Internet-Router, die von einem Internetprovider wie z.B. der Deutschen Telekom bereitgestellt werden, sind so ausgelegt, dass der Anbieter von außen auf den Router zugreifen kann. Dies ermöglicht es dem Anbieter, bei Bedarf Hilfe zu leisten oder neue Software auf die Systeme aufzuspielen.

Obwohl diese Funktionen für den Internetanbieter von Vorteil sind, stellen sie für Unternehmen ganz klar eine potenzielle Sicherheitslücke dar. Die Funktionen können als eine Art "Backdoor" angesehen werden, die auch im Rahmen von Onlinedurchsuchungen verwendet werden können.

In der Regel können diese Funktionen nicht abgeschaltet werden.

Durch diese Möglichkeit der Fernwartung des Routers hat der Internetanbieter zumindest theoretisch auch Zugriff auf alle angeschlossenen Endgeräte, einschließlich Telefone.

Aus Sicht Ihres Unternehmens ist es daher wichtig, alternative Sicherheitsmaßnahmen zu ergreifen, um ein angemessenes Schutzniveau zu gewährleisten.

Man sollte sich bewusst sein, das Router die von einem Provider bereitgestellt werden, möglicherweise eine potenzielle Sicherheitslücke darstellen.

Professionell installierte Firewall-Systeme hinter den von den Providern bereitgestellten Routern können so konfiguriert und eingerichtet werden, dass auch der Anbieter keinen Zugriff mehr von aussen auf das Netzwerk hat.

Wenn Ihr Unternehmen über mehrere Standorte verfügt, sind um fangreiche Firewall-Lösungen ein wichtiger Bestandteil der Netzwerksegmentierung. Firewalls können das gesamte und über mehrere Standort verteilte Netzwerk in mehrere Segmente unterteilen, um den Datenverkehr zwischen den einzelnen Standorten zu regulieren und zu überwachen. Dadurch können bösartige Angriffe auf ein bestimmtes Segment begrenzt werden, ohne das gesamte Netzwerk zu gefährden.

Ein IDS/IPS-System innerhalb von Firewalls ist eine zusätzliche Schicht der Netzwerksicherheit, die dazu beiträgt, Bedrohungen zu erkennen und darauf zu reagieren. IDS/IPS-Systeme ergänzen die Funktionen von Firewalls.

Ein IDS-System analysiert den Netzwerkverkehr und erkennt ungewöhnliche oder verdächtige Muster. Wenn das System ein potenzielles Sicherheitsrisiko erkennt, wird eine Warnung an den Administrator gesendet.

IPS-Systeme gehen noch einen Schritt weiter und können schädlichen Daten-Verkehr blockieren oder unterbrechen, bevor er das Netzwerk erreicht.

IDS/IPS-Systeme in Firewalls arbeiten in der Regel mit verschiedenen Technologien wie Signaturerkennung, Anomalieerkennung und Verhaltensanalysen.

Signaturerkennung vergleicht den Netzwerkverkehr mit bekannten Bedrohungen und Angriffsmustern.

Anomalieerkennung erkennt ungewöhnliches Verhalten oder Abweichungen von normalen Verhaltensmustern. Verhaltensanalysen überwachen das Verhalten von Anwendungen und Systemen im Netzwerk und erkennen ungewöhnliche Verhaltensmuster.

Eine DMZ (Demilitarized Zone) ist ein Netzwerksegment, das zwischen dem internen Netzwerk und dem Internet liegt und als Pufferzone innerhalb von professionellen Firewalls des Unternehmens dient, um eine höhere Sicherheit des internen Netzwerks zu gewährleisten. Eine DMZ kann in vielen Fällen sinnvoll sein, insbesondere wenn Unternehmen ihre IT-Systeme vor externen Bedrohungen schützen möchten.

Beispiel:

Wenn Sie an Ihrem Standort ein System betreiben, mit dem Sie Daten mit Ihren Kunden oder anderen Unternehmen austauschen, ist es unerlässlich, sicherzustellen, dass diese Systeme nicht einfach in das gleiche Netzwerksegment integriert werden, in dem sich auch Ihre Arbeitsplatzcomputer befinden. Obwohl eine Firewall eine wichtige Sicherheitskomponente ist, muss diese auch so ausgelegt und integriert werden, um ein ausreichendes Schutzniveau zu gewährleisten.

Professionelle Firewalls bieten daher ein eigenes Netzwerkinterface, normalerweise als DMZ bezeichnet, um Systeme für den Datenaustausch von außen bereitzustellen. Durch diese Maßnahme wird sichergestellt, dass Personen und Hacker keinen Zugriff auf sicherheitsrelevante Bereiche haben, die sich hinter der eigentlichen Firewall befinden.

Durch die Bereitstellung eines dedizierten Netzwerkinterfaces für Systeme, die für den Datenaustausch mit externen Partnern verwendet werden, bietet die Firewall zusätzliche Sicherheit und stellt sicher, dass das interne Netzwerk vor unautorisiertem Zugriff geschützt bleibt.

