FiSi Projektantrag Hardware-Firewall

[coachingzone]

1. Projektbezeichnung

Integration von zwei Hardware-Firewalls zur Absicherung eines bestehenden Kundennetzes und Anbindung einer Außenstelle über einen Tunnel.

1.1 Kurzform der Aufgabenstellung

Ein norddeutsches Unternehmen möchte die Sicherheit seines bestehenden Netzwerkes erhöhen. Derzeit nutzt die Firma den vom Provider zur Verfügung gestellten Router, worüber der Zugang zum Internet gewährleistet wird. In punkto Sicherheit wird lediglich auf eine Software-Firewall-Lösung zurückgegriffen. Mit Hilfe einer Hardware-Firewall sollen diese Aspekte zur Verbesserung der Sicherheit abgelöst werden.

Im Zuge der Globalisierung hat die Firma expandiert und besitzt seit kurzem eine neue Außenstelle. Den dort ansässigen Mitarbeiter soll über einen Tunnel der Zugang zu den Servern in der Hauptstelle garantiert werden. Dafür ist der Einsatz einer weiteren Hardware-Firewall geplant.

Im Rahmen eines Managed-Services Vertrages wird darüber hinaus die Funktion in Anspruch genommen, die Log-Dateien auf einem separaten Server abzuspeichern und die Auswertung in einem bestimmten Intervall dem Kunden zur Verfügung zu stellen.

1.2 Ist-Analyse

Die Meier Reederei GmbH (Name geändert), ein norddeutsches Unternehmen mit derzeit 75 Mitarbeitern, ist im Schiffsbau tätig. Derzeit wird ein Router vom Provider bereitgestellt, der die Sicherheit des Unternehmensnetzwerkes nicht ausreichend abdeckt. Angriffe aus dem Internet werden nur mit Hilfe von Personal Firewalls auf den Endgeräten blockiert. Ein umfangreicher Schutz des kompletten Netzwerkes wurde derzeit nicht in Betracht gezogen. Aufgrund von vermehrten Angriffen in der letzten Zeit wird nun über den Einsatz einer Hardware-Firewall nachgedacht.

Das Unternehmensnetzwerk des Kunden ist ein geswitchtes 100-Mbit/s Netzwerk. Die Clients arbeiten ausnahmslos auf den Betriebssystemen Microsoft Windows XP und Microsoft Windows Vista.

Auf den Servern ist einheitlich Windows Server 2003 installiert. Es gibt zwei Domänencontroller, einen E-Mail Server, einen Backup Server, einen Print Server, einen File- und DHCP Server sowie einen Sharepoint Server.

In der Außenstelle arbeiten zehn Mitarbeiter, deren Arbeit über einen Microsoft Windows 2003 Server stattfindet.

2. Zielsetzung entwickeln / Soll-Konzept

2.1 Was soll am Ende des Projektes erreicht sein?

Die Ziele sind zum einen das Absichern des Netzwerkes der Hauptstelle durch das Integrieren einer Hardware-Firewall und zum anderen die Anbindung der Außenstelle über eine weitere Firewall. Der Tunnel zwischen den Firewalls wird benötigt, um den Mitarbeitern der Filiale das Arbeiten auf den Servern des Hauptstandorts zu ermöglichen.

Das Regelwerk der Firewall wird individuell auf den Kunden angepasst. Angriffe aus dem Internet werden dadurch frühzeitig geblockt und erhöhen die Sicherheit unternehmenskritischer Daten.

Des Weiteren wird im Rahmen eines Managed-Services Vertrages von messerknecht informationssysteme GmbH (nachfolgend mis genannt) ein Log-Server bereitgestellt. Dieser sammelt die Informationen des Datentransfers und ermöglicht die Analyse und Visualisierung in einem monatlichen Report.

2.2 Welche Anforderungen müssen erfüllt sein?

Wichtig bei der Auswahl der Firewalls ist es, die Anforderungen und Wünsche des Kunden zu erfüllen. Dies betrifft beispielsweise die Aktualisierung und Wartung der Hardware. Da die Firmware einer Firewall in regelmäßigen Abständen aufgrund von Bugfixes und neuen Features aktualisiert werden muss, bevorzugt der Kunde eine Lösung, die von der Firma mis übernommen wird.

Im Bezug auf das Mitlesen und Speichern der Dateien auf einem Log-Server sollte vorher der Betriebsrat hinzugezogen werden, um die rechtliche Grundlage zu klären.

