Firewall-Lösung

[SaJu]

Hallo,

vom 15. - 29. Februar ist bei mir der Abgabetermin für mein Abschlussprojekt.

Ich will eine Firewall mit IPFire einrichten. Was haltet Ihr von diesem Projekt?

--------------------------------------------------------------------------

Projektbezeichnung:

Einrichtung einer Firewall mit LAN, DHCP, DMZ und OpenVPN

1. Firmenprofil

Die xxx GmbH ist ein Ingenieurdienstleister im Bereich der Hard- und Softwareentwicklung. Es gibt ca. 80 Mitarbeiter, die intern und extern arbeiten.

2. Projektbeschreibung:

Firmenintern der xxx GmbH soll die Firewall aktualisiert werden.

3. Ist-Analye

Momentan wird das Netzwerk mit der Firewall eines veralteten IPCop geschützt.

4. Soll-Analyse

Die Mitarbeiter sollen im LAN per DHCP mit IP-Adressen erhalten. Es gibt mobile Mitarbeiter, die verschlüsselt auf das firmeninterne Netzwerk zugreifen können sollen. Dafür wird OpenVPN benötigt.

Weil es mehrere Web- und FTP-Server gibt, die auch für die Öffentlichkeit frei gegeben werden sollen, wird eine DMZ gebraucht.

Zur Sicherheit sollen spezielle Internetseiten nicht zugänglich sein, was mit einem Proxy geschützt werden soll. Die Firma ist in unterschiedliche Arbeitsgruppen aufgeteilt. Jede Arbeitsgruppe benötigt oft spezielle Webseiten. Auch diese speziellen Zugangsberechtigungen zum Internet sollen mit der Softwarelösung realisierbar sein.

Außerdem soll das interne Firmennetzwerk vor schädlichen Programmen, Viren, Trojanern und böswilligen Attacken, die aus dem Internet kommen, geschützt werden.

5. Projektumfeld:

firmeninternes Novell-Netzwerk mit ca. 100 virtuellen/physikalischen Servern

- mehrere HTTP- und FTP-Server

- Clients in Arbeitsgruppen aufgeteilt (Management, Administration, Office, Entwicklung)

- VPN-Verbindung für externe Mitarbeiter

6. Zeitplanung:

1. Projektdefinition: 4h

Projektbeschreibung 1h

Ist-Analyse 1h

Soll-Konzept 2h

2. Planungsphase: 8h

Evaluierung und Planung der benötigten Ressourcen 4h

Kosten-/Nutzen-Analyse 4h

3. Realisierungsphase: 12h

Installation des Betriebssystems und Einrichtung der Dienste 8h

Integration ins Netzwerk 1h

Qualitätssicherung/Systemtest 3h

4. Abschlussphase: 11h

Soll-Ist-Vergleich 1h

Projektübergabe 2h

Dokumentation 8h

Gesamtzeit: 35h

------------------------------------------------------------

Vielen Dank für Eure Hilfe!

Bearbeitet 13. Februar 2012 von SaJu

[flashpixx]

Du machst "nur" die Firewalllösung? Denn im Moment klingt das nach Firewall, DMZ, Proxy, DHCP, Webserver, FTP usw. Die Soll-Analyse zielt nicht wirklich auf die Firewalllösung ab, denn Du sprichst von einem Proxy.

[SaJu]

Ich mache richte mit IPFire eine Firewall mit integrierter DMZ, Proxy, DHCP, OpenVPN und LAN ein. Zusätzlich gibt es spezielle Zugriffsrechte für die jeweiligen Arbeitsgruppen auf das Internet. Webserver und FTP sind bereits installiert und müssen in die DMZ integriert werden.

Soll ich dann die Projektbezeichnung umbenennen?

[flashpixx]

Es sind keine Entscheidungskriterien vorhanden und Du installierst nur. Nur weil Du eine DMZ, Proxy, what-ever installierst wird Dein Projekt nicht besser. Ein reines Installationsprojekt ohne Entscheidungen wird sowieso nicht durchgehen.

