5
Logische Trennung ausreichend (DMZ)?
Hallo,
ich kenne aus den Vorlesungen die strikte Trennung:
Internet<--->Firewall<--->DMZ<--->Firewall<--->internes Netz
rot - orange - grün
Beim NW Redesign geht es jetzt darum, die Netze nicht nur redundant auszulegen sondern auch eventuelle Sicherheitsfehler zu beheben.
Dass eine physikalische Trennung zw. den Zonen die sauberere ist ist klar.
Aber reicht eine logische Trennung (über VLANs) auch aus? (Es gibt ja auch Möglichkeiten wie VLAN Hopping etc.).
Also die Firewalls können theoretisch nicht umgangen werden, da die Verbindungen immer über die VLANs zur FW geroutet werden, aber rein physikalisch wäre das möglich.
Wir haben Drucker Netzte etc. auch "nur" über VLANs getrennt, wie es ja eigentlich üblich ist. Aber ich denke nicht, dass diese Trennung einem FW Konzept von der Schwere her gleich gilt.
Vielen Dank für Eure Tipps.
Gruß
ich kenne aus den Vorlesungen die strikte Trennung:
Internet<--->Firewall<--->DMZ<--->Firewall<--->internes Netz
rot - orange - grün
Beim NW Redesign geht es jetzt darum, die Netze nicht nur redundant auszulegen sondern auch eventuelle Sicherheitsfehler zu beheben.
Dass eine physikalische Trennung zw. den Zonen die sauberere ist ist klar.
Aber reicht eine logische Trennung (über VLANs) auch aus? (Es gibt ja auch Möglichkeiten wie VLAN Hopping etc.).
Also die Firewalls können theoretisch nicht umgangen werden, da die Verbindungen immer über die VLANs zur FW geroutet werden, aber rein physikalisch wäre das möglich.
Wir haben Drucker Netzte etc. auch "nur" über VLANs getrennt, wie es ja eigentlich üblich ist. Aber ich denke nicht, dass diese Trennung einem FW Konzept von der Schwere her gleich gilt.
Vielen Dank für Eure Tipps.
Gruß
Share on Facebook
Share on Twitter
Share on Reddit
Share on LinkedinPlease also mark the comments that contributed to the solution of the article
Content-Key: 238909
Url: https://administrator.de/contentid/238909
Printed on: April 23, 2024 at 23:04 o'clock
5 Comments
Latest comment
Hallo,
abhängig davon wie gut der Angreifer ist. kann das reichen, es bleibt aber ein Restrisiko das mir persönlich zu hoch wäre.
Bei dynamischen VLAN's mit MAC Adress Identifikation bleibt das Risiko das ein Angriefer von innen durch MAC adress Spoofing in ein VLAN kommt in das er nicht soll.
Eine DMZ sollte immer aus (min.) 2 physikalischen Geräten + Redundanz auf beiden Seiten, also insgesamt 4 oder mehr Geräte bestehen.
brammer
abhängig davon wie gut der Angreifer ist. kann das reichen, es bleibt aber ein Restrisiko das mir persönlich zu hoch wäre.
Bei dynamischen VLAN's mit MAC Adress Identifikation bleibt das Risiko das ein Angriefer von innen durch MAC adress Spoofing in ein VLAN kommt in das er nicht soll.
Eine DMZ sollte immer aus (min.) 2 physikalischen Geräten + Redundanz auf beiden Seiten, also insgesamt 4 oder mehr Geräte bestehen.
brammer
1
Hi,
mit 4 Geräten meinst Du wahrscheinlich jeweils red-orange und orange-green redundante Firewalls?
mit 4 Geräten meinst Du wahrscheinlich jeweils red-orange und orange-green redundante Firewalls?
Hallo,
ja.
Auf beiden Seiten sollte eine Redundanz vorhanden sein.
brammer
ja.
Auf beiden Seiten sollte eine Redundanz vorhanden sein.
brammer
1
Zitat von @ThomasAnderson:
Wir haben Drucker Netzte etc. auch "nur" über VLANs getrennt, wie es ja eigentlich üblich ist. Aber ich denke
nicht, dass diese Trennung einem FW Konzept von der Schwere her gleich gilt.
Wir haben Drucker Netzte etc. auch "nur" über VLANs getrennt, wie es ja eigentlich üblich ist. Aber ich denke
nicht, dass diese Trennung einem FW Konzept von der Schwere her gleich gilt.
Das hängt von sehr viele Faktoren ab, wie der vorhandenen hardware, wie gut der Admin ist, der das Konfiguriert, welche Bugs die Firmware hat, auf welcher basis das VLAN aufgespannt wird, etc.
Wie immer muß man einfach das Risiko gegen den Aufwand abwägnen und die Lösung hinstellen, die das Budget verkraftet und einen ruhig schlafen läßt.
ist wie bei den banken auch. da könnte man auch das Onlinebanking so sicher machen, daß kaum noch Angriffe möglich sind, Aber das kostet so viel Geld, daß die banken es lieber den Schaden durch phishing in kauf zu nehmen, weil das blliger für sie ist.
lks
1
Hat noch jemand ein gutes Beispiel? Wie z.B. wenn auf einem Switch ausversehen das selbe VLAN eingerichtet wird, kann die DMZ umgangen werden wenn diese rein logisch vorliegt.
Ansonsten @Lochkartenstanzer: Ich denke das Risiko ist hoch genug
Ansonsten @Lochkartenstanzer: Ich denke das Risiko ist hoch genug
