Wie Sie die Sicherheit Ihres Unternehmens mit LAN-Netzwerken unter Windows verbessern können

Das lokale Netzwerk Ihres Unternehmens ist zum Herzstück fast all Ihrer Aktivitäten geworden.Zugriff auf Anwendungen, freigegebene Dateien, Cloud-Dienste, Videoanrufe, Drucker, IoT, IP-Kameras…und natürlich Windows als das dominierende Betriebssystem auf Computern. Das Problem ist, dass genau dieses LAN nun ein verlockendes Ziel für jeden auch nur ansatzweise versierten Angreifer darstellt.

Es reicht nicht aus, einfach nur „ein Antivirenprogramm zu installieren und das war’s“.Die Verbesserung der Sicherheit Ihres Unternehmens mithilfe von Windows LANs erfordert die Kombination bewährter Netzwerkdesignpraktiken, Zugriffskontrollen, Perimeterschutz, korrekter Konfiguration der Microsoft Entra-Dienste (ehemals Azure AD) und – etwas, das wir oft vergessen – Disziplin. sichern und die Verwaltung von Anmeldeinformationen. Sehen wir uns Schritt für Schritt an, wie man ein modernes Unternehmens-LAN wirklich absichert, ohne dabei den Verstand zu verlieren.

Was ist ein LAN-Netzwerk in einem modernen Windows-Unternehmen?

Ein LAN (Local Area Network) ist das Netzwerk, das die Geräte in Ihrem Büro miteinander verbindet. oder über mehrere Etagen/nahegelegene Gebäude hinweg, wodurch die gemeinsame Nutzung von Daten, Anwendungen, Druckern, Internetzugang und Cloud-Diensten ermöglicht wird. Eine typische Windows-Umgebung umfasst PCs, Server, Netzwerkdrucker, VoIP-Telefone, WLAN-Zugangspunkte, IP-Kameras und eine wachsende Anzahl von IoT-Geräten.

Die meisten modernen Unternehmens-LANs nutzen Ethernet als Kerntechnologie.Die Kombination aus Kupfer- oder Glasfaserkabeln und in vielen Fällen WLAN (Wi-Fi) ist dabei entscheidend. Wenn Geräte drahtlos verbunden sind, spricht man weiterhin von einem lokalen Netzwerk (LAN), allerdings gemäß dem IEEE-802.11-Standard, mit allen zusätzlichen Risiken drahtloser Verbindungen.

In mittleren und großen Unternehmen ist es üblich, dass das LAN nicht eine einzige „flache Suppe“ ist.

Mehrere Subnetze und VLANs werden eingesetzt, um Abteilungen, kritische Dienste (Server, Domänencontroller, Kameras, IP-Telefonie usw.) und Gastzonen zu trennen. Verwaltete Router und Switches werden verwendet, um den Datenverkehr zu steuern und Sicherheitsrichtlinien durchzusetzen.

Wichtige Komponenten eines LANs und ihr Einfluss auf die Sicherheit

Die Sicherheit Ihres LANs unter Windows hängt sowohl von der Hardware als auch von der Konfiguration ab.Dies sind die grundlegenden Elemente, die Sie unter Kontrolle haben und die gut konfiguriert sein müssen, um zu vermeiden, dass Türen für interne oder externe Angreifer offen bleiben.

• Kabel und physikalische MedienÄltere Kabel (Kategorie 5/5e für lange Strecken) begrenzen nicht nur die Übertragungsgeschwindigkeit, sondern können auch Übertragungsfehler und Verbindungsabbrüche verursachen, die Sicherheitsprobleme verschleiern oder die Überwachung erschweren. Die Migration auf Cat6, Cat6A oder höher verbessert Leistung und Stabilität und reduziert Engpässe in kritischen Segmenten.
• SchalterDiese Geräte verbinden alle Komponenten im LAN. Ein gut konfigurierter Managed Switch ermöglicht die Erstellung von VLANs, die Anwendung von QoS, die Begrenzung von Ports, die Erkennung von Schleifen, die Aktivierung der 802.1X-Authentifizierung und vieles mehr. Ein günstiger, unmanaged Switch bietet hingegen weniger Kontrolle über die angeschlossenen Geräte und den Datenverkehr.
• Router und FirewallsDer Router dient üblicherweise als Zugang zum Internet und beinhaltet oft Firewall-Funktionen. Für Unternehmen ist die ideale Lösung eine dedizierte Firewall (physisch oder virtuell), die das interne LAN klar vom Internet trennt, die freigegebenen Ports definiert und Datenverkehr sowie Inhalte filtert.
• Wi-Fi-Zugangspunkte (WAP)Dies sind die Zugangspunkte für Mobiltelefone, Laptops und IoT-Geräte. Sie sollten mit robuster Verschlüsselung (WPA2-Enterprise oder WPA3), zentralisierter Authentifizierung, separaten Gastnetzwerken und, wenn möglich, mit der Integration Ihrer Microsoft Entra Conditional Access-Richtlinien konfiguriert sein.
• Brücken und RepeaterBridges, WLAN-Repeater und Signalverstärker erweitern die Netzwerkreichweite, können aber bei Fehlkonfiguration unkontrollierte und unüberwachte „Geistersegmente“ erzeugen. Daher ist es entscheidend, dass sie die Segmentierung berücksichtigen und dieselben Sicherheitsrichtlinien wie das übrige LAN übernehmen.
• Windows-Server und DomänencontrollerDateiserver und insbesondere Active Directory-Domänencontroller speichern Anmeldeinformationen, Gruppenrichtlinien und sensible Daten. Wer mit schwachen Anmeldeinformationen RDP-Zugriff auf einen Domänencontroller erlangt, kann im Prinzip die Kontrolle über die gesamte Organisation übernehmen.
• Clientcomputer mit WindowsSie bilden das Bindeglied, an dem technische und menschliche Faktoren am stärksten miteinander verbunden sind. Veraltete SystemeAlte Treiber, veraltete Antivirensoftware oder Benutzer mit lokalen Administratorrechten sind die perfekte Voraussetzung dafür, dass Schadsoftware aus einem kleinen Vorfall eine Katastrophe macht.

