Netzwerksicherheit: Firewalls, Segmentierung, AAA und First-Hop-Angriffe

Umfassende Vokabel-Karteikarten zu Netzwerksicherheit, Segmentierung, Firewalls, AAA/RADIUS/802.1X und Layer-2-First-Hop-Angriffen.

Default Deny (Erlaubnisliste)

Sicherheitsprinzip in der Firewall-Konfiguration, bei dem jeglicher Netzwerkverkehr standardmässig blockiert wird und ausschliesslich explizit definierte, begründete Verbindungen freigegeben werden. Am Ende des Regelwerks steht eine Fangregel, die nicht erlaubten Verkehr verwirft und protokolliert.

Laterale Bewegung (Lateral Movement)

Die Weiterverbreitung eines Angreifers ausgehend von einem ersten kompromittierten System (z. B. einem verwundbaren Drucker) seitwärts durch das Netzwerk zu wertvolleren Zielen wie Verzeichnisdiensten, Dateiservern oder Administrationsschnittstellen.

5-Tupel

Die Kombination aus Quell-IP-Adresse, Ziel-IP-Adresse, Transportprotokoll (z. B. TCP oder UDP), Quellport und Zielport, die eine Netzwerkverbindung auf IP- und Transportebene eindeutig kennzeichnet.

Stateful Inspection

Zustandsbehaftete Firewall-Filterung, bei der Verbindungsaufbauten anhand von Regeln geprüft und in einer Zustandstabelle registriert werden. Rück- und Antwortpakete bestehender Verbindungen werden anhand des Tabelleneintrags automatisch zugelassen, ohne separate Rückwegregeln zu erfordern.

Next-Generation Firewall (NGFW)

Eine erweiterte stateful Firewall, die über das 5-Tupel hinaus App-ID (Anwendungserkennung unabhängig vom Port), User-ID (Zuordnung von Benutzeridentitäten zu IP-Adressen) und Inhaltsprüfung (IPS, Malware-Erkennung, URL-Filterung) über Deep Packet Inspection integriert.

Deep Packet Inspection (DPI)

Analysemethode einer Firewall, bei der die Nutzdaten eines TCP-Datenstroms über die gesamte Verbindung hinweg zusammengesetzt, dekodiert und auf bekannte Angriffsmuster und Exploit-Signaturen (z. B. Path Traversal oder Log4Shell) untersucht werden.

Asymmetrisches Routing

Ein Netzwerkzustand, bei dem der Hin- und der Rückweg einer Verbindung über unterschiedliche Firewalls verlaufen. Da jede zustandsbehaftete Firewall nur eine Hälfte des Datenstroms sieht (z. B. SYN-ACK ohne vorheriges SYN), verwirft sie die Pakete.

Router-on-a-Stick

Bauform für die Kopplung von VLANs, bei der ein Router über eine einzelne Trunk-Leitung an einen Switch angebunden ist und pro VLAN ein Subinterface mit Gateway-Adresse bereitstellt. Der Durchsatz ist durch die Bandbreite des Trunks begrenzt.

Switch Virtual Interface (SVI)

Eine logische Layer-3-Schnittstelle auf einem Multi-Layer-Switch, die als Standardgateway für ein bestimmtes VLAN fungiert und Routing zwischen VLANs in Hardware mit voller Leitungsrate ermöglicht.

Demilitarisierte Zone (DMZ)

Ein isoliertes Sicherheitssegment zwischen dem externen Internet und den internen Netzwerken, das öffentlich zugängliche Dienste (wie Webserver oder Proxies) enthält und aus dem keine unaufgeforderten Verbindungen in interne Zonen erlaubt sind.

Egress-Filterung

Die kontrollierende Einschränkung ausgehender Verbindungen, die ein internes Netzwerk oder eine Zone verlassen. Sie verhindert beispielsweise unautorisierte DNS-Anfragen an externe Resolver oder direkte Verbindungen zu Command-and-Control-Servern.

Mikrosegmentierung

Die Durchsetzung von granularen Sicherheitsregeln direkt auf Ebene einzelner Arbeitslasten (virtuelle Maschinen oder Container im Hypervisor oder über Host-Agenten), wodurch auch der Ost-West-Verkehr innerhalb desselben VLANs nach dem Default-Deny-Prinzip kontrolliert wird.

