Firewall: Der unverzichtbare Schutzschild für ihr Unternehmensnetzwerk

Zielgerichtete Internetangriffe nehmen konstant zu.

Gleichzeitig stehen Firmen täglich vor der Herausforderung ihr Unternehmensnetzwerk vor diesen Internetbedrohungen abzusichern. Die Verwendung von modernen Firewall-Lösungen ist folglich schon lange keine Wahlmöglichkeit mehr, stattdessen ein absolutes Muss. Als erste Verteidigungslinie eines Betriebes überwachen sie nicht nur den vollständigen eingehenden und ausgehenden Netzwerkverkehr, sie identifizieren und behindern ebenso auch den ungewollten Traffic und den unerlaubten Zugang auf das Unternehmensnetzwerk.

Ob Phishing-Mails, Advanced Persistent Threats, Zero-Day-Bedrohungen oder zielgerichtete Angriffe: Die Gefahr Opfer von Internetkriminalität zu werden, hat seit einigen jahren erheblich zugenommen – im Besonderen für mittelständische Betriebe.

Entsprechend einer Befragung des Digitalverbands Bitkom waren 2019 rund 75 % aller Unternehmen in Deutschland nachweislich von Internetangriffen betroffen, wenngleich von einer bedeutsam höheren Dunkelziffer auszugehen ist.

Da die fortschreitende Digitalisierung und die wachsende Verbreitung und Verwendung von Clouddiensten, mobilen Endgeräten sowie internetfähigen Anlagen und Systemen diese Fortentwicklung fördert und laufend neue Schlupflöcher für Internetkriminelle erschafft, müssen Unternehmen hochentwickelte Abwehrtechniken einsetzen, um dieser Gefahrenlage Herr zu werden.

Die Verwendung von zeitgemäßen Firewall-Systemen ist daher längst keine Wahlmöglichkeit mehr, sondern ein absolutes Muss.

Halt! Du kommst dort nicht rein!

Der englische Ausdruck Firewall heißt wörtlich übersetzt „Brandmauer“.

In ihrer grundlegendsten Beschaffenheit dreht es sich bei einer Firewall-Anwendung um eine Netzwerksicherheitsvorrichtung, die eine Hürde zwischen einem öffentlichen Datennetz (WAN) und einem privaten Unternehmensnetzwerk (LAN) bildet und den kompletten Netzwerkverkehr kontrolliert.

Eine Firewall bestimmt auf Basis einer Anzahl zuvor festgelegten Sicherheitsrichtlinien, welche Datenpakete durchgelassen werden und welche zu behindern sind. Somit können zum Beispiel nicht nur unerwünschte Netzwerkzugriffe und Angriffe von außen abgewehrt werden bei denen Internetkriminelle über offene Ports Zugang auf ein IT-System oder Unternehmensnetzwerk bekommen möchten, sondern auch Kontaktversuche einer Malware zu einem Kontroll-Server nach einer gelungenen Kompromittierung.

Alles in allem sitzen Firewall-Systeme an der Schnittstelle mindestens zweier Netze. Dabei können sie wahlweise als Softwarekomponente, als dedizierte Hardware oder einer Mischung aus beidem zum Einsatz kommen.

Alles begann mit einem Wurm namens Morris …

Die Geburtsstunde der Firewall-Entwicklung ist auf die späten 1980er-Jahre zurückzuführen, als der allererste Internet-Wurm namens „Morris“ eine Internet-Epidemie auslöste und etwa ein Zehntel des damals noch jungen Internets lahmlegte.

Seit dieser Zeit sind die Sicherheitsbedrohungen durch Schadprogramme und Internetangriffen sprunghaft gestiegen – und mit ihr die Notwendigkeit IT-Systeme und IT-Umgebungen mit einer Firewall abzusichern.

Dadurch wurden im Laufe der Zeit unterschiedliche Firewall-Technologien mit verschiedenen Funktionskomponenten entwickelt. Was damals als Firewall galt, ist jedoch mit dem, was heute Standard ist, kaum zu vergleichen.

Zurzeit gibt es fünf Grundtypen von Firewall-Lösungen in Betrieben, die sich in der Art und Weise unterscheiden, wie sie den Datenverkehr bewerten und die Netzwerkleistung steuern.

Dazu gehören:

• Paketfilter-Firewalls:
Paketfilter-Firewalls spiegeln den ursprünglichen Ansatz wider, ein Perimeter-Sicherheitssystem zur Verteidigung von ungebetenem Netzwerkverkehr an einem Knotenpunkt wie zum Beispiel an einem Router oder einem Switch bereitzustellen. Durch die Analyse eingehender und ausgehender Datenpakete am Knotenpunkt können die Firewalls wesentliche Informationen über IP-Adressen, Pakettyp und Portnummer erhalten. Entspricht das Datenpaket nicht den Sicherheitsrichtlinien, wird es von der Firewall-Anwendung nicht an seinen Empfänger weitergeleitet.