Gängige Angriffsarten gegen Unternehmens-LANs

Ein Firmennetzwerk unter Windows kann von sehr auffälligen Angriffen bis hin zu unbemerkten Eindringversuchen betroffen sein. die monatelang unentdeckt bleiben. Das Verständnis der häufigsten Übertragungswege ist der Schlüssel zur Entwicklung wirksamer Abwehrmaßnahmen.

• Scan- und AufklärungsangriffeDer Angreifer ermittelt, welche Geräte sich im Netzwerk befinden, welche Ports geöffnet sind und welche Dienste zugänglich sind. Er kann TCP-Scans, Port-Sweeps und Techniken zur Paketfragmentierung einsetzen, um Filter zu umgehen. Obwohl diese Angriffe zunächst harmlos erscheinen, stellen sie die Vorstufe zur eigentlichen Ausnutzung von Sicherheitslücken dar.
• Verkehrsüberwachung und -überwachungDurch den Anschluss eines Geräts an einen falsch konfigurierten Switch-Port oder durch Ausnutzung eines offenen oder unzureichend gesicherten WLAN-Netzwerks kann ein Angreifer den LAN-Verkehr abfangen, Zugangsdaten im Klartext (falls kein TLS verwendet wird), Sitzungen, interne Adressen und Verhaltensmuster beobachten. Im sogenannten „Snooping-Modus“ können Angreifer zudem Daten manipulieren oder extrahieren, um sie später auszunutzen.
• Malware- und Modifikations- oder BeschädigungsangriffeRansomware, Trojaner und Würmer nutzen veraltete Windows-Systeme, Konten mit übermäßigen Berechtigungen und fehlende Segmentierung aus, um Dateien zu verschlüsseln, Daten zu stehlen oder kritische Informationen zu manipulieren. Angriffe wie Datenmanipulation ermöglichen es Angreifern, Buchhaltungsunterlagen, Datenbanken oder Gehaltsabrechnungen unbemerkt zu verändern.
• Passwortdiebstahl (Passwortknacken)Sind Domänenpasswörter schwach oder werden sie systemübergreifend wiederverwendet, können sie durch Brute-Force- oder Wörterbuchangriffe schnell geknackt werden. Angreifer suchen außerdem auf Domänencontrollern oder kompromittierten Arbeitsstationen nach Passwort-Hashes, um Pass-the-Hash-Angriffe durchzuführen. Verwenden Sie daher Passwort-Manager wie beispielsweise [Name des Passwort-Managers einfügen]. Passwort-Manager um die Wiederverwendung zu reduzieren und eindeutige Zugangsdaten pro Dienst zu ermöglichen.
• DNS-Spoofing und bösartige WeiterleitungenDurch die Manipulation interner oder externer DNS-Server können Nutzer auf gefälschte Webseiten umgeleitet werden, selbst wenn sie die korrekte URL eingeben. Dies kann zum Abfangen von Zugangsdaten, zur Verbreitung von Schadsoftware oder zur Nachahmung von Unternehmensanwendungen missbraucht werden.

Grundlegende Best Practices für die Absicherung eines Windows-LANs

Ausgangspunkt für die Sicherung Ihres LANs ist die Implementierung klarer digitaler Hygienemaßnahmen. die Passwörter, Updates, Netzwerksegmentierung sowie die physische und logische Zugriffskontrolle auf Geräte betreffen.