Professionelle Firewalls bieten in der Regel erweiterte Funktionen für VPN-Verbindungen, wie zum Beispiel:

1. Unterstützung für mehrere VPN-Protokolle: Professionelle Firewalls bieten in der Regel Unterstützung für eine Vielzahl von VPN-Protokollen, um eine sichere und zuverlässige VPN-Verbindung für Remote-Mitarbeiter oder externe Zweigstellen zu gewährleisten.
2. Skalierbarkeit: Eine professionelle Firewall kann zahlreiche VPN-Verbindungen unterstützen und ist in der Lage, den Datenverkehr effektiv zu verwalten, um eine hohe Verfügbarkeit und Leistung für alle Benutzer zu gewährleisten.
3. VPN-Authentifizierung: Eine professionelle Firewall bietet erweiterte Optionen für die VPN-Authentifizierung, wie zum Beispiel die Zwei-Faktor-Authentifizierung oder die Integration mit Active Directory, um sicherzustellen, dass nur autorisierte Benutzer auf das Netzwerk zugreifen können.
4. VPN-Verschlüsselung: Eine professionelle Firewall bietet mehrere Formen starker Verschlüsselung von VPN-Verbindungen, um sicherzustellen, dass alle übertragenen Daten sicher sind.
5. VPN-Monitoring: Eine professionelle Firewall bietet erweiterte Funktionen für die Überwachung von VPN-Verbindungen, um sicherzustellen, dass alle Verbindungen sicher und stabil sind.

Professionelle Firewalls beziehen über externe Quellen eine Vielzahl von Informationen, um das Netzwerk zusätzlich zu schützen und Bedrohungen zu erkennen.

So beziehen diese Systeme beispielsweise regelmäßig sogenannte ACL-Listen, oder sind mit Datenbanken verbunden, welche über aktuelle Threads und Bedrohungen informiert sind und nutzen diese, um die Netzwerksicherheit zu erhöhen.

ACL-Listen sind Listen von Zugriffsregeln, die definieren, welcher Netzwerkverkehr erlaubt oder blockiert werden soll. Professionelle Firewalls können ACL-Listen lesen und auf Basis dieser Regeln den Netzwerkverkehr steuern.

Datenbanken über aktuelle Threads und Bedrohungen ermöglichen es Firewalls, schnell auf neue Bedrohungen zu reagieren. Unsere professionellen Firewalls für Unternehmen können auf Bedrohungsdatenbanken zugreifen und Informationen über bekannte Bedrohungen sammeln. Diese Informationen können dann genutzt werden, um Angriffe frühzeitig zu erkennen und zu blockieren.

Es können backupredundante Firewallsysteme, die auch als Hochverfügbarkeits- oder Failover-Firewalls bezeichnet werden zum Einsatz gebracht werden.

Diese Systeme werden eingesetzt, um sicherzustellen, dass bei einem Ausfall oder einer Störung der primären Firewall nahtlos auf eine Backup-Firewall umgeschaltet wird, um den reibungslosen Betrieb des Netzwerks aufrechtzuerhalten.

Backupredundante Firewallsysteme funktionieren in der Regel durch die Verwendung von zwei oder mehr identischen Firewalls, die in einer Master-Slave-Beziehung miteinander verbunden sind. In diesem Szenario ist die primäre Firewall als Master-Knoten und die Backup-Firewall als Slave-Knoten konfiguriert.

Wenn die primäre Firewall ausfällt oder aus einem anderen Grund nicht mehr verfügbar ist, übernimmt die Backup-Firewall automatisch alle Aufgaben der primären Firewall. Dieser Vorgang wird als Failover bezeichnet. Durch diese Konfiguration können Ausfallzeiten minimiert werden, da die Backup-Firewall nahtlos die Funktionen der primären Firewall übernimmt.

Backupredundante Firewallsysteme können auch mit anderen Technologien wie Virtual Router Redundancy Protocol (VRRP) und Hot Standby Router Protocol (HSRP) kombiniert werden, um die Verfügbarkeit des Netzwerks weiter zu erhöhen. Diese Technologien ermöglichen es, dass sich mehrere Firewalls als eine Gruppe präsentieren und gemeinsam eine virtuelle IP-Adresse bereitstellen. Wenn eine Firewall in der Gruppe ausfällt, wird automatisch eine andere Firewall diese virtuelle IP-Adresse übernehmen.

Während Standard-Anschlüsse und normale Router in der Regel nur über eine IP-Adresse verfügen, können professionelle Firewallsysteme mehrere IP-Adressen und Netzwerksegmente verwalten.

Wenn ein Unternehmen mehrere IP-Adressen von seinem Provider erhält, kann eine professionelle Firewall so konfiguriert werden, dass sie alle diese Adressen verwalten kann. Auf diese Weise kann ein Unternehmen den Verkehr auf verschiedene interne Netzwerksegmente aufteilen, die jeweils über eine eigene IP-Adresse verfügen.

Darüber hinaus können professionelle Firewalls auch mehrere WAN-Verbindungen verwalten, was eine höhere Bandbreite und Redundanz ermöglicht. Wenn eine Verbindung ausfällt oder überlastet ist, kann die Firewall automatisch auf eine andere Verbindung umschalten, um einen reibungslosen Betrieb des Netzwerks sicherzustellen.