Netzwerksegmentierung und VLANs

Netzwerksegmentierung teilt ein großes, flaches Netzwerk in kleinere, voneinander isolierte Zonen auf. Ohne Segmentierung kann ein einzelner kompromittierter Host mit jedem anderen Gerät im Netzwerk kommunizieren – Angreifer haben nach dem Eindringen somit freie Hand. Segmentierung setzt das Prinzip der geringsten Privilegien auf Netzwerkebene durch: Eine Workstation sollte nicht direkt auf einen Datenbankserver zugreifen können, und ein Gastgerät im WLAN sollte niemals interne Dateifreigaben sehen. Segmentierung verringert den Schadensradius eines Sicherheitsvorfalls erheblich.

Ein VLAN (Virtual Local Area Network) ist ein logisches Netzwerk auf einem Switch, das Ports unabhängig von ihrem physischen Standort gruppiert. Geräte im selben VLAN kommunizieren so, als befänden sie sich im selben physischen Segment. Geräte in unterschiedlichen VLANs können nicht miteinander kommunizieren, ohne einen Router oder Layer-3-Switch zu durchlaufen, der die Zugriffskontrolle durchsetzt. VLANs werden mit einem 802.1Q-Header gekennzeichnet, der eine VLAN-ID (1–4094) enthält. Dadurch kann eine einzelne physische Verbindung (Trunk-Port) gleichzeitig Datenverkehr mehrerer VLANs übertragen.

Während VLANs auf Layer 2 segmentieren, segmentieren Subnetze auf Layer 3 (IP). Jedes VLAN ist in der Regel seinem eigenen Subnetz zugeordnet. Das Routing zwischen Subnetzen wird von einer Firewall oder einem Router gesteuert, der Zugriffskontrolllisten anwendet. Dadurch entsteht eine klare Trennung: VLAN 10 könnte beispielsweise 10.10.10.0/24 für Unternehmensbenutzer verwenden, VLAN 20 10.20.20.0/24 für Gäste. Firewallregeln zwischen den Subnetzen legen auf IP-Ebene fest, welcher Datenverkehr zugelassen und welcher blockiert wird.

Eine DMZ (Demilitarized Zone), auch abgeschirmtes Subnetz genannt, ist eine Netzwerkzone zwischen dem Internet und dem internen Netzwerk. Öffentlich erreichbare Server — Webserver, Mailserver und DNS-Server — werden in der DMZ platziert, damit externe Benutzer auf sie zugreifen können, ohne direkten Zugriff auf interne Systeme zu erhalten. Wird ein Host in der DMZ kompromittiert, verhindert die interne Firewall, dass der Angreifer auf vertrauliche interne Ressourcen zugreift. Die DMZ ist ein zentrales Segmentierungskonzept, das in Security+ umfassend geprüft wird.

Mikrosegmentierung führt die Netzwerkisolierung bis auf die Workload-Ebene fort. Dabei werden Sicherheitsrichtlinien zwischen einzelnen VMs, Containern oder Anwendungen angewendet und nicht nur zwischen Netzwerkzonen. Softwaredefinierte Netzwerke (SDN) und hypervisorbasierte Werkzeuge (VMware NSX, AWS Security Groups) setzen diese Richtlinien durch, ohne Änderungen an der Hardware zu erfordern. Mikrosegmentierung ist ein zentraler Bestandteil einer Zero-Trust-Architektur, da sie das implizite Vertrauen zwischen Workloads entfernt, die im selben Rechenzentrum oder in derselben Cloud-Region ausgeführt werden.

VLAN-Hopping ist ein Angriff, bei dem Datenverkehr sein VLAN verlassen und ein anderes VLAN erreichen kann, ohne einen Router zu durchlaufen. Es gibt zwei Methoden: Switch-Spoofing, bei dem ein Angreifer seine NIC so konfiguriert, dass sie 802.1Q-Trunking verwendet, und eine Trunk-Verbindung mit dem Switch aushandelt, wodurch er Zugriff auf alle VLANs erhält; sowie Double Tagging, bei dem ein Angreifer einen Frame mit zwei 802.1Q-Headern versieht, sodass er für ein anderes VLAN bestimmt zu sein scheint. Zu den Schutzmaßnahmen gehören das Deaktivieren des Dynamic Trunking Protocol (DTP), die explizite Konfiguration von Access-Ports und die Vermeidung des nativen VLANs für Benutzerverkehr.

