InfraQ
  1. IT-Wissen
  2. Firewall-Konzept

Wissen und Planung · InfraQ

Firewall-Konzept: Segmente, Remote-Zugriff, Regeln und Nachweis

Eine Box im Rack ist noch kein Konzept. Ein Konzept sagt, welche Netze getrennt sind, wer von außen hinein darf, wie Regeln sterben und wo ihr das später nachvollzieht.

Zum Inhalt Segmente durchsprechen
  • Kein Check erforderlich
  • Nutzbar ohne Kontaktformular
  • Herausgegeben von InfraQ, Windorf

Planungsmodell

Gliederung eines Firewall-Konzepts

  1. Schützenswerte Bereiche

    Welche Netze dürfen einander nicht ungefiltert sehen? Büro, Server, Gäste, Produktion, Verwaltung – Namen aus eurem Alltag, nicht aus einem Lehrbuch.

  2. Wege nach außen und innen

    Internet, Standortkopplung, Remote-Zugriff, veröffentlichte Dienste. Jeder Weg braucht Zweck, Quelle, Ziel und Verantwortliche.

  3. Regelwerk

    Erlaubt ist, was benannt ist. Der Rest bleibt zu. Ausnahmen haben Datum und Grund.

  4. Betrieb der Box selbst

    Updates, Hochverfügbarkeit nur wenn wirklich nötig, Zugriff auf die Verwaltung der Firewall getrennt vom Alltag der Nutzer.

  5. Nachweis

    Logging und – soweit vorhanden – Auswertung. Ohne Zeitquelle und Aufbewahrung sind Logs später wenig wert.

Netze

Segmente und mehrere Standorte

Beispielsegmente hinter einer Netzgrenze Netzgrenze Büro Server Gäste Remote / VPN
Beispielhafte Trennung. Eure Bezeichnungen und die Zahl der Zonen folgen dem Betrieb, nicht dieser Grafik.

Mehrere Standorte brauchen eine Aussage, ob sie wie ein Netz behandelt werden oder jeder Standort eine eigene Grenze hat. VPN ist ein Werkzeug, kein Automatismus für „alles darf alles“.

Pflege

Regelwerk, Updates, Logging, Monitoring

ThemaIm Konzept festhalten
RegelpflegeWer darf ändern, wie werden Tests gemacht, wann werden totgelaufene Objekte entfernt.
UpdatesWer spielt Firmware oder Signaturen ein, in welchem Fenster, mit welchem Rollback.
LoggingWelche Ereignisse, wie lange, wo liegen sie, wer darf sie lesen.
MonitoringWas löst eine Meldung aus (Ausfall, Platte, Tunnel), wer nimmt sie an.
Remote-ZugriffWelches Verfahren, welche Gruppe, MFA soweit eingesetzt, kein geteiltes Admin-Konto.
Diese Seite erklärt Planung. Wer die Firewall im Alltag betreiben soll, ist eine Betriebsfrage – dafür ist die Deggendorfer Leistungsseite gedacht, nicht dieser Text.

Fragen

Kurz beantwortet

Reicht eine Firewall für IT-Sicherheit?

Nein. Sie begrenzt den Netzrand und oft interne Wege. Endgeräte, Identitäten und Backup bleiben eigene Bausteine.

Was ist Regelhygiene?

Alte Freigaben, temporäre Ausnahmen und unklare Objekte regelmäßig prüfen und entfernen. Sonst wächst ein Regelwerk, das niemand mehr erklären kann.

Weiterlesen

Passende Wissensseiten

Endpoint-Schutz aufbauen. Gerät vs. Netzgrenze.

Backup-Konzept. Logging ersetzt keine Sicherung.

Wenn die Netzgrenze schon steht und betreut werden soll: Betreute Netzgrenze in Deggendorf.

Optional

Firewall-Konzept an eure Standorte legen?

Die Gliederung könnt ihr selbst abarbeiten. InfraQ steigt ein, wenn Bestand, Standorte und Remote-Zugriffe unübersichtlich sind.

Antwort von InfraQ. Sitz Windorf bei Passau, für Deggendorf remote und bei Bedarf vor Ort.