sie trägt jede erlaubte Verbindung mit Adressen, Ports und Zustand in eine Zustandstabelle ein (1 Punkt) und lässt Antwortpakete, die zu einer eingetragenen Verbindung passen, automatisch durch (1 Punkt). Eine Rückregel („TCP von Port 443 aus dem Internet an hohe Ports im Gäste-WLAN erlauben“) würde dagegen jedes Paket mit Quellport 443 durchlassen, auch solche, die zu keiner Anfrage gehören; die SPI-Firewall verwirft solche Pakete (1 Punkt).

• Fehler 1 (1 Punkt): Die Reihenfolge stimmt nicht. Regel 1 sperrt allen Verkehr in interne Netze und trifft den Encoder zuerst; Regel 2 wird nie erreicht.

• Fehler 2 (1 Punkt): RTMP läuft über TCP, nicht über UDP.

Korrigierte Tabelle: 2 Punkte.

• Lösung des Kollegen (1,5 Punkte): Der übernommene Server steht mitten im Verwaltungsnetz. Von dort erreichen Angreifende ohne weitere Firewall alle Geräte dieses Netzes, etwa Verwaltungs-PCs, Dateiserver und Verzeichnisdienst, und können sich ausbreiten.

• DMZ (1,5 Punkte): Übernommen wird nur der Reverse Proxy in der DMZ. Die Firewall zum internen Netz lässt aus der DMZ nur eng freigegebene Verbindungen durch (z. B. zu genau einem Port des Anwendungsservers) und verwirft alles andere. Angreifende müssen eine weitere Firewall überwinden, und ihre Versuche fallen im Protokoll auf.

• Bewertung (1 Punkt): Der Vorschlag ist abzulehnen. Ein aus dem Internet erreichbares System gehört in die DMZ, erst recht, wenn im Hintergrund personenbezogene Daten (auch Minderjähriger) liegen.

• Einstufig: eine Firewall mit drei Schnittstellen zu Internet, DMZ und internem Netz (1,5 Punkte).

• Zweistufig: Die DMZ liegt zwischen einer äußeren Firewall (zum Internet) und einer inneren Firewall (zum internen Netz) (1,5 Punkte).

• Vorteil (1 Punkt): Angreifende müssen zwei Firewalls überwinden; bei Geräten verschiedener Hersteller genügt eine einzelne Sicherheitslücke nicht. Auch ein Konfigurationsfehler an einer Firewall öffnet nicht sofort das interne Netz.

• DMZ: Reverse Proxy, Mail-Relay, öffentlicher DNS-Server (je 0,5 Punkte).

• Internes Netz: Datenbankserver, Verzeichnisdienst, Backup-Server (je 0,5 Punkte).

• Begründungen (je 1 Punkt, zwei davon, z. B.):

  • Mail-Relay: Es tauscht E-Mails mit dem Internet aus, speichert aber keine Postfächer; es reicht die Nachrichten nur weiter.

  • Öffentlicher DNS-Server: Er muss Anfragen aus dem ganzen Internet beantworten, enthält aber nur die öffentlichen Einträge; die internen Namen bleiben beim internen DNS.

  • Backup-Server: Er enthält Kopien aller Daten und muss nie aus dem Internet erreichbar sein; er gehört nach innen, am besten in ein eigenes, besonders abgeschottetes Segment.

  • Datenbankserver: Er enthält personenbezogene Daten und wird nur vom Anwendungsserver über einen freigegebenen Port angesprochen.

Ein /28-Netz hat 2^{32-28} = 16 Adressen: Netzadresse 198.51.100.32, nutzbar .33 bis .46 (14 Adressen), Broadcast .47.

• Die äußere Firewall hat die Netzadresse erhalten; richtig ist eine nutzbare Adresse, z. B. 198.51.100.33/28 (1,5 Punkte).

• Die innere Firewall hat die Broadcast-Adresse erhalten; richtig ist z. B. 198.51.100.46/28 (1,5 Punkte).