[SaJu]

Ich habe es jetzt noch einmal überarbeitet. Meine Entscheidung will ich eigentlich damit treffen, indem ich mehrere Software- und Hardwarelösungen (Open Source und kommerzielle) miteinander vergleiche. Das habe ich dann auch in der Planungs- und Realisierungsphase geändert.

Ist es so ausführlich genug? Oder wo soll das Treffen meiner Entscheidung geschrieben werden?

--------------------------------------------------------------------------------------

1. Projektbezeichnung:

Integration einer Sicherheitslösung für das firmeninterne Netzwerk

2. Firmenprofil

Die xxx ist ein Ingenieurdienstleister im Bereich der Hard- und Softwareentwicklung. Es gibt ca. 80 Mitarbeiter, die intern und extern arbeiten.

3. Projektbeschreibung:

Die Firewall der xxx soll anhand von Kosten- und Sicherheitsaspekten aktualisiert werden. Dafür werden mehrere Software- und Hardwarelösungen miteinander verglichen.

4. Ist-Analyse

Momentan wird das Netzwerk mit der Firewall eines IPCop 1.3 geschützt.

Er übernimmt die Aufgabe eines DNS- und DHCP-Servers und die Einwahlmöglichkeit externer Mitarbeiter ins firmeninterne Netzwerk per OpenVPN. Die Web- und FTP-Server waren bisher bei einem Dienstleister untergebracht.

5. Soll-Analyse

Die Mitarbeiter sollen im LAN per DHCP mit IP-Adressen erhalten. Es gibt mobile Mitarbeiter, die verschlüsselt auf das firmeninterne Netzwerk zugreifen müssen.

Weil es mehrere Web- und FTP-Server gibt, die neu ins Firmengebäude kommen und für die Öffentlichkeit frei gegeben werden sollen, wird eine DMZ gebraucht.

Zur Sicherheit sollen spezielle Internetseiten nicht zugänglich sein, was mit einem Proxy geschützt werden soll. Die Firma ist in unterschiedliche Arbeitsgruppen aufgeteilt. Jede Arbeitsgruppe benötigt oft spezielle Webseiten. Auch diese speziellen Zugangsberechtigungen zum Internet sollen mit der Lösung realisierbar sein.

Es soll eine Software- oder Hardwarelösung gefunden und eingesetzt werden, womit man das alles günstig und sinnvoll realisieren kann.

6. Projektumfeld:

firmeninternes Novell-Netzwerk mit ca. 100 virtuellen/physikalischen Servern

- mehrere HTTP- und FTP-Server

- Clients in Arbeitsgruppen aufgeteilt (Management, Administration, Office, Entwicklung)

- VPN-Verbindung für externe Mitarbeiter

7. Zeitplanung:

1. Projektdefinition: 4h

Projektbeschreibung 1h

Ist-Analyse 1h

Soll-Konzept 2h

2. Planungsphase: 8h

Recherche über unterschiedliche Firewall-Lösungen 3h Auswahl geeigneter Hardware/Software 2h

Kosten-/Nutzen-Analyse 3h

3. Realisierungsphase: 12h

Installation des Betriebssystems und Einrichtung der Dienste 8h

Integration ins Netzwerk 1h Qualitätssicherung/Systemtest 3h

4. Abschlussphase: 11h

Soll-Ist-Vergleich 1h

Projektübergabe 2h

Dokumentation 8h

Gesamtzeit: 35h

[flashpixx]

Das ist doch wieder das gleiche.

Die Mitarbeiter sollen im LAN per DHCP mit IP-Adressen erhalten.

Warum soll eine Firewall DHCP Adressen vergeben bzw. wo ist der Zusammenhang zu einer Firewall. DHCP und Firewall haben nichts miteinander zu tun.

Es gibt mobile Mitarbeiter, die verschlüsselt auf das firmeninterne Netzwerk zugreifen müssen.

D.h. Du realisierst einen verschlüsselten Zugriff. Was hat das mit der Firewall zu tun?

Weil es mehrere Web- und FTP-Server gibt, die neu ins Firmengebäude kommen und für die Öffentlichkeit frei gegeben werden sollen, wird eine DMZ gebraucht.