2.3 Welche Einschränkungen müssen berücksichtigt werden?

Seitens der Geschäftsführung des Unternehmens gibt es lediglich ein begrenztes Budget, um das Projekt zu realisieren.

Zu betonen ist weiterhin, dass selbst mit dem Einsatz einer Firewall kein hundertprozentiger Schutz vor Angriffen und Einbrüchen in das Unternehmensnetzwerk gewährleistet ist.

3. Projektstrukturplan entwickeln

3.1 Was ist zur Erfüllung der Zielsetzung erforderlich?

Das ausgearbeitete Konzept muss sich mit den Anforderungen des Kunden decken. Ferner wird einzusätzlicher Server benötigt, auf dem die Log-Dateien abgelegt werden können.

3.2 Hauptaufgaben auflisten

- Analyse der Anforderungen

- Projektplanung

- Realisierung des Projektes

- Inbetriebnahme und Test

- Abschluss

3.3 Teilaufgaben auflisten

- Gespräch mit dem Kunden und Betriebsrat

- Durchführen der IST-Analyse

- Kosten-Nutzen-Analyse

- Entwicklung SOLL-Konzept

- Evaluierung der Lösungsmöglichkeiten

- Entscheidungsfindung

- Angebotserstellung

- Installation und Konfiguration der Firewalls

- Erstellen von Regeln für die Firewalls

- Aufbau eines Tunnels zwischen den Standorten

- Installation und Konfiguration des Log-Servers

- Integration und Inbetriebnahme der Firewalls

- Testdurchlauf

- Übergabe

- Abschlussgespräch

- Projektdokumentation erstellen

4. Projektphasen mit Zeitplanung in Stunden

Vorbereitungsphase (3,5 Stunden)

- Gespräch mit dem Kunden und Betriebsrat (1,5 Stunden)

- Durchführen der IST-Analyse (1 Stunde)

- Kosten-Nutzen-Analyse (1 Stunde)

Planungsphase (8 Stunden)

- Entwicklung SOLL-Konzept (2,5 Stunden)

- Evaluierung der Lösungsmöglichkeiten (3,5 Stunden)

- Entscheidungsfindung (1 Stunde)

- Angebotserstellung (1 Stunde)

Realisierungsphase (10 Stunden)

- Installation und Konfiguration der Firewalls (4,5 Stunden)

- Erstellen von Regeln für die Firewalls (2 Stunden)

- Aufbau eines Tunnels zwischen den Standorten (1,5 Stunde)

- Installation und Konfiguration des Log-Servers (2 Stunden)

Testphase (3 Stunden)

- Integration und Inbetriebnahme der Firewalls (2 Stunden)

- Testdurchlauf (1 Stunde)

Abschlussphase (10,5 Stunden)

- Übergabe (1 Stunde)

- Abschlussgespräch (1,5 Stunden)

- Erstellen der Projektdokumentation (8 Stunden)

Gesamt: 35 Stunden

**********************************************************

Eure Meinung wär mir diesbezüglich sehr wichtig. Meint ihr, dass dieser Antrag so akzeptiert wird? Wo kann es Probleme geben? Was würdet ihr besser machen?

Vielen Dank für eure Mithilfe im Vorfeld!

Gruß,

Frank

[eranios]

Das Unternehmensnetzwerk des Kunden ist ein geswitchtes 100-Mbit/s Netzwerk

Die Formulierung ist ein wenig schwammig, denn heutzutage setzt man in der Regel switche ein. Erwähne an der Stelle z.B. wie das Netzwerk physikalisch und logisch aufgebaut ist (Topologie des Netzwerks und der Switche).

Es gibt zwei Domänencontroller, einen E-Mail Server, einen Backup Server, einen Print Server, einen File- und DHCP Server sowie einen Sharepoint Server.

Übersichtlicher wäre an der Stelle eine geordnete Aufzählung.

Interessant zu erfahren wäre noch weshalb zwei Firewalls eingesetz werden. Wäre eine nicht ausreichend? Geh darauf noch ein wenig mehr ein. Ansonsten würde ich sagen das dein Antrag genehmigt wird.

[charmanta]

Kosten/Nutzenrechnung direkt nach der Ist-Analyse ? Kannst Du hellsehen ?

