{"id":31395,"date":"2019-10-31T21:41:01","date_gmt":"2019-10-31T18:41:01","guid":{"rendered":"https:\/\/prohoster.info\/blog\/kak-vzyat-setevuyu-infrastrukturu-pod-svoj-kontrol-glava-tretya-setevaya-bezopasnost-chast-tretya\/"},"modified":"2019-10-31T21:41:01","modified_gmt":"2019-10-31T18:41:01","slug":"kak-vzyat-setevuyu-infrastrukturu-pod-svoj-kontrol-glava-tretya-setevaya-bezopasnost-chast-tretya","status":"publish","type":"post","link":"https:\/\/prohoster.info\/de\/blog\/administrirovanie\/kak-vzyat-setevuyu-infrastrukturu-pod-svoj-kontrol-glava-tretya-setevaya-bezopasnost-chast-tretya","title":{"rendered":"Wie man die Netzwerk-Infrastruktur unter Kontrolle bringt. Kapitel drei. Netzwerksicherheit. Teil drei","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"<p><i>Dieser Artikel ist der f\u00fcnfte Teil der Artikelreihe \u201eWie man die Netzwerkinfrastruktur unter Kontrolle bringt\u201c. Den Inhalt aller Artikel der Reihe und Links finden Sie hier. <noindex><a rel=\"nofollow\" href=\"https:\/\/habr.com\/ru\/post\/447008\/\">hier<\/a><\/noindex><\/i>.<\/p>\n<p>Dieser Teil wird den Campus (B\u00fcro) &amp; Remote Access VPN-Segmenten gewidmet sein. <\/p>\n<p><img decoding=\"async\" alt=\"Wie man die Netzwerk-Infrastruktur unter Kontrolle bringt. Kapitel drei. Netzwerksicherheit. Teil drei\" src=\"\/wp-content\/uploads\/2019\/04\/c20ea5e670105b5bf9b655a97b82f62f.jpg\" style=\"display:block;margin: 0 auto;\" \/><br \/>\n<br \/>\nEs k\u00f6nnte scheinen, dass das Design eines B\u00fcronetzwerks einfach ist. <\/p>\n<p>Tats\u00e4chlich nehmen wir L2\/L3-Switches, verbinden sie miteinander. Danach f\u00fchren wir eine grundlegende Konfiguration von VLANs, Standard-Gateways durch, richten einfaches Routing ein, schlie\u00dfen WiFi-Controller, Zugangspunkte an, installieren und konfigurieren ASA f\u00fcr den Fernzugriff und freuen uns, dass alles funktioniert. Im Prinzip, wie ich bereits in einem der vorherigen Teile dieses Zyklus geschrieben habe, kann jeder Student, der zwei Semester Telekommunikationskurs belegt hat, ein B\u00fcronetzwerk so entwerfen und einrichten, dass es \"irgendwie funktioniert\". <noindex><a rel=\"nofollow\" href=\"https:\/\/habr.com\/ru\/post\/434750\/\">Artikel<\/a><\/noindex> Aber je mehr Sie lernen, desto weniger einfach erscheint diese Aufgabe. F\u00fcr mich pers\u00f6nlich ist dieses Thema, das Design eines B\u00fcronetzwerks, \u00fcberhaupt nicht einfach, und in diesem Artikel werde ich versuchen zu erkl\u00e4ren, warum.<\/p>\n<p>Kurz gesagt, es gibt viele Faktoren zu ber\u00fccksichtigen. Oft stehen diese Faktoren im Widerspruch zueinander, und man muss einen vern\u00fcnftigen Kompromiss suchen.<\/p>\n<p>Diese Unsicherheit ist die Hauptschwierigkeit. Wenn es um Sicherheit geht, haben wir ein Dreieck mit drei Ecken: Sicherheit, Benutzerfreundlichkeit f\u00fcr Mitarbeiter, Preis der L\u00f6sung. <br \/>\nUnd jedes Mal muss man einen Kompromiss zwischen diesen drei suchen. <br \/>\nAls Beispiel f\u00fcr die Architektur dieser beiden Segmente empfehle ich, wie in den vorherigen Artikeln,<br \/>\n<noindex><a rel=\"nofollow\" name=\"habracut\"><\/a><\/noindex><\/p>\n<h2>Architektur<\/h2>\n<p>\ndas Modell: <noindex><a rel=\"nofollow\" href=\"https:\/\/www.cisco.com\/c\/en\/us\/td\/docs\/solutions\/Enterprise\/Security\/SAFE_RG\/SAFE_rg\/chap1.html\">Cisco SAFE<\/a><\/noindex> Enterprise Campus <noindex><a rel=\"nofollow\" href=\"https:\/\/www.cisco.com\/c\/en\/us\/td\/docs\/solutions\/Enterprise\/Security\/SAFE_RG\/SAFE_rg\/chap5.html#wpxref51616\">Enterprise Internet Edge<\/a><\/noindex>, <noindex><a rel=\"nofollow\" href=\"https:\/\/www.cisco.com\/c\/en\/us\/td\/docs\/solutions\/Enterprise\/Security\/SAFE_RG\/SAFE_rg\/chap6.html#wpxref74611\">Das sind einige veraltete Dokumente. Ich erw\u00e4hne sie hier, weil die grundlegenden Skizzen und Ans\u00e4tze sich nicht ge\u00e4ndert haben, mir aber die Darstellungen besser gefallen als in der<\/a><\/noindex>.<\/p>\n<p>neuen Dokumentation. <noindex><a rel=\"nofollow\" href=\"https:\/\/www.cisco.com\/c\/en\/us\/solutions\/enterprise\/design-zone-security\/landing_safe.html#~tab-architecture\">Ohne Sie auf Cisco-L\u00f6sungen festzulegen, halte ich es dennoch f\u00fcr sinnvoll, dieses Design aufmerksam zu studieren.<\/a><\/noindex>.<\/p>\n<p>Dieser Artikel ist, wie gewohnt, keinesfalls vollst\u00e4ndig, sondern eher eine Erg\u00e4nzung zu diesen Informationen. <\/p>\n<p>Am Ende des Artikels werden wir das Cisco SAFE-Design f\u00fcr B\u00fcros im Hinblick auf die hier dargelegten Konzepte analysieren. <\/p>\n<p>Das Design eines B\u00fcronetzwerks muss nat\u00fcrlich den allgemeinen Anforderungen entsprechen, die behandelt wurden.<\/p>\n<h2>Allgemeine Prinzipien<\/h2>\n<p>\nDas Design eines B\u00fcronetzwerks muss nat\u00fcrlich die allgemeinen Anforderungen erf\u00fcllen, die betrachtet wurden. <noindex><a rel=\"nofollow\" href=\"https:\/\/habr.com\/ru\/post\/434750\/\">hier<\/a><\/noindex> Im Kapitel \u00abKriterien zur Bewertung der Designqualit\u00e4t\u00bb. Neben Preis und Sicherheit, die wir in diesem Artikel diskutieren m\u00f6chten, gibt es noch drei weitere Kriterien, die wir bei der Gestaltung (oder bei \u00c4nderungen) ber\u00fccksichtigen m\u00fcssen:<\/p>\n<ul>\n<li>Skalierbarkeit (scalability)<\/li>\n<li>Verwaltungsfreundlichkeit (managability)<\/li>\n<li>Verf\u00fcgbarkeit (availability)<\/li>\n<\/ul>\n<p>\nVieles von dem, was f\u00fcr <noindex><a rel=\"nofollow\" href=\"https:\/\/habr.com\/ru\/post\/435138\/\">Rechenzentren<\/a><\/noindex> gelten auch f\u00fcr das B\u00fcro. <\/p>\n<p>Aber das B\u00fcrosegment hat dennoch seine eigenen Besonderheiten, die aus Sicht der Sicherheit entscheidend sind. Das Wesen dieser Besonderheiten besteht darin, dass dieses Segment zur Bereitstellung von Netzwerkdiensten f\u00fcr die Mitarbeiter (sowie Partner und G\u00e4ste) des Unternehmens geschaffen wird und folglich haben wir auf der obersten Ebene der Problembetrachtung zwei Aufgaben:<\/p>\n<ul>\n<li>die Ressourcen des Unternehmens vor b\u00f6sartigen Handlungen zu sch\u00fctzen, die von Mitarbeitern (G\u00e4sten, Partnern) sowie von der Software, die sie verwenden, ausgehen k\u00f6nnen. Dazu geh\u00f6ren auch der Schutz vor unbefugtem Zugriff auf das Netzwerk. <\/li>\n<li>die Systeme und Daten der Benutzer selbst zu sch\u00fctzen<\/li>\n<\/ul>\n<p>\nUnd das ist nur eine Seite des Problems (genauer gesagt, eine Spitze des Dreiecks). Auf der anderen Seite stehen Benutzerfreundlichkeit und die Kosten der eingesetzten L\u00f6sungen.<\/p>\n<p>Lassen Sie uns damit beginnen, was der Benutzer von einem modernen B\u00fcronetzwerk erwartet. <\/p>\n<h2>Komfort<\/h2>\n<p>\nSo sehen aus meiner Sicht die \u00abnetzten Bequemlichkeiten\u00bb f\u00fcr den B\u00fcrobenutzer aus:<\/p>\n<ul>\n<li>Mobility<\/li>\n<li>Die M\u00f6glichkeit, das gesamte Spektrum gewohnter Ger\u00e4te und Betriebssysteme zu nutzen<\/li>\n<li>Ein einfacher Zugang zu allen erforderlichen Ressourcen des Unternehmens <\/li>\n<li>Verf\u00fcgbarkeit von Internetressourcen, einschlie\u00dflich verschiedener Cloud-Dienste<\/li>\n<li>\u00abSchnelle Netzwerkleistung\u00bb<\/li>\n<\/ul>\n<p>\nAll das gilt sowohl f\u00fcr Mitarbeiter als auch f\u00fcr G\u00e4ste (oder Partner), und das ist bereits die Aufgabe der Ingenieure des Unternehmens, die Zugriffsrechte f\u00fcr verschiedene Benutzergruppen basierend auf der Authentifizierung zu differenzieren.