• Reverse Proxy und Mail-Relay sind richtig. Frei bleiben 14 - 4 = 10 Adressen (1 Punkt).

Äußere Firewall:

Innere Firewall:

Bewertung: je richtiger Erlaubnisregel 1 Punkt (5 Punkte), je Default-Deny-Regel 1 Punkt (2 Punkte), passende Richtung bzw. Zonen 1 Punkt. HTTP auf Port 80 wird meist nur freigegeben, damit der Reverse Proxy auf HTTPS umleiten kann. Der Quellport ist jeweils „any“.

Je Anforderung 1,5 Punkte (Funktion 0,5, Erläuterung 1):

1. Lastverteilung (Load Balancing): Der Reverse Proxy verteilt die Anfragen auf beide Anwendungsserver. Er prüft regelmäßig, ob beide antworten, und nimmt einen ausgefallenen Server aus der Verteilung.

2. TLS-Terminierung: Zertifikat und privater Schlüssel liegen nur am Reverse Proxy. Er entschlüsselt die Anfragen und reicht sie intern (wieder verschlüsselt über Port 8443) weiter; eine automatische Erneuerung muss nur dort eingerichtet werden.

3. Verteilen nach Pfad: Der Reverse Proxy wertet den Pfad der URL aus und gibt Anfragen an /karten/ an den Kartenserver, alle anderen an den Anwendungsserver. Für die Apps bleibt es eine Adresse. Zusätzlich kann er die Kacheln zwischenspeichern (Caching), weil sie sich selten ändern.

4. Prüfen der Anfragen (Web Application Firewall): Der Reverse Proxy erkennt typische Muster einer SQL-Injection und blockiert die Anfrage, bevor sie den Anwendungsserver erreicht. Das ergänzt sichere Programmierung (vorbereitete Anweisungen), ersetzt sie aber nicht.

• Paketfilter: Schicht 3 und 4 (Adressen, Protokoll, Ports), jedes Paket einzeln (1 Punkt).

• SPI-Firewall: Schicht 3 und 4 mit Verbindungszustand (Zustandstabelle) (1 Punkt).

• NGFW: Schicht 3 bis 7, prüft auch Inhalte und Anwendungen (1 Punkt).

Vorteile (je 1,5 Punkte, zwei davon):

• Deep Packet Inspection und Anwendungserkennung: Die NGFW erkennt Anwendungen auch auf Standardports (z. B. einen Filesharing-Client über Port 443) und kann sie sperren oder begrenzen.

• Integriertes IPS: Angriffe in erlaubtem Verkehr werden erkannt und blockiert.

• Virenscanner, URL-Filter und Sandbox prüfen Downloads und Webseiten.

• Regeln für Benutzer und Gruppen statt nur für IP-Adressen.

ba) Gleichzeitig möglich sind höchstens 200 IPsec-Tunnel bzw. (empfohlen) 80 Nutzende per SSL-VPN – beides reicht für 40 Personen (2 Punkte).

Begrenzend ist nicht die Firewall (IPsec-Durchsatz 1,2 Gbit/s), sondern der Internetanschluss mit 500 Mbit/s (1 Punkt).

Geg.: r_{\mathrm{ges}} = 500\ \mathrm{Mbit/s}, n = 40

Ges.: Datenrate je Verbindung r

r = \frac{r_{\mathrm{ges}}}{n} = \frac{500\ \mathrm{Mbit/s}}{40} = \underline{\underline{12{,}5\ \mathrm{Mbit/s}}}

(2 Punkte). Der Overhead der Verschlüsselung (zusätzliche Header) senkt den tatsächlichen Wert noch etwas.

bb) Der Firewall-Durchsatz wird mit großen Paketen gemessen, bei denen je übertragenem Byte am wenigsten Pakete zu prüfen sind, und nur Kopfdaten werden ausgewertet (1 Punkt). Bei der Threat Protection untersucht die Firewall zusätzlich die Inhalte (IPS, Anwendungserkennung, Virenscan), das kostet viel Rechenzeit je Paket; dieser Wert ist für den realen Betrieb maßgeblich (1 Punkt).