... wo sind da Deine komplexen Entscheidungen ? Mir kommt das REICHLICH dünn vor, ich seh das eher im Bereich ITSE.

Wieso schreibst Du jetzt schon was vom Tunnel ? Gibts da noch was anderes ? Exakt dies WÄRE doch z.b. eine komplexe Entscheidung von Dir ....

Denk nochmal auf dem Antrag drauf rum. So wird dat nix.

[coachingzone]

Hallo,

meine überarbeitete Version. Wäre wirklich nett von euch, wenn ihr nochmal drüberschauen könntet. Anmerkungen in jede Richtung sind willkommen!

**********************************************************

1. Projektbezeichnung

Integration von zwei Hardware-Firewalls zur Absicherung eines bestehenden Kundennetzes und Anbindung einer Außenstelle.

1.1 Kurzform der Aufgabenstellung

Ein norddeutsches Unternehmen möchte die Sicherheit seines bestehenden Netzwerkes erhöhen. Derzeit nutzt die Firma den vom Provider zur Verfügung gestellten Router, worüber der Zugang zum Internet gewährleistet wird. In punkto Sicherheit wird auf eine Linux-Firewall zurückgegriffen, die in ihren Regeleinstellungen jedoch sehr begrenzt ist. Der Kunde ist mit dieser momentanen Situation unzufrieden und strebt hier eine Optimierung an. Mit Hilfe einer neuen Hardware-Firewall soll dieser Aspekt zur Verbesserung der Sicherheit abgelöst werden.

Im Zuge der Globalisierung hat die Firma expandiert und besitzt seit kurzem eine neue Außenstelle. Für die dort ansässigen Mitarbeiter soll der Zugang zu den Servern in der Hauptstelle geschaffen werden, damit der alte Server außer Betrieb genommen werden kann. Insbesondere wünscht der Kunde, dass die Mitarbeiter der Filiale künftig über den E-Mail Server arbeiten, der in der Hauptstelle steht, da es zuletzt vermehrt E-Mails gab, die beim Provider verloren gingen. Hier gilt es die verschiedenen Möglichkeiten abzuwägen und dem Kunden aufzuzeigen.

Eine zweite Firewall soll künftig zum einen das Netzwerk der Außenstelle absichern, zum anderen die Kommunikation zwischen den Standorten vereinfachen. Der Kunde fordert hierzu eine Lösung, die ihn in Sicherheit und Beständigkeit überzeugt.

Im Rahmen eines Managed-Services Vertrages wird darüber hinaus die Funktion in Anspruch genommen, die Log-Dateien beider Firewalls auf einem separaten Server abzuspeichern und die Auswertung in einem bestimmten Intervall dem Kunden zur Verfügung zu stellen.

1.2 Ist-Analyse

Die Meier Reederei GmbH (Name geändert), ein norddeutsches Unternehmen mit derzeit 75 Mitarbeitern, ist im Schiffsbau tätig. Derzeit sorgen ein vom Provider zur Verfügung gestellter Router und eine Linux-Firewall für die Sicherheit des Unternehmensnetzwerkes. Angriffe aus dem Internet können auf Grund der stark eingeschränkten Regeleinstellungen nur schwach abgefangen werden. Für den zusätzlichen Schutz wurde auf jedem Endgerät die Personal Firewall eingeschaltet.

Ein ausreichender Schutz des kompletten Netzwerkes wurde derzeit nicht in Betracht gezogen. Aufgrund von vermehrten Angriffen in der letzten Zeit wird nun über den Einsatz einer neuen, leistungsstärkeren Hardware-Firewall nachgedacht.

Das Unternehmensnetzwerk des Kunden ist in einer Baumtopologie angeordnet. Vom Serverraum aus gehen die Leitungen über eine Backbone zu den einzelnen Etagen. Die Tertiäre Verkabelung erfolgt über Switche, die die Endgeräte miteinander verbinden. Die Clients arbeiten ausnahmslos auf den Betriebssystemen Microsoft Windows XP und Microsoft Windows Vista.

Auf den Servern ist einheitlich Windows Server 2003 installiert. Folgende Funktionen haben die Server:

• zwei Domänencontroller

• ein E-Mail Server

• ein Backup Server

• ein Print Server

• ein File- und DHCP Server

• ein Sharepoint Server.