<\/p>\n<p>Lassen Sie uns jeden dieser Aspekte etwas genauer betrachten.<\/p>\n<h3>Mobility<\/h3>\n<p>\nEs geht darum, von jedem Ort der Welt aus (nat\u00fcrlich wo das Internet verf\u00fcgbar ist) zu arbeiten und auf alle erforderlichen Ressourcen des Unternehmens zuzugreifen.<\/p>\n<p>Dies gilt in vollem Umfang auch f\u00fcr das B\u00fcro. Es ist praktisch, wenn Sie von jedem Punkt im B\u00fcro aus die M\u00f6glichkeit haben, weiterzuarbeiten, beispielsweise E-Mails zu empfangen, in einem Unternehmensmessenger zu kommunizieren oder f\u00fcr Videoanrufe verf\u00fcgbar zu sein. So k\u00f6nnen Sie einerseits einige Fragen durch \u201epers\u00f6nliche\u201c Kommunikation kl\u00e4ren (zum Beispiel an Besprechungen teilnehmen), und andererseits immer online sein, den \u00dcberblick behalten und schnell einige dringende, hochpriorisierte Aufgaben l\u00f6sen. Das ist sehr praktisch und verbessert tats\u00e4chlich die Qualit\u00e4t der Kommunikation.<\/p>\n<p>Dies wird durch das richtige Design des WiFi-Netzwerks erreicht.<\/p>\n<blockquote><p><b>Hinweis<\/b><\/p>\n<p>Hier stellt sich meistens die Frage, ob es ausreicht, nur WiFi zu verwenden? Bedeutet das, dass man auf die Nutzung von Ethernet-Ports im B\u00fcro verzichten kann? Wenn es nur um die Benutzer geht, nicht um Server, die man dennoch sinnvoll mit einem herk\u00f6mmlichen Ethernet-Port anschlie\u00dfen sollte, lautet die allgemeine Antwort: Ja, man kann sich auf WiFi beschr\u00e4nken. Aber es gibt Nuancen.<\/p>\n<p>Es gibt wichtige Nutzergruppen, die einen besonderen Ansatz erfordern. Dazu z\u00e4hlen nat\u00fcrlich die Administratoren. Grunds\u00e4tzlich ist eine WiFi-Verbindung weniger zuverl\u00e4ssig (in Bezug auf Datenverlust) und weniger schnell als ein herk\u00f6mmlicher Ethernet-Port. Das kann f\u00fcr Administratoren erheblich sein. Au\u00dferdem haben Netzwerkadministratoren m\u00f6glicherweise ein eigenes dediziertes Ethernet-Netzwerk f\u00fcr die Out-of-Band-Verbindung.<\/p>\n<p>M\u00f6glicherweise gibt es in Ihrem Unternehmen auch andere Gruppen\/Abteilungen, f\u00fcr die diese Faktoren ebenfalls wichtig sind.<\/p>\n<p>Es gibt noch einen wichtigen Punkt \u2013 die Telefonie. M\u00f6glicherweise m\u00f6chten Sie aus verschiedenen Gr\u00fcnden kein Wireless VoIP verwenden und stattdessen IP-Telefone mit einer herk\u00f6mmlichen Ethernet-Verbindung nutzen. <\/p>\n<p>Im Allgemeinen gab es in den Unternehmen, in denen ich gearbeitet habe, normalerweise sowohl die M\u00f6glichkeit einer WiFi-Verbindung als auch eines Ethernet-Ports.<\/p><\/blockquote>\n<p>\nIch w\u00fcnsche mir, dass die Mobilit\u00e4t nicht nur auf das B\u00fcro beschr\u00e4nkt ist.<\/p>\n<p>Um die M\u00f6glichkeit zu gew\u00e4hrleisten, von zu Hause (oder einem anderen Ort mit verf\u00fcgbarem Internet) zu arbeiten, wird eine VPN-Verbindung verwendet. Dabei ist es w\u00fcnschenswert, dass die Mitarbeiter keinen Unterschied zwischen der Arbeit von zu Hause aus und der Fernarbeit sp\u00fcren, was bedeutet, dass dieselben Zugriffe vorhanden sind. Wie wir das organisieren, werden wir sp\u00e4ter im Kapitel \u201eZentralisiertes Authentifizierungs- und Autorisierungssystem\u201c besprechen.<\/p>\n<blockquote><p><b>Hinweis<\/b><\/p>\n<p>Wahrscheinlich werden Sie nicht in der Lage sein, die gleiche Servicequalit\u00e4t f\u00fcr die Telearbeit zu bieten, wie Sie sie im B\u00fcro haben. Nehmen wir an, dass Sie Cisco ASA 5520 als VPN-Gateway verwenden. Laut <noindex><a rel=\"nofollow\" href=\"https:\/\/www.cisco.com\/c\/en\/us\/products\/security\/asa-5500-series-next-generation-firewalls\/data_sheet_c78-345385.html\">Datenblatt<\/a><\/noindex> ist dieses Ger\u00e4t nur in der Lage, 225 Mbit VPN-Traffic zu \u201everarbeiten\u201c. Das bedeutet, dass sich die Verbindung \u00fcber VPN in Bezug auf die Bandbreite erheblich von der Arbeit im B\u00fcro unterscheidet. Wenn zudem aus bestimmten Gr\u00fcnden die Verz\u00f6gerung, der Verlust oder Jitter (zum Beispiel, wenn Sie die Unternehmens-IP-Telefonie nutzen m\u00f6chten) f\u00fcr Ihre Netzwerkdienste erheblich sind, werden Sie auch nicht die gleiche Qualit\u00e4t erhalten, wie wenn Sie im B\u00fcro w\u00e4ren. Daher m\u00fcssen wir, wenn wir \u00fcber Mobilit\u00e4t sprechen, die m\u00f6glichen Einschr\u00e4nkungen im Hinterkopf behalten.<\/p><\/blockquote>\n<p><\/p>\n<h3>Einfacher Zugang zu allen Unternehmensressourcen<\/h3>\n<p>\nDiese Aufgabe sollte zusammen mit anderen technischen Abteilungen gel\u00f6st werden.<br \/>\nDie ideale Situation ist, wenn der Benutzer sich nur einmal authentifizieren muss, und danach hat er Zugang zu allen ben\u00f6tigten Ressourcen.<br \/>\nDie Bereitstellung eines einfachen Zugangs ohne gef\u00e4hrliche Sicherheitsrisiken kann die Effizienz der Arbeit erheblich steigern und das Stressniveau Ihrer Kollegen senken.<\/p>\n<blockquote><p><b>Hinweis 1<\/b><\/p>\n<p>Bequemlichkeit des Zugangs bedeutet nicht nur, wie oft Sie Ihr Passwort eingeben m\u00fcssen. Wenn Sie beispielsweise gem\u00e4\u00df Ihrer Sicherheitsrichtlinien zuerst eine Verbindung zum VPN-Gateway herstellen m\u00fcssen, um vom B\u00fcro zum Rechenzentrum zuzugreifen, und dadurch den Zugang zu B\u00fcroressourcen verlieren, dann ist das ebenfalls sehr und sehr unangenehm.\n<\/p><\/blockquote>\n<blockquote><p><b>Hinweis 2<\/b><\/p>\n<p>Es gibt Dienste (zum Beispiel den Zugang zu Netzwerkhardware), wo wir normalerweise unsere eigenen dedizierten AAA-Server haben, und es ist normal, dass man sich in solchen F\u00e4llen mehrmals authentifizieren muss.\n<\/p><\/blockquote>\n<p><\/p>\n<h3>Verf\u00fcgbarkeit von Internetressourcen<\/h3>\n<p>\nDas Internet ist nicht nur Unterhaltung, sondern auch eine Sammlung von Diensten, die f\u00fcr die Arbeit \u00e4u\u00dferst n\u00fctzlich sein k\u00f6nnen. Es gibt auch rein psychologische Faktoren. Der moderne Mensch ist \u00fcber viele virtuelle F\u00e4den mit anderen Menschen im Internet verbunden, und meiner Meinung nach ist es nicht schlecht, wenn er diese Verbindung auch w\u00e4hrend der Arbeit sp\u00fcrt.<\/p>\n<p>Aus Sicht des Zeitverlusts ist es nicht schlimm, wenn ein Mitarbeiter beispielsweise Skype ge\u00f6ffnet hat und bei Bedarf 5 Minuten f\u00fcr ein Gespr\u00e4ch mit einer nahestehenden Person aufwendet.<\/p>\n<p>Bedeutet das, dass das Internet immer zug\u00e4nglich sein muss, bedeutet das, dass Mitarbeitern der Zugang zu allen Ressourcen gew\u00e4hrt werden kann, ohne sie zu kontrollieren?