Ein Server, der langsam reagiert, ein Arbeitsplatz, der nachts eine unbekannte IP-Adresse verbindet, eine Firewall, deren Regeln seit zwei Jahren niemand mehr überprüft hat. Diese schwachen Signale bleiben oft unbemerkt, bis ein Eindringling sie in eine Krise verwandelt. Das Netzwerk-Sicherheitsaudit existiert, um diese Schwachstellen zu erkennen, bevor ein Angreifer dies tut. Man muss jedoch wissen, was man auditieren möchte, mit welchen Werkzeugen und vor allem in welcher Reihenfolge.
Netzwerk-Lieferkette: der Bereich, den die meisten Audits vergessen
Haben Sie schon einmal überprüft, wer tatsächlich Ihre MPLS-Verbindungen oder Ihren SD-WAN-Zugang verwaltet? Die NIS2-Richtlinie, deren Umsetzung in französisches Recht mittlerweile eine breite Palette von Entitäten betrifft, verlangt, die vertraglichen und technischen Sicherheitsbedingungen mit Telekommunikationsanbietern, Managed Service Providern (MSP/MSSP) und Cloud- oder Netzwerkgeräteanbietern zu überprüfen.
Ergänzende Lektüre : Die neuesten Modetrends, die Sie diese Saison unbedingt für einen stylischen Look verfolgen sollten
Konkret beschränkt sich ein NIS2-konformes Netzwerk-Audit nicht mehr nur auf das Scannen Ihrer eigenen Maschinen. Es muss auch die Remote-Zugänge Ihrer Subunternehmer, die Firmware-Updates Ihrer Betreiber-Router und die Incident-Notification-Klauseln in Ihren Verträgen überprüfen. Das Audit der Netzwerk-Lieferkette ist verpflichtend geworden, nicht optional.
Um diesen Prozess zu strukturieren, detailliert das Netzwerk-Sicherheitsaudit mit E-novateur einen methodischen Rahmen, der diese Anforderungen der Anbieter bereits in der Planungsphase integriert.
Weiterlesen : Entdecken Sie die wichtigsten Körperteile des Menschen, die mit C beginnen, und deren Nutzen
Technische Planung des Netzwerk-Audits: definieren, was wir wirklich testen
Bevor man mit dem Scannen beginnt, muss eine einfache Frage beantwortet werden: Was ist der genaue Umfang? Ein Unternehmensnetzwerk, selbst bescheiden, besteht aus heterogenen Schichten. Gast-WLAN, VLAN für Geschäftsbereiche, VPN-Zugänge von Mitarbeitern im Homeoffice, über das Internet exponierte APIs. Jedes dieser Segmente weist unterschiedliche Schwachstellen auf.
Inventar der Vermögenswerte und Kartierung
Die erste konkrete Maßnahme besteht darin, ein umfassendes Inventar zu erstellen. Man zählt jedes aktive Gerät (Switches, Firewalls, WLAN-Access-Points, Server), jede externe Verbindung und jeden exponierten Dienst auf. Ohne diese Kartierung basiert der Rest des Audits auf Annahmen.
- Öffentliche und private aktive IP-Adressen auflisten, indem man die DNS-, DHCP- und ARP-Tabellen der Switches abgleicht.
- Unmanaged Devices (Shadow IT) identifizieren: Netzwerkdrucker, IP-Kameras, IoT-Geräte, die ohne Validierung angeschlossen sind.
- Die intersite Datenströme und VPN-Tunnel dokumentieren, einschließlich derjenigen, die zeitweise geöffnet und dann nie wieder geschlossen wurden.
Ein unvollständiges Inventar führt zu einem unvollständigen Audit. Wenn ein Netzwerksegment außerhalb des Umfangs bleibt, werden seine Schwachstellen im Abschlussbericht unsichtbar bleiben.
Messbare Ziele festlegen
Ein Audit kann auf die Einhaltung von Vorschriften (NIS2, DSGVO), die Vorbereitung auf einen Penetrationstest oder einfach die Bewertung des Schutzniveaus nach einer Infrastrukturänderung abzielen. Diese Ziele in einem einzigen Verfahren zu vermischen, verwässert die Ergebnisse. Besser ist ein Audit, das sich auf die Netzwerksegmentierung konzentriert, als eine Übersicht über das gesamte Informationssystem.