Zone-Based Firewall (ZBF)

Ein Firewall-Konzept, bei dem Schnittstellen Sicherheitszonen zugewiesen und Richtlinien auf gerichtete Zonenpaare (Quelle zu Ziel) angewendet werden. Zwischen Zonen ohne Zonenpaar gilt automatisches Default Deny.

ZBF-Aktion „inspect“

Aktion in einer ZBF-Richtlinie, die den Datenverkehr zustandsbehaftet prüft, einen Eintrag in der Zustandstabelle erzeugt und Antwortpakete der Gegenrichtung automatisch passieren lässt.

ZBF-Aktion „pass“

Aktion in einer ZBF-Richtlinie, die Datenverkehr zustandslos nur in die definierte Richtung weiterleitet, ohne einen Eintrag in der Zustandstabelle anzulegen; der Rückweg erfordert zwingend eine separate Regel im Gegenpaar.

Regelverschattung (Shadowing)

Ein Konfigurationsfehler in Regelsätzen, bei dem eine spezifische Regel wirkungslos bleibt, weil eine weiter oben stehende, allgemeinere Regel (z. B. permit any any) den Datenverkehr bereits vorher abfängt.

AAA (Authentication, Authorization, Accounting)

Sicherheitskonzept für das Zugangsmanagement: Authentisierung prüft die Identität („Wer bist du?“), Autorisierung legt die erlaubten Rechte und Ressourcen fest („Was darfst du?“), und Accounting dokumentiert die Sitzung zu Nachweis- und Auditzwecken („Was hast du getan?“).

Policy Decision Point (PDP)

Die zentrale Instanz im Netzwerk (z. B. ein RADIUS-Server), die anhand von Benutzeridentität, Zertifikaten, Gruppen und Richtlinien über den Netzzugang entscheidet, ohne selbst den physischen Port zu schalten.

Policy Enforcement Point (PEP)

Die Netzwerkkomponente am Zugangspunkt (z. B. Switch, Access Point, VPN-Gateway), die die vom PDP getroffene Zugangsentscheidung am Port technisch durchsetzt (z. B. Port öffnen, VLAN zuweisen).

RADIUS

Remote Authentication Dial-In User Service; ein weit verbreitetes Client-Server-Protokoll (RFC 2865/2866) über UDP (Port 1812 für Authentisierung/Autorisierung, Port 1813 für Accounting), das zwischen dem Zugangsgerät (NAS) und dem Anmeldeserver kommuniziert.

Change of Authorization (CoA)

Eine RADIUS-Funktion (RFC 5176 über UDP-Port 3799), mit der der RADIUS-Server die Attribute und Rechte einer bereits laufenden Endgerätesitzung dynamisch verändern (z. B. Quarantäne-VLAN nach Posture-Verletzung) oder die Verbindung trennen kann.

Blast-RADIUS (CVE-2024-3596)

Ein Man-in-the-Middle-Angriff auf RADIUS über UDP, bei dem durch das Berechnen von MD5-Kollisionen im Proxy-State-Attribut ein gefälschtes Access-Accept erzeugt werden kann. Die Abwehr erfordert das Erzwingen des Message-Authenticator-Attributs.

RadSec

RADIUS über TLS oder DTLS (Port 2083; RFC 6614 / RFC 7360), das RADIUS-Verbindungen mit gegenseitiger Zertifikatsprüfung verschlüsselt und klassische Schwachstellen geteilter Geheimnisse und veralteter MD5-Hashes behebt.

IEEE 802.1X

Standard für die portbasierte Netzwerkzugangskontrolle, bei dem die Authentisierung zwischen Endgerät (Supplicant), Switch (Authenticator) und zentralem Authentisierungsserver via EAP bzw. EAPOL abgewickelt wird.

Port Access Entity (PAE)

Die Steuerlogik eines 802.1X-fähigen Ports, die den physikalischen Port in einen unkontrollierten Kanal (ausschliesslich für EAPOL-Frames offen) und einen kontrollierten Kanal (für Nutzdaten erst nach Autorisierung geöffnet) unterteilt.

EAP-TLS

Ein EAP-Verfahren (RFC 5216), das auf beidseitiger TLS-Zertifikatsprüfung basiert. Sowohl der Client als auch der Server weisen ihren privaten Schlüssel nach; Passwörter werden nicht übertragen.