• IDS (Intrusion Detection System): erkennt verdächtigen Verkehr, meldet und protokolliert ihn, greift aber nicht ein; es erhält meist eine Kopie des Verkehrs (1 Punkt).

• IPS (Intrusion Prevention System): liegt im Datenweg und blockiert erkannte Angriffe automatisch, z. B. durch Verwerfen der Pakete oder Sperren des Absenders (1 Punkt).

• Erkennung (2 Punkte): signaturbasiert durch Vergleich mit bekannten Angriffsmustern (zuverlässig, aber blind für neue Angriffe) oder anomaliebasiert durch Abweichungen vom normalen Verkehr (erkennt auch Neues, aber mehr Fehlalarme, die beim IPS legitimen Verkehr blockieren können).

da) Für 10.20.5.8 passt die Route 10.0.0.0/8 (längster passender Präfix vor der Standardroute): Das Paket geht an 10.99.0.1, also durch den Tunnel ins Werk (1 Punkt). Für 192.0.2.80 passt nur die Standardroute 0.0.0.0/0: Das Paket geht an 192.168.178.1, den Router des Hotels, und direkt ins Internet (1 Punkt). Ursache: Der VPN-Client arbeitet mit Split Tunneling und schickt nur den Verkehr in die Werksnetze durch den Tunnel; der Internetverkehr läuft an der NGFW vorbei (1 Punkt).

db) Der Vorschlag hilft nicht (1 Punkt): Ohne Standardroute erreicht das Notebook auch das VPN-Gateway des Werks nicht mehr, der Tunnel bricht ab; außerdem trägt das Hotel-WLAN die Route beim nächsten Verbinden wieder ein. Richtig ist, im VPN-Client den gesamten Verkehr durch den Tunnel zu leiten (Full Tunnel, unter Windows „Standardgateway für das Remotenetzwerk verwenden“, für IPv4 und IPv6); der Client setzt dann selbst die Standardroute in den Tunnel und nur eine Hostroute zum VPN-Gateway über das Hotel (1 Punkt).

• Begriffe (1 Punkt): Büro- und Produktionsnetz sind Zonen mit unterschiedlichem Schutzbedarf. Jeder Kommunikationsweg zwischen ihnen ist ein Conduit, der so eng wie möglich begrenzt und überwacht werden muss.

• Variante 1 (1 Punkt): Jeder Büro-PC bekommt einen Conduit bis zu den Steuerungen. Ein infizierter Büro-PC kann die Steuerungen direkt ansprechen – nicht vertretbar.

• Variante 2 (1 Punkt): Es gibt nur noch ein Ziel, aber Verbindungen aus dem Büronetz enden weiterhin in der Produktionszone. Eine Lücke im Historian öffnet den Weg in die Produktion.

• Variante 3 (1 Punkt): Die IDMZ ist eine eigene Zone. Es gibt zwei Conduits (Produktion → IDMZ, Büro → IDMZ), und beide enden in der IDMZ; aus dem Büronetz führt kein Weg direkt in die Produktion.

• Entscheidung (1 Punkt): Variante 3. Die Übertragung auf das Replikat wird aus dem Produktionsnetz heraus aufgebaut, und die Firewalls lassen nur diese beiden Datenflüsse zu.

Je 2 Punkte, drei davon:

• Anwendungserkennung: Die Firewall erkennt tausende Anwendungen unabhängig vom verwendeten Port und filtert nicht nur nach Port und Protokoll.

• Benutzerbezogene Regeln: Richtlinien gelten je Benutzer bzw. Gruppe aus dem Verzeichnisdienst.

• Intrusion Prevention: Die Inhalte der Pakete werden in Echtzeit geprüft; Angriffe auf Schwachstellen und die Kommunikation von Schadsoftware mit ihrem Steuerserver werden blockiert.

