Absolut alles verschlüsseln, auch im LAN

Hat jemand diesen Ansatz bereits versucht? Ich denke wirklich darüber nach: Anstatt sich auf netzwerkbasierte IDS usw. zu verlassen, muss jedes Paket eine Verschlüsselung verwenden, die durch ein von meiner eigenen Zertifizierungsstelle ausgestelltes Zertifikat initiiert wurde.

• Jeder Kunde erhält ein eindeutiges Kundenzertifikat
• Jeder Server erhält ein eindeutiges Serverzertifikat
• Jeder Dienst erfordert zusätzlich die Anmeldung.

Sowohl SSL als auch SSH wären in Ordnung. Der Zugang zum Internet würde über einen SSL-Tunnel zum Gateway erfolgen.

Ist es machbar? Schafft es praktische Probleme? Wie könnte es getan und durchgesetzt werden? Was denken Sie?

Mehr Details

Mein Ziel ist es, das Sicherheitskonzept des LAN zu vereinfachen - ich bin mir noch nicht sicher, ob das eine verrückte Idee ist! Ich bin jedoch der Meinung, dass es manchmal einfacher ist, einen HTTPS- oder SSH-Server vor Internetbedrohungen zu schützen (wenn die gegenseitige Authentifizierung verwendet wird), als alles zu überwachen, was in der wilden Welt eines LAN passieren kann.

In einem nicht verschlüsselten LAN ist es meiner Meinung nach sehr schwierig, einem potenziellen Angreifer einen guten Schritt voraus zu sein, da folgende Bedrohungen bestehen:

• Low-Level-Angriffe wie ARP-Spoofing, Port-Diebstahl, ...
• WLAN-Zugang (z. B. darf jeder Entwickler über das (W) LAN auf den SVN-Server zugreifen - ich glaube nicht, dass dies über ein VPN erfolgt ...)

=> Ist es der Einfachheit halber nicht einfacher anzunehmen, dass sich immer ein Angreifer im LAN befindet?

=> Könnte ich am Ende das LAN-Sicherheitskonzept eines (kleinen Unternehmens) vereinfachen, indem ich es wie ein WAN behandle? Oder würde ich es lieber komplizieren?

IPSec und Alternativen

IPSec klingt sehr vielversprechend, aber ich würde mich auch für Alternativen zu IPSec interessieren - SSL / SSH einzeln pro Dienst verwenden und einen Stunnel zum Gateway erstellen? Verwenden Sie Kerberos vielleicht? ... Was sind die Vorteile von IPSec oder den anderen?

Wenn Sie mir helfen können, IPSec besser zu verstehen, lesen Sie bitte meine Folgefrage speziell zu IPSec .

Ich benutze IPSec hier für alles. Der Grund dafür ist, dass die meisten Angriffe sowieso von Insidern ausgeführt werden - das Denken der schlechten Seite / guten Seite ist fehlerhaft. (Wenn jemand mit den Servern abhebt, kann er Spaß daran haben, die Verschlüsselung der gesamten Festplatte zu unterbrechen, also auch dort kein Problem.)

Es macht auch Spaß, Telnet, NIS, NFS und FTP ohne Sorgen zu verwenden - fühlt sich an wie in guten alten Zeiten! :-)

IPSec ist der Standard dafür. Es kommt in verschiedenen Formen und es gibt viel Vokabular.

Ich empfehle diesen Leitfaden IPSec , um Ihnen den Einstieg zu erleichtern .

Haben Sie ein Bedrohungsmodell, bei dem ein uneingeschränkter Zugriff auf Ihre LAN-Infrastruktur erwartet wird? Wenn ja, ist die Bereitstellung von IPSEC auf allen Endpunkten wahrscheinlich das, was Sie möchten.

In den meisten Bedrohungsmodellen gibt es jedoch genügend Perimetersicherheit, sodass Sie die LAN-Infrastruktur als kostengünstige Zugriffsmethode im Wesentlichen ignorieren können.

Das Bild ändert sich, wenn Sie WiFi installiert haben. Sie benötigen etwas zwischen den WiFi-Netzwerken und den kabelgebundenen Netzwerken, um sicherzustellen, dass auf dieser Route keine Informationen verloren gehen.

Auf der Windows-Seite suchen Sie nach Domänen- und Serverisolation . Mit diesem Labcast können Sie damit spielen

Mein Standard-Windows-Implementierungsplan für eine Neuinstallation enthält dies. In Windows ist es nicht schwer einzurichten und bietet viel zusätzliche Sicherheit (und es gibt wirklich keine "zusätzliche" Verwaltung, für die Sie möglicherweise ein paar weitere Sicherheitsgruppen benötigen).

NAP benötigt kein IPSec (oder sogar die PKI - das ist nur möglich, wenn Sie den einheitlichen Modus ausführen möchten). SCCM ist ein zusätzliches Produkt. Für die Domänen- und Serverisolation ist kein zusätzliches Produkt erforderlich. NAP wurde in erster Linie zum Senden von "Integritäts" -Informationen über einen Client entwickelt. Wenn dieser Client Ihre "Integritäts" -Prüfung nicht besteht, wird die Kommunikation nur mit einem oder mehreren Korrekturservern verschoben. Der Zustand wird als Patch-Anforderungen für AV-Einstellungen, Sicherheitseinstellungen usw. definiert. Sie können SPSM zwar zum Einrichten von IPSEC verwenden, dies ist jedoch keine Voraussetzung.

Mit der Domänen- und Serverisolation kann ich diese "Gesundheit" nicht überprüfen - und es geht auch nicht darum. Bei der Einrichtung verschlüssele ich den Datenverkehr und stelle sicher, dass die Server und Clients nur mit den für diese Geschäftsfunktion erforderlichen Servern und Clients kommunizieren dürfen (z. B. sind HR-Workstations die einzigen Workstations, die mit dem HR-Server kommunizieren dürfen ).

Der Sicherheitsbegriff lautet "Schutz von Daten während der Übertragung". Ja, es gibt Gruppen, die dies tun, und ja, in gewisser Weise vereinfacht dies die LAN-Sicherheit. IPSEC und IPv6 können verwendet werden, um dies zu unterstützen.

Das ergänzende Konzept ist "Schutz von Daten in Ruhe", was bedeutet, dass Ihre Festplatten verschlüsselt werden.

Sie wissen nicht, welche Systeme und Infrastrukturen Sie verwenden, aber der System Center Config Manager (SCCM) von Microsoft verfügt über eine NAP-Komponente ( Network Access Protection ), die genau das tut, wonach Sie suchen.

Die PKI verschlüsselt den gesamten Client-Server-Verkehr und fügt nicht authentifizierte Computer in eine DMZ ein, in der sie nicht mit Servern / Computern / Systemen kommunizieren können, die nicht speziell für diese DMZ eingerichtet wurden. Es kann auch die Patch-Level-, Antiviren-, Sicherheits- usw. Einstellungen der Computer vorab überprüfen, bevor sie in das Haupt-LAN ​​zugelassen werden (in diesem Fall befinden sich natürlich ein oder zwei Update-Server in der DMZ.

Eine Schritt-für-Schritt-Anleitung zu den Einstellungen für Demo / Test finden Sie hier.