MAC Authentication Bypass (MAB)

Ein Zugangsverfahren für Geräte ohne 802.1X-Supplicant (z. B. Drucker), bei dem die MAC-Adresse des Geräts vom Switch gelernt und als Benutzername/Passwort an den RADIUS-Server übermittelt wird. Bietet keine kryptografische Sicherheit.

Multi-Auth Mode (Host Mode)

Betriebsmodus eines 802.1X-Switchports, bei dem mehrere Geräte an einem gemeinsamen Port (z. B. über einen Hub) angeschlossen werden können und jede MAC-Adresse einzeln über 802.1X authentisiert und autorisiert wird.

MACsec (IEEE 802.1AE)

Ein Sicherheitsstandard auf Layer 2, der Ethernet-Frames Punkt-zu-Punkt verschlüsselt und mit einem Integritätsprüfwert (Integrity Check Value, ICV) versieht, wodurch Man-in-the-Middle-Bridges im physischen Kabel abgewehrt werden.

TACACS+

Terminal Access Controller Access-Control System Plus; ein Protokoll für die Administration von Netzwerkgeräten, das Authentisierung, Autorisierung und Accounting strikt trennt, TCP nutzt und granulare Befehlsautorisierungen je Admin-Rolle ermöglicht.

Break-Glass-Konto

Ein lokal auf einem Netzwerkgerät konfiguriertes Notfall-Administrationskonto mit starkem, im Tresor verwahrtem Kennwort, das ausschliesslich beim Ausfall aller zentralen AAA-Server zum Einsatz kommt.

MAC-Flooding

Ein Switch-Angriff, bei dem massenhaft Frames mit wechselnden Quell-MAC-Adressen gesendet werden, um die Forwarding Database (FDB) des Switches zu überfüllen, sodass unbekannte Unicast-Pakete wie Broadcasts an alle Ports weitergeleitet werden.

Port Stealing

Ein Layer-2-Angriff, bei dem ein Angreifer Frames mit der Quell-MAC-Adresse eines legitimen Zielsystems versendet, damit der Switch die Port-Zuordnung in der FDB auf den Angreifer-Port umbiegt und Unicast-Pakete abfängt.

Switch Spoofing

Ein VLAN-Hopping-Verfahren, bei dem ein Angreifer an einem Access-Port dynamische Protokolle wie DTP (Dynamic Trunking Protocol) nutzt, um eine Trunk-Verbindung zum Switch auszuhandeln und Frames beliebiger VLANs zu übertragen.

Double Tagging

Ein unidirektionaler VLAN-Hopping-Angriff, bei dem ein Frame mit zwei 802.1Q-Tags versehen wird. Der erste Switch entfernt das äussere Tag des Native VLANs, und der Folge-Switch stellt den Frame im inneren Ziel-VLAN zu.

BPDU Guard

Eine Switch-Funktion für Access-Ports, die einen Port bei Empfang einer Spanning Tree Bridge Protocol Data Unit (BPDU) sofort deaktiviert, um unerlaubte Manipulationen der STP-Wurzelbrücke zu verhindern.

Dynamic ARP Inspection (DAI)

Eine Switch-Sicherheitsfunktion, die ARP-Nachrichten an unvertrauenswürdigen Ports anhand einer Bindungstabelle (z. B. aus DHCP Snooping) prüft und unberechtigte Zuordnungen verwirft, um ARP-Poisoning zu unterbinden.

DHCP Snooping

Eine Sicherheitsfunktion auf Switches, die Switch-Ports in trusted und untrusted einteilt. Antworten von DHCP-Servern (OFFER, ACK) an untrusted Ports werden verworfen und legitime IP-MAC-Zuweisungen in einer Bindungstabelle gesammelt.

RA Guard

Eine Sicherheitsfunktion gegen gefälschte IPv6 Router Advertisements, die an Endgeräteports (untrusted Ports) eingehende RAs verwirft, damit Angreifer sich nicht als Standard-Gateway etablieren können.

SYN-Cookies

Verfahren zur Abwehr von SYN-Floods, bei dem der Server oder die Firewall bei einem TCP-SYN keinen Zustand im Backlog anlegt, sondern die Sequenznummer im SYN-ACK kryptografisch kodiert und den Zustand erst nach Eintreffen des finalen ACKs erzeugt.