Warum richtest Du eine DMZ ein, wenn Du eine Firewall einrichten willst?

Zur Sicherheit sollen spezielle Internetseiten nicht zugänglich sein, was mit einem Proxy geschützt werden soll. Die Firma ist in unterschiedliche Arbeitsgruppen aufgeteilt. Jede Arbeitsgruppe benötigt oft spezielle Webseiten. Auch diese speziellen Zugangsberechtigungen zum Internet sollen mit der Lösung realisierbar sein.

Das ist eine Proxylösung, was hat die wieder mit der Firewall zu tun?

Du sollst nicht eine eierlegende Wollmilchsau bauen, sondern Du sollst in einem Projekt zeigen, dass Du _ein_ Thema fachlich und wirtschaftlich bearbeiten kannst

[SaJu]

Laut dieser Firewall-Beschreibung gibt es den Proxy als Application-Layer-Firewall. Der Zugriff auf die DMZ (HTTP und FTP), wie auch OpenVPN (verschlüsselter Zugriff der Mitarbeiter) geschehen somit auch über diese Firewall. Wenn man die entsprechenden Ports bei der DMZ nicht frei gibt, wie soll dann auf die Server zugegriffen werden?

Beim DHCP-Server hatte ich auch Bedenken...

Allerdings war dieser Server auch vorher im IPCop integriert und wenn man das jetzt nicht machen würde, müsste zusätzlich ein weiterer DHCP-Server eingerichtet werden.

Oder ist eine Application-Layer-Firewall keine Firewall? Ich habe das Thema extra in "Integration einer Sicherheitslösung in das firmeninterne Netzwerk" umbenannt.

Das Wirtschaftliche kommt dann im Vergleich und der Kosten-/Nutzen-Analyse.

[flashpixx]

Ich habe das Thema extra in "Integration einer Sicherheitslösung in das firmeninterne Netzwerk" umbenannt.

Jetzt kommen wir der Sache schon näher. Versuche jetzt einmal das Problem aus dieser Sicht aufzubauen, d.h. Du hast ein Netz und willst was machen und was muss alles erfüllt sein, wenn Du fertig bist?

Der DHCP gehört in meinen Augen da gar nicht hinein, denn eigentlich sollte das ein anderes System machen.

[SilentDemise]

Genau wie IT ist Security niemals Selbstzweck. D.h. du musst zunächst einmal erheben welche Systeme geschützt werden müssen, wie hoch der Schutzbedarf ist (siehe auch IT Grundschutz BSI), plus Business Anforderungen (VPN, Webmail Access usw. usw. usw.).

Hast du diese Komponenten alle gesammelt, planst du die Grundlegende Struktur. Gibt es Server die von außen erreichbar sein sollen, kommst du um eine DMZ Lösung wohl nicht drumherum. Jetzt gehts an die Feinheiten, welche Systeme nutze ich?

Da kannst du dann Hardware Appliances gegen Softwarelösungen evaluieren. Hardware Firewall anschaffung und support vs Server Hardware + evtl. Lizenzkosten.

Generelle Stichwörter die dann in diesem Umfeld noch wichtig sind: Caching / Caching Proxy, Application Layer Gateway, IDS / IPS.

[SaJu]

Ich habe es jetzt noch mal alles überarbeitet. DHCP ist jetzt draussen. Dafür habe ich jetzt einen Contentfilter und IDS dabei. Weil der Chef es nicht anders kennt/ will, wird es wohl bei einem einstufigen Firewall-Konzept bleiben.

Hier ist die Überarbeitung:

---------------------------------------------------------------------------------------

1. Projektbezeichnung:

Integration einer Sicherheitslösung für das firmeninterne Netzwerk

2. Firmenprofil

Die xxxx ist ein Dienstleister im Bereich der Hard- und Softwareentwicklung. Es gibt ca. 80 Mitarbeiter, die intern und extern beschäftigt sind.

3. Projektbeschreibung:

Ziel des Projektes ist es, die Firewall der xxxx zu aktualisieren. Dafür werden mehrere Soft- und Hardwarelösungen unter Betrachtung von Kosten- und Sicherheitsaspekten miteinander verglichen.