• Strenge PasswortrichtlinieDiese Richtlinie schreibt die Verwendung langer Passwörter (mindestens 12 Zeichen) mit Groß- und Kleinbuchstaben, Zahlen und Sonderzeichen vor, vermeidet die Verwendung offensichtlicher persönlicher Informationen und legt ein angemessenes Ablaufdatum fest. In Windows-Umgebungen lässt sich dies einfach über Gruppenrichtlinienobjekte (GPOs) auf Domänenebene implementieren. Ergänzen Sie diese Richtlinie durch Passwortmanager wie [Name des Passwortmanagers einfügen]. KeepassXC.
• Starke Authentifizierung und IdentitätsprüfungEs kombiniert Benutzername und Passwort mit mehreren Authentifizierungsfaktoren (MFA) und gegebenenfalls biometrischen Daten (Fingerabdruck, Gesichtserkennung), die in Windows Hello for Business integriert sind. Je schwieriger es ist, sich als Benutzer auszugeben, desto weniger Möglichkeiten hat ein Angreifer, Anmeldeinformationen zu stehlen.
• Aktualisierte SystemeEs ist unerlässlich, Windows, Netzwerktreiber, Firmware für Switches, Router und Access Points sowie Serversoftware stets aktuell zu halten. Viele Angriffe nutzen nach wie vor alte Sicherheitslücken aus, für die bereits seit Monaten oder Jahren Patches verfügbar sind. Es empfiehlt sich, Anbieter zu nutzen, die Patches und Sicherheitsüberprüfungen anbieten.
• LAN-SegmentierungEs ist nicht ratsam, das gesamte Unternehmen in einem einzigen Subnetz zu betreiben. Verwenden Sie VLANs, um Benutzer, Server, VoIP-Systeme, Kameras, IoT-Geräte, Gäste und Testumgebungen zu trennen. Dadurch wird es für einen Angreifer, der einen einzelnen Rechner kompromittiert hat, deutlich schwieriger, sich im Netzwerk auszubreiten.
• Verschlüsselung sensibler DatenEs erzwingt die Verwendung von TLS in internen und externen Anwendungen (HTTPS, SMTPS, LDAPS usw.), schützt Remote-Verbindungen mit robusten VPNs und nutzt sichere Protokolle für die Geräteverwaltung (z. B. SSH statt Telnet). Dadurch wird verhindert, dass ein Angreifer im LAN Anmeldeinformationen oder Klartextdaten ausspähen kann.

Zero-Trust-Sicherheit: Schützen Sie den Netzwerkzugriff mit Microsoft Entra und Global Secure Access.

Die Zero-Trust-Philosophie basiert auf einer sehr einfachen Idee.Vertrauen Sie keinem Gerät, Benutzer oder Standort automatisch, selbst wenn er sich innerhalb des LANs befindet. Microsoft hat diesen Ansatz in seiner Secure Future Initiative, insbesondere im Bereich „Sichere Netzwerke“, verankert.

Für Unternehmen, die Windows und Microsoft-Dienste nutzen, bietet Entra (ehemals Azure AD) eine Lösung.Dies bedeutet den Einsatz mehrerer Ebenen des Netzwerk- und Zugriffsschutzes: kontinuierliche Sitzungsüberwachung, Kontrolle darüber, von wo aus sich der Benutzer verbindet, welche Netzwerkroute er nutzt und welche Art von Datenverkehr er erzeugt. Hier kommen Funktionen wie Global Secure Access, Microsoft Login Private Access und Richtlinien für bedingten Zugriff zum Einsatz.

Benannte Speicherorte in der Microsoft-Anmelde-ID konfigurieren Es ermöglicht Ihnen, festzulegen, welche Unternehmensnetzwerke, Niederlassungen und Regionen legitim und vertrauenswürdig sind. Ohne diese Definitionen funktionieren standortbasierte Risikoerkennungssysteme deutlich schlechter und führen zu mehr Fehlalarmen. Dadurch wird es schwierig, eine normale Büroanmeldung von einem verdächtigen Anmeldeversuch über ein anonymes VPN oder aus einem Land, in dem Ihr Unternehmen gar nicht tätig ist, zu unterscheiden.

Mieterbeschränkungen v2 (TRv2) Sie bilden eine weitere wichtige Säule: Sie verhindern, dass sich unbefugte Benutzer in Ihrem LAN und auf Ihren Unternehmensgeräten bei externen Microsoft Entra-Mandanten authentifizieren. Ohne sie könnte jemand mit gestohlenen Anmeldeinformationen eine Verbindung zu einem von ihm kontrollierten Mandanten herstellen und Daten über externe OneDrive-, SharePoint- oder Teams-Konten abgreifen, ohne dass Ihre herkömmlichen DLP-Tools dies erkennen.

Universelle kontinuierliche Zugriffsbewertung und detaillierte Sitzungskontrolle

In Windows-Umgebungen, die mit Microsoft Entra integriert sind, ist es unerlässlich, die Lebensdauer von Zugriffstoken zu kontrollieren.Mit Universal Access Continuous Assessment (Universal CAE) wird jede durch Global Secure Access geschützte Netzwerkverbindung dynamisch auf Basis kritischer Ereignisse neu validiert.

