Überblick
Eine Next-Generation Firewall (NGFW) ist eine moderne Netzwerksicherheitslösung, die weit über die klassische paketfilternde Firewall hinausgeht und erweiterte Sicherheitsfunktionen wie Transparenz auf Anwendungsebene, integriertes IPS, URL-Filterung und Benutzeridentitätserkennung auf einer einzigen Plattform vereint. Die NGFW, die heute im Zentrum der Netzwerksicherheit von Unternehmen steht, löst Firewalls mit Stateful Inspection ab und bietet einen wesentlich umfassenderen Schutz vor Bedrohungen.
Firewall-Policy-Management ist eine Disziplin, die anfangs einfach erscheint, mit der Zeit jedoch komplex wird. Über Jahre gewachsene Regelwerke enthalten häufig überflüssige, widersprüchliche und Sicherheitslücken verursachende Regeln. Der Service von Indexline zur Optimierung von Firewall-Policies bereinigt und priorisiert das Regelwerk und überführt es in einen dokumentierten Change-Management-Prozess. Dies erhöht sowohl die Sicherheit als auch die Performance der Firewall.
Mikrosegmentierung ist die Weiterentwicklung der Firewall-Technologie in Rechenzentrums- und Cloud-Umgebungen. Über die klassische Perimetersicherheit hinaus wird auch der East-West-Traffic innerhalb des Netzwerks durch Segmentierungsrichtlinien kontrolliert. Dieser Ansatz verhindert, dass ein in das Netzwerk eingedrungener Angreifer sich lateral bewegt und weitere Systeme übernimmt.
Zero Trust Network Access (ZTNA) überführt die Firewall-Technologie in ein identitäts- und kontextzentriertes Modell. ZTNA basiert auf dem Prinzip „Vertraue nichts, überprüfe alles“: Es bewertet Benutzeridentität, Compliance-Status des Geräts und Zugriffskontext und gewährt den Zugriff auf Ressourcen nach dem Least-Privilege-Prinzip. In Remote-Work- und Hybrid-Cloud-Umgebungen löst dieses Modell den klassischen VPN-basierten Zugriff ab.
So funktioniert es
Bewertung der Sicherheitsarchitektur: Bestehende Firewall-Struktur, Komplexität des Regelwerks, Traffic-Profil und Segmentierungsstatus werden analysiert.
NGFW-Auswahl und -Design: Abhängig von Traffic-Volumen, funktionalen Anforderungen und Budget wird die passende Plattform aus Cisco Firepower, Palo Alto, Fortinet oder Check Point ausgewählt.
Design des Regelwerks: Allow-/Deny-Policies werden auf Basis der Geschäftsanforderungen nach dem Least-Privilege-Prinzip entworfen. Überflüssige Regeln werden bereinigt.
Konfiguration der Anwendungsidentifikation: Mit App-ID werden anwendungsbasierte Policies definiert. Portbasierte Regeln werden in anwendungsbewusste Regeln überführt.
IPS-Aktivierung: Signaturbasiertes IPS und die Integration von Threat-Intelligence-Feeds werden umgesetzt. Das Management von False Positives wird konfiguriert.
URL-Filterung und SSL Inspection: Kategoriebasierte URL-Filterung wird aktiviert. Für die Inspektion verschlüsselten Traffics wird eine CA-Zertifikatsinfrastruktur vorbereitet.
HA und Tests: Eine Hochverfügbarkeitskonfiguration als Active-Passive oder Active-Active wird eingerichtet. Failover-Szenarien werden getestet.
Wichtigste Funktionen
Kontrolle auf Anwendungsebene (App-ID)
Anwendungen werden unabhängig von Port und Protokoll identifiziert. Auf Anwendungen wie WhatsApp, Dropbox oder BitTorrent werden granulare Policies angewendet.
Integriertes IPS
Mit der in die Firewall integrierten IPS-Signatur-Engine werden netzwerkbasierte Angriffe inline blockiert. Separate Hardware ist nicht mehr erforderlich.