Analyse der Netzwerk-Schwachstellen: Scannen allein reicht nicht aus
Automatisierte Scan-Tools (Nessus, OpenVAS, Qualys) erkennen bekannte Schwachstellen, indem sie Softwareversionen mit Schwachstellendatenbanken vergleichen. Dies ist ein notwendiger, aber unzureichender Schritt, wenn er isoliert bleibt.
Ein Schwachstellenscan erkennt bekannte Schwachstellen, nicht Konfigurationsfehler. Eine aktuelle Firewall kann sehr wohl unfilterten ausgehenden Datenverkehr zu beliebigen Zielen zulassen. Ein Switch kann das SNMP-Protokoll mit der Standard-Community “public” aktiviert haben. Diese Fehler erscheinen nicht immer in einem klassischen Scanbericht.
Manuelle Überprüfung der Konfigurationen
Hier zeigt das Audit seinen Wert. Ein Auditor überprüft die Filterregeln der Firewall Zeile für Zeile, prüft die VLAN-Segmentierung, kontrolliert die Zugriffskontrolllisten (ACL) und stellt sicher, dass veraltete Protokolle (Telnet, SNMPv1, unverschlüsseltes FTP) deaktiviert sind.
NIS2 fügt eine zusätzliche Dimension hinzu: Das Audit muss auch die Fähigkeit zur Erkennung von Vorfällen bewerten. Sind die Protokolle zentralisiert? Funktionieren die Korrelationsalarme? Ein einfacher Test besteht darin, ein anormales Verhalten zu simulieren (Verbindung von einem ungewöhnlichen Standort aus) und zu überprüfen, ob das SIEM oder das Überwachungstool tatsächlich einen Alarm generiert.
Auditbericht und Maßnahmenplan: Erkenntnisse in Aktionen umsetzen
Ein Auditbericht, der Schwachstellen ohne Priorisierung auflistet, endet in einer Schublade. Der wahre Wert des Deliverables liegt in der Hierarchisierung der Risiken und dem Korrekturfahrplan.
- Jede Schwachstelle nach Kritikalität klassifizieren, indem man ihre technische Schwere (CVSS-Score, wenn verfügbar) und ihre tatsächliche Exposition in der Netzwerkarchitektur abgleicht.
- Korrekturmaßnahmen mit einem realistischen Zeitplan vorschlagen: Zuerst kritische Schwachstellen, die über das Internet exponiert sind, dann Verbesserungen der Governance.
- Die Korrekturen identifizieren, die von Dritten abhängen (Telekommunikationsanbieter, Firmware-Hersteller) und die vertraglichen Fristen antizipieren.
- Ein Datum für ein Nachaudit festlegen, um zu überprüfen, ob die Korrekturen umgesetzt wurden, nicht nur geplant.
Ein Audit ohne Nachverfolgung der Korrekturen reduziert das Risiko nicht. Die Gap-Analyse NIS2 verlangt zudem eine regelmäßige Neubewertung der Wirksamkeit der Maßnahmen, was die Planung wiederkehrender Audits, nicht nur einmaliger, erfordert.
Governance und interne Verantwortlichkeiten
Wer trägt die Verantwortung für die Korrekturen nach dem Audit? In vielen KMUs bleibt die Antwort unklar. Der Bericht sollte einen Verantwortlichen für jede Korrekturmaßnahme benennen und einen Genehmigungsprozess festlegen. Ohne diese Governance bleiben die Empfehlungen ohne Wirkung, selbst wenn sie technisch relevant sind.
Das Netzwerk-Sicherheitsaudit ist keine einmalige Übung, die man auf einer Compliance-Liste abhakt. Es ist ein Prozess, der mit der Kartierung des tatsächlichen Umfangs (einschließlich der Anbieter) beginnt, eine technische Analyse kombiniert, die automatisierte Scans und manuelle Überprüfungen umfasst, und nur dann Ergebnisse liefert, wenn der Korrekturplan bis zum Ende verfolgt wird. Der nächste regulatorische Termin für NIS2 rückt näher: Es ist besser, jetzt zu auditieren, als nach einem Vorfall zu reparieren.