Wenn Universal CAE nicht aktiviert istEin gestohlenes Token kann noch 60 bis 90 Minuten gültig bleiben, selbst nachdem der Nutzer sein Passwort geändert, sein Konto deaktiviert oder ein hohes Risiko festgestellt wurde. Dies gibt Angreifern Zeit, sich im Netzwerk zu bewegen, Verbindungen zu internen Anwendungen herzustellen und Daten zu exfiltrieren.

Aktivierung von Universal CAE im strengen DurchsetzungsmodusJede Sitzungsunterbrechung, jedes Risikosignal oder jede Änderung des Benutzerstatus erzwingt eine nahezu sofortige erneute Authentifizierung. Darüber hinaus werden Versuche der Tokenwiederverwendung von verschiedenen IP-Adressen effektiver blockiert, wodurch ein häufiger Angriffsvektor in Windows-LANs eliminiert wird.

Es ist wichtig, alle Richtlinien für bedingten Zugriff zu überprüfen. Um sicherzustellen, dass CAE bei bestimmten Workloads nicht deaktiviert wird, erstellen einige Unternehmen aus Kompatibilitätsgründen Ausnahmen, die sich dann zu dauerhaften Sicherheitslücken entwickeln.

Global Secure Access Client: Ein sicheres LAN für alle Windows-Computer

Damit der Zero-Trust-Netzwerkschutz effektiv ist, müssen alle verwalteten Geräte den Global Secure Access-Client verwenden.Wenn auf einem Windows-PC im Unternehmen dieser Client nicht installiert ist, kann der Datenverkehr direkt ins Internet oder zu internen Ressourcen gelangen, ohne die Perimeterkontrollen oder Compliance-Prüfungen zu durchlaufen.

Ohne dass der Client auf allen verwalteten Endpunkten bereitgestellt wird Angreifer können diese ungeschützten Geräte ausnutzen, um sich ersten Zugriff zu verschaffen, sich lateral im LAN zu bewegen oder Informationen zu extrahieren. Darüber hinaus profitieren diese Geräte nicht von Netzwerkprüfungen in Richtlinien für bedingten Zugriff, der Wiederherstellung der Quell-IP-Adresse oder Mandantenbeschränkungen.

Wenn der Client aktiv ist, können Windows-Geräte eine sichere Verbindung herstellen. Der Zugriff auf SaaS-Anwendungen und interne Ressourcen erfolgt über Microsoft Entra Private Access, wobei stets dieselben Identitäts- und Netzwerkrichtlinien angewendet werden. Über das Dashboard „Global Secure Access“ können Sie den Clientstatus überwachen, die Konnektivität überprüfen und bei Problemen Korrekturmaßnahmen ergreifen.

Ein weiterer wichtiger Punkt sind die Global Secure Access-Lizenzen.Für die Nutzung von Microsoft Entra Internet Access und Microsoft Entra Private Access ist eine Microsoft Entra ID P1 erforderlich. Falls Ihr Mandant nicht über die entsprechenden Lizenzen verfügt oder diese nicht Benutzern zugewiesen wurden, wird deren Datenverkehr nicht über Global Secure Access geleitet und bleibt ungeschützt. Es empfiehlt sich, gruppenbasierte Lizenzen zu verwenden und deren Ablaufdatum zu überwachen, um einen unbeabsichtigten Lizenzverlust zu vermeiden.

Weiterleitungsprofile für den Datenverkehr und Kontrolle darüber, was in Ihr LAN ein- und ausgeht.

Die Datenverkehrsweiterleitung ist der Mechanismus, der sicherstellt, dass der LAN-Datenverkehr die Sicherheitsschichten passiert. von Global Secure Access und entweicht nicht direkt durch die Internettür.

Microsoft definiert drei Arten von Weiterleitungsprofilen.: eine für Microsoft-Datenverkehr (M365, Microsoft Entra ID, Graph, SharePoint, Exchange…), eine weitere für privaten Zugriff (interne Ressourcen) und eine weitere für allgemeinen Internetzugriff (öffentliches Web, Nicht-Microsoft-SaaS usw.).

Wenn diese Profile nicht aktiviert sindSicherheitsrichtlinien, Inhaltsfilterung, Bedrohungsschutz und CAE sind wirkungslos. Jeder Cyberkriminelle mit gültigen Zugangsdaten kann sich von jedem Netzwerk aus mit Ihren Ressourcen verbinden, ohne Ihre moderne Perimeter-Sicherheitsvorkehrungen zu umgehen.

Es ist außerdem wichtig, den Umfang jedes Profils klar zu definieren.Wenn Sie die Weiterleitung für „alle Benutzer“ aktivieren, ohne sie vorher mit Pilotgruppen zu testen, kann ein Konfigurationsfehler dazu führen, dass das gesamte Unternehmen offline ist. Definieren Sie den Geltungsbereich hingegen zu eng, können Benutzer unbemerkt außerhalb der Schutzmaßnahmen arbeiten.