4. Ist-Analyse

Aktuell wird das Netzwerk mit der Firewall eines IPCop 1.3 geschützt.

Er übernimmt die Aufgabe eines DNS- und DHCP-Servers sowie die Einwahlmöglichkeit externer Mitarbeiter ins firmeninterne Netzwerk per OpenVPN. Die Web- und FTP-Server waren bisher bei einem externen Dienstleister untergebracht.

5. Soll-Konzept

Es gibt mobile Mitarbeiter. Diese müssen per OpenVPN auf das Firmennetzwerk zugreifen können.

Es wird eine DMZ eingerichtet. Dort werden die bisher extern gehosteten Web- und FTP-Server untergebracht und der Öffentlichkeit freigegeben.

Mit einem Contentfilter wird vor unerwünschten Internetseiten, schädlichen Dateien und Malware geschützt. Für jede Arbeitsgruppe kann ein eigener Contentfilter mit speziellen Zugangsberechtigungen für das Internet gesetzt werden.

Durch die Installation eines IDS ist es möglich, Angriffe in und aus dem Netzwerk heraus frühzeitig zu erkennen.

Es soll eine Soft- oder Hardwarelösung gefunden und eingesetzt werden, womit man diese Anforderungen günstig und sinnvoll realisieren kann.

6. Projektumfeld:

Firmeninternes Novell-Netzwerk mit ca. 30 virtuellen/ physikalischen Servern:

- mehrere HTTP- und FTP-Server

- Clients in Arbeitsgruppen aufgeteilt (Management, Administration, Office, Entwicklung)

- VPN-Verbindung für externe Mitarbeiter

7. Zeitplanung:

1. Projektdefinition: 4h

Projektbeschreibung 1h

Ist-Analyse 1h

Soll-Konzept 2h

2. Planungsphase: 8h

Recherche über unterschiedliche Firewall-Lösungen 3h

Auswahl geeigneter Hardware/ Software 2h

Kosten-/ Nutzen-Analyse 3h

3. Realisierungsphase: 12h

Installation des Betriebssystems und Einrichtung der Dienste 8h

Integration ins Netzwerk 1h

Qualitätssicherung (Systemtest) 3h

4. Abschlussphase: 11h

Soll-Ist-Vergleich 1h

Projektübergabe 2h

Dokumentation 8h

Gesamtzeit: 35h

Bearbeitet 14. Februar 2012 von SaJu

[flashpixx]

Es gibt mobile Mitarbeiter. Diese müssen per OpenVPN auf das Firmennetzwerk zugreifen können.

Ob das für eine Firewall notwendig ist, denke ich nicht, denn letztendlich müsste ich nur die entsprechenden Protokolle durch die Firewall lassen und kann das alles durch ein eigenes VPN Gateway realisieren.

Es wird eine DMZ eingerichtet. Dort werden die bisher extern gehosteten Web- und FTP-Server untergebracht und der Öffentlichkeit freigegeben.

Das würde ich nicht schreiben, damit legst Du schon fest, dass Du eine DMZ einrichtest. Hier solltest Du sagen, dass diverse Server von außen erreichbar sein müssen, aber eben entsprechend geschützt werden sollen

Mit einem Contentfilter wird vor unerwünschten Internetseiten, schädlichen Dateien und Malware geschützt. Für jede Arbeitsgruppe kann ein eigener Contentfilter mit speziellen Zugangsberechtigungen für das Internet gesetzt werden.

Das ist falsch, denn ein Contentfilter wird nicht schützen. Hierzu gehört ebenso ein entsprechendes Nutzer- & Filterkonzept. Das klingt danach, mal schnell was installieren und gut ist. Außerdem wäre das letztendlich ein eigenes Projekt, nämlich den Aufbau eines Proxies

Ich tue mich verdammt schwer mit dem Projekt, denn es klingt nach "installier' mal schnell ne Firewall" und da das zu wenig ist, wird halt noch ein Proxy, DMZ, VPN usw drangestrickt. Mir fehlt da wirklich die fachliche Substanz bzw. das strukturierte Herangehen.