In der Außenstelle arbeiten zehn Mitarbeiter, deren Arbeit auf einem Microsoft Windows 2000 Server stattfindet. Die Internetverbindung erfolgt derzeit über eine langsame ISDN-Leitung. Die E-Mails werden bislang über POP3 vom Provider abgeholt.

2. Zielsetzung entwickeln / Soll-Konzept

2.1 Was soll am Ende des Projektes erreicht sein?

Die Ziele sind zum einen die gesteigerte Absicherung der Standorte und zum anderen die Anbindung der Filiale an die Hauptstelle. Hierfür wird an beiden Standorten eine Hardware-Firewall platziert, die die Kommunikation ständig aufrechterhält und den Mitarbeitern der Niederlassung ein unterbrechungsfreies Arbeiten auf den „neuen“ Servern ermöglicht.

Ferner werden die Mitarbeiter der Außenstelle künftig über den E-Mail Server arbeiten. Hierfür müssen zunächst einige Einstellungen auf dem Server gemacht werden. Die Mitarbeiter werden daraufhin mit den neuen Gegebenheiten vertraut gemacht.

Das Regelwerk der Firewall wird individuell auf den Kunden angepasst. Angriffe aus dem Internet werden künftig besser geblockt und erhöhen die Sicherheit unternehmenskritischer Daten.

Des Weiteren wird im Rahmen eines Managed-Services Vertrages von messerknecht informationssysteme GmbH (nachfolgend mis genannt) ein Log-Server bereitgestellt. Dieser sammelt die Informationen des Datentransfers und ermöglicht die Analyse und Visualisierung in einem monatlichen Report.

2.2 Welche Anforderungen müssen erfüllt sein?

Wichtig bei der Auswahl der Firewalls ist es, die Anforderungen und Wünsche des Kunden zu erfüllen. Dies betrifft beispielsweise die Aktualisierung und Wartung der Hardware. Da die Firmware einer Firewall in regelmäßigen Abständen aufgrund von Sicherheitslücken und neuen Features aktualisiert werden muss, bevorzugt der Kunde eine Lösung, die von der Firma mis übernommen wird.

Im Bezug auf das Mitlesen und Speichern der Dateien auf einem Log-Server sollte vorher der Betriebsrat hinzugezogen werden, um die rechtliche Grundlage zu klären.

2.3 Welche Einschränkungen müssen berücksichtigt werden?

Seitens der Geschäftsführung des Unternehmens gibt es lediglich ein begrenztes Budget, um das Projekt zu realisieren.

Zu betonen ist weiterhin, dass selbst mit dem Einsatz einer Firewall kein hundertprozentiger Schutz vor Angriffen und Einbrüchen in das Unternehmensnetzwerk gewährleistet ist.

3. Projektstrukturplan entwickeln

3.1 Was ist zur Erfüllung der Zielsetzung erforderlich?

Das ausgearbeitete Konzept muss sich mit den Anforderungen des Kunden decken. Ferner wird ein zusätzlicher Server benötigt, auf dem die Log-Dateien abgelegt werden können.

3.2 Hauptaufgaben auflisten

- Analyse der Anforderungen

- Projektplanung

- Realisierung des Projektes

- Inbetriebnahme und Test

- Abschluss

3.3 Teilaufgaben auflisten

- Gespräch mit dem Kunden und dem Betriebsrat

- Durchführen der IST-Analyse

- Entwicklung des SOLL-Konzeptes

- Einholen von Angeboten

- Evaluierung der Lösungsmöglichkeiten

- Entscheidungsfindung

- Angebotserstellung

- Hardwarebestellung (wird von der Abteilung Innendienst / Einkauf übernommen)

- Installation und Konfiguration der Firewalls

- Erstellen von Regeln für die Firewalls

- Kommunikation zwischen den Standorten ermöglichen

- Zugangsmöglichkeiten zum E-Mail Server abwägen

- Einstellungen auf dem E-Mail Server anpassen

- Installation und Konfiguration des Log-Servers

- Integration und Inbetriebnahme der Firewalls

- Testdurchlauf

- Mitarbeiter der Außenstelle einweisen

- Übergabe

- Abschlussgespräch

- Projektdokumentation erstellen

4. Projektphasen mit Zeitplanung in Stunden

Vorbereitungsphase (4,5 Stunden)

- Gespräch mit dem Kunden und dem Betriebsrat (1,5 Stunden)

- Durchführen der IST-Analyse (1 Stunde)

- Entwicklung des SOLL-Konzeptes (2 Stunden)