Überprüfen Sie abschließend, ob der Microsoft 365-Datenverkehr aktiv über Global Secure Access fließt.Wenn ein Teil dieses Datenverkehrs ausgelassen wird (aufgrund veralteter Clients, manueller Konfigurationen oder clientloser Geräte), geht die Transparenz über die für Produktivität und Zusammenarbeit wichtigsten Arbeitslasten verloren, und es wird schwieriger, reale IPs mit Anmeldungen und Warnmeldungen zu korrelieren.

Secure Web Gateway, Inhaltsfilterung und TLS in Windows-Umgebungen

Bei einem sicheren Windows-Unternehmensnetzwerk geht es nicht nur darum, Ports in der Firewall zu blockieren.Es ist außerdem unerlässlich, den ausgehenden HTTP/HTTPS-Datenverkehr zu überprüfen, da die meisten modernen Bedrohungen verschlüsselt übertragen werden.

Das Internetzugangs-Weiterleitungsprofil Dieses Profil zwingt Ihre Benutzer, ihre Webanfragen über das Secure Web Gateway (SWG) von Global Secure Access zu leiten. Wenn dieses Profil nicht aktiviert ist, können Benutzer direkt surfen und Schadsoftware herunterladen, Verbindungen zu Command-and-Control-Domänen herstellen oder Daten exfiltrieren – ohne jegliche zentrale Filterung.

Die Richtlinien zur Filterung von Webinhalten bilden die Grundlage dieser Kontrolle.Ohne sie ist der Zugriff auf alle Arten von Websites (schädliche Seiten, Phishing-Seiten, Raubkopien, unangemessene Inhalte usw.) ungehindert. Am effektivsten ist es, Regeln auf Basis von Kategorien (Schadsoftware, Betrug, Piraterie, kriminelle Aktivitäten usw.) zu verwenden, anstatt sich ausschließlich auf Listen spezifischer URLs zu verlassen, die schnell veralten.

Diese Richtlinien müssen mit Sicherheitsprofilen verknüpft werden.Werden diese Funktionen zwar erstellt, aber keinem Profil oder Referenzprofil zugeordnet, werden sie nicht angewendet und erzeugen ein trügerisches Sicherheitsgefühl. Die Integration mit bedingtem Zugriff ermöglicht zudem eine strengere Filterung bei erhöhtem Risiko (z. B. bei nicht konformen Geräten oder Anmeldungen von ungewöhnlichen Standorten).

Ein entscheidender Bestandteil ist die TLS-Inspektion.Da nahezu der gesamte Webverkehr verschlüsselt ist, funktionieren viele Filter-, DLP- und Bedrohungserkennungsfunktionen nicht mehr, wenn HTTPS-Sitzungen nicht an einem Kontrollpunkt entschlüsselt werden. Dies wird durch ein Zwischenzertifikat einer Zertifizierungsstelle (CA) erreicht, das dynamisch Zertifikate für die Websites generiert, mit denen Ihre Windows-Computer Verbindungen herstellen.

Seien Sie vorsichtig mit TLS-Ausnahmen und der Zertifikatsverwaltung.

Die TLS-Prüfung ist keine Angelegenheit, die man einmal einrichtet und dann vergisst.Es gibt zwei besonders heikle Punkte: die Umgehungsregeln und den Ablauf des Inspektionszertifikats.

TLS-Umgehungsregeln Sie ermöglichen es, bestimmte Domains oder Anwendungen auszuschließen, die keine Überprüfung unterstützen (z. B. Dienste mit Certificate Pinning oder Mutual TLS). Das Problem entsteht, wenn sich diese Ausnahmen im Laufe der Zeit anhäufen, nicht mehr überprüft werden und zu Schwachstellen werden, die Angreifer gezielt ausnutzen, um ihre Command-and-Control-Kommunikation zu tunneln.

Es empfiehlt sich, die Umgehungsregeln regelmäßig zu überprüfen. Entfernen Sie außerdem alle redundanten oder doppelten Ziele, die sich bereits in der Überspringliste des Systems befinden. Global Secure Access beschränkt die Anzahl der Regeln und Ziele pro Mandant; eine saubere und sichere Konfiguration vereinfacht die Administration.

Bezüglich des TLS-PrüfzertifikatsNach Ablauf der Gültigkeit funktioniert die TLS-Terminierung sofort nicht mehr. URL-Filterung, Bedrohungserkennung und jegliche Kontrolle über den HTTPS-Datenverkehr gehen verloren. Angreifer versuchen häufig, ihre Angriffe zeitlich so zu planen, dass sie mit Phasen übereinstimmen, in denen Unternehmen ihre Sicherheitsvorkehrungen bei der Zertifikatserneuerung lockern.