[SilentDemise]

Vor allem würde mich mal interessieren, was ein Prüfungsausschuss zu einer DMZ mit nur einer Firewall sagt. Das würd ich dir links und rechts um die Ohren hauen als Prüfer.

[SaJu]

Danke, SilentDemise und flashpixx!

Der Projektantrag ist nochmals überarbeitet. Die Geschäftsführung bekommt jetzt im Projekt Konzepte vorgelegt, wo sie sich für eines entscheiden kann. Die Begriffe DMZ, Contentfilter,... wurden weg gelassen.

Heute habe ich bei der IHK gesehen, dass die Projektbeschreibung, die Ist-Analyse und das Soll-Konzept zusammengefasst werden müssen.

-------------------------------------------------------------------------------------

1. Projektbezeichnung:

Integration einer Sicherheitslösung für das firmeninterne Netzwerk

2. Firmenprofil

Die xxx ist ein Dienstleister im Bereich der Hard- und Softwareentwicklung. Sie beschäftigt ca. 80 Mitarbeiter. Mehr als die Hälfte davon sind extern im Einsatz.

3. Projektbeschreibung:

Ziel des Projektes ist es, die Firewall der xxx zu aktualisieren. Dafür werden mehrere Soft- und Hardwarelösungen unter Betrachtung von Kosten- und Sicherheitsaspekten miteinander verglichen. Dazu werden zusätzlich mehrere Konzepte entworfen. Die Geschäftsführung wählt eines davon zur Umsetzung aus.

Aktuell wird das Netzwerk mit der Firewall IPCop 1.3 geschützt. Sie übernimmt die Aufgabe eines DNS- und DHCP-Servers sowie die Einwahlmöglichkeit externer Mitarbeiter ins firmeninterne Netzwerk per OpenVPN.

Die bisher bei einem externen Dienstleister gehosteten Web- und FTP-Server werden ins Firmengebäude gebracht. Diese müssen für die Öffentlichkeit erreichbar, aber zusätzlich geschützt werden.

Das interne Netzwerk soll vor unerwünschten Internetseiten, schädlichen Dateien und Malware geschützt werden. Jede Arbeitsgruppe braucht spezielle Zugangsberechtigungen.

Es müssen Angriffe in und aus dem Netzwerk heraus frühzeitig erkannt werden können.

Die mobilen Mitarbeiter müssen weiterhin auf das Firmennetzwerk zugreifen können.

Es soll eine Soft- oder Hardwarelösung gefunden und eingesetzt werden, womit man diese Anforderungen günstig und sinnvoll realisieren kann.

4. Projektumfeld:

Firmeninternes Novell-Netzwerk mit ca. 30 virtuellen/ physischen Servern:

- mehrere HTTP- und FTP-Server

- Clients in Arbeitsgruppen aufgeteilt (Management, Administration, Office, Entwicklung)

- VPN-Verbindung für externe Mitarbeiter

5. Zeitplanung:

1. Projektdefinition: 4h

Projektbeschreibung 1h

Ist-Analyse 1h

Soll-Konzept 2h

2. Planungsphase: 10h

Recherche über unterschiedliche Firewall-Lösungen 2h

Auswahl geeigneter Hardware/ Software 2h

Erstellung von Konzepten 3h

Kosten-/ Nutzen-Analyse 3h

3. Realisierungsphase: 10h

Installation des Betriebssystems und Einrichtung der Dienste 6h

Integration ins Netzwerk 1h

Systemtest 3h

4. Abschlussphase: 11h

Soll-Ist-Vergleich 1h

Projektübergabe 2h

Dokumentation 8h

Gesamtzeit: 35h

[flashpixx]

Den Satz würde ich raus lassen

Die Geschäftsführung wählt eines davon zur Umsetzung aus.

Was Du jetzt vergessen hast, was nach dem Projekt erreicht werden soll, es steckt zwar in der Projektbeschreibung drin, aber ich würde das wie bei Deinem ersten Antrag in Soll & Ist aufteilen

[SaJu]

Ich hatte es vorher in Soll & Ist aufgeteilt. Die IHK Nürnberg hat die Anträge dieses Jahr auf ein Online-Verfahren umgestellt.