SSL/TLS Inspection
Bedrohungen in verschlüsselten HTTPS- und anderen SSL/TLS-Kanälen werden auf der Firewall entschlüsselt und untersucht.
URL- & Anwendungsfilterung
Zugriffsrichtlinien werden nach Webkategorie und Anwendungstyp angewendet. Identitätsbasierte Policies ermöglichen unterschiedliche Regelwerke für verschiedene Benutzergruppen.
Integration von Threat Intelligence
Bekannte schädliche IP-Adressen und Domains werden über dynamische Blocklisten in Echtzeit gesperrt. Für die Cloud-basierte Bedrohungsanalyse kommt Sandboxing zum Einsatz.
Mikrosegmentierung
East-West-Traffic in Rechenzentrums- und Cloud-Umgebungen wird durch Sicherheitsrichtlinien kontrolliert. Angriffe per Lateral Movement werden verhindert.
VPN & Remote-Zugriff
Sicherer Remote-Zugriff wird über IPSec und SSL-VPN bereitgestellt. Durch die ZTNA-Integration wird der Zugriff granular über Benutzer- und Geräteauthentifizierung gesteuert.
Zentrales Management
Verteilte Firewalls werden über eine einzige Managementkonsole verwaltet. Policy-Änderungen werden zentral auf alle Geräte verteilt.
Vorteile & Nutzen
Mit der NGFW werden Bedrohungen auf Anwendungsebene erkannt und blockiert, die eine klassische Firewall nicht sieht.
Die Konsolidierung von Firewall, IPS, URL-Filterung und VPN auf einer einzigen Plattform reduziert die Managementkomplexität.
Mikrosegmentierung verhindert, dass ein eingedrungener Angreifer per Lateral Movement kritische Systeme erreicht.
Durch die Optimierung des Regelwerks steigt der Firewall-Durchsatz; die effektive Verarbeitungskapazität wächst.
Mit SSL Inspection werden Angriffe über verschlüsselte Kanäle sichtbar.
Durch zentrales Policy-Management werden Regeländerungen konsistent an alle Standorte verteilt; das Risiko menschlicher Fehler sinkt.
Anwendungsfälle nach Branche
Finanzwesen & Banken
Das Netzwerk einer Bank wurde mit NGFW neu segmentiert; die PCI-DSS-Karteninhaberdatenumgebung wurde sicher von den übrigen Netzwerksegmenten getrennt.
Gesundheitswesen
Das Krankenhausnetz wurde per Mikrosegmentierung in einen klinischen und einen administrativen Bereich getrennt; der direkte Internetzugang medizinischer Geräte wurde unterbunden.
Fertigung
Die OT/IT-Netzwerkgrenze wurde mit NGFW gehärtet; externe Zugriffe auf die Produktionssteuerungssysteme wurden vollständig unterbunden.
Öffentlicher Sektor
Die Netzwerke einer Behörde wurden mit einer zentralen NGFW-Managementplattform standardisiert; nationale Sicherheitsregeln wurden konsistent umgesetzt.
Einzelhandelskette
Hunderte Filialen haben ihre Netzwerkrichtlinien mit zentral verwalteten NGFWs standardisiert; jeder Filialstandort hat ein einheitliches Sicherheitsniveau erreicht.
Bildung
Das Campusnetz einer Universität wurde in Studierenden-, Wissenschafts- und Verwaltungsbereiche segmentiert; altersgruppenbasierte Inhaltsfilterung wurde eingeführt.
Der Indexline-Ansatz
Für das Management des Firewall-Regelwerks ist ein Change-Management-Prozess unerlässlich. Jede Regeländerung wird zusammen mit Begründung, Freigabe durch den fachlichen Verantwortlichen und einer Auswirkungsanalyse verwaltet. Eine Historie der Regeln wird geführt; nicht genutzte Regeln werden in regelmäßigen Abständen identifiziert und entfernt.
Die Grenzen signaturbasierter Ansätze gegenüber Bedrohungen der neuen Generation sind inzwischen gut bekannt. Die Integration von Threat Intelligence und ML-basierte Anomalieerkennung bieten eine zusätzliche Schutzebene gegen Bedrohungen, die über die Signaturdatenbank hinausgehen. Indexline bietet fachkundige Unterstützung bei der Konfiguration und Kalibrierung dieser erweiterten Funktionen.