<\/p>\n<p>Nein, das bedeutet es nat\u00fcrlich nicht. Der Grad der Offenheit des Internets kann je nach Unternehmen unterschiedlich sein \u2013 von v\u00f6lliger Abschottung bis hin zu vollst\u00e4ndiger Offenheit. Methoden zur Kontrolle des Datenverkehrs werden wir sp\u00e4ter in den Abschnitten \u00fcber Schutzma\u00dfnahmen besprechen. <\/p>\n<h3>Die M\u00f6glichkeit, das gesamte Spektrum gewohnter Ger\u00e4te zu nutzen<\/h3>\n<p>\nEs ist praktisch, wenn Sie zum Beispiel die M\u00f6glichkeit haben, alle Ihnen vertrauten Kommunikationsmittel auch bei der Arbeit weiter zu nutzen. Es ist technisch nicht schwierig, dies umzusetzen. Daf\u00fcr wird WiFi und ein Gast-VLAN ben\u00f6tigt.<\/p>\n<p>Es ist auch vorteilhaft, wenn Sie die M\u00f6glichkeit haben, das Betriebssystem zu verwenden, an das Sie gew\u00f6hnt sind. Aber meiner Beobachtung nach wird dies normalerweise nur Managern, Administratoren und Entwicklern gestattet. <\/p>\n<blockquote><p><b>Beispiel<\/b><\/p>\n<p>Nat\u00fcrlich kann man den Weg der Verbote gehen, den Remote-Zugang verbieten, die Nutzung mobiler Ger\u00e4te untersagen, alles auf statische Ethernet-Anschl\u00fcsse beschr\u00e4nken, den Internetzugang einschr\u00e4nken, Handys und Gadgets am Eingang konfiszieren\u2026 und tats\u00e4chlich gehen einige Organisationen mit hohen Sicherheitsanforderungen diesen Weg, und m\u00f6glicherweise kann das in bestimmten F\u00e4llen auch gerechtfertigt sein, aber\u2026 seien wir ehrlich, das sieht doch wie ein Versuch aus, den Fortschritt in einer einzelnen Organisation zu stoppen. Es w\u00e4re nat\u00fcrlich w\u00fcnschenswert, die M\u00f6glichkeiten moderner Technologien mit einer angemessenen Sicherheitsstufe zu kombinieren.<\/p><\/blockquote>\n<p><\/p>\n<h3>\u00abSchnelle Netzwerkleistung\u00bb<\/h3>\n<p>\nDie Datentransferrate setzt sich technisch aus vielen Faktoren zusammen. Und die Geschwindigkeit Ihres Anschlussports ist normalerweise nicht der wichtigste davon. Langsame Anwendungsleistung ist nicht immer mit Netzwerkproblemen verbunden, aber uns interessiert jetzt nur der Netzwerkteil. Das h\u00e4ufigste Problem bei der \u201eVerlangsamung\u201c des lokalen Netzwerks ist der Paketverlust. Dies geschieht \u00fcblicherweise bei einer \u201eFlaschenhals\u201c-Situation oder bei L1 (OSI)-Problemen. Seltener, bei bestimmten Designs (zum Beispiel wenn in Ihren Subnetzen Standard-Gateways Firewalls sind und somit der gesamte Verkehr \u00fcber sie l\u00e4uft), k\u00f6nnte es an der Leistung der Hardware mangeln. <\/p>\n<p>Daher m\u00fcssen Sie bei der Auswahl von Ger\u00e4ten und Architektur die Geschwindigkeiten der Endports, Trunks und die Leistung der Hardware in Einklang bringen.<\/p>\n<blockquote><p><b>Beispiel<\/b><\/p>\n<p>Angenommen, Sie verwenden als Access-Switches Switches mit 1-Gigabit-Ports. Sie sind \u00fcber Etherchannel mit 2 x 10 Gigabit verbunden. Als Standardgateway verwenden Sie eine Firewall mit Gigabit-Ports, f\u00fcr deren Anschluss an das L2-Netzwerk des B\u00fcros Sie 2 Gigabit-Ports nutzen, die in Etherchannel aggregiert sind. <\/p>\n<p>Diese Architektur ist in Bezug auf die Funktionalit\u00e4t recht bequem, da der gesamte Datenverkehr durch die Firewall flie\u00dft und Sie die Zugriffspolitiken bequem verwalten sowie komplexe Algorithmen zur Verkehrs\u00fcberwachung und zur Verhinderung m\u00f6glicher Angriffe anwenden k\u00f6nnen (siehe weiter unten). Aus Sicht der Bandbreite und Leistung hat dieses Design jedoch potenzielle Probleme. Zum Beispiel k\u00f6nnen 2 Hosts, die Daten herunterladen (mit einer Portgeschwindigkeit von 1 Gigabit), die 2-Gigabit-Verbindung zur Firewall komplett auslasten und somit zu einer Dienstverschlechterung f\u00fcr das gesamte B\u00fcro-Segment f\u00fchren.<\/p><\/blockquote>\n<p>\nWir haben einen Punkt des Dreiecks betrachtet, jetzt lassen Sie uns anschauen, mit welchen Mitteln wir Sicherheit gew\u00e4hrleisten k\u00f6nnen.<\/p>\n<h2>Schutzma\u00dfnahmen<\/h2>\n<p>\nNat\u00fcrlich ist unser Wunsch (oder besser gesagt, der Wunsch unserer F\u00fchrung) in der Regel das Unm\u00f6gliche zu erreichen, n\u00e4mlich maximalen Komfort bei maximaler Sicherheit und minimalen Kosten zu bieten.<\/p>\n<p>Betrachten wir die Methoden, die wir f\u00fcr den Schutz zur Verf\u00fcgung haben.<\/p>\n<p>F\u00fcr das B\u00fcro w\u00fcrde ich die folgenden herausstellen:<\/p>\n<ul>\n<li>Zero Trust-Ansatz im Design<\/li>\n<li>hohes Schutzniveau <\/li>\n<li>Netzwerksichtbarkeit<\/li>\n<li>einheitliches zentrales Authentifizierungs- und Autorisierungssystem<\/li>\n<li>Host\u00fcberpr\u00fcfung (Host Checking) <\/li>\n<\/ul>\n<p>\nLassen Sie uns nun etwas genauer auf jeden dieser Aspekte eingehen.<\/p>\n<h3>Zero Trust<\/h3>\n<p>\nDie IT-Welt ver\u00e4ndert sich sehr schnell. In den letzten 10 Jahren haben die Einf\u00fchrung neuer Technologien und Produkte zu einer ernsthaften \u00dcberpr\u00fcfung der Sicherheitskonzepte gef\u00fchrt. Vor zehn Jahren haben wir aus der Sicherheitsperspektive das Netzwerk in vertrauensw\u00fcrdige, DMZ- und nicht vertrauensw\u00fcrdige Zonen segmentiert und eine sogenannte \u201ePerimetersicherheit\u201c angewendet, bei der es zwei Verteidigungslinien gab: untrust -&gt; dmz und dmz -&gt; trust. Zudem beschr\u00e4nkte sich der Schutz normalerweise auf Zugriffskontrolllisten basierend auf L3\/L4 (OSI)-Headern (IP, TCP\/UDP-Ports, TCP-Flags). Alles, was die h\u00f6heren Ebenen betraf, einschlie\u00dflich L7, wurde den Betriebssystemen und Sicherheitsprodukten, die auf den Endger\u00e4ten installiert sind, \u00fcberlassen.<\/p>\n<p>Die Situation hat sich jetzt grundlegend ge\u00e4ndert. Das moderne Konzept <noindex><a rel=\"nofollow\" href=\"https:\/\/doubleoctopus.com\/security-wiki\/network-architecture\/zero-trust\/\">Zero Trust<\/a><\/noindex> geht davon aus, dass es nicht mehr m\u00f6glich ist, interne Systeme, die sich innerhalb des Perimeters befinden, als vertrauensw\u00fcrdig zu betrachten, und das Konzept des Perimeters selbst ist verschwommen geworden.<br \/>\nNeben der Internetverbindung haben wir auch<\/p>\n<ul>\n<li>Remote Access VPN f\u00fcr Benutzer<\/li>\n<li>verschiedene pers\u00f6nliche Ger\u00e4te, mitgebrachte Laptops, die \u00fcber das B\u00fcro-WiFi verbunden werden<\/li>\n<li>andere (Branch) B\u00fcros<\/li>\n<li>Integration mit Cloud-Infrastrukturen. <\/li>\n<\/ul>\n<p>\nWie sieht der Zero Trust-Ansatz in der Praxis aus?<\/p>\n<p>Idealerweise sollte nur der Verkehr erlaubt sein, der erforderlich ist, und wenn wir schon vom Ideal sprechen, sollte die Kontrolle nicht nur auf der Ebene L3\/L4, sondern auch auf der Anwendungsebene erfolgen. <\/p>\n<p>Wenn Sie beispielsweise die M\u00f6glichkeit haben, den gesamten Verkehr durch eine Firewall zu leiten, k\u00f6nnen Sie versuchen, dem Ideal n\u00e4her zu kommen. Aber ein solcher Ansatz kann die Gesamtbandbreite Ihres Netzwerks erheblich reduzieren, und zudem funktioniert die Anwendungskontrolle nicht immer gut.<\/p>\n<p>Wenn Sie den Verkehr jedoch auf dem Router oder L3-Switch kontrollieren (Verwendung standardm\u00e4\u00dfiger ACL), stehen Sie vor anderen Problemen:<\/p>\n<ul>\n<li>Es handelt sich nur um L3\/L4-Filterung. Nichts hindert einen Angreifer daran, erlaubte Ports (z. B. TCP 80) f\u00fcr seine Anwendung (nicht http) zu verwenden.<\/li>\n<li>komplexes ACL-Management (schwierig, ACL zu analysieren)<\/li>\n<li>es handelt sich nicht um eine stateful Firewall, das hei\u00dft, Sie m\u00fcssen den R\u00fcckverkehr explizit erlauben.