• Stateful Packet Inspection Firewalls:
Stateful Packet Inspection Firewalls -zu Deutsch zustandsorientierte Paketüberprüfung- sind Firewall-Systeme mit einer dynamischen Filtertechnik, die auf Basis von Sicherheitsrichtlinien und Daten aus ehemaligen Aktivitäten einzelner Datenpakete entscheiden, ob diese zugelassen oder blockiert werden. Hierbei wird die Aktivität jedes Datenpakets im Rahmen einer Internet-Sitzung, in die es eingebunden ist, vom Start der Session bis zum Schluss verfolgt. Stateful Packet Inspection-Firewalls gelten heute als „traditionelle“ Firewalls und bieten im Vergleich zu Paketfilter-Firewalls moderenere Zugriffskontrollen.

• Circuit Level Gateways

Circuit-Level-Gateways sind Firewalls, die den TCP-Datenpaket-Handshake überwachen, um festzustellen, ob die gestartete Session rechtens ist und das vernetzte System als vertrauenswürdig angesehen werden kann. Hierbei wird der Datenverkehr auf der Basis von Sicherheitsrichtlinien durchgelassen oder abgelehnt. Da Gateways weder Daten über das zu inspizierende Netzwerk offenbaren noch die Paketinhalte selbst steuern, kann bösartiger Datenverkehr leicht übersehen werden.

• Anwendungs-, Proxy- oder Application Firewalls

Anwendungs-, Proxy- oder Application Firewalls überprüfen zudem zu den puren Verkehrsdaten auch den Inhalt der Datenpakete. Der Proxyserver baut hierzu eine eigene Verbindung zum Zielsystem auf und überprüft die Pakete auf bösartige Inhalte, allgemein bekannte Viren, markierte Internetseiten, Exploits sowie Richtlinienverletzungen. Genügen die Inhalte der Datenpakete nicht den Filterregeln, werden sie nicht an den Client-Computer weitergereicht.

• Next Generation Firewalls

Next Generation Firewalls verfügen über viele Grundfunktionalitäten klassischer Firewalls, erweitert diese hingegen mit weiteren Filter- und Analysemöglichkeiten. Next Generation Firewalls können höhere Schichten Protokolle auswerten. Sie sind in der Lage, bösartigen Traffic spezifischer und kluger zu erkennen und zu behindern, indem sie Sicherheitsrichtlinien auf Anwendungs-, Port- und Protokollebene durchsetzen.
Dadurch bieten Next Generation Firewalls im Unterschied zu herrkömmlichen Firewall-Systemen einzigartige Vorteile und eine noch bessere Schutzfunktion.

Grundsätzlich muss eine Next-Generation Firewall folgende Funktionalitäten beinhalten:

• Integriertes Intrusion Prevention
• Intrusion Prevention System
• Deep Packet Inspection
• TLS/SSL und SSH Inspection
• Website-Filter
• Antivirus Inspection
• Malware-Erkennung
• QoS Management

Echtzeitschutz für serverlose Web-Applikationen

Webanwendungen zählen heutzutage bereits zum Standard etlicher Unternehmen.
Um diese vor gezielten Angriffsversuchen zu beschützen, sind Web Application Firewalls inzwischen für jede Firma unverzichtbar. Eine Web Application Firewall schützt Webanwendungen insbesondere vor Angriffsversuchen, die über HTTP (Hypertext Transfer Protocol) erfolgen, indem sie den eingehenden und ausgehenden Datenverkehr zwischen Clients und Webservern auf Anwendungsebene kontrolliert. Bei verdächtigen Inhalten wird der Zugriff verboten.

Die Entwicklung geht weiter …!

Hochentwickelte Angriffsszenarien fordern gleichzeitig hochentwickelte Abwehrtechniken, die sowohl zuverlässige Bedrohungserkennung als auch zügige Reaktionszeiten bieten.

Obwohl Firewall-Systeme nicht mehr die einzige Verteidigungslinie eines Betriebes bilden, spielen sie nach wie vor eine wesentliche Rolle in jedem Netzwerksicherheitskonzept. Parallel müssen sie fortlaufend entwickelt werden, um die immer komplexer werdenden Angriffsszenarien in Zukunft abwehren zu können.

Möchten Sie noch mehr über Firewalls, Netzwerksicherheit oder IT-Sicherheit kennenlernen, oder sind Sie an einer fortschrittlichen und modernen Firewall-Lösung interessiert, die Ihnen ein hohes Maß an Sicherheit vor unerwünschten Eindringlingen und Internetbedrohungen bietet? Sprechen Sie uns an! Gerne stehen wir Ihnen unter Betrachtung der derzeitigen Situation und Gegebenheiten zur Verfügung.