Netzwerkstruktur
Um ein Netzwerk, sei es als Heimnetzwerk oder Small Office Netzwerk, zu betreiben ist die Beachtung der Netzwerksicherheit unumgänglich erforderlich. Eine Steigerung der Sicherheit geht so gut wie immer auch mit steigenden Kosten (dazu meist noch progressiver Verlauf) und häufig auch mit sinkender Perfomance einher. Hier ein (Hardware-) Konzept für den Heim- oder Small Office Anwender, bei dem unter Beachtung einfacher Grundsätze ein einigermaßen sicheres Netz aufgebaut werden kann, dessen Kosten für Software und insbesondere Hardware noch wirtschaflich vertretbar sind.
Diese Konfiguration ist zu empfehlen, da in diesem Netzwerk ein von Außen erreichbarer Web(FTP)server, sowie intern ein Netzwerkspeicher (NAS) möglichst sicher betrieben werden soll. Viele Router bieten zwar u.a. hierfür die Option einer DMZ (demilitarisierten Zone). Oft handelt es sich dabei jedoch um _keine_ "echte" DMZ im eigentlichen Sinne. Es werden vielmehr alle Ports einfach auf den "DMZ-Rechner 1:1 durchgereicht".
Dass der NAS in der sicheren Zone arbeitet ist unbedingt erforderlich. Denn auch wenn der Web(FTP)server noch so gut geschützt ist, besteht immer die latente Gefahr eines Angriffs. Sollte ein Angreifer dennoch unerlaubten Zugriff erhalten, können bei diesem Netzaufbau "nur" der Web(FTP)server kompromittiert werden. Ein Zugriff auf die NAS Daten kann selbst nach erfolgreichem Angriff auf den Webserver nicht so einfach erfolgen.
Beschreibung des AccessPoints:
Obwohl WLAN prinzipiell immer eine Sicherheitslücke ins Netzwerk "reißt" soll hier das Laptop mobil verwendet werden können und wird daher wireless ins Netzwerk eingebunden. Auf dem AccessPoint wurde der MAC-Filter aktiviert. Auch hier gilt der Grundsatz, dass man selber bestimmen will, welcher Rechner welche IP bekommt.
Als Verschlüsselung ist WPA oder WPA II zu empfehlen, da es wesentlich sicherer ist als das noch fast überall verwendete 64 Bit oder 128 Bit WEP Verfahren. Beachten Sie beim Kauf von WLAN Produkten die WAP/WAP II Fähigkeit, es gibt immer noch ältere Versionen, welche nur WEP Verschlüsselung können.
Beschreibung des Backup Konzeptes Netzwerkspeicher[NAS]:
Das Backup soll in dieser Konfiguration in erster Linie vor vollständigem Datenverlust auf den Clients, schützen. Die Gefahr eines vollständigen Datenverlustes ist immer gegeben, zum Beispiel durch einen Festplattendefekt. Da auf dem NAS "Raid 1" (Mirroring,Spiegelung) zum Einsatz kommt, ist die Gefahr eines Festplattencrashs samt Datenverlust vergleichsweise gering. Fällt eine Platte aus, ist der gesamte Datenbestand auf der anderen Platte vorhanden und das RAID kann wieder recovert werden. In diesem Falle wird ein E-Mail an den Administrator - oder Besitzer PC gesendet werden um rechzeitig zu warnen.
Fernzugriff über VPN Tunnel:
Soll ein Fernzugriff auf Daten der Clients oder der NAS aus der Ferne über das Internet erfolgen, ist die Verwendung von einem VPN Router dringend zu empfehlen. Sollen sensible private oder geschäftliche Daten abhörsicher über das Internet übertragen werden, kann ein VPN Tunnel bis zum jeweiligen, entfernten User eingerichtet werden.
Auf dem entfernten Gerät, egal ob PC oder Laptop wird eine VPN Client Software installiert und somit kann eine sehr stabile und abhörsichere Verbindung hergestellt werden.
Die erhältlichen Geräte bieten bis zu mehr als 25 VPN Tunnel an, so können mehrere Clients an das Netzwerk angebunden werden.
Virenscanner:
Der Einsatz eines aktuellen Virenscanners incl. aktueller "Viren-Signaturen" auf jedem Rechner ist trotz aller bereits genannter Maßnahmen Pflicht. Benutzen Sie eine Software, die sowohl einen "OnDemand", als auch "OnAccess"-Scanner beinhaltet. Der "OnDemand-Scanner" soll 2 -4 mal im Monat laufen, der "OnAccess-Scanner" läuft permanent im Hintergrund, auch wenn dies sich etwas negativ auf die Gesamtperformance des jeweiligen Rechners auswirkt.
Auf was bei allen Geräten [Router/Server/PC/etc.] geachtet werden soll:
Passwörter: Auf allen Geräten sichere Passwörter (mind. 8 Stellen, bestehend aus einer Kombination aus Groß-, Kleinbuchstaben, Zahlen und Sonderzeichen) verwenden.
Sonstiges:
* Browser: Beim Surfen im Internet muß ein aktueller Browser mit akutellem Patchlevel und ohne bekannte Sicherheitslücken verwendet werden. Empfehlenswert sind Firefox, Opera, etc.
* Sensibilisierung der User: Man muss beim Sufen nicht alles, was bunt ist und blinkt, anklicken ;-)
Nachsatz:
1. 100%ige Sicherheit gibt es nicht und wird es nie geben!
2. Das Internet ist böse, irgendwann kriegt es (fast) Jeden!
|