<\/li>\n<li>Bei Switches sind Sie normalerweise stark durch die Gr\u00f6\u00dfe des TCAM eingeschr\u00e4nkt, was bei der Anwendung des \u201enur das erlauben, was n\u00f6tig ist\u201c-Ansatzes schnell problematisch werden kann.<\/li>\n<\/ul>\n<p><\/p>\n<blockquote><p><b>Hinweis<\/b><\/p>\n<p>Wenn wir \u00fcber R\u00fcckverkehr sprechen, m\u00fcssen wir uns an die folgende M\u00f6glichkeit (Cisco) erinnern: <\/p>\n<p>permit tcp any any established<\/p>\n<p>Aber man muss verstehen, dass diese Zeile gleichbedeutend mit zwei Zeilen ist:<br \/>\npermit tcp any any ack<br \/>\npermit tcp any any rst<\/p>\n<p>Das bedeutet, dass selbst wenn es kein urspr\u00fcngliches TCP-Segment mit dem SYN-Flag gab (d.h. die TCP-Sitzung hat nicht einmal begonnen), l\u00e4sst diese ACL ein Paket mit dem ACK-Flag durch, was ein Angreifer ausnutzen kann, um Daten zu \u00fcbertragen.<\/p>\n<p>Das hei\u00dft, diese Zeile macht Ihren Router oder L3-Switch in keiner Weise zu einer stateful Firewall.<\/p><\/blockquote>\n<p><\/p>\n<h3>einen hohen Schutzlevel zu entscheiden.<\/h3>\n<p>\nIm <noindex><a rel=\"nofollow\" href=\"https:\/\/habr.com\/ru\/post\/435138\/\">Artikel<\/a><\/noindex> Im Abschnitt, der den Rechenzentren gewidmet ist, haben wir die folgenden Schutzma\u00dfnahmen betrachtet.<\/p>\n<ul>\n<li>stateful firewalling (Standard)<\/li>\n<li>ddos\/dos protection<\/li>\n<li>application firewalling<\/li>\n<li>threat prevention (Antivirus, Anti-Spyware und Schwachstellen)<\/li>\n<li>URL-Filterung<\/li>\n<li>Datenfilterung (Inhaltsfilterung)<\/li>\n<li>Dateiblocking (Blockierung von Dateitypen)<\/li>\n<\/ul>\n<p>\nIm B\u00fcro ist die Situation \u00e4hnlich, aber die Priorit\u00e4ten sind etwas anders. Die Verf\u00fcgbarkeit des B\u00fcros (availability) ist in der Regel nicht so kritisch wie im Fall eines Rechenzentrums, w\u00e4hrend die Wahrscheinlichkeit von \"internem\" sch\u00e4dlichen Datenverkehr um ein Vielfaches h\u00f6her ist. <br \/>\nDeshalb werden die folgenden Schutzmethoden f\u00fcr dieses Segment entscheidend:<\/p>\n<ul>\n<li>application firewalling<\/li>\n<li>threat prevention (anti-virus, anti-spyware und vulnerability)<\/li>\n<li>URL-Filterung<\/li>\n<li>Datenfilterung (Inhaltsfilterung)<\/li>\n<li>Dateiblocking (Blockierung von Dateitypen)<\/li>\n<\/ul>\n<p>\nObwohl all diese Schutzmethoden, mit Ausnahme des application firewalling, traditionell auf Endger\u00e4ten (z.B. durch die Installation von Antivirensoftware) und \u00fcber Proxy-L\u00f6sungen gel\u00f6st wurden und weiterhin werden, bieten moderne NGFW diese Dienste ebenfalls an. <\/p>\n<p>Die Anbieter von Sicherheitsger\u00e4ten streben eine umfassende Sicherheitsl\u00f6sung an, daher werden neben dem Schutz auf lokalem Ger\u00e4t verschiedene Cloud-Technologien und client-seitige Software f\u00fcr Hosts (end point protection\/EPP) angeboten. So sehen wir zum Beispiel aus <noindex><a rel=\"nofollow\" href=\"https:\/\/www.fairline.com.tw\/data\/editor\/files\/01%20%20Gartner%20-%20Magic%20Quad%20-%20Endpoint%20Protection%20Platforms%201-2018.pdf\">dem Gartner Magic Quadrant von 2018<\/a><\/noindex> dass Palo Alto und Cisco ihre EPP (PA: Traps, Cisco: AMP) haben, aber l\u00e4ngst nicht die f\u00fchrenden Anbieter sind.<\/p>\n<p>Die Aktivierung dieser Schutzmechanismen (gew\u00f6hnlich durch den Erwerb von Lizenzen) auf der Firewall ist nat\u00fcrlich nicht zwingend notwendig (Sie k\u00f6nnen den traditionellen Weg gehen), bringt aber einige Vorteile mit sich:<\/p>\n<ul>\n<li>In diesem Fall entsteht ein einheitlicher Punkt f\u00fcr die Anwendung von Schutzeinstellungen, was die Sichtbarkeit (siehe n\u00e4chstes Thema) verbessert. <\/li>\n<li>Wenn sich ein ungesch\u00fctztes Ger\u00e4t in Ihrem Netzwerk befindet, f\u00e4llt es dennoch unter den \"Schirm\" des Schutzes der Firewall.<\/li>\n<li> Durch die gleichzeitige Anwendung des Schutzes an der Firewall und auf den Endger\u00e4ten erh\u00f6hen wir die Wahrscheinlichkeit, sch\u00e4dlichen Datenverkehr zu erkennen. Zum Beispiel erh\u00f6ht die Verwendung von threat prevention auf lokalen Hosts und der Firewall die Wahrscheinlichkeit der Entdeckung (sofern nat\u00fcrlich unterschiedliche Softwareprodukte diesen L\u00f6sungen zugrunde liegen)<\/li>\n<\/ul>\n<blockquote><p><b>Hinweis<\/b><\/p>\n<p>Wenn Sie beispielsweise Kaspersky sowohl als Antivirus auf der Firewall als auch auf den Endger\u00e4ten verwenden, wird dies offensichtlich Ihre Chancen, einen Virusangriff in Ihrem Netzwerk zu verhindern, nicht wesentlich erh\u00f6hen.<\/p><\/blockquote>\n<p><\/p>\n<h3>Netzwerksichtbarkeit<\/h3>\n<p>\n<noindex><a rel=\"nofollow\" href=\"https:\/\/blog.gigamon.com\/2017\/11\/01\/what-is-network-visibility\/\">Die Grundidee<\/a><\/noindex> einfach \u2013 \u201ezu sehen\u201c, was in Ihrem Netzwerk passiert, sowohl in Echtzeit als auch historische Daten. <\/p>\n<p>Ich w\u00fcrde diese \"Sichtweise\" in zwei Gruppen unterteilen:<\/p>\n<p><b>Gruppe Eins:<\/b> was Ihnen normalerweise Ihr \u00dcberwachungssystem bereitstellt.<\/p>\n<ul>\n<li>Ger\u00e4teauslastung<\/li>\n<li>Kanalnutzung<\/li>\n<li>Speicherauslastung<\/li>\n<li>Festplattennutzung<\/li>\n<li>\u00c4nderung der Routingtabelle <\/li>\n<li>Linkstatus<\/li>\n<li>Verf\u00fcgbarkeit der Ger\u00e4te (oder Hosts)<\/li>\n<li>\u2026<\/li>\n<\/ul>\n<p><b>Gruppe Zwei: <\/b>Sicherheitsbezogene Informationen.<\/p>\n<ul>\n<li>verschiedene Statistiken (z. B. zu Anwendungen, Webaufrufen, welche Daten heruntergeladen wurden, Benutzerdaten)<\/li>\n<li>was durch Sicherheitsrichtlinien blockiert wurde und aus welchem Grund, n\u00e4mlich\n<ul>\n<li>verbotene Anwendung<\/li>\n<li>verboten auf Basis von ip\/protocol\/port\/flags\/zones<\/li>\n<li>Bedrohungspr\u00e4vention<\/li>\n<li>URL-Filterung<\/li>\n<li>Datenfilterung<\/li>\n<li>Dateiblockierung<\/li>\n<li>\u2026<\/li>\n<\/ul>\n<\/li>\n<li>Statistik zu DOS\/DDOS-Angriffen<\/li>\n<li>fehlgeschlagene Authentifizierungs- und Autorisierungsversuche<\/li>\n<li>Statistik zu allen oben genannten Ereignissen von Sicherheitsverletzungen<\/li>\n<li>\u2026<\/li>\n<\/ul>\n<p>\nIn diesem Kapitel, das der Sicherheit gewidmet ist, interessiert uns insbesondere der zweite Teil.<\/p>\n<p>Einige moderne Firewalls (aus meiner Erfahrung Palo Alto) bieten ein gutes Ma\u00df an Sichtbarkeit. Aber nat\u00fcrlich muss der Traffic, der Sie interessiert, durch diese Firewall geleitet werden (in diesem Fall haben Sie die M\u00f6glichkeit, den Traffic zu blockieren) oder auf die Firewall gespiegelt werden (wird nur f\u00fcr \u00dcberwachung und Analyse verwendet), und Sie m\u00fcssen Lizenzen haben, die es Ihnen erm\u00f6glichen, all diese Dienste zu aktivieren.<\/p>\n<p>Es gibt nat\u00fcrlich auch einen alternativen, genauer gesagt traditionelleren Ansatz, zum Beispiel,<\/p>\n<ul>\n<li>Statistiken \u00fcber Sitzungen k\u00f6nnen \u00fcber Netflow gesammelt und dann spezielle Tools zur Datenanalyse und -visualisierung verwendet werden.<\/li>\n<li>Bedrohungspr\u00e4vention \u2013 spezielle Programme (Antivirus, Anti-Spyware, Firewall) auf den Endger\u00e4ten.