Die Transparenz und Kontrolle, die eine NGFW bietet, sind nicht nur für das Blockieren, sondern auch für Security Operations wertvoll. Detaillierte Traffic-Logs werden in das SIEM eingespeist und anomales Netzwerkverhalten in die Korrelationsanalyse einbezogen; so entsteht eine reichhaltige Datenquelle für Sicherheitsuntersuchungen.
Häufig gestellte Fragen
Sollten wir unsere bestehende Firewall durch eine NGFW ersetzen?
Verfügt Ihre bestehende Firewall nicht über Transparenz auf Anwendungsebene, integriertes IPS und Threat-Intelligence-Funktionen, erhöht der Umstieg auf eine NGFW Ihr Sicherheitsniveau erheblich. Die Migration wird auf Basis einer Kosten-Nutzen-Analyse und mit minimaler Betriebsunterbrechung geplant.
Welche NGFW-Marke sollten wir wählen?
Palo Alto Networks, Fortinet FortiGate, Cisco Firepower und Check Point sind die führenden NGFW-Plattformen. Die Auswahl richtet sich nach Durchsatzanforderung, Managementkomplexität, bestehendem Infrastruktur-Ökosystem und Total Cost of Ownership. Auf Basis einer unabhängigen Bewertung empfehlen wir die für Ihr Unternehmen am besten geeignete Plattform.
Was ist vor der Einführung von SSL Inspection zu tun?
Da SSL Inspection auch Datenflüsse mit personenbezogenen Daten (PII) und Finanzdaten untersucht, sind eine rechtliche Bewertung, eine Aktualisierung der Datenschutzrichtlinie und eine Information der Mitarbeitenden erforderlich. In datenschutzintensiven Branchen wie Bankwesen, Gesundheitswesen und Recht wird eine kategoriebasierte Ausnahmeliste erstellt.
Wie beginnt man den Umstieg auf eine Zero-Trust-Architektur?
Zero Trust ist eine schrittweise Transformation. Ausgangspunkt ist in der Regel das Identitätsmanagement (MFA, SSO) sowie die Positionierung von ZTNA vor dem klassischen VPN für kritische Anwendungen. Anschließend kommen Mikrosegmentierung und die Prüfung der Geräte-Compliance hinzu.
Was beeinträchtigt die Firewall-Performance?
SSL Inspection, die Deep Packet Inspection des IPS und die Bedrohungsanalyse verringern den Durchsatz. Die richtige Dimensionierung und Auswahl der Funktionen ist entscheidend. Es wird empfohlen, die Firewall mit mindestens der doppelten Kapazität des aktuellen bzw. prognostizierten Traffics auszuwählen.
Wie oft sollte eine Regeloptimierung durchgeführt werden?
Eine Analyse der Regelnutzung sollte vierteljährlich erfolgen; nicht genutzte Regeln sollten in Zeiträumen von 90–180 Tagen überprüft werden. Ein jährliches umfassendes Policy-Audit identifiziert überflüssige, widersprüchliche und Sicherheitslücken verursachende Regeln.
Wie werden geografisch verteilte Standorte verwaltet?
Eine zentrale Managementplattform (Panorama, FortiManager, Cisco CDO) verwaltet die Firewalls aller Standorte über eine einzige Konsole. Über eine Policy-Hierarchie werden zentrale Regeln auf alle Geräte angewendet; standortspezifische Anpassungen werden in einer zusätzlichen Ebene definiert.
Was empfehlen Sie für das Management von Firewall-Logs?
Firewall-Logs können täglich Millionen von Zeilen erzeugen. Der typische Ansatz besteht darin, wichtige Logs (Deny, Threat, Policy-Änderungen) an das SIEM weiterzuleiten und die übrigen lokal zu speichern. Ohne SIEM-Integration ist es sehr schwierig, aus rohen Firewall-Logs Mehrwert zu gewinnen.