Firewall-Regelaudit: riskante und nutzlose Regeln finden
Ihre Firewall-Richtlinie ist über Jahre gewachsen. Verdeckte Regeln, Duplikate, Widersprüche und any/any-Freigaben verstecken sich darin. ConnectMyAssets prüft jedes Regelwerk automatisch bei jeder Erfassung und zeigt Ihnen, was überflüssig, was gefährlich ist und was nicht protokolliert, damit Sie aufräumen und compliant bleiben.
- ✓Verdeckte Regeln, mit der Regel, die sie verdeckt
- ✓Doppelte und widersprüchliche Regeln
- ✓Any/any-Regeln, unsichere Dienste, undefinierte Namen
- ✓Regeln ohne Logging, Risikostufe pro Regel
- ✓Jede eigene Regel über die Bedingungssprache
- ✓Fortinet, Palo Alto Networks, Cisco, Check Point und Juniper, schnell auch bei sehr großen Regelwerken
Warum ein Firewall-Regelaudit nicht warten kann
Die Firewall-Richtlinie eines Unternehmens umfasst Hunderte bis Tausende Regeln, angesammelt über Jahre voller Projekte, Teamwechsel und Notfall-Korrekturen. Manche sind verdeckt und werden nie ausgewertet, manche duplizieren oder widersprechen anderen, manche erlauben any/any oder unsichere Dienste, manche protokollieren nicht. Jede davon ist ein Sicherheitsrisiko, ein Audit-Befund und eine Quelle mühsamer Fehlersuche. Eine manuelle Prüfung ist langsam, fehleranfällig und findet bestenfalls ein- oder zweimal im Jahr statt. ConnectMyAssets führt die Analyse bei jeder Erfassung durch, sodass Sie die Probleme vor Ihrem nächsten Audit finden.
Funktionen für das Firewall-Regelaudit
Von der Erkennung verdeckter Regeln bis zu Nachweisen für PCI DSS: alles, was Ihr Sicherheitsteam für eine saubere, prüfbare Firewall-Richtlinie braucht.
Erkennung verdeckter Regeln
Eine verdeckte Regel (shadowed rule) kann nie greifen, weil eine Regel darüber denselben Verkehr bereits abfängt. ConnectMyAssets liest das Regelwerk von oben nach unten, löst Objekte und Gruppen auf und markiert jede vollständig verdeckte Regel zusammen mit der Regel, die sie verdeckt. Sie erhalten eine saubere Liste toter Regeln, die Sie entfernen oder neu ordnen können.
Doppelte und widersprüchliche Regeln
Doppelte Regeln erfassen denselben Verkehr mit derselben Aktion und erzeugen nur Rauschen. Widersprüchliche Regeln erfassen sich überschneidenden Verkehr mit gegensätzlichen Aktionen, sodass das Ergebnis von ihrer Reihenfolge abhängt. Beide werden mit den beteiligten Regeln markiert, damit Sie die Absicht verstehen, bevor Sie aufräumen.
Any/any-Regeln und unsichere Dienste
Regeln mit beliebiger Quelle, beliebigem Ziel oder beliebigem Dienst sind in jedem Audit ein Warnsignal. ConnectMyAssets markiert sie, ebenso Regeln, die unsichere Dienste erlauben (Telnet, FTP, Verwaltung über unverschlüsseltes HTTP ...), und Verweise auf undefinierte Namen. Jede Regel erhält eine Risikostufe, sodass Sie die kritischen zuerst beheben.
Regeln ohne Logging
Eine Regel ohne Logging hinterlässt keine Spur, wenn sie greift. Das erschwert die Untersuchung von Vorfällen und widerspricht den meisten Compliance-Anforderungen. ConnectMyAssets listet jede Regel ohne Logging auf, damit Sie es dort aktivieren, wo es zählt, und es Ihrem Prüfer nachweisen können.
Jede eigene Regel, die Sie brauchen
Über die integrierte Analyse hinaus schreiben Sie eigene Prüfungen mit der äußerst umfassenden Bedingungssprache: „keine Regel darf der Internet-Zone den Zugriff auf die Datenbank-Zone erlauben“, „jede Allow-Regel braucht einen Kommentar“, „Verwaltungsdienste nur aus dem Admin-Subnetz“. Die Prüfungen werden laufend ausgewertet und fließen in den gewichteten Compliance-Score ein.
Für große Regelwerke gebaut
ConnectMyAssets erfasst die Regelwerke von Firewalls von Fortinet, Palo Alto Networks, Cisco, Check Point und Juniper per SSH, mit Sicherheitsregeln, NAT, Objekten, Zonen, Diensten und virtuellen Kontexten. Die Analyse bleibt auch bei sehr großen Regelwerken schnell.
So funktioniert es
Firewalls anbinden
Hinterlegen Sie SSH-Zugangsdaten im Vault und lassen Sie die Discovery Ihre Firewalls finden. Die Erfassung ist agentenlos: Auf der Firewall muss nichts installiert werden. ConnectMyAssets liest die Konfiguration und baut bei jeder regelmäßigen Erfassung das Regelwerk mit seinen Objekten, Gruppen, Zonen und Diensten auf.
Firewall-Regelanalyse ausführen
Jede Regel wird auf Verdeckung, Duplikate, Widersprüche, any/any, unsichere Dienste, undefinierte Namen und fehlendes Logging geprüft und erhält eine Risikostufe. Ihre eigenen Regeln laufen zusätzlich. Filtern Sie nach Schweregrad, öffnen Sie einen Befund und sehen Sie die genaue Regel, ihre Position und den Grund der Markierung.