<\/li>\n<li>URL-Filterung, Datenfilterung, Dateiblockierung \u2013 auf Proxys.<\/li>\n<li>Man kann auch tcpdump analysieren, zum Beispiel mit <noindex><a rel=\"nofollow\" href=\"https:\/\/habr.com\/ru\/company\/cisco\/blog\/268207\/\">snort.<\/a><\/noindex><\/li>\n<\/ul>\n<p>\nDiese beiden Ans\u00e4tze k\u00f6nnen kombiniert werden, indem fehlende Funktionen erg\u00e4nzt oder dupliziert werden, um die Wahrscheinlichkeit einer Angriffserkennung zu erh\u00f6hen.<\/p>\n<p>Welchen Ansatz sollten Sie w\u00e4hlen?<br \/>\nH\u00e4ngt stark von der Qualifikation und den Vorlieben Ihres Teams ab.<br \/>\nIn beiden F\u00e4llen gibt es Vor- und Nachteile.<\/p>\n<h3>Einheitliches zentralisiertes System zur Authentifizierung und Autorisierung<br \/>\n<\/h3>\n<p>\nBei einem guten Design impliziert die Mobilit\u00e4t, \u00fcber die wir in diesem Artikel gesprochen haben, dass Sie die gleichen Zugriffe haben, egal ob Sie im B\u00fcro, von zu Hause, vom Flughafen, aus einem Caf\u00e9 oder von jedem anderen Ort aus arbeiten (mit den Einschr\u00e4nkungen, die wir oben besprochen haben). Worin liegt also das Problem? <br \/>\nUm die Komplexit\u00e4t dieser Aufgabe besser zu verstehen, lassen Sie uns ein typisches Design betrachten.<\/p>\n<blockquote><p><b>Beispiel<\/b><\/p>\n<ul>\n<li>Sie haben alle Mitarbeiter in Gruppen eingeteilt. Sie haben entschieden, die Zug\u00e4nge nach Gruppen zu gew\u00e4hren.<\/li>\n<li>Innerhalb des B\u00fcros kontrollieren Sie die Zug\u00e4nge \u00fcber die B\u00fcro-Firewall.<\/li>\n<li>Den Datenverkehr vom B\u00fcro ins Rechenzentrum steuern Sie \u00fcber die Firewall des Rechenzentrums.<\/li>\n<li>Als VPN-Gateway verwenden Sie Cisco ASA und zur Kontrolle des Datenverkehrs, der in Ihr Netzwerk von externen Kunden gelangt, wenden Sie lokale (auf ASA) ACL an.<\/li>\n<\/ul>\n<p>\nNehmen wir nun an, man bittet Sie, einem bestimmten Mitarbeiter einen zus\u00e4tzlichen Zugang zu gew\u00e4hren. Dabei wird darum gebeten, diesen Zugang nur ihm und niemandem sonst aus seiner Gruppe zu gew\u00e4hren.<\/p>\n<p>Zu diesem Zweck m\u00fcssen wir eine separate Gruppe f\u00fcr diesen Mitarbeiter erstellen, das hei\u00dft:<\/p>\n<ul>\n<li>eine separate IP-Pool auf ASA f\u00fcr diesen Mitarbeiter zu erstellen.<\/li>\n<li>eine neue ACL auf ASA hinzuzuf\u00fcgen und diese mit diesem externen Client zu verkn\u00fcpfen.<\/li>\n<li>neue Sicherheitsrichtlinien f\u00fcr die B\u00fcro- und Rechenzentrumsfirewalls zu erstellen.<\/li>\n<\/ul>\n<p>\nDas ist in Ordnung, wenn dieses Ereignis selten auftritt. Aber in meiner Erfahrung gab es Situationen, in denen Mitarbeiter an verschiedenen Projekten beteiligt waren, und dieses Set von Projekten sich f\u00fcr einige von ihnen ziemlich oft \u00e4nderte. Es waren nicht 1-2 Personen, sondern Dutzende. Nat\u00fcrlich musste hier etwas ge\u00e4ndert werden.<\/p>\n<p>Dies wurde auf folgende Weise gel\u00f6st.<\/p>\n<p>Wir haben beschlossen, dass die einzige Quelle der Wahrheit, die alle m\u00f6glichen Zugriffe des Mitarbeiters bestimmt, LDAP sein wird. Wir haben alle m\u00f6glichen Gruppen erstellt, die Zugriffssets definieren, und jeden Benutzer haben wir einer oder mehreren Gruppen zugeordnet. <\/p>\n<p>So beispielsweise gehen wir davon aus, dass es Gruppen gab: <\/p>\n<ul>\n<li>guest (Zugang zum Internet)<\/li>\n<li>common access (Zug\u00e4nge zu gemeinsamen Ressourcen: E-Mail, Wissensdatenbank, ...)<\/li>\n<li>accounting<\/li>\n<li>project 1<\/li>\n<li>project 2<\/li>\n<li>data base administrator<\/li>\n<li>linux administrator<\/li>\n<li>\u2026<\/li>\n<\/ul>\n<p>\nUnd wenn einer der Mitarbeiter sowohl in Projekt 1 als auch in Projekt 2 involviert war und Zug\u00e4nge ben\u00f6tigte, die f\u00fcr die Arbeit an diesen Projekten erforderlich waren, dann wurde dieser Mitarbeiter entsprechend den Gruppen zugeordnet:<\/p>\n<ul>\n<li>guest <\/li>\n<li>common access<\/li>\n<li>project 1<\/li>\n<li>project 2<\/li>\n<\/ul>\n<p>\nWie k\u00f6nnen wir jetzt diese Informationen in Zug\u00e4nge f\u00fcr die Netzwerkausr\u00fcstung umwandeln? <\/p>\n<p>Cisco ASA Dynamische Zugriffsrichtlinie (DAP) (siehe <noindex><a rel=\"nofollow\" href=\"https:\/\/www.cisco.com\/c\/en\/us\/support\/docs\/security\/asa-5500-x-series-next-generation-firewalls\/108000-dap-deploy-guide.html\">www.cisco.com\/c\/en\/us\/support\/docs\/security\/asa-5500-x-series-next-generation-firewalls\/108000-dap-deploy-guide.html<\/a><\/noindex>) ist die ideale L\u00f6sung f\u00fcr diese Aufgabe.<\/p>\n<p>Kurz gesagt, bei unserer Implementierung erh\u00e4lt die ASA im Identifikations-\/Autorisierungsprozess eine Reihe von Gruppen von LDAP, die dem Benutzer entsprechen, und \u201estellt\u201c aus mehreren lokalen ACLs (von denen jede einer Gruppe entspricht) eine dynamische ACL mit allen notwendigen Zugriffen zusammen, was unseren Anforderungen voll und ganz entspricht.<\/p>\n<p>Das gilt jedoch nur f\u00fcr VPN-Verbindungen. Um die Situation f\u00fcr Mitarbeiter, die sich \u00fcber VPN verbinden, und f\u00fcr die im B\u00fcro befindlichen gleicherma\u00dfen zu gestalten, wurde der n\u00e4chste Schritt unternommen. <\/p>\n<p>Bei der Verbindung aus dem B\u00fcro wurden die Nutzer \u00fcber das Protokoll 802.1x entweder in das G\u00e4ste-VLAN (f\u00fcr G\u00e4ste) oder in das VLAN mit allgemeinen Zugriffsrechten (f\u00fcr Unternehmensmitarbeiter) eingestuft. F\u00fcr den Zugriff auf spezifische Ressourcen (z. B. Projekte im Rechenzentrum) mussten die Mitarbeiter sich dann per VPN verbinden.<\/p>\n<p>F\u00fcr die Verbindung aus dem B\u00fcro und von zu Hause wurden verschiedene Tunnelgruppen auf der ASA verwendet. Dies ist notwendig, damit der Verkehr zu den gemeinsamen Ressourcen (die von allen Mitarbeitern genutzt werden, wie E-Mail, Dateiserver, Ticketsystem, DNS, ...) f\u00fcr diejenigen, die sich aus dem B\u00fcro verbinden, nicht \u00fcber die ASA, sondern \u00fcber das lokale Netzwerk l\u00e4uft. So haben wir die ASA nicht mit unn\u00f6tigem, einschlie\u00dflich hochintensivem, Verkehr belastet.<\/p>\n<p>Damit war das Problem gel\u00f6st. <br \/>\nWir haben erhalten <\/p>\n<ul>\n<li>gleiche Zugriffsrechte sowohl f\u00fcr B\u00fcroverbindungen als auch f\u00fcr Fernverbindungen<\/li>\n<li>keine Verschlechterung des Dienstes bei der Arbeit im B\u00fcro, die durch den Transport von hochintensivem Datenverkehr \u00fcber die ASA verursacht wird<\/li>\n<\/ul>\n<p>\nWas sind weitere Vorteile dieses Ansatzes?<br \/>\nBei der Verwaltung von Zugriffsrechten. Zugriffe k\u00f6nnen einfach an einem Ort ge\u00e4ndert werden.<br \/>\nWenn beispielsweise ein Mitarbeiter das Unternehmen verl\u00e4sst, entfernen Sie ihn einfach aus dem LDAP, und er verliert automatisch alle Zugriffsrechte.\n<\/p><\/blockquote>\n<p><\/p>\n<h3>Hostpr\u00fcfung (host checking)<\/h3>\n<p>\nMit der M\u00f6glichkeit von Fernverbindungen besteht das Risiko, dass nicht nur ein Mitarbeiter des Unternehmens, sondern auch sch\u00e4dliche Software, die mit hoher Wahrscheinlichkeit auf seinem Computer (z. B. zu Hause) vorhanden ist, in das Netzwerk gelangt, und dar\u00fcber hinaus k\u00f6nnten wir m\u00f6glicherweise einem Angreifer den Zugang zu unserem Netzwerk \u00f6ffnen, der diesen Host als Proxy verwendet.