Idealerweise sollte ein Zeitraum von mindestens 90 Tagen bis zum Verfallsdatum eingehalten werden.Verwenden Sie Zertifikate mit einer Mindestgültigkeit von sechs Monaten und planen Sie deren Erneuerung über Ihre PKI-Infrastruktur (ADCS, OpenSSL usw.). Überwachen Sie außerdem die Fehlerrate der TLS-Inspektion und halten Sie diese unter 1 %, da höhere Raten häufig auf systemische Vertrauensprobleme, Inkompatibilitäten oder sogar gezielte Versuche, Inspektionsfehler zu verursachen, hinweisen.

Bedrohungsanalyse, Cloud-Firewall und Schutz von Zweigstellen

Über das Filtern nach Kategorien hinausgehend, die Nutzung von Bedrohungsdaten Dynamische Listen bekannter schädlicher Domains und URLs sind unerlässlich, um Verbindungen zu aktiven Angriffsinfrastrukturen zu blockieren. Wenn Sie diese Filterung in Global Secure Access nicht aktivieren, können Geräte weiterhin mit Command-and-Control-Servern kommunizieren, selbst nachdem sie auf anderen Ebenen erkannt wurden.

Das globale Sicherheitsprofil für sicheren Zugriff Es bietet einen allgemeinen Schutz für den gesamten Mandanten, aber es ist ratsam, benutzerdefinierte Profile zu erstellen, die mit Richtlinien für bedingten Zugriff verknüpft sind, um den Kontext zu berücksichtigen (wer der Benutzer ist, von welchem ​​Gerät er sich verbindet, von wo aus er sich verbindet usw.).

Für Zweigstellen, die über IPsec-Tunnel verbunden sindDie Cloud-Firewall von Global Secure Access ist für die Kontrolle des ausgehenden Internetverkehrs zuständig. Werden für diese Remote-Netzwerke keine Firewall-Richtlinien konfiguriert, wird der gesamte ausgehende Datenverkehr ungefiltert durchgelassen. Dadurch kann ein Angreifer, der einen Arbeitsplatzrechner in einer Zweigstelle kompromittiert, uneingeschränkt Verbindungen zu beliebigen externen Zielen herstellen.

Definition einer „standardmäßig ablehnenden“ Haltung Und indem man nur den notwendigen Datenverkehr von den Zweigstellen aus öffnet, verringert sich die Wahrscheinlichkeit einer Datenexfiltration und einer seitlichen Ausbreitung in andere Umgebungen, wie zum Beispiel die Cloud, erheblich.

Datenverlustprävention, Dateiübertragung und generativer KI-Schutz

Eine der einfachsten Möglichkeiten, Informationen aus einem LAN zu extrahieren Dabei werden legitime Dateitransferdienste, Cloud-Speicher oder sogar generative KI-Anwendungen genutzt, um sensible Dokumente hochzuladen.

Netzwerkinhaltsfilterrichtlinien in Global Secure Access Überwachung und Steuerung ermöglichen Dateiübertragungen über Browser, Anwendungen und APIs. Ohne diese Richtlinien könnte ein böswilliger Benutzer oder ein kompromittiertes Konto vertrauliche Dokumente, Anmeldeinformationen oder geistiges Eigentum an externe Dienste hochladen, ohne dass dies auf Ihren Endgeräten praktisch spurlos erkennbar ist.

Im Bereich der KI, AI Gateway und sein Prompt Shield-Schutz Sie fügen eine weitere Ebene hinzu: Sie verhindern, dass KI-Anwendungen in Unternehmen Command-Injection-Angriffen zum Opfer fallen (Prompt-Jailbreaks, in externen Inhalten versteckte bösartige Anweisungen usw.), die dazu führen könnten, dass das Modell interne Richtlinien ignoriert, interne Daten preisgibt oder Phishing-Inhalte generiert.

Implementieren Sie diese Steuerungselemente auf Netzwerkebene anstatt auf App-Ebene. Es gewährleistet eine einheitliche Vorgehensweise: Sie sind nicht darauf angewiesen, dass jedes Entwicklungsteam eigenständig Sicherheitsmaßnahmen gegen das sofortige Einschleusen von Daten und den damit verbundenen Datenverlust in seinen KI-Lösungen implementiert.

Global Secure Access – netzwerkbasierter bedingter Zugriff und Signalisierung

Microsofts Richtlinien für bedingten Zugriff Sie bilden das Bindeglied zwischen Identität und Netzwerk. Für ein Unternehmen, das sein Windows-LAN optimal nutzen möchte, ist es entscheidend, dass sich Benutzer nur dann an Unternehmensressourcen authentifizieren, wenn ihr Datenverkehr über Global Secure Access geleitet wird.

