Firewall-Regeln aufräumen, ohne den Betrieb zu unterbrechen
Alte Ausnahmen und breite Freigaben prüfen: So wird ein gewachsenes Firewall-Regelwerk schrittweise verständlich, ohne auf Verdacht Verbindungen abzuschalten.
Eine Ausnahme für die neue Telefonanlage, ein Fernwartungszugang für den Lieferanten, eine schnelle Freigabe während einer Störung: Jede einzelne Regel hatte einmal einen Grund. Nach einigen Jahren weiß aber niemand mehr, welche davon noch gebraucht wird. Dann bleibt lieber alles eingeschaltet. Schließlich funktioniert der Betrieb gerade.
Das ist verständlich, aber keine gute Dauerlösung. Ein gewachsenes Regelwerk lässt sich aufräumen, ohne auf Verdacht Verbindungen abzuschalten. Entscheidend ist die Reihenfolge: erst verstehen, dann eingrenzen, anschließend kontrolliert ändern. Eine kürzere Regelliste ist dabei nicht das eigentliche Ziel. Sie soll nachvollziehbar sein und nur die benötigten Verbindungen erlauben.
Erst den Zweck klären, dann den Schalter suchen
Beginnen Sie nicht mit dem Löschen, sondern mit einer Liste der offenen Fragen. Welche Regel hat keinen verständlichen Kommentar? Welche Quelle oder welches Ziel ist sehr breit gefasst? Wo steht eine alte Firmenbezeichnung, ein längst ausgetauschtes Gerät oder ein nicht mehr verwendeter Dienst?
Für jede fragliche Freigabe sollten vier Antworten zusammenkommen: Wer benötigt sie, für welche Anwendung, zwischen welchen Systemen und auf welchen Diensten? Ein Kommentar wie „Test“ oder „für Techniker“ reicht nicht. Wenn sich kein Verantwortlicher findet, ist das ein Prüfauftrag, noch kein Beweis dafür, dass die Regel überflüssig ist.
Ein nachvollziehbarer Zweck gehört zur Firewall-Policy, nicht nur in den Kopf des letzten Administrators. Der NIST-Leitfaden behandelt Firewall-Regeln deshalb als etwas, das geplant, getestet und laufend verwaltet wird. NIST SP 800-41 zur Firewall-Policy.
Keine Treffer heißt nicht automatisch unbenutzt
Protokolle und Regelzähler helfen, tatsächliche Verbindungen zu erkennen. Sie beantworten aber nur die Fragen, die der jeweilige Beobachtungszeitraum und die Konfiguration zulassen. Ein Monatsabschluss, eine seltene Wiederherstellung oder die Wartung einer Telefonanlage taucht möglicherweise nicht in einer normalen Arbeitswoche auf.
Prüfen Sie deshalb, seit wann gezählt wird, welche Gateways erfasst sind und ob ein Neustart oder eine Änderung die Werte beeinflusst hat. Ebenso wichtig: Eine Verbindung kann bereits von einer weiter oben stehenden Regel erfasst werden. Dann wirkt eine spätere Regel unbenutzt, obwohl der dahinterliegende Bedarf weiterhin existiert.
Nehmen Sie die Fachverantwortlichen dazu. „Brauchen Sie diesen Dienst noch?“ ist leichter zu beantworten als „Kann Port XY weg?“. Besonders bei Fremdfirmenzugängen hilft ein kurzer Abgleich von Vertrag, Ansprechpartner und tatsächlichem Wartungsbedarf.
Breite Freigaben in konkrete Verbindungen übersetzen
Eine Regel vom gesamten Büronetz zu allen Servern ist bequem. Sie sagt aber wenig darüber aus, was die Mitarbeiter wirklich benötigen. Häufig lassen sich Quellen, Ziele oder Anwendungen schrittweise präzisieren, ohne gleich das ganze Netz umzubauen.
Dabei sollten Sie nicht einfach aus der ersten erfolgreichen Verbindung eine endgültige Regel ableiten. Eine Fachanwendung kann zusätzlich Anmeldung, Namensauflösung, Updates oder einen Hintergrunddienst benötigen. Auch Drucker und Scanner haben manchmal berechtigte Verbindungen, etwa zu einem vorgesehenen Maildienst. Diese Abhängigkeiten werden dokumentiert und gezielt berücksichtigt.
Beachten Sie außerdem das Zusammenspiel mit Adressübersetzung, VPNs und der Reihenfolge der Regeln. Eine optisch kleine Änderung kann einen anderen Datenverkehr treffen als erwartet. Im Zweifel wird die betroffene Verbindung vorab gemeinsam mit dem zuständigen Administrator nachvollzogen.
Kleine Änderungen, klare Rückkehrmöglichkeit
Vor dem ersten Eingriff braucht es eine gesicherte Konfiguration und einen funktionierenden administrativen Zugang. Wer ausgerechnet seinen eigenen Fernzugriff verändert, sollte einen unabhängigen Weg zurück vorbereitet haben. Ein Backup allein hilft nicht, wenn niemand mehr an das Gerät kommt.
Ändern Sie anschließend eine überschaubare Regelgruppe statt zwanzig Ausnahmen gleichzeitig. Legen Sie fest, welche Arbeitsabläufe danach getestet werden und bei welchem Fehler zurückgerollt wird. Je nach Plattform lässt sich eine alte Regel zunächst dokumentiert deaktivieren, bevor sie später endgültig entfernt wird.
Ein erfolgreicher Login genügt nicht immer als Test. Prüfen Sie auch die eigentliche Arbeit: Dokument öffnen, Auftrag speichern, Scan zustellen, Telefonat führen oder eine notwendige Hintergrundverarbeitung abwarten. Die zuständigen Personen müssen wissen, wann die Änderung erfolgt und wohin sie Auffälligkeiten melden.
Aus einer Aufräumaktion eine überschaubare Routine machen
Neue Ausnahmen bekommen ab sofort einen Zweck, einen Verantwortlichen und einen Prüftermin. Zeitlich begrenzte Freigaben werden nicht durch Vergessen dauerhaft. Bei Gerätewechseln, neuen Anwendungen und ausscheidenden Dienstleistern gehört das Regelwerk zur Übergabe dazu.
Eine einfache Liste mit „behalten“, „eingrenzen“ und „nach Prüfung entfernen“ ist oft hilfreicher als der Versuch, alles an einem Wochenende perfekt zu machen. So wird sichtbar, was bereits geklärt wurde und wo noch jemand eine Entscheidung treffen muss.
Fazit
Firewall-Regeln aufzuräumen ist keine Mutprobe. Mit nachvollziehbaren Zwecken, passenden Beobachtungszeiträumen und kleinen getesteten Änderungen lässt sich ein gewachsenes Regelwerk wieder beherrschen. Nicht jede alte Regel ist gefährlich. Unbekannte Regeln sollten aber nicht dauerhaft unbekannt bleiben.
Sie möchten Ihr Regelwerk prüfen lassen? Sprechen Sie mit shinpo IT.