<\/p>\n<p>Es ist sinnvoll, f\u00fcr Remote-Hosts die gleichen Sicherheitsanforderungen anzuwenden wie f\u00fcr Hosts, die sich im B\u00fcro befinden.<\/p>\n<p>Das umfasst auch die \"richtige\" Version des Betriebssystems, Anti-Virus-, Anti-Spyware- und Firewall-Software sowie Updates. In der Regel ist diese Funktionalit\u00e4t auf dem VPN-Gateway vorhanden (f\u00fcr ASA siehe zum Beispiel, <noindex><a rel=\"nofollow\" href=\"https:\/\/community.cisco.com\/t5\/security-documents\/how-to-configure-anyconnect-host-scan\/ta-p\/3118732\">hier<\/a><\/noindex>).<\/p>\n<p>Es ist auch sinnvoll, die gleichen Analysemethoden und Verkehrsbeschr\u00e4nkungen anzuwenden (siehe \"Hoher Schutzlevel\"), die gem\u00e4\u00df Ihrer Sicherheitsrichtlinie auf den B\u00fcroverkehr angewendet werden. <\/p>\n<p>Es ist sinnvoll davon auszugehen, dass Ihr B\u00fcronetzwerk nun nicht mehr auf das B\u00fcrogeb\u00e4ude und die darin befindlichen Hosts beschr\u00e4nkt ist.<\/p>\n<blockquote><p><b>Beispiel<\/b><\/p>\n<p>Eine gute Strategie ist es, jedem Mitarbeiter, der Remote-Zugriff ben\u00f6tigt, einen hochwertigen, benutzerfreundlichen Laptop zur Verf\u00fcgung zu stellen und zu verlangen, dass er sowohl im B\u00fcro als auch von zu Hause aus darauf arbeitet.<\/p>\n<p>Das erh\u00f6ht nicht nur die Sicherheit Ihres Netzwerks, sondern ist auch tats\u00e4chlich bequem und wird von den Mitarbeitern in der Regel positiv aufgenommen (sofern es sich um einen wirklich guten und benutzerfreundlichen Laptop handelt).<\/p><\/blockquote>\n<p><\/p>\n<h2>Von einem Gef\u00fchl f\u00fcr Ma\u00df und Balance<\/h2>\n<p>\nIm Grunde genommen handelt es sich um ein Gespr\u00e4ch \u00fcber die dritte Spitze unseres Dreiecks - \u00fcber die Kosten.<br \/>\nLassen Sie uns ein hypothetisches Beispiel betrachten.<\/p>\n<blockquote><p><b>Beispiel<\/b><\/p>\n<p>Sie haben ein B\u00fcro f\u00fcr 200 Personen. Sie haben beschlossen, es so komfortabel und sicher wie m\u00f6glich zu gestalten.<\/p>\n<p>Daher haben Sie entschieden, den gesamten Verkehr durch die Firewall zu leiten, und f\u00fcr alle Subnetze im B\u00fcro ist die Firewall das Standardgateway. Neben der Sicherheitssoftware, die auf jedem Endger\u00e4t installiert ist (Anti-Virus-, Anti-Spyware- und Firewall-Software), haben Sie auch beschlossen, alle m\u00f6glichen Schutzmethoden auf der Firewall anzuwenden.<\/p>\n<p>Um eine hohe Verbindungsgeschwindigkeit (alles f\u00fcr den Komfort) sicherzustellen, haben Sie als Zugriffsschalter Switches mit 10-Gigabit-Zugangsports gew\u00e4hlt und als Firewalls leistungsstarke NGFW-Firewalls, beispielsweise das Palo Alto der Reihe 7K (mit 40-Gigabit-Ports), selbstverst\u00e4ndlich mit allen aktiven Lizenzen und nat\u00fcrlich mit einer Hochverf\u00fcgbarkeitsgruppe.<\/p>\n<p>Auch ben\u00f6tigen wir f\u00fcr die Arbeit mit dieser Equipmentreihe mindestens ein paar hochqualifizierte Sicherheitstechniker.<\/p>\n<p>Dar\u00fcber hinaus haben Sie entschieden, jedem Mitarbeiter einen guten Laptop auszuh\u00e4ndigen.<\/p>\n<p>Insgesamt belaufen sich die Kosten auf etwa 10 Millionen Dollar f\u00fcr die Implementierung, Hunderttausende Dollar (ich denke, n\u00e4her am Million) f\u00fcr die j\u00e4hrliche Unterst\u00fctzung und Geh\u00e4lter der Ingenieure.<\/p>\n<p>B\u00fcro, 200 Personen ...<br \/>\nBequem? Vermutlich ja. <\/p>\n<p>Sie kommen mit diesem Vorschlag zu Ihrer Gesch\u00e4ftsf\u00fchrung\u2026<br \/>\nVielleicht gibt es in der Welt einige Unternehmen, f\u00fcr die dies eine akzeptable und richtige L\u00f6sung ist. Wenn Sie ein Mitarbeiter dieses Unternehmens sind \u2013 herzlichen Gl\u00fcckwunsch, aber in den \u00fcberwiegenden meisten F\u00e4llen bin ich mir sicher, dass Ihr Wissen von der Gesch\u00e4ftsf\u00fchrung nicht gew\u00fcrdigt wird.<\/p><\/blockquote>\n<p>\nIst dieses Beispiel \u00fcbertrieben? Das n\u00e4chste Kapitel wird Antwort auf diese Frage geben.<\/p>\n<p>Wenn Sie in Ihrem Netzwerk nichts von dem oben Aufgez\u00e4hlten sehen, dann ist das normal.<br \/>\nF\u00fcr jeden konkreten Fall m\u00fcssen Sie einen vern\u00fcnftigen Kompromiss zwischen Komfort, Preis und Sicherheit finden. Oft ist im B\u00fcro nicht einmal ein NGFW erforderlich, keine L7-Schutz auf der Firewall. Es gen\u00fcgt, ein gutes Ma\u00df an Sichtbarkeit und Benachrichtigungen sicherzustellen, und das kann beispielsweise mit Open-Source-Produkten erreicht werden. Ja, Ihre Reaktion auf einen Angriff wird nicht sofort sein, aber das Wichtigste ist, dass Sie ihn sehen werden, und bei Vorliegen der richtigen Prozesse in Ihrer Abteilung werden Sie ihn schnell neutralisieren k\u00f6nnen.<\/p>\n<p>Und ich erinnere daran, dass Sie gem\u00e4\u00df dem Konzept dieser Artikelreihe kein Netzwerk designen, sondern nur versuchen, das zu verbessern, was Ihnen gegeben wurde.<\/p>\n<h2>Analyse der SAFE Architektur des B\u00fcros<\/h2>\n<p>\nBitte beachten Sie dieses rote Quadrat, mit dem ich den Bereich auf dem Diagramm von <noindex><a rel=\"nofollow\" href=\"https:\/\/www.cisco.com\/c\/dam\/en\/us\/solutions\/collateral\/enterprise\/design-zone-security\/safe-architecture-guide-secure-campus.pdf\">SAFE Secure Campus Architecture Guide<\/a><\/noindex>, das ich hier besprechen m\u00f6chte.<\/p>\n<p><img decoding=\"async\" alt=\"Wie man die Netzwerk-Infrastruktur unter Kontrolle bringt. Kapitel drei. Netzwerksicherheit. Teil drei\" src=\"\/wp-content\/uploads\/2019\/04\/617b6561b6ebb17d4f015251abcadf9b.jpg\" style=\"display:block;margin: 0 auto;\" \/><br \/>\n<br \/>\nDies ist einer der Schl\u00fcsselbereiche der Architektur und eine der bedeutendsten Ungewissheiten.<\/p>\n<blockquote><p><b>Hinweis<\/b><\/p>\n<p>Ich habe noch nie FirePower (aus der Cisco-Firewall-Reihe \u2013 nur mit ASA gearbeitet) konfiguriert oder damit gearbeitet, weshalb ich es wie jede andere Firewall betrachten werde, beispielsweise wie Juniper SRX oder Palo Alto, in der Annahme, dass sie die gleichen Funktionen haben.<\/p><\/blockquote>\n<p>\nBei den g\u00e4ngigen Konstruktionen sehe ich nur 4 m\u00f6gliche Verwendungsarten der Firewall bei einer solchen Verbindung:<\/p>\n<ul>\n<li>Der Standardgateway f\u00fcr jedes Subnetz ist ein Switch, wobei die Firewall im transparenten Modus arbeitet (das hei\u00dft, der gesamte Verkehr geht durch sie, aber sie stellt keinen L3-Hop dar).<\/li>\n<li>Der Standardgateway f\u00fcr jedes Subnetz sind die Sub-Interfaces der Firewall (oder SVI-Interfaces), der Switch spielt die Rolle von L2.<\/li>\n<li>Auf dem Switch werden verschiedene VRFs verwendet, und der Verkehr zwischen den VRFs geht durch die Firewall, der Verkehr innerhalb eines VRFs wird \u00fcber ACLs auf dem Switch kontrolliert.<\/li>\n<li>Der gesamte Verkehr wird zur Analyse und \u00dcberwachung an die Firewall gespiegelt, der Verkehr geht nicht durch sie.<\/li>\n<\/ul>\n<p><\/p>\n<blockquote><p><b>Hinweis 1<\/b><\/p>\n<p>Kombinationen dieser Optionen sind m\u00f6glich, aber der Einfachheit halber werden wir sie nicht betrachten.