Die Steuerelemente für „kompatibles Netzwerk“ im bedingten Zugriff Genau das ermöglichen sie: die Überprüfung, ob die Authentifizierung vom Sicherheitsdienst von Microsoft und nicht von einer beliebigen Internet-IP-Adresse stammt. Ohne diese Kontrollmechanismen kann ein Angreifer, der Anmeldeinformationen stiehlt, von überall aus eine Verbindung herstellen und Ihre Inhaltsfilter, Bedrohungsanalysen oder CAE umgehen.

Global Secure Access-Beschilderung für bedingten Zugriff Dies löst ein weiteres Problem: Wenn der Datenverkehr über den Proxy geleitet wird, ist die von Microsoft Entra ID gesehene Quell-IP-Adresse üblicherweise die des Proxys und nicht die des tatsächlichen Benutzers. Durch die Aktivierung dieser Signalisierung können zusätzliche Informationen in die Anfrage eingefügt werden, sodass standortbasierte Richtlinien und Risikoerkennungen (unmögliche Routen, anonyme IPs, unbekannte Anmeldeeigenschaften) weiterhin korrekt funktionieren.

Wenn diese Signalgebung nicht aktiviert wirdIn den Anmeldeprotokollen werden nur ausgehende Proxy-IPs angezeigt, was forensische Untersuchungen und die Reaktion auf Sicherheitsvorfälle erschwert und die Genauigkeit der automatisierten Risikoerkennung verringert.

Microsoft Private Access: Eingabe: Zero Trust für interne Ressourcen

Viele Unternehmen nutzen nach wie vor traditionelle VPNs, um auf interne Ressourcen zuzugreifen. (Dateiserver, ERP-Systeme, interne Anwendungen). Microsofts privater Zugriff Entra zielt darauf ab, dieses Modell durch ein Zero-Trust-Modell zu ersetzen, in dem jede Anfrage detailliert authentifiziert und autorisiert wird.

Private Netzwerkkonnektoren sind die „Vermittler“, die Ihr LAN mit Global Secure Access verbinden.Sind sie inaktiv oder veraltet, könnten die Benutzer in Versuchung geraten, auf weniger sichere alternative Zugriffsmethoden zurückzugreifen, oder Sie wären gezwungen, die Dienste direkt dem Internet auszusetzen.

Idealerweise sollten in jeder Gruppe von Konnektoren mindestens zwei aktive und aktuelle Instanzen vorhanden sein.Um Single Points of Failure zu vermeiden, bedeutet ein einzelner Konnektor in einer Gruppe, dass ein Softwareproblem, ein unglückliches Update oder sogar eine lokale böswillige Aktion dazu führen könnte, dass alle privaten Anwendungen, die von dieser Gruppe abhängen, keinen Zugriff mehr haben.

Anwendungssegmentierung im privaten Zugriff Dies ist ein weiterer entscheidender Punkt. Werden zu weit gefasste Segmente definiert (große IP-Bereiche, mehrere ungefilterte Ports, wahllose Nutzung des Schnellzugriffs), wird im Wesentlichen das permissive Modell herkömmlicher VPNs nachgebildet. Empfohlen wird die Segmentierung nach Anwendung mithilfe von FQDNs oder spezifischen IPs und Ports. Jedes Segment wird dann risikobasiert und abhängig vom Ressourcentyp mit Richtlinien für bedingten Zugriff verknüpft.

Privates DNS, interner Datenverkehr und Leistung beim Fernzugriff

Die interne Namensauflösung ist für das ordnungsgemäße Funktionieren des privaten Zugriffs unerlässlich.Wenn Sie keinen ordnungsgemäßen privaten DNS konfigurieren, können Remote-Benutzer interne FQDNs nicht über den sicheren Tunnel auflösen, und ihre Windows-Rechner greifen auf öffentliche DNS-Server zurück, wo diese Namen einfach nicht existieren.

Wenn das Profil „Privater Zugriff“ aktiviert ist, aber keine DNS-Ports veröffentlicht werden (53 UDP/TCP) auf den entsprechenden Segmenten, oder wenn keine privaten DNS-Suffixe definiert sind, kann der Global Secure Access-Client keine internen DNS-Anfragen weiterleiten. Dies führt dazu, dass FQDN-basierte Segmente nicht angewendet werden und der Benutzer sich direkt, außerhalb der Netzwerkrichtlinien, verbindet.

Um die Leistung zu verbessern, ohne die Sicherheit zu beeinträchtigenFunktionen wie Intelligent Local Access (ILA) ermöglichen es, privaten Datenverkehr lokal zu leiten, wenn sich der Benutzer physisch im Unternehmensnetzwerk befindet. Dadurch werden unnötige Umwege über die Cloud vermieden, während gleichzeitig die bedingten Zugriffskontrollen aufrechterhalten werden.

Der Schnellzugriff muss seinerseits ordnungsgemäß mit Gruppen aktiver Konnektoren verknüpft sein. Die Richtlinien für bedingten Zugriff sind bereits eingerichtet. Andernfalls können Benutzer entweder nicht auf interne Ressourcen zugreifen, wenn sie diese benötigen, oder – schlimmer noch – sie können dies ohne zusätzliche MFA-, Geräte- oder Standortprüfungen tun.

