Deep Dive: Firewall Evaluation und Härtung

Alle Hersteller bieten in neueren Versionen mehr Funktionen, die vor einem Upgrade geprüft werden sollten. Mit einem FortiGate 60D müssen Sie beispielsweise nicht unbedingt auf den neuesten Code aktualisieren, da dies die Leistung oder Stabilität beeinträchtigen kann. Wenn Sie den neuesten Code verwenden möchten, ist es am besten, nur die erforderlichen Funktionen zu aktivieren und alle anderen zu deaktivieren.

Abgesehen von den offiziellen Angaben gilt im Falle von Fortinet die ungeschriebene Faustregel, dass die ersten drei oder vier Versionen nicht verwendet werden sollten. Zum Beispiel sind die frühen Versionen 6.2 und 6.4 bekannt für unerwartete Verlangsamungen und Daemon-Abstürze, die aufwendige Massnahmen oder Rollbacks erfordern, um sie zu beheben.

Ich empfehle ein Upgrade, wenn:

• Ein Fehler, von dem eine Organisation betroffen ist, in einer neueren Version behoben ist;
• eine Funktion, die Sie benötigen, nur in der neueren Version verfügbar ist;
• die Verlängerung des Supportvertrags ein Upgrade verlangt.

3. Sicherheits-Rating

FortiGate verfügt über eine hilfreiche integrierte Funktion, die eine Zusammenfassung der verschiedenen Elemente und das von ihnen ausgehende Sicherheitsrisiko anzeigt und anschliessend Bewertungen und Empfehlungen abgibt. Die Funktion findet sich in Security Fabric -> Security Rating. Für erweiterte Funktionen des Tools ist eine zusätzliche Lizenz erforderlich, aber auch die integrierte Version hilft, einen Überblick zu bekommen. Sie ist intuitiv und strukturiert, so dass man zum Beispiel das Folgende schnell finden kann:

• Inaktive Regeln,
• Schwachstellen,
• Tipps zur Sicherheitsoptimierung,
• Lizenzinformationen,
• Möglichkeiten zur schnellen Behebung von Problemen.

Beachten Sie, dass nicht alles, was als kritisch eingestuft wird, auch wirklich schlecht ist. Das Tool sagt zum Beispiel, dass Sie niemals einen anderen Router oder ein anderes NAT-Gerät als FortiGate verwenden sollten, oder bezeichnet das Fehlen einer unnötigen Lizenz als kritisch. Lesen Sie den Bericht durch und nehmen Sie ihn mit Vorsicht zur Kenntnis, wenn Sie Ihr Urteil fällen.

Einige der Abhilfemassnahmen können automatisch angewendet werden, allerdings beschränken sich die Korrekturen in der Regel nur auf die sichersten oder relativ unbedeutenden Änderungen. Der Grossteil der Massnahmen sollte - zu Recht - manuell durchgeführt werden.

In diesem Stadium fahren wir mit der Dokumentation der Ergebnisse fort, wir können auch beschliessen, bereits Massnahmen zu ergreifen. Mein Ansatz ist der folgende:

• unbenutzte Objekte und Regeln sollten zuerst deaktiviert/gelöscht werden.
• alle neuen Regeln, die ich erstelle, beschreibe ich, füge Kommentare hinzu und lasse sie vorerst deaktiviert.
• Wenn ich mit der Struktur zufrieden bin, bespreche ich alles im Detail mit dem Kunden und beginne erst dann mit der Aktivierung der Regeln.

Auf diese Weise können wir Auswirkungen auf das Geschäft vermeiden, zum Beispiel bei der Aktivierung einer Regel mit App-, Web- oder IPS-Profil.

4. Firewall-Hygiene

Wie bereits erwähnt, werden alle nicht verwendeten Regeln im Menü Sicherheitsbewertung zusammengefasst. Das Tool zeigt das Datum an, an dem die Regeln zuletzt verwendet wurden. Das ist hilfreich, um zu entscheiden, welche Regeln deaktiviert und eventuell entfernt werden können.

Immer zielen, bevor man schiesst: Analysieren Sie die Regeln, bevor Sie etwas unternehmen. Es kann vorkommen, dass eine Regel monatelang nicht genutzt wurde - aus gutem Grund. Zum Beispiel kann die Erneuerung oder der Widerruf von Zertifikaten ein- oder zweimal pro Jahr erfolgen.

Es ist am besten, die ausgewählten Regeln zunächst zu deaktivieren, bevor sie gelöscht werden. Danach richten Sie sich selber eine Mahnung für den gewünschten Zeitraum ein, beispielsweise für einen Monat, und falls es keine Beschwerden gibt, löschen Sie die Regel nach Ablauf dieses Monats.