<\/p><\/blockquote>\n<blockquote><p><b>Hinweis2<\/b><\/p>\n<p>Es gibt auch die M\u00f6glichkeit, PBR (Service Chain-Architektur) zu verwenden, aber derzeit ist dies, obwohl ich es f\u00fcr eine sch\u00f6ne L\u00f6sung halte, eher exotisch, weshalb ich es hier nicht in Betracht ziehe.<\/p><\/blockquote>\n<p>\nAus der Beschreibung der Streams im Dokument sehen wir, dass der Verkehr tats\u00e4chlich \u00fcber die Firewall l\u00e4uft, das hei\u00dft, gem\u00e4\u00df dem Design von Cisco entf\u00e4llt die vierte Option.<\/p>\n<p>Lassen Sie uns zun\u00e4chst die ersten beiden Optionen betrachten.<br \/>\nBei diesen Optionen l\u00e4uft der gesamte Verkehr \u00fcber die Firewall.<\/p>\n<p>Nun schauen wir <noindex><a rel=\"nofollow\" href=\"https:\/\/www.cisco.com\/c\/en\/us\/products\/collateral\/security\/firepower-ngfw\/data_sheet-c78-736661.html\">Datenblatt<\/a><\/noindex>, schauen wir <noindex><a rel=\"nofollow\" href=\"https:\/\/itprice.com\">Cisco GPL<\/a><\/noindex> und sehen, dass wir, wenn wir eine Gesamtdatenrate f\u00fcr unser B\u00fcro von mindestens 10 bis 20 Gigabit haben wollen, die 4K-Version kaufen m\u00fcssen.<\/p>\n<blockquote><p><b>Hinweis<\/b><\/p>\n<p>Wenn ich von der Gesamtdatenrate spreche, meine ich den Verkehr zwischen den Subnetzen (und nicht innerhalb eines einzelnen VLANs).<\/p><\/blockquote>\n<p>\nAus dem GPL sehen wir, dass der Preis f\u00fcr das HA-Bundle mit Threat Defense je nach Modell (4110 - 4150) zwischen ~0,5 und 2,5 Millionen Dollar variiert.<\/p>\n<p>Das hei\u00dft, unser Design erinnert an das vorherige Beispiel.<\/p>\n<p>Bedeutet das, dass dieses Design falsch ist?<br \/>\nNein, bedeutet es nicht. Cisco bietet Ihnen den maximal m\u00f6glichen Schutz basierend auf der Produktreihe, die es hat. Aber das bedeutet nicht, dass dies ein \"Must-Do\" f\u00fcr Sie ist. <\/p>\n<p>Im Grunde ist dies eine allgemeine Frage, die beim Design eines B\u00fcros oder Rechenzentrums aufkommt, und das bedeutet nur, dass man einen Kompromiss suchen muss. <\/p>\n<p>Zum Beispiel ist es nicht erforderlich, den gesamten Verkehr \u00fcber die Firewall zu leiten, und in diesem Fall erscheint mir die dritte Option ziemlich ansprechend. Oder (siehe vorherigen Abschnitt) vielleicht ben\u00f6tigen Sie keine \u201eThreat Defense\u201c oder \u00fcberhaupt keine Firewall in diesem Netzwerksegment, und es gen\u00fcgt, passives Monitoring mit Hilfe von kostenpflichtigen (nicht teuren) oder Open-Source-L\u00f6sungen zu verwenden, oder eine Firewall ist erforderlich, aber von einem anderen Anbieter.<\/p>\n<p>Normalerweise gibt es immer diese Unsicherheit und keine eindeutige Antwort darauf, welche L\u00f6sung f\u00fcr Sie die beste ist.<br \/>\nDas ist die Schwierigkeit und die Sch\u00f6nheit dieser Aufgabe.<br \/>\n<br \/>Quelle: <a content=\"nofollow\" rel=\"nofollow\" href=\"https:\/\/habr.com\/ru\/post\/447610\/\">habr.com<\/a><\/p>","protected":false,"gt_translate_keys":[{"key":"rendered","format":"html"}]},"excerpt":{"rendered":"<p>\u042d\u0442\u0430 \u0441\u0442\u0430\u0442\u044c\u044f \u044f\u0432\u043b\u044f\u0435\u0442\u0441\u044f \u043f\u044f\u0442\u043e\u0439 \u0432 \u0446\u0438\u043a\u043b\u0435 \u0441\u0442\u0430\u0442\u0435\u0439 \u00ab\u041a\u0430\u043a \u0432\u0437\u044f\u0442\u044c \u0441\u0435\u0442\u0435\u0432\u0443\u044e \u0438\u043d\u0444\u0440\u0430\u0441\u0442\u0440\u0443\u043a\u0442\u0443\u0440\u0443 \u043f\u043e\u0434 \u0441\u0432\u043e\u0439 \u043a\u043e\u043d\u0442\u0440\u043e\u043b\u044c\u00bb. \u0421\u043e\u0434\u0435\u0440\u0436\u0430\u043d\u0438\u0435 \u0432\u0441\u0435\u0445 \u0441\u0442\u0430\u0442\u0435\u0439 \u0446\u0438\u043a\u043b\u0430 \u0438 \u0441\u0441\u044b\u043b\u043a\u0438 \u043c\u043e\u0436\u043d\u043e \u043d\u0430\u0439\u0442\u0438 \u0437\u0434\u0435\u0441\u044c. \u042d\u0442\u0430 \u0447\u0430\u0441\u0442\u044c \u0431\u0443\u0434\u0435\u0442 \u043f\u043e\u0441\u0432\u044f\u0449\u0435\u043d\u0430 Campus (Office) &amp; Remote access VPN \u0441\u0435\u0433\u043c\u0435\u043d\u0442\u0430\u043c. \u041c\u043e\u0436\u0435\u0442 \u043f\u043e\u043a\u0430\u0437\u0430\u0442\u044c\u0441\u044f, \u0447\u0442\u043e \u0434\u0438\u0437\u0430\u0439\u043d \u043e\u0444\u0438\u0441\u043d\u043e\u0439 \u0441\u0435\u0442\u0438 \u2013 \u044d\u0442\u043e \u043f\u0440\u043e\u0441\u0442\u043e. \u0414\u0435\u0439\u0441\u0442\u0432\u0438\u0442\u0435\u043b\u044c\u043d\u043e, \u0431\u0435\u0440\u0435\u043c L2\/L3 \u043a\u043e\u043c\u043c\u0443\u0442\u0430\u0442\u043e\u0440\u044b, \u0441\u043e\u0435\u0434\u0438\u043d\u044f\u0435\u043c \u0438\u0445 \u043c\u0435\u0436\u0434\u0443 \u0441\u043e\u0431\u043e\u0439. \u0414\u0430\u043b\u0435\u0435, \u043f\u0440\u043e\u0438\u0437\u0432\u043e\u0434\u0438\u043c \u044d\u043b\u0435\u043c\u0435\u043d\u0442\u0430\u0440\u043d\u0443\u044e \u043d\u0430\u0441\u0442\u0440\u043e\u0439\u043a\u0443 [&hellip;]<\/p>\n","protected":false,"gt_translate_keys":[{"key":"rendered","format":"html"}]},"author":1,"featured_media":23359,"comment_status":"open","ping_status":"open","sticky":false,"template":"","format":"standard","meta":{"footnotes":""},"categories":[688],"tags":[],"class_list":["post-31395","post","type-post","status-publish","format-standard","has-post-thumbnail","hentry","category-administrirovanie"],"aioseo_notices":[],"aioseo_head":"\n\t\t<!-- All in One SEO 5.0.1.1 - aioseo.com -->\n\t<meta name=\"description\" content=\"\u042d\u0442\u0430 \u0441\u0442\u0430\u0442\u044c\u044f \u044f\u0432\u043b\u044f\u0435\u0442\u0441\u044f \u043f\u044f\u0442\u043e\u0439 \u0432 \u0446\u0438\u043a\u043b\u0435 \u0441\u0442\u0430\u0442\u0435\u0439 \u00ab\u041a\u0430\u043a \u0432\u0437\u044f\u0442\u044c \u0441\u0435\u0442\u0435\u0432\u0443\u044e \u0438\u043d\u0444\u0440\u0430\u0441\u0442\u0440\u0443\u043a\u0442\u0443\u0440\u0443 \u043f\u043e\u0434 \u0441\u0432\u043e\u0439 \u043a\u043e\u043d\u0442\u0440\u043e\u043b\u044c\u00bb.\" \/>\n\t<meta name=\"robots\" content=\"max-image-preview:large\" \/>\n\t<meta name=\"author\" content=\"Yuri Gagarin\"\/>\n\t<link rel=\"canonical\" href=\"https:\/\/prohoster.info\/de\/blog\/administrirovanie\/kak-vzyat-setevuyu-infrastrukturu-pod-svoj-kontrol-glava-tretya-setevaya-bezopasnost-chast-tretya\" \/>\n\t<meta name=\"generator\" content=\"All in One SEO (AIOSEO) 5.0.1.1\" \/>\n\t\t<meta property=\"og:locale\" content=\"de_DE\" \/>\n\t\t<meta property=\"og:site_name\" content=\"ProHoster | \u041a\u0443\u043f\u0438\u0442\u044c \u043d\u0430\u0434\u0435\u0436\u043d\u044b\u0439 \u0445\u043e\u0441\u0442\u0438\u043d\u0433 \u0434\u043b\u044f \u0441\u0430\u0439\u0442\u043e\u0432 \u0441 \u0437\u0430\u0449\u0438\u0442\u043e\u0439 \u043e\u0442 DDoS, VPS VDS \u0441\u0435\u0440\u0432\u0435\u0440\u044b\" \/>\n\t\t<meta property=\"og:type\" content=\"article\" \/>\n\t\t<meta property=\"og:title\" content=\"\ud83e\udd47\u041a\u0430\u043a \u0432\u0437\u044f\u0442\u044c \u0441\u0435\u0442\u0435\u0432\u0443\u044e \u0438\u043d\u0444\u0440\u0430\u0441\u0442\u0440\u0443\u043a\u0442\u0443\u0440\u0443 \u043f\u043e\u0434 \u0441\u0432\u043e\u0439 \u043a\u043e\u043d\u0442\u0440\u043e\u043b\u044c. \u0413\u043b\u0430\u0432\u0430 \u0442\u0440\u0435\u0442\u044c\u044f. \u0421\u0435\u0442\u0435\u0432\u0430\u044f \u0431\u0435\u0437\u043e\u043f\u0430\u0441\u043d\u043e\u0441\u0442\u044c. \u0427\u0430\u0441\u0442\u044c \u0442\u0440\u0435\u0442\u044c\u044f | ProHoster\" \/>\n\t\t<meta property=\"og:description\" content=\"\u042d\u0442\u0430 \u0441\u0442\u0430\u0442\u044c\u044f \u044f\u0432\u043b\u044f\u0435\u0442\u0441\u044f \u043f\u044f\u0442\u043e\u0439 \u0432 \u0446\u0438\u043a\u043b\u0435 \u0441\u0442\u0430\u0442\u0435\u0439 \u00ab\u041a\u0430\u043a \u0432\u0437\u044f\u0442\u044c \u0441\u0435\u0442\u0435\u0432\u0443\u044e \u0438\u043d\u0444\u0440\u0430\u0441\u0442\u0440\u0443\u043a\u0442\u0443\u0440\u0443 \u043f\u043e\u0434 \u0441\u0432\u043e\u0439 \u043a\u043e\u043d\u0442\u0440\u043e\u043b\u044c\u00bb.