Die extremste Form der Netzwerksegmentierung ist ein Air Gap — ein Netzwerk ohne physische oder logische Verbindung zu externen Netzwerken. Air-gapped Systeme werden für streng geheime Regierungsnetzwerke, industrielle Steuerungssysteme und Steuerungen in Nuklearanlagen eingesetzt. Für die Datenübertragung sind physische Medien erforderlich (USB-Laufwerke, CDs), die selbst Risiken mit sich bringen (Stuxnet verbreitete sich über USB, um air-gapped iranische Zentrifugen zu erreichen). Auch Air-gapped Systeme benötigen Schutzmaßnahmen: striktes Medienmanagement, Hardware-Schreibblocker und Endpoint-Schutz.

NAC (Network Access Control) setzt Sicherheitsrichtlinien durch, bevor ein Gerät für das Netzwerk zugelassen wird. NAC-Systeme überprüfen den Sicherheitsstatus des Geräts — Patchstand, Antivirusstatus und Zertifikat — bevor sie vollständigen Netzwerkzugriff gewähren. Geräte, die die Prüfungen nicht bestehen, werden in ein VLAN zur Problembehebung isoliert, in dem sie nur Update-Server erreichen können. NAC lässt sich zur Authentifizierung in 802.1X integrieren und kommuniziert mit Verzeichnisdiensten, um Richtlinien anhand der Benutzerrolle und des Gerätetyps anzuwenden.

Die herkömmliche Perimetersicherheit konzentrierte sich auf den Nord-Süd-Datenverkehr — Daten, die aus externen Quellen in das Rechenzentrum gelangen oder es verlassen. Moderne Angreifer nutzen den Ost-West-Datenverkehr — die laterale Bewegung zwischen Servern innerhalb des Rechenzentrums oder der Cloud-Umgebung, die in der Vergangenheit kaum überwacht wurde. Mikrosegmentierung und interne Firewalls begegnen den Risiken des Ost-West-Datenverkehrs. SIEM-Korrelationsregeln sollten ungewöhnliche Muster bei Ost-West-Verbindungen überwachen, etwa wenn ein Arbeitsplatz plötzlich mit Dutzenden internen Hosts kommuniziert. Dies kann auf einen Wurm oder einen aktiven Angreifer hindeuten.

ICS/SCADA-Netzwerke, die physische Infrastruktur steuern (Stromnetze, Wasseraufbereitung, Fertigung), müssen strikt von Unternehmens-IT-Netzwerken segmentiert werden. Das Purdue-Modell definiert Ebenen von Feldgeräten (Level 0) über die Anlagensteuerung (Level 2) bis zur Unternehmens-IT (Level 4). Zwischen Level 2 und 3 befindet sich eine DMZ, um direkte Verbindungen zu verhindern. Die NERC-CIP-Standards schreiben diese Trennung für Organisationen im Energiesektor vor. Ein Einbruch in das Unternehmensnetzwerk darf niemals in der Lage sein, physische Aktoren oder Sensoren direkt zu manipulieren.

Das übergeordnete Ziel der Netzwerksegmentierung besteht darin, den Schadensradius eines einzelnen Sicherheitsvorfalls zu minimieren — also den Umfang des Schadens, den ein Angreifer nach dem Eindringen in ein Segment verursachen kann. Zusammen mit anderen Kontrollen (Endpoint Detection, striktes IAM und Patchmanagement) erzeugt die Segmentierung eine mehrschichtige Verteidigung: mehrere unabhängige Ebenen, die ein Angreifer nacheinander überwinden muss. Segmentierung allein verhindert keinen initialen Einbruch. Sie verlangsamt Angreifer jedoch, schafft Möglichkeiten zur Erkennung und begrenzt die Auswirkungen von Ransomware und Würmern, die auf uneingeschränkte laterale Bewegung angewiesen sind.

Testen Sie Ihr Verständnis der CompTIA-Security+-Konzepte (SY0-701) aus dieser Lektion.

In dieser Lektion haben Sie gelernt: VLANs ermöglichen eine logische Segmentierung auf Layer 2, die Broadcast-Domänen und laterale Bewegung begrenzt; eine DMZ (abgeschirmtes Subnetz) isoliert öffentlich erreichbare Server zwischen einer externen und einer internen Firewall; und VLAN-Hopping-Angriffe lassen sich verhindern, indem dynamisches Trunking deaktiviert, das native VLAN geändert und nicht verwendeten Ports ein stillgelegtes VLAN zugewiesen wird. Als Nächstes betrachten wir häufige Netzwerkangriffe, darunter DoS, Spoofing und MITM.