Nach dem Lesen können Sie ein Netzwerk anhand anerkannter Maßnahmen prüfen und das Dokumentierte mit dem tatsächlich Vorhandenen vergleichen.
Definition
Sie stützt sich auf anerkannte Quellen: die Maßnahmen 8.20 bis 8.22 der ISO/IEC 27002 zur Sicherheit von Netzwerken und Netzwerkdiensten sowie zur Trennung, und die CIS Controls zu Unternehmenswerten, sicherer Konfiguration und Verwaltung der Netzwerkinfrastruktur.
Warum es wichtig ist
Netzwerke sammeln über die Jahre alte Firewall-Regeln, vergessene Geräte und Lieferantenkonten an. Ein Angreifer, der hineinkommt, nutzt genau diese, um sich zu bewegen.
Wie es funktioniert
Vergleichen Sie zuerst den dokumentierten Netzplan und das Geräteinventar mit einem Scan dessen, was wirklich vorhanden ist. Die Differenz ist oft die erste Feststellung.
Prüfen Sie dann Segmentierung und Firewall-Regeln, Administratorzugänge und Multi-Faktor-Authentifizierung, Firmware-Stände, WLAN und Fernzugriff, Protokollierung und Konfigurationssicherungen.
Halten Sie in jeder Zeile den Nachweis fest, stufen Sie die Feststellungen nach Risiko ein und planen Sie die Korrekturen mit Verantwortlichem und Termin.
Ein Praxisbeispiel
Das Inventar eines Werks führt 84 Geräte, der Scan findet 91. Sieben sind nicht verwaltete Switches in der Produktionshalle. Von 412 Firewall-Regeln sind 60 seit einem Jahr ungenutzt, und eine lässt das Büronetz ohne Einschränkung ins Produktionsnetz.
Diese Regel wird als hoch eingestuft und ist innerhalb einer Woche entfernt. Die Überprüfung der ungenutzten Regeln folgt innerhalb des Quartals.
Bewährte Praktiken
- Scannen Sie nur mit schriftlicher Genehmigung und in vereinbarten Zeitfenstern. Ein Scan kann empfindliche Geräte stören.
- Geben Sie jeder Firewall-Regel einen Verantwortlichen und einen Grund, damit die nächste Überprüfung weiß, was weg kann.
- Verlangen Sie Multi-Faktor-Authentifizierung für Administrator- und Fernzugriffe.
- Sichern Sie die Gerätekonfigurationen und testen Sie ihre Wiederherstellung.
Häufige Fehler
- Einem Netzplan zu vertrauen, den seit der letzten Migration niemand aktualisiert hat.
- Bei der Firewall aufzuhören und WLAN und Lieferantenzugänge zu vergessen.
- Schwachstellen ohne Einstufung oder Verantwortlichen aufzulisten, sodass das Netzwerkteam einen Bericht und keinen Plan hat.
- Einen Schwachstellenscan mit einem Audit zu verwechseln. Der Scan ist eine Quelle unter mehreren.
Fragen
- Wie oft sollte ein Netzwerk auditiert werden?
- Meist einmal im Jahr und nach größeren Änderungen, mit automatisierten Scans dazwischen.
- Welche Werkzeuge nutzt ein Netzwerkaudit?
- Discovery- und Schwachstellenscanner, Analysewerkzeuge für Firewall-Regeln und die Konfigurationsexporte der Geräte selbst.
- Ist ein Netzwerkaudit ein Penetrationstest?
- Nein. Das Audit prüft gegen Kriterien, ein Penetrationstest versucht, Schwachstellen auszunutzen. Beide ergänzen sich.
- Welche Dokumente sollte man zuerst anfordern?
- Netzpläne, das Geräteinventar, die Firewall-Regelwerke, die Liste der Administratoren und die letzten Änderungsaufzeichnungen.
- Welche Firewall-Regeln sind am riskantesten?
- Regeln mit beliebiger Quelle, beliebigem Ziel oder beliebigem Dienst, Regeln ohne Verantwortlichen und alte temporäre Regeln, die noch aktiv sind.