\" \/>\n\t\t<meta property=\"og:url\" content=\"https:\/\/prohoster.info\/de\/blog\/administrirovanie\/kak-vzyat-setevuyu-infrastrukturu-pod-svoj-kontrol-glava-tretya-setevaya-bezopasnost-chast-tretya\" \/>\n\t\t<meta property=\"og:image\" content=\"https:\/\/prohoster.info\/wp-content\/uploads\/2021\/11\/logo-350.jpg\" \/>\n\t\t<meta property=\"og:image:secure_url\" content=\"https:\/\/prohoster.info\/wp-content\/uploads\/2021\/11\/logo-350.jpg\" \/>\n\t\t<meta property=\"og:image:width\" content=\"350\" \/>\n\t\t<meta property=\"og:image:height\" content=\"350\" \/>\n\t\t<meta property=\"article:published_time\" content=\"2019-10-31T18:41:01+00:00\" \/>\n\t\t<meta property=\"article:modified_time\" content=\"2019-10-31T18:41:01+00:00\" \/>\n\t\t<meta property=\"article:publisher\" content=\"https:\/\/www.facebook.com\/prohoster\" \/>\n\t\t<meta property=\"article:author\" content=\"https:\/\/www.facebook.com\/prohoster\" \/>\n\t\t<!-- All in One SEO -->\n\n","aioseo_head_json":{"title":"\ud83e\udd47Wie man die Netzwerkinfrastruktur unter Kontrolle bringt. Kapitel drei. Netzwerksicherheit. Teil drei | ProHoster","description":"Dieser Artikel ist der f\u00fcnfte in einer Serie von Artikeln \"Wie man die Netzwerkinfrastruktur unter Kontrolle bringt\".","canonical_url":"https:\/\/prohoster.info\/de\/blog\/administrirovanie\/kak-vzyat-setevuyu-infrastrukturu-pod-svoj-kontrol-glava-tretya-setevaya-bezopasnost-chast-tretya","robots":"max-image-preview:large","keywords":"","webmasterTools":{"miscellaneous":""},"schema":null,"og:locale":"de_DE","og:site_name":"ProHoster | \u041a\u0443\u043f\u0438\u0442\u044c \u043d\u0430\u0434\u0435\u0436\u043d\u044b\u0439 \u0445\u043e\u0441\u0442\u0438\u043d\u0433 \u0434\u043b\u044f \u0441\u0430\u0439\u0442\u043e\u0432 \u0441 \u0437\u0430\u0449\u0438\u0442\u043e\u0439 \u043e\u0442 DDoS, VPS VDS \u0441\u0435\u0440\u0432\u0435\u0440\u044b","og:type":"article","og:title":"\ud83e\udd47\u041a\u0430\u043a \u0432\u0437\u044f\u0442\u044c \u0441\u0435\u0442\u0435\u0432\u0443\u044e \u0438\u043d\u0444\u0440\u0430\u0441\u0442\u0440\u0443\u043a\u0442\u0443\u0440\u0443 \u043f\u043e\u0434 \u0441\u0432\u043e\u0439 \u043a\u043e\u043d\u0442\u0440\u043e\u043b\u044c. \u0413\u043b\u0430\u0432\u0430 \u0442\u0440\u0435\u0442\u044c\u044f. \u0421\u0435\u0442\u0435\u0432\u0430\u044f \u0431\u0435\u0437\u043e\u043f\u0430\u0441\u043d\u043e\u0441\u0442\u044c. \u0427\u0430\u0441\u0442\u044c \u0442\u0440\u0435\u0442\u044c\u044f | ProHoster","og:description":"\u042d\u0442\u0430 \u0441\u0442\u0430\u0442\u044c\u044f \u044f\u0432\u043b\u044f\u0435\u0442\u0441\u044f \u043f\u044f\u0442\u043e\u0439 \u0432 \u0446\u0438\u043a\u043b\u0435 \u0441\u0442\u0430\u0442\u0435\u0439 \u00ab\u041a\u0430\u043a \u0432\u0437\u044f\u0442\u044c \u0441\u0435\u0442\u0435\u0432\u0443\u044e \u0438\u043d\u0444\u0440\u0430\u0441\u0442\u0440\u0443\u043a\u0442\u0443\u0440\u0443 \u043f\u043e\u0434 \u0441\u0432\u043e\u0439 \u043a\u043e\u043d\u0442\u0440\u043e\u043b\u044c\u00bb.","og:url":"https:\/\/prohoster.info\/de\/blog\/administrirovanie\/kak-vzyat-setevuyu-infrastrukturu-pod-svoj-kontrol-glava-tretya-setevaya-bezopasnost-chast-tretya","og:image":"https:\/\/prohoster.info\/wp-content\/uploads\/2021\/11\/logo-350.jpg","og:image:secure_url":"https:\/\/prohoster.info\/wp-content\/uploads\/2021\/11\/logo-350.jpg","og:image:width":350,"og:image:height":350,"article:published_time":"2019-10-31T18:41:01+00:00","article:modified_time":"2019-10-31T18:41:01+00:00","article:publisher":"https:\/\/www.facebook.com\/prohoster","article:author":"https:\/\/www.facebook.com\/prohoster"},"aioseo_meta_data":{"post_id":"31395","title":null,"description":null,"keywords":null,"keyphrases":null,"primary_term":null,"canonical_url":null,"og_title":null,"og_description":null,"og_object_type":"default","og_image_type":"default","og_image_url":null,"og_image_width":null,"og_image_height":null,"og_image_custom_url":null,"og_image_custom_fields":null,"og_video":null,"og_custom_url":null,"og_article_section":null,"og_article_tags":null,"twitter_use_og":false,"twitter_card":"default","twitter_image_type":"default","twitter_image_url":null,"twitter_image_custom_url":null,"twitter_image_custom_fields":null,"twitter_title":null,"twitter_description":null,"schema":{"blockGraphs":[],"customGraphs":[],"default":{"data":{"Article":[],"Course":[],"Dataset":[],"FAQPage":[],"Movie":[],"Person":[],"Product":[],"ProductReview":[],"Car":[],"Recipe":[],"Service":[],"SoftwareApplication":[],"WebPage":[]},"graphName":"","isEnabled":true},"graphs":[]},"schema_type":null,"schema_type_options":null,"pillar_content":false,"robots_default":true,"robots_noindex":false,"robots_noarchive":false,"robots_nosnippet":false,"robots_nofollow":false,"robots_noimageindex":false,"robots_noodp":false,"robots_notranslate":false,"robots_max_snippet":null,"robots_max_videopreview":null,"robots_max_imagepreview":"large","priority":null,"frequency":null,"local_seo":null,"seo_analyzer_scan_date":"2026-01-21 05:58:22","breadcrumb_settings":null,"limit_modified_date":false,"reviewed_by":null,"ai":null,"created":"2021-03-01 03:17:26","updated":"2026-01-21 05:58:22","focus_keyword":null,"additional_keywords":null,"truseo_locale":null},"gt_translate_keys":[{"key":"link","format":"url"}],"_links":{"self":[{"href":"https:\/\/prohoster.info\/de\/wp-json\/wp\/v2\/posts\/31395","targetHints":{"allow":["GET"]}}],"collection":[{"href":"https:\/\/prohoster.info\/de\/wp-json\/wp\/v2\/posts"}],"about":[{"href":"https:\/\/prohoster.info\/de\/wp-json\/wp\/v2\/types\/post"}],"author":[{"embeddable":true,"href":"https:\/\/prohoster.info\/de\/wp-json\/wp\/v2\/users\/1"}],"replies":[{"embeddable":true,"href":"https:\/\/prohoster.info\/de\/wp-json\/wp\/v2\/comments?post=31395"}],"version-history":[{"count":0,"href":"https:\/\/prohoster.info\/de\/wp-json\/wp\/v2\/posts\/31395\/revisions"}],"wp:featuredmedia":[{"embeddable":true,"href":"https:\/\/prohoster.info\/de\/wp-json\/wp\/v2\/media\/23359"}],"wp:attachment":[{"href":"https:\/\/prohoster.info\/de\/wp-json\/wp\/v2\/media?parent=31395"}],"wp:term":[{"taxonomy":"category","embeddable":true,"href":"https:\/\/prohoster.info\/de\/wp-json\/wp\/v2\/categories?post=31395"},{"taxonomy":"post_tag","embeddable":true,"href":"https:\/\/prohoster.info\/de\/wp-json\/wp\/v2\/tags?post=31395"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}