Domänencontroller, RDP und Sicherheitssensoren in der Windows-Umgebung

In einem Windows-basierten LAN sind Domänencontroller das ultimative Ziel.Wer die Domain kontrolliert, kontrolliert die Accounts, Richtlinien, Gruppen und praktisch das gesamte Netzwerk.

Wenn Administratoren über RDP auf Domänencontroller zugreifen Bei der Verwendung von Microsoft Private Sign-In ist eine phishingresistente Authentifizierung erforderlich, beispielsweise mit FIDO2-Sicherheitsschlüsseln. Windows Hallo für Geschäft mit starker Unterstützung oder gleichwertigen Methoden, die einen kryptografischen Eigentumsnachweis erfordern.

Ohne diese resistenten MethodenEin Angreifer, dem es gelingt, Anmeldeinformationen zu stehlen oder Sitzungstoken zu kapern, könnte diese wiederverwenden, um RDP-Sitzungen zum Domänencontroller herzustellen, DCSync-Angriffe auszuführen, um Hashes aller Konten zu extrahieren, Kerberos-Golden-Tickets zu erstellen und eine langfristige Persistenz aufrechtzuerhalten oder Gruppenrichtlinienobjekte (GPOs) zu modifizieren, um massenhaft Malware einzusetzen.

Private-Access-Sensoren, die auf Domänencontrollern eingesetzt werden Sie ermöglichen die Anwendung strenger Richtlinien auf Kerberos-Anfragen aus dem lokalen Netzwerk. Ohne diese Sensoren kann jedes Gerät mit Zugriff auf das LAN Service-Tickets für privilegierte Ressourcen anfordern, ohne dass MFA-Kontrollen, Compliance oder Kontext berücksichtigt werden. Dadurch wird das implizite Vertrauensmodell, das allein auf der Zugehörigkeit zum Netzwerk basiert, aufrechterhalten.

LAN-Backups, Wartung und Betriebsmanagement

Die Sicherheit eines LANs beschränkt sich nicht nur auf die Verhinderung unberechtigten Zugriffs.Das bedeutet auch, im Fehlerfall wiederherstellen zu können. Ein Brand im Rechenzentrum, Ransomware, die den Dateiserver verschlüsselt, oder ein Hardwareausfall können das Unternehmen lahmlegen, wenn keine gut konzipierten Datensicherungen vorhanden sind.

Es wird empfohlen, Geschäftsdaten auf einem Dateiserver zu zentralisieren. oder auf sicheren Speicherdiensten mit einer klaren Backup-Richtlinie, einschließlich externer Backups (außerhalb des Büros oder in einer anderen Region) für extreme Katastrophenszenarien. Konsultieren Sie einen Vergleich der Backup-Methoden die beste Strategie auswählen.

Eine gut verwaltete Windows-Domäne Es vereinfacht die Berechtigungsvergabe, die Durchsetzung von Kennwortrichtlinien, die Softwarebereitstellung und die Updateverwaltung. Es stellt sicher, dass alle Computer im Netzwerk professionelle Windows-Versionen verwenden, die sich problemlos in Active Directory oder Microsoft Entra integrieren lassen.

Zusätzlich zur Aktualisierung der Antivirensoftware auf allen PCs und ServernEs empfiehlt sich, regelmäßige Wartungsarbeiten durchzuführen: Protokolle prüfen, Backups kontrollieren, wichtige Patches einspielen, Lizenzen inventarisieren und Vorfälle protokollieren. Die Zuweisung dieser Verantwortung an eine interne Person oder einen externen Dienstleister trägt dazu bei, dass Probleme nicht vertuscht werden.

Schließlich sollte man den menschlichen Faktor niemals unterschätzen.Durch das Filtern von MAC-Adressen, das Deaktivieren ungenutzter Ethernet-Ports, das Einschränken der Softwareinstallation und die Segmentierung nach VLAN wird der Schaden reduziert, der sowohl durch einen Mitarbeiterfehler als auch durch eine vorsätzliche Handlung einer unzufriedenen Person innerhalb der Organisation verursacht werden kann.

Ein gut konzipiertes und verwaltetes LAN-Netzwerk in einer Windows-Umgebung, erweitert um Microsoft Entra-Funktionen, Global Secure Access, Segmentierung, Webfilterung und BedrohungsanalyseEs wird wesentlich robuster als ein einfaches Set aus Kabeln und Schaltern: Es wird zu einer sicheren Plattform, auf der Ihr Unternehmen weiter wachsen kann, indem es IoT, Cloud-Dienste und sogar generative KI integriert, ohne sich unnötigerweise den Cyberangriffen auszusetzen, die heutzutage leider allgegenwärtig sind.