Planungsphase (5 Stunden)

- Einholen von Angeboten (1 Stunde)

- Evaluierung der Lösungsmöglichkeiten (2 Stunden)

- Entscheidungsfindung (0,5 Stunden)

- Angebotserstellung (1 Stunde)

- Hardwarebestellung (0,5 Stunden)

Realisierungsphase (11,5 Stunden)

- Installation und Konfiguration der Firewalls (4 Stunden)

- Erstellen von Regeln für die Firewalls (1,5 Stunden)

- Kommunikation zwischen den Standorten ermöglichen (2 Stunden)

- Zugangsmöglichkeiten zum E-Mail Server abwägen (1 Stunde)

- Einstellungen auf dem E-Mail Server anpassen (1 Stunde)

- Installation und Konfiguration des Log-Servers (2 Stunden)

Testphase (3 Stunden)

- Integration und Inbetriebnahme der Firewalls (2 Stunden)

- Testdurchlauf (1 Stunde)

Abschlussphase (11 Stunden)

- Mitarbeiter der Außenstelle einweisen (1 Stunde)

- Übergabe (0,5 Stunde)

- Abschlussgespräch (1,5 Stunden)

- Erstellen der Projektdokumentation (8 Stunden)

Gesamt: 35 Stunden

[charmanta]

die Kosten/Nutzenrechnung fehlt nun völlig :upps

Und ich bin nicht sicher, ob ich von Dir erklärt haben möchte was ne Firewall macht, wenn Du mit denen Filialen anbindest. Die Formulierungen sind reichlich unpräzise.

Weiterhin bleibe ich dabei ... Deinem Antrag nach zu urteilen ist das weiterhin zu dünn. Du suchst ne Firewall aus ( die eigentlich ein Router ist !!!!! ) und bastelst Regeln dazu. Ich finde die Tiefe des Antrages grenzwertig.

Andere Meinungen ?

[coachingzone]

Mit der Kosten-Nutzen-Analyse ist mir erst aufgefallen, als ich nicht mehr editieren konnte - und ich wollte deswegen nicht extra einen neuen Beitrag setzen.

Mhmm.. Im Prinzip habe ich mir jetzt folgende "Haupt-Aufgaben" gesteckt:

- Firewall aussuchen, installieren & konfigurieren, Regelerstellung

- Log-Server installieren, konfigurieren und Visualisierungsmöglichkeiten erarbeiten (=> Reporting)

- Kommunikation zwischen den Standorten (verschiedene Möglichkeiten aufzeigen, beste für den Kunden aussuchen und Verbindung herstellen)

- Möglichkeiten für E-Mail Server und Clients darlegen und beste Möglichkeit umsetzen (OWA, MAPI, RPC oder HTTPs)

Ist das denn wirklich zu "dünn" ? - Entscheidungen treffen muss ich nicht nur bei der Wahl einer Firewall, sondern auch die Kommunikation zwischen den Firewalls sowie der Zugriff der Mitarbeiter der Außenstelle auf ihre E-Mails auf dem "neuen Server"

[charmanta]

ich kann mir die Komplexität Deiner Entscheidungen anhand des Antrages nach wie vor nicht vorstellen ... und hoffe auf weitere Meinungen. Chief & Co ?

[Chief Wiggum]

Mahlzeit.

Ich lese den Thread schon mit Interesse mit, bin aber nicht der Firewall-Guru, um das inhaltlich bis ins Kleinste zu überblicken.

Ich bin der Meinung, dass das Aussuchen von einem Stück Blech nicht unbedingt so prickelnd für ein Abschlussprojekt ist. Allerdings kam im letzten Beitrag was interessantes:

- Möglichkeiten für E-Mail Server und Clients darlegen und beste Möglichkeit umsetzen (OWA, MAPI, RPC oder HTTPs)

Ich könnte mir vorstellen, dass das was werden könnte, wenn man den Schwerpunkt auf das Thema "gesicherter Mailzugriff von extern / Aussenstelle" legt.

Charmanta?

[charmanta]

Joaaah. Schätze mit dem Ansatz könnte das eher was werden

[coachingzone]

Soll ich denn eurer Meinung nach den Schwerpunkt gänzlich darauf verlegen oder nur die Gewichtig auf gesicherte E-Mailverbindung ausweiten?

[charmanta]

leg mal das Thema komplett darauf hin um