Was ist IP-Filterung?

Die IP-Filterung ist eine Sicherheitsfunktion von VOS, die den Netzwerkverkehr auf der Grundlage der Reputation von IP-Adressen, der geografischen Lage sowie von administrativ definierten Zulassungs- und Sperrlisten filtert und dabei für jede Sitzung, deren Quell- oder Zieladresse einer konfigurierten Bedingung entspricht, eine Aktion – Zulassen, Warnung, Verwerfen, Zurücksetzen oder eine benutzerdefinierte Umleitung – durchführt.

Die wichtigsten Erkenntnisse

• Die IP-Filterung blockiert Datenverkehr anhand von Reputationsdaten, Geolokalisierung und Adresslisten.
• Vordefinierte Reputationsdaten umfassen Botnetze, Phishing, Scanner und Denial-of-Service-Verkehr.
• Die Maßnahmen reichen von „Zulassen“ und „Warnung“ bis hin zu „Abbrechen“, „Zurücksetzen“ und „Captive Portal“.
• Sperr- und Zulassungslisten haben Vorrang vor Entscheidungen, die auf der Reputation oder dem Standort basieren.
• Es überprüft sowohl Web- als auch Nicht-Web-Datenverkehr auf der Netzwerkebene.

Auf dieser Seite: Warum das wichtig ist · So funktioniert es · Arten · IP-Filterung & Versa · Häufig gestellte Fragen

Warum ist IP-Filterung wichtig?

Nicht jede Bedrohung macht sich durch eine URL oder eine Datei bemerkbar. Botnetz-Command-and-Control-Server, Tor-Exit-Knoten und bekannte Scan-Infrastrukturen können über jedes beliebige Protokoll erreicht werden, nicht nur über HTTP. Daher werden sie von einem Sicherheitsstack, der ausschließlich Webanfragen überprüft, vollständig übersehen. Die IP-Filterung schließt diese Lücke, indem sie die Adresse selbst – Quelle und Ziel – anhand von Reputations- und Geolokalisierungsdaten überprüft, noch bevor überhaupt eine Überprüfung auf Anwendungsebene stattfindet.

Auch im Hinblick auf Kosten und Abdeckung spielt dies eine Rolle. Da die IP-Filterung auf der Netzwerkebene des IP-Tupels erfolgt, verursacht sie nur minimale Latenz und gilt gleichermaßen für Web- und Nicht-Web-Datenverkehr – sei es FTP, SMTP oder jedes andere Protokoll, das das Gateway durchläuft. Das macht sie zu einer idealen Basisebene: kostengünstig genug, um auf jede Regel angewendet zu werden, und umfassend genug, um bösartige Infrastrukturen zu erkennen, die kategorie- oder inhaltsbasierte Kontrollen niemals erfassen würden.

Was ist IP-Filterung?

Ein IP-Filterprofil vergleicht die Quell- und/oder Zieladresse einer Sitzung mit verschiedenen Eingaben: vom Administrator definierte Sperr- und Zulassungslisten, geolokalisierungsbasierte Regeln, die an eine Region gebunden sind, sowie reputationsbasierte Regeln, die an eine Bedrohungskategorie wie Botnetze oder Phishing gebunden sind. „ Versa “ unterhält einen Reputations-Feed, der täglich und in Echtzeit aktualisiert wird; vordefinierte Regionen decken die Geolokalisierung ab, ohne dass eine manuelle Zuordnung von IP-Adressen zu Ländern erforderlich ist.

Jeder Eingang kann eine eigene Aktion durchsetzen – Zulassen, Warnung ausgeben, Paket verwerfen, Sitzung beenden oder ablehnen –, wobei Sperr- und Zulassungslisten Vorrang vor den Ergebnissen der Reputations- und Geolokalisierungsprüfung haben. Profile sind an eine Sicherheitsrichtlinienregel gekoppelt, sodass die Durchsetzung im Rahmen der normalen Zugriffskontrolle erfolgt und nicht in einem separaten Durchlauf. Eine optionale Adressrückwärtssuche kann das IP-Tupel in eine Domain auflösen und eine URL-Filterung auf das Ergebnis anwenden, was für Nicht-HTTP-Datenverkehr nützlich ist, bei dem sonst keine URL verfügbar ist.

Arten der IP-Filterung

Die reputationsbasierte Filterung gleicht vordefinierte Bedrohungskategorien – Botnetze, Denial-of-Service-Angriffe, Phishing, Proxys, Scanner, Spam-Quellen, Webangriffe und Windows-Exploits – ab, die aus einem kontinuierlich aktualisierten Feed stammen. Die geolokationsbasierte Filterung erzwingt Maßnahmen je nach geografischer Region der Anfrage, was nützlich ist, um Datenverkehr aus Ländern zu blockieren, zu denen keine legitimen Geschäftsbeziehungen bestehen. Die listenbasierte Filterung nutzt explizite, vom Administrator gepflegte Sperr- und Zulassungslisten für einzelne IP-Adressen oder Gruppen und setzt sich dabei über die Entscheidungen der Reputations- oder Geolokalisierungsfilterung hinweg. Die benutzerdefinierte Filterung ermöglicht es Administratoren, eigene Maßnahmen festzulegen – darunter Captive-Portal-Seiten, Übersteuerungs-PINs oder Umleitungs-URLs –, anstatt sich ausschließlich auf den vordefinierten Maßnahmenkatalog zu verlassen.

IP-Filterung & Versa

Auf VOS-Geräten wird die IP-Filterung über Director als Profile unter „Objekte“ und „Konnektoren“ konfiguriert und anschließend auf eine Sicherheitsrichtlinienregel der Next-Generation-Firewall angewendet. „ Versa “ enthält mehrere vordefinierte Profile – darunter das von der „ Versa “ empfohlene Profil, das Maßnahmen in allen neun Reputationskategorien durchsetzt – sowie eine Reihe enger gefasster Voreinstellungen wie „Block DoS“ und „Block Scanners“ für Teams, die eine weniger strenge Basiskonfiguration wünschen. Die Einstellung „URL-Reputation priorisieren“ kann sich bei HTTP/HTTPS-Datenverkehr auf die Ergebnisse der URL-Filterung stützen und so Fehlalarme reduzieren, wenn die Reputation einer IP-Adresse schlecht ist, die betreffende Website jedoch legitim ist.

Bei „ SASE “- und „NGFWaaS“-Bereitstellungen wird empfohlen, die IP-Filterung in jeder Internet-Schutzregel zu aktivieren, unabhängig von der Art des Datenverkehrs, da dies die einzige Kontrollmaßnahme ist, die Nicht-Web-Protokolle überprüft und nur eine vernachlässigbare Latenz verursacht. Administratoren überwachen die Durchsetzung über die „Analytics“-Ansicht von Director, die die häufigsten IP-Filterungsaktionen anzeigt und einen detaillierten Einblick in die