Dort kann man nur Thema, Firmenprofil, Projektbeschreibung, Projektumfeld, Projektphasen, Termin, und Dokumentation angeben.

Ich habe auch noch einmal bei der IHK nachgefragt. Es hieß, dass die Projektbeschreibung, Soll & Ist zusammengefasst werden sollen.

In jedem Abschnitt sind 3.000 Zeichen erlaubt.

Weil ich das heute bei meinem Login erfahren habe, habe ich alles in die Projektbeschreibung.

Ist es sonst in Ordnung?

[SilentDemise]

Kosten Nutzen Analyse genauso lange wie Konzept klingt für mich unglaubwürdig, länger als 1 Stunde würde ich dort nicht veranschlagen, da du die Hard / Software ja bereits vorher herausgesucht hast. Angenehmer Seiteneffekt: du könntest die Konzeption auf 5h erhöhen, was realistischer ist.

[SaJu]

du könntest die Konzeption auf 5h erhöhen, was realistischer ist.

Das klingt gut. Danke!

Die Aktualisierung:

-------------------------------------------------------------------------------

1. Projektbezeichnung:

Integration einer Sicherheitslösung für das firmeninterne Netzwerk

2. Firmenprofil:

Die xxx ist ein Dienstleister im Bereich der Hard- und Softwareentwicklung. Sie beschäftigt ca. 80 Mitarbeiter. Mehr als die Hälfte davon sind extern im Einsatz.

3. Projektbeschreibung:

Ziel des Projektes ist es, die Firewall der xxx zu aktualisieren. Dafür werden mehrere Soft- und Hardwarelösungen unter Betrachtung von Kosten- und Sicherheitsaspekten miteinander verglichen. Dazu werden zusätzlich mehrere Konzepte entworfen.

Aktuell wird das Netzwerk mit der Firewall IPCop 1.3 geschützt. Sie übernimmt die Aufgabe eines DNS- und DHCP-Servers sowie die Einwahlmöglichkeit externer Mitarbeiter ins firmeninterne Netzwerk per OpenVPN.

Die bisher bei einem externen Dienstleister gehosteten Web- und FTP-Server werden ins Firmengebäude gebracht. Diese müssen für die Öffentlichkeit erreichbar, aber zusätzlich geschützt werden.

Das interne Netzwerk soll vor unerwünschten Internetseiten, schädlichen Dateien und Malware geschützt werden. Jede Arbeitsgruppe braucht spezielle Zugangsberechtigungen.

Es müssen Angriffe in und aus dem Netzwerk heraus frühzeitig erkannt werden können.

Die mobilen Mitarbeiter müssen weiterhin auf das Firmennetzwerk zugreifen können.

Es soll eine Soft- oder Hardwarelösung gefunden und eingesetzt werden, womit man diese Anforderungen günstig und sinnvoll realisieren kann.

4. Projektumfeld:

Firmeninternes Novell-Netzwerk mit ca. 30 virtuellen/ physischen Servern:

- mehrere HTTP- und FTP-Server

- Clients in Arbeitsgruppen aufgeteilt (Management, Administration, Office, Entwicklung)

- VPN-Verbindung für externe Mitarbeiter

5. Zeitplanung:

1. Projektdefinition: 4h

Projektbeschreibung 1h

Ist-Analyse 1h

Soll-Konzept 2h

2. Planungsphase: 10h

Recherche über unterschiedliche Firewall-Lösungen 2h

Auswahl geeigneter Hardware/ Software 2h

Erstellung von Konzepten 5h

Kosten-/ Nutzen-Analyse 1h

3. Realisierungsphase: 10h

Installation des Betriebssystems und Einrichtung der Dienste 6h

Integration ins Netzwerk 1h

Systemtest 3h

4. Abschlussphase: 11h

Soll-Ist-Vergleich 1h

Projektübergabe 2h

Dokumentation 8h

Gesamtzeit: 35h