5. Unbenutzte Objekte

FortiGate ermöglicht es, ungenutzte Objekte schnell zu identifizieren, um sie zu entfernen. Zum Beispiel können Sie in Policy & Objects -> Addresses die Spalte Ref. filtern und auf 0 setzen, um nicht referenzierte Objekte anzuzeigen:

Wenn Sie FortiManager verwenden, ist dies ebenfalls einfach:

• Stellen Sie sicher, dass Sie sich im richtigen ADOM befinden;
• gehen Sie zu Policy & Objects;
• wählen Sie im Menü Tools die Option Unused Objects. Das Dialogfeld «Unbenutzte Objekte» wird angezeigt.
• Wenn Sie fertig sind, klicken Sie auf Schliessen.

6. Die berüchtigten "any-any"-Regeln

Sobald Sie unnötige Objekte entfernt haben und einen Überblick über den logischen Systemzustand haben, können Sie sich mit den Sicherheitsrichtlinien befassen. Ich werde mich in diesem Fall auf die IPv4-Richtlinien konzentrieren. Ich verwende den folgenden Ansatz:

• Aktivieren Sie zusätzliche Spalten wie Hit Counts, gesendete und empfangene Pakete, Status, Kommentare und Bytes:
  • Die Hit Counts zeigen an, wie oft die Regel verwendet wurde, und sie sind grundlegend für das Design, d.h. dass spezifische und viel genutzte Regeln aus Leistungsgründen höher in der Hierarchie stehen sollten, weniger spezifische Regeln sollten niedriger positioniert werden. Es gibt viele Veröffentlichungen über die Handhabung der Regeln, einige sind offiziell, wie die von NIST.
  • Gesendete und empfangene Pakete – zeigt auch an, ob die Verbindung gültig ist. Es kann Datenströme mit vielen gesendeten, aber 0 empfangenen Paketen geben - dies deutet auf einen Fehler im Regelsatz hin.
  • Details des Datenflusses können zeigen, ob es Timeouts oder andere Indikatoren gibt - diese Informationen sind über den Abschnitt Logs & Report zugänglich.
• Ich filtere die Regeln so, dass die am stärksten ausgelasteten angezeigt werden und die Regeln mit "any" (Fortinet bezeichnet "any" als "all"), entweder in Quelle, Ziel oder Dienst.
• Status zeigt an, ob die Regel aktiv ist,
• Kommentare geben mehr Aufschluss über die Regel und können auch für Audits oder die Verfolgung von Änderungen nützlich sein,
• Bytes helfen bei der Anwendung von Filtern.

Ich beginne die Richtlinienanalyse mit der Überprüfung der Quell- und Zielschnittstellen (in diesem Fall gibt es keine Zonen), der Dienste und der verwendeten UTM-Funktionen. Die gefährlichsten Regeln sind diejenigen, die Verbindungen von den nicht vertrauenswürdigen Zonen zu den vertrauenswürdigen Zonen erlauben. Ich überprüfe sie zuerst. Es könnte historische Regeln geben, die nicht mehr benötigt werden. Das Ziel ist es, unerwünschte Zugangspunkte zu verstehen, zu sichern und zu beseitigen. Glücklicherweise gab es bei der Firewall, an der ich gearbeitet habe, kein solches Problem. Anschliessend können wir prüfen, wie die Verbindungen aus dem LAN gesichert sind. In dem von mir untersuchten Fall gab es eine ganze Reihe von Regeln mit einer Kombination aus:

• Hohe Anzahl von Treffern,
• hohe Datenmengen,
• fehlende oder inkonsistente UTM-Funktionen,
• "beliebig" als Quelle, Ziel oder Dienst.

Einige Ursachen für diese Situation waren die fehlende Strategie für die Firewall-Politik, unkontrolliertes Wachstum, Schattenregeln, mangelndes Änderungsmanagement und fehlendes Wissen. So fand ich beispielsweise einen Cisco-Switch hinter einer der Firewall-Schnittstellen. Bei näherer Betrachtung wurden 18 Netze mit SVIs auf einem Switch mit entweder /20 oder /21 oder /24 Subnetzmaske entdeckt. Alle diese Netze konnten ohne Einschränkung kommunizieren.

