Ordne die Systeme den Zonen zu:

• Nenne die Zonen am Hub mit ihrem Vertrauen.
• Ordne jedes System und jedes Teilnetz aus den gegebenen Werten genau einer Zone zu.
• Begründe für die DMZ, weshalb jedes ihrer Systeme dort und nicht innen steht.

Allein Diese Aufgabe bearbeitest du allein.

Skizziere das Zonenmodell:

• Zeichne Internet, Firewall, DMZ und internes Netz mit den Adressbereichen.
• Trage für jeden Zonenübergang in beiden Richtungen ein, ob grundsätzlich erlaubt, eng erlaubt oder verboten.
• Kennzeichne die Verwaltung der Firewall als eigenes Ziel.

Zu zweit Diese Aufgabe bearbeitet ihr zu zweit.

Entwirf die Filtertabelle:

• Liste jede Verbindung auf, die Sendungsverfolgung, Mail, Telefonie, Web für das Büro, DNS und Verwaltung brauchen.
• Formuliere je Verbindung eine Regel mit Nr., Quelle, Ziel, Dienst/Port, Richtung, Aktion und Grund.
• Ordne die Regeln so, dass Spoofing zuerst verworfen wird und die Standardregel am Ende steht.
• Prüfe jede Quelle „beliebig“: Geht es enger?

Im Team Diese Aufgabe bearbeitet ihr im Team.

Richte die Filter über die Oberfläche ein:

• Lege in der Labor-Firewall die drei Schnittstellen mit ihren Adressen an.
• Trage die Regeln aus 9.3 über die Oberfläche ein, in der Reihenfolge eurer Tabelle.
• Setze die Standardregel auf verweigern mit Protokoll.
• Sichere ein Bildschirmfoto der Regelliste als Nachweis.

Zu zweit Diese Aufgabe bearbeitet ihr zu zweit.

Übertrage die Regeln in eine Konfigurationsdatei:

• Schreibe die Regeln aus 9.3 als Konfigurationsdatei in der Schreibweise des Beispiels unten.
• Kennzeichne jede Zeile mit der Nummer aus eurer Tabelle.
• Vergleiche die Datei mit der Oberfläche aus 9.4 und markiere Unterschiede.

Zu zweit Diese Aufgabe bearbeitet ihr zu zweit.

table inet hlg_hub {
  chain forward {
    type filter hook forward priority 0; policy drop;
    ct state established,related accept
    iifname "wan" ip daddr 172.16.10.10 tcp dport 443 accept
    log prefix "hlg-verweigert " drop
  }
}

Prüfe die Filter mit Testverbindungen:

• Plane mindestens zehn Testverbindungen, mindestens vier davon müssen verweigert werden.
• Notiere je Test, welches Ergebnis du erwartest und welche Regel treffen muss.
• Führe die Tests im Labor durch und halte das beobachtete Ergebnis fest.
• Begründe jede Abweichung und ändere die Regel oder den Test.

Im Team Diese Aufgabe bearbeitet ihr im Team.

Beschreibe die Angriffsszenarien je Zone:

• Beschreibe für Internet, DMZ, internes Netz und Verwaltung je ein Angriffsszenario.
• Schätze ab, was der Angreifer bei Erfolg erreicht, und nenne die Regel, die ihn bremst.
• Nenne die Gegenmaßnahme, die außerhalb der Filtertabelle nötig ist.

Im Team Diese Aufgabe bearbeitet ihr im Team.

Die vollständige Schutzbedarfsanalyse folgt in LF 5. Hier geht es nur um die Frage: Was kann in welcher Zone passieren, und wie weit kommt der Angreifer?

Entscheide über die Architektur:

• Entscheide, ob das Hub eine Firewall mit drei Beinen oder zwei Firewalls hintereinander bekommt.
• Lege fest, wo die DMZ liegt.
• Begründe die Entscheidung für die IT-Leitung mit Angriffen aus 9.7, Aufwand und dem Verfügbarkeitsziel 99,9 % des Hubs.

Im Team Diese Aufgabe bearbeitet ihr im Team.