Die globalen Einstellungen betreffen die Admin-Oberfläche. Wir haben hier zuvor manuelle Parameter gesetzt für die TLS-Mindeststandards, wechseln nun jedoch auf den Strong-Crypto-Befehl. Das Verbot von RSA-Chiffren ist zwar implizit durch die anderen Parameter gegeben, wurde jedoch bei einem Audit als wünschenswert festgelegt und wird daher beibehalten. Ebenfalls werden mehrere Hash-Verfahren deaktiviert, um das unsichere AES-128-CBC abzuschalten. Wie in einem Technical Tip beschrieben, kann AES-128-CBC nicht selbst deaktiviert werden, weshalb ein Workaround über die Hash-Verfahren genutzt werden kann. Einen exklusiven Umstieg auf TLS 1.3, welches die unsicheren Chiffren nicht mehr unterstützt, haben wir auch diskutiert, jedoch noch nicht ins Auge gefasst.

config system global
    set strong-crypto enable
    set ssl-static-key-ciphers disable
    set admin-https-ssl-banned-cipher RSA SHA1 SHA256 SHA384
    set dh-params 8192
end

Wenn die starke Verschlüsselung (Strong-Crypto) aktiviert ist, sind nur noch TLS 1.2 und TLS 1.3 zulässig. Der Strong-Crypto-Befehl hat jedoch keine Auswirkung auf die SSL-VPN-Verschlüsselungsstufe oder -Chiffren. Für die SSL-VPN-Einstellungen setzen wir daher TLS 1.2 als Mindeststandard und verbieten die gleichen Chiffren wie zuvor. Über den Algorith-High-Befehl werden ebenfalls ältere und unsichere Chiffren verboten.

config vpn ssl setting
    set algorithm high
    set ssl-min-proto-ver tls1-2
    set banned-cipher RSA SHA1 SHA256 SHA384
end

Abschließend kontrollieren wir mithilfe von Qualys den neuen Status und führen einen erneuten Scan durch. Es ergibt sich nun eine Bewertung mit A+ mit voller Bewertung in drei Kategorien.

Quellen

• Technical Tip: Disable AES CBC ciphers for SSL VPN and Admin GUI (HTTPS) Access
• Technical Tip: Cipher suites offered by FortiGate
• Hardening | FortiGate / FortiOS 7.4.0 | Fortinet Document Library
• FortiGate encryption algorithm cipher suites | FortiGate / FortiOS 7.4.2 | Fortinet Document Library
• BSI-TR-02102.pdf (bund.de)

Der Beitrag Fortinet – Chiffren für SSL VPN und Admin GUI härten erschien zuerst auf Maximilian Krieg.

Abstract

Firewalls sind essentieller Bestandteil jeder Netzwerkinfrastruktur. Sie überwachen anhand eines definierten Regelwerks den passierenden Datenfluss und schützen vor unerwünschten Netzwerkzugriffen. Unternehmen ergänzen bei Bedarf dedizierte Sicherheitslösungen, um neuen Anforderungen gerecht zu werden und die Sicherheit des eigenen Netzwerks zu steigern. Ein moderner Ansatz ist der Einsatz einer Next-Generation Firewall (NGFW), die mehrere Lösungen in einem einzigen System konsolidiert und somit den Aufwand für die Konfiguration der Netzwerksicherheit reduziert.

Eine einfachere Konfiguration des Netzwerks wird ebenfalls mit dem Software-Defined Networking angestrebt. Die Forderungen nach mehr Flexibilität, höheren Bandbreiten und reaktivem Verhalten lassen sich mit den heutigen Netzwerklösungen nur schwer realisieren. Die klassische Netzwerkarchitektur ist hochgradig unflexibel, da die Netzwerkkomponenten, trotz zahlreicher Standardisierungen zur Netzwerkkommunikation, keine etablierten Standards zur vereinheitlichten und vereinfachten Konfiguration aufweisen können. Proprietäre Protokolle, Schnittstellen und Befehle erschweren die Inbetriebnahme und Wartung von Netzwerkinfrastrukturen. Firewalls sind ebenfalls Teil dieses Problems. Sie gehören zu den Middleboxes, die strategisch im Netzwerk platziert werden, um auf einem einfachen Weg zusätzliche Funktionen zu implementieren. Ihr Einsatz führt jedoch zur gesteigerten Komplexität des Netzwerks. Das Ziel der SDN-Architektur ist es deshalb den Bedarf an Middleboxes künftig zu reduzieren.