Aufräumen, dokumentieren, nachweisen
Korrigieren Sie die Regeln und lassen Sie die nächste Erfassung das Ergebnis bestätigen: Soron meldet die Konfigurationsänderung, und die Analyse wird aktualisiert. Exportieren Sie Befunde als CSV oder NDJSON, drucken Sie sie oder speichern Sie sie als PDF, oder versenden Sie zeitgesteuerte E-Mail-Berichte für Ihre halbjährliche PCI-DSS-Prüfung oder Ihre NIS2-Bewertung.
Zugehörige Funktionen der Plattform
Jede Regel geprüft, auf jeder Firewall.
Häufig gestellte Fragen
Häufige Fragen zum Firewall-Regelaudit
Was ist eine verdeckte Firewall-Regel und warum ist sie ein Problem?
Eine verdeckte Regel kann nie greifen, weil eine Regel mit höherer Priorität bereits den gesamten Verkehr abdeckt, den sie erfassen würde. Beispiel: Erlaubt Regel 10 „beliebige Quelle zu beliebigem Ziel auf Port 443“ und Regel 50 „10.0.0.0/8 zu 192.168.1.0/24 auf Port 443“, ist Regel 50 verdeckt: Ihr Verkehr wird bereits von Regel 10 behandelt. Verdeckte Regeln zeugen von mangelnder Regelhygiene, können das tatsächliche Verhalten der Firewall verschleiern und sind ein klassischer Audit-Befund. ConnectMyAssets erkennt jede verdeckte Regel und zeigt die Regel, die sie verdeckt, damit Sie sicher entfernen, neu ordnen oder ändern können.
Wie erkennt ConnectMyAssets zu weit gefasste Firewall-Regeln?
Jede Regel wird auf beliebige Quelle, beliebiges Ziel und beliebigen Dienst geprüft, auf unsichere Dienste und auf Verweise auf undefinierte Namen. Jeder Befund trägt einen Schweregrad, und die Regel erhält eine Gesamt-Risikostufe: Eine Allow-Regel any/any/any ist kritisch, ein breiter Dienstbereich auf einer internen Regel kann nur eine Warnung sein. Mit der Bedingungssprache fügen Sie eigene Kriterien hinzu, etwa Regeln, die einer nicht vertrauenswürdigen Zone den Zugriff auf eine sensible Zone erlauben. Jeder Befund zeigt die genaue Regel und das auslösende Feld.
Was ist der Unterschied zwischen doppelten und widersprüchlichen Regeln?
Doppelte Regeln erfassen denselben Verkehr und führen dieselbe Aktion aus: Eine davon ist überflüssig und macht die Richtlinie nur schwerer lesbar. Widersprüchliche Regeln erfassen sich überschneidenden Verkehr, führen aber gegensätzliche Aktionen aus (eine erlaubt, die andere verweigert): Das Ergebnis hängt von ihrer Reihenfolge ab, was oft nicht der Absicht des Autors entspricht. ConnectMyAssets markiert beide und nennt die beteiligten Regeln.
Unterstützt ConnectMyAssets das Firewall-Regelaudit für PCI DSS?
Ja. PCI-DSS-Anforderung 1.2.7 verlangt, die Regelwerke der Netzwerksicherheitskontrollen mindestens alle sechs Monate zu überprüfen. ConnectMyAssets bereitet diese Prüfung mit einer aktuellen Analyse jedes Regelwerks vor (verdeckte, doppelte und widersprüchliche Regeln, any/any, unsichere Dienste, Regeln ohne Logging, Risiko pro Regel), dazu Ihre eigenen Prüfungen und Exporte (CSV, NDJSON, Druck oder PDF) oder zeitgesteuerte E-Mail-Berichte, die Sie Ihrem QSA übergeben können.
Welche Firewall-Hersteller unterstützt das Regelaudit?
Die Regelanalyse deckt die am weitesten verbreiteten Firewalls ab: Fortinet, Palo Alto Networks, Cisco, Check Point und Juniper, mit Sicherheitsregeln, NAT, Adress- und Dienstobjekten, Gruppen, Zonen und virtuellen Kontexten (VDOMs, vsys).
Worin unterscheidet sich ein Firewall-Regelaudit von einem Audit der Firewall-Konfiguration?
Ein Audit der Firewall-Konfiguration prüft das Gerät selbst: Firmware-Version und CVEs, Verwaltungszugriff, Logging-Ziele, SSH- und HTTPS-Einstellungen, TLS-Zertifikate, Härtung der Management-Ebene. Ein Firewall-Regelaudit konzentriert sich auf die Sicherheitsrichtlinie: die Regeln, die entscheiden, welcher Verkehr erlaubt oder verweigert wird. ConnectMyAssets leistet beides: Compliance-Richtlinien und das TLS-Zertifikatsaudit decken die Härtung der Geräte ab, die Firewall-Regelanalyse die Verkehrsrichtlinie. Die meisten Compliance-Rahmenwerke verlangen beides.
Räumen Sie Ihre Firewall-Richtlinie vor dem nächsten Audit auf
Verdeckte Regeln, Duplikate, Widersprüche und any/any-Freigaben verstecken sich in Ihrer Firewall-Richtlinie. ConnectMyAssets findet sie automatisch, damit Ihr Sicherheitsteam handeln kann, bevor es ein Prüfer oder ein Angreifer tut.