Um mich auf das Gespräch mit dem Kunden vorzubereiten, priorisierte ich die Probleme und konzentrierte mich auf kritische Beispiele. Ich filterte die Ausgabe, um nur die "any-any"-Regeln zu sehen, die mehr als 100 TB an Daten verarbeiteten, mit einigen oder keinen UTM-Funktionen, unabhängig von der Richtung.

Tipp:

Um die am stärksten ausgelasteten Regeln schnell zu sehen, können Sie Hit Count und Bytes als Spalten in der IP-Richtlinie hinzufügen. Dann können Sie die Regeln nach der Anzahl der Bytes filtern:

Standardmässig sollten die Regeln spezifisch sein, aber es gibt immer einen Bedarf an offeneren Regeln, bei denen es unmöglich ist, die Datenströme im Detail zu steuern. Dies gilt zum Beispiel für Benutzer, die über HTTPS auf das Internet zugreifen. Für diese können wir die Inline- oder explizite Proxy-Funktion in der Firewall aktivieren und UTM-Funktionen wie SSL-Entschlüsselung, Web, App, IPS oder AV nutzen. Denken Sie daran, dass die meisten Angriffe von innerhalb des Netzwerks erfolgen, daher sollte jeder übermässig offene Datenverkehr durch die oben genannten Funktionen geschützt werden.

Denken Sie an IPS. Es wird traditionell von der DMZ in Richtung LAN eingesetzt, aber neuere Implementierungen fördern IPS auch innerhalb des LAN, um eine zusätzliche Schicht für Endpunkte zu bieten.

Ich empfehle, die Konsistenz der Funktionen zu überprüfen. In FortiGate überschneiden sich zum Beispiel App und Web teilweise. In diesem Fall habe ich einige Funktionen untersucht, die in einem Profil erlaubt und in einem anderen blockiert waren, obwohl sie beide in derselben Regel verwendet wurden.

Die Konfiguration sollte vorhersehbar und leicht nachvollziehbar sein und sicherstellen, dass nicht-geschäftlicher oder riskanter Datenverkehr von der Firewall blockiert wird. Bevor Sie Änderungen an der Konfiguration vornehmen, sollten Sie intern überprüfen, ob es vielleicht bereits Richtlinien des InfoSec-Teams oder eines vergleichbaren Gremiums gibt, die festlegen, wie bestimmte Verkehrsarten zu behandeln sind.

Tipp:

Die Hit-Counter in FortiGate sind nützlich, um die am stärksten ausgelasteten Regeln zu identifizieren. Die Funktion funktioniert normalerweise, aber je nach Version kann es vorkommen, dass die Zähler nicht inkrementiert werden. Ich habe das meist bei speziellen Builds gesehen, die eigentlich nicht verwendet werden sollten, aber trotzdem manchmal eingesetzt werden, um bestimmte Probleme zu lösen.

Wenn Ihre Firewall von diesem Problem betroffen ist, können Sie versuchen, die Regel, die Sie analysieren möchten, über die betroffene Regel zu klonen. Das Löschen von Zählern kann ebenfalls hilfreich sein, aber bevor Sie dies tun, sollten Sie sich die Informationen aus den Zählern notieren. Das Klonen der Regel löscht die Zähler der neuen Regel.

7. Optimierung

Da die Beseitigung oder Reduzierung von Treffern mit dem Risiko eines Ausfalls verbunden ist, ist sie in der Regel ein Prozess. Die meisten Aktivitäten werden in Zusammenarbeit mit dem Kunden durchgeführt. Auf diese Weise können wir uns auf Details einigen, Risiken vermeiden und das Wissen teilen. In dem von mir untersuchten Fall war eine umfassende Neugestaltung nicht möglich, daher begann ich die Richtlinienhärtung mit den folgenden Schritten:

• Erstellen eines Backups und einer Baseline.
• Erfassen kritischer Infrastrukturgeräte wie AD, DNS, DHCP, Dateiserver, RADIUS oder Drucker.
• Verstehen Sie LAN, DMZ oder andere Zonen, notieren Sie den Zweck der Subnetze.
• Erfassen Sie geschäftskritische Anwendungen und erforderliche Ports - falls unbekannt, prüfen Sie die Protokolle.
• Zeichnen Sie Muster des kritischen Datenverkehrs auf.
• Analysieren Sie die Protokolle, prüfen Sie, ob alle zugewiesenen Subnetze genutzt werden, auf dieser Grundlage können wir eventuell Schnittstellen entfernen.
• Analysieren Sie die UTM-Funktionen und erstellen Sie gemeinsam mit dem Kunden neue Profile, um Konformität und Konsistenz zu gewährleisten.
• Einigung auf Richtlinienänderungen.
• Vorschlagen von Namenskonventionen.
• Fehlende Objekte erstellen.
• Extrahieren des wichtigen Datenverkehrs aus den "Any"-Regeln, Erstellen spezifischer neuer Regeln oberhalb der "Catch-All"-Regeln, neu erstellte Regeln werden bis zur Genehmigung durch den Kunden deaktiviert.
• Wo IPS anwendbar ist, wende ich es anfangs im Überwachungsmodus mit Schweregrad 5 an. Dann überprüfe ich regelmässig die Systemleistung, und nach der vereinbarten Zeit aktiviere ich es, um diese Art von Risiko tatsächlich zu blockieren; wir können auch andere Schweregrade vereinbaren.
• Sobald die spezifischeren Regeln aktiviert sind, setze ich in regelmässigen Abständen die Zähler der unerwünschten Regel zurück, um zu prüfen, wie die Dynamik der Zähler sich entwickelt.
• Wenn der Kunde zustimmt, besteht eine der neuesten Best Practices für Firewalls darin, sich stärker auf Benutzer und Anwendungen zu konzentrieren - um dies zu erreichen, können wir Benutzer- und Anwendungsbewusstsein aktivieren. Dies erfordert die Integration mit AD, was ein einfacher Prozess ist. Zu den Vorteilen gehören erhöhte Sicherheit, weniger Regeln und eine einfachere Durchsetzung von Richtlinien.
• Der Prozess wird so lange wiederholt, bis die Catch-All-Regel deaktiviert und gelöscht werden kann.

Vorsicht!

1. Die Aktivierung von IPS und UTM kann die Sicherheit drastisch erhöhen, kann aber auch zu Funktionsausfällen führen, etwa bei VoIP oder zur Verknappung von Ressourcen, einschliesslich Arbeitsspeicher oder CPU. Wenden Sie die Änderungen immer schrittweise an.
2. Die Aufzählung verschachtelter AD-Gruppen, die für die Benutzer- und Anwendungserkennung erforderlich ist, kann eine potenziell CPU-intensive Aufgabe sein.

Zusammengefasst:

• Erstellen Sie neue Regeln die über den unerwünschten stehen.
• Regeln sollten standardmässig spezifisch sein.
• Wenn die Regel nicht spezifisch sein kann - etwa Benutzer, die auf das Internet zugreifen - verwenden Sie UTM-Funktionen für die Sicherheit.
• Erwägen Sie den Einsatz von Benutzer- und Anwendungserkennung.
• Im Laufe der Zeit sollten Sie die Treffer so weit reduzieren, dass Sie die Regel deaktivieren können, ohne einen Ausfall zu riskieren.

8. Logs

Bei der Bewertung der Firewall wird auch analysiert, wie die Protokolle verwaltet werden sowie was und wie lange aufgezeichnet wird:

• Für den allgemeinen Datenverkehr wird empfohlen, Sitzungen zumindest an ihrem Ende zu protokollieren.
• Spezielle Sitzungen, beispielsweise zur Fehlerbehebung, zum DNS-Sinkholing oder zum Tunneln, müssen möglicherweise bereits bei der Sitzungseinleitung protokolliert werden.
• Regeln für besonders stark ausgelastete Sitzungen, wie etwa DNS-Abfragen, dürfen nicht protokolliert werden. Andernfalls können sie die Firewall überlasten oder unnötige Last auf dem Syslog-Server erzeugen.
• Reguläre Ablehnungsregeln sollten zu Beginn der Sitzung protokolliert werden.
• Implizite Verweigerungsregeln sollten zumindest während der Fehlersuche protokolliert werden.
• Die Speicherung von Protokollen auf der lokalen Festplatte wirkt sich auf die Leistung der Firewall, die Einrichtung des Offloads und die Datenaufbewahrung aus.

Die Datenaufbewahrung hängt vom Speicherort der Protokolle ab, also von der lokalen Festplatte oder dem Syslog-Server, wie FortiAnalyzer. Die Mindestempfehlung für einen Syslog-Server beträgt 30 Tage. Testen Sie, wie viel Festplattenspeicher und CPUs zur Unterstützung Ihres FortiAnalyzers benötigt werden, denn das Speichern und Parsen grosser Mengen von Protokollen ist sehr ressourcenintensiv.

9. Management-Zugang

Sobald die Richtlinienanpassungen vorgenommen worden sind, sollten wir sicherstellen, dass die Administratoren eine Verbindung zur Firewall von einer vertrauenswürdigen Quelle aus herstellen, in der Regel einer Jumpbox. Die Sicherheitsrichtlinie der Firewall sollte dies einschränken. Zusätzlich können Sie einen "vertrauenswürdigen Host" für den Benutzer "admin" definieren. Beispiel:

FGT-VM64 # config system admin

FGT-VM64 # (admin) edit admin

FGT-VM64 # (admin) set trusthost1 {IP}

Administrators should connect only over HTTPS, in case HTTP is used a redirect should be enabled:

FGT-VM64 # config system global

FGT-VM64 # (global) set admin-https-redirect

Sie können die administrative Sitzung durch folgende Anweisung auf 5 Minuten begrenzen:

FGT-VM64 # (global) set admin-lockout-duration 300

The default idle time is set to 5 minutes, max is 480 minutes.

FGT-VM64 # config system global

FGT-VM64 # (global) set admintimeout <value>

FGT-VM64 # (global) end

Ausserdem können Sie die Anzahl der Anmeldeversuche auf einen benutzerdefinierten Wert ändern, es wird jedoch empfohlen, den Standardwert (3) beizubehalten.

10. Das Betreuer-Account

Die Idee hinter dem Betreuer-Account ist es, den Zugriff auf die Firewall zu ermöglichen und das Passwort eines Admin-Accounts zurückzusetzen oder einen Factory Reset durchzuführen, auch wenn das Admin-Passwort unbekannt ist. Dies wirft die Frage nach einer Hintertür auf. Um diese Funktion zu nutzen, benötigen Sie ein Konsolenkabel, ein Terminal und die Seriennummer der Firewall. Diese KB illustriert die Schritte.

Wenn Sie sich Sorgen machen, dass eine solche Hintertür ein Risiko darstellt, können Sie die Funktion deaktivieren:

FGT-VM64 # config system global

FGT-VM64 # (global) set admin-maintainer disable

11. Schnittstellen

Das wichtige Element zwischen dem Internet und dem internen Netz sind die Firewall-Schnittstellen. Was auf ihnen aktiviert ist, wirkt sich auf die allgemeine Sicherheit aus. Prüfen Sie, welche Art von Zugriff auf die Schnittstellen erlaubt ist. Es wird empfohlen, für interne Schnittstellen, die als Gateways für interne Netze fungieren, aus Gründen der Fehlersuche Ping zu aktivieren. Externe Schnittstellen, die nicht für S2S VPN verwendet werden und für die IKE benötigt wird, sollten keinen Zugriff erhalten. Dies kann schnell erreicht werden durch:

FGT-VM64 # config system interface

FGT-VM64 # (interface) edit port1

FGT-VM64 # (port1) unset allowaccess

Die Management-Schnittstelle sollte den Zugriff auf das Notwendige beschränken: SSH (CLI) und HTTPS (GUI, mit HTTP-Redirect), SNMP (Management), FMG-Access (FortiManager), etc.

Schnittstellen zu internen Netzwerken werden aus Gründen der Ausfallsicherheit und Leistung häufig in Port Channels gebündelt. Prüfen Sie bei der Bewertung, ob dies der Fall ist und in welchem Zustand sie sich befinden.

12. Zusammenfassung

In dem von mir untersuchten Fall folgte auf die Bewertung eine Optimierung. Dabei wurde nicht nur die Sicherheit verbessert und unnötiges Rauschen beseitigt. Wir führten auch praktische Wissensaustausch-Sitzungen durch, bei denen die Kunden spezifische Fragen stellen konnten und vor und nach der Implementierung Unterstützung erhielten.

Da unsere Welt immer stärker digitalisiert wird, ist es wichtig, dass wertvolle Daten sicher sind. Wie Sie sehen, können all diese Bemühungen mühsam sein und eine Menge Untersuchungen, Disziplin und Zeit erfordern. Aber wie Dr. Ralf Speth, der CEO von Jaguar, einmal sagte: "Wenn Sie glauben, dass gutes Design teuer ist, versuchen Sie es mit schlechtem Design."

Es liegt auf der Hand, dass die Kosten, die entstehen, wenn das Unternehmensnetzwerk kompromittiert wird, oft nicht messbar sind. Bei UMB arbeiten wir mit unseren Kunden an massgeschneiderten Lösungen. Wenden Sie sich an uns, um herauszufinden, wie wir Ihnen helfen können, Ihre Netzwerksicherheit zu verbessern und Ihr Vertrauen zu stärken. Wir sind spezialisiert, aber nicht beschränkt auf Anbieter wie Juniper, Fortinet, Palo Alto und CheckPoint.