Die ausführliche Behandlung der Themen SDN und Firewalls soll klären, ob letztere in der neuen Architektur noch eine Existenzberechtigung haben oder ob sich ihre Funktionalitäten vollständig durch den zentralen Controller und seine programmierbaren Netzwerkapplikationen abbilden lassen. Diese Arbeit beschreibt dafür den Aufbau der klassischen Netzwerkarchitektur als Wissensgrundlage und grenzt diese im weiteren Verlauf von der SDN-Architektur ab. Der Bedarf von Schutzmechanismen im SDN wird anhand von neun potenziellen Angriffsvektoren und deren Auswirkungen diskutiert.

Diese Arbeit präsentiert abschließend drei Modelle, die demonstrieren, wie sich Firewalls in der neuen Architektur positionieren und realisieren lassen. Anhand aktueller Projekte, wie SciPass und FlowGuard, wird ersichtlich, dass der Einsatz von Firewalls auch im SDN nicht wegzudenken ist.

Note

Auf die Ausarbeitung und das Kolloquium habe ich jeweils die Note 1.0 bekommen.

Der Beitrag Bestandene Bachelorarbeit erschien zuerst auf Maximilian Krieg.

Abstract

Firewalls sind essenzieller Bestandteil jeder IT-Infrastruktur. Sie überwachen anhand eines definierten Regelwerks den passierenden Datenverkehr und schützen vor unerwünschten Netzwerkzugriffen. Unternehmen ergänzen bei Bedarf dedizierte Sicherheitslösungen, um neuen Anforderungen gerecht zu werden und die Sicherheit des eigenen Netzwerks zu steigern. Ein alternativer Ansatz ist der Einsatz einer Next-Generation Firewall (NGFW), die mehrere Lösungen in einem einzigen System vereint.

Die vielseitigen Definitionen des NGFW-Funktionsumfangs und die vagen Abgrenzungen zum Unified Threat Management (UTM) führen dabei schnell zu Verwirrungen. Die Resultate dieses Projekts sollen künftige Auswahlprozesse beschleunigen und Entscheidungen für alle Beteiligten transparenter gestalten. Eine eigene Definition über die Merkmale einer NGFW, basierend auf den gesammelten Informationen aus Beratungsunternehmen, Fachzeitschriften und von Systemingenieuren, ermöglicht die klare Abgrenzung zu anderen Technologien. Fünf gut am Markt platzierte Anbieter und ihre Produkte werden für die Evaluation ausgewählt. Im Folgenden werden die NGFWs von Barracuda Networks, Check Point Software Technologies, Fortinet, Palo Alto Networks und Sophos in den Kategorien Bedienbarkeit sowie Anwendungs-, Benutzer- und Angriffserkennung getestet.

Die Tests zeigen, dass die Produkte in vielen Punkten, vor allem der Benutzererkennung, ähnlich gut abschneiden. Es gibt jedoch klare Unterschiede in der Bedienbarkeit und der Erkennung von Angriffen. Es wird klar, dass es zwischen Vermarktung und Realität eine spürbare Diskrepanz gibt. Die Kür eines Siegers wird im Rahmen des Projekts nicht vorgenommen. Jede NGFW hat gewisse Vor- und Nachteile, die je nach Kundenumgebung eine individuelle Auswahl mit sich ziehen. Diese qualitativen Merkmale sollen mit dieser Arbeit konkret hervorgehoben werden. Egal, für welches Produkt man sich schlussendlich entscheidet, der Zeitpunkt für einen Umstieg auf eine NGFW ist gekommen und bringt Unternehmen echte Mehrwerte.

Note

Auf die Ausarbeitung und das Kolloquium habe ich jeweils die Note 1.0 bekommen.

Der Beitrag Abschluss des dritten Praxisprojekts erschien zuerst auf Maximilian Krieg.