• TLS-Inspection: Verschlüsselter Verkehr kann – soweit die Richtlinie es erlaubt – entschlüsselt und geprüft werden.

• Sandbox: Unbekannte Dateien werden in einer abgeschotteten Cloud-Umgebung ausgeführt und beobachtet, bevor sie auf den Rechner gelangen.

Geg.: Kaufpreis 2400{,}00\ €, Lizenz 780{,}00\ € pro Jahr, Miete 129{,}00\ € pro Monat, Laufzeit 3 Jahre bzw. 36 Monate

Ges.: Kosten K_A und K_B für drei Jahre

K_A = 2400{,}00\ € + 3 \cdot 780{,}00\ € = \underline{\underline{4740{,}00\ €}}

K_B = 36 \cdot 129{,}00\ € = \underline{\underline{4644{,}00\ €}}

(je 1,5 Punkte). Angebot B ist über drei Jahre um 96,00 € günstiger. Gesichtspunkte (je 1 Punkt, zwei davon): Austausch bei Defekt ist bei B enthalten (Verfügbarkeit); bei A gehört das Gerät nach drei Jahren dem Unternehmen, es braucht aber weiter eine Lizenz; Liquidität (keine Anfangsinvestition bei B); Bindung an den Vermieter für 36 Monate; Leistungsfähigkeit und Unterstützungszeitraum (Firmware-Updates) des Geräts.

Eine DMZ ist ein eigenes, durch Firewalls abgegrenztes Netz zwischen Internet und internem Netz. Dort stehen nur die Systeme, die aus dem Internet erreichbar sein müssen; Backend und Datenbank mit den Profildaten bleiben dahinter geschützt. Wird ein System in der DMZ angegriffen, ist das interne Netz durch eine weitere Firewall abgeschirmt (3 Punkte).

Anwendungen (je 1 Punkt, zwei davon): Reverse Proxy bzw. API-Gateway, das die Anfragen der Apps annimmt; Webserver für die Web-Version und die Unternehmensseite; Mail-Relay für Benachrichtigungen; Server für Push-Benachrichtigungen bzw. für die Auslieferung von Profilbildern.

1 äußere Firewall, 2 Reverse Proxy (API-Gateway), 3 innere Firewall, 4 Backend-Server, 5 MariaDB (4 und 5 auch vertauscht richtig, da beide im internen Netz); (A) DMZ, (B) internes Netz. Je zwei richtige Zuordnungen 1 Punkt (höchstens 3 Punkte), beide Bereiche richtig 2 Punkte.

Ein klassisches VPN verbindet das Gerät nach der Anmeldung mit dem ganzen Netz; ein übernommenes Gerät kann dann alle Systeme dort erreichen (1 Punkt). Bei ZTNA erhalten die Nutzenden nur Zugriff auf einzelne freigegebene Anwendungen (z. B. die Administrationsoberfläche des Backends), nicht auf das Netz (1 Punkt), und Identität, Berechtigung und Zustand des Geräts werden bei jedem Zugriff erneut geprüft, nicht nur einmal beim Verbindungsaufbau (1 Punkt).

Eine Netzwerk-Firewall steht an der Grenze zwischen Netzen und schützt alle Geräte dahinter mit einem gemeinsamen Regelwerk; sie sieht aber nur Verkehr, der durch sie hindurchläuft (1 Punkt). Eine Personal Firewall läuft auf dem einzelnen Gerät, kennt dessen Programme und schützt es unabhängig davon, in welchem Netz es gerade ist (1 Punkt).

Stellungnahme (2 Punkte): Die Aussage stimmt nicht. Mobil genutzte Notebooks sind oft in fremden Netzen (Café, Bahn, Konferenz) und dort nicht durch die Büro-Firewall geschützt. Auch im Büro hilft die Personal Firewall gegen Angriffe von einem anderen, infizierten Gerät im selben Netz, deren Verkehr die zentrale Firewall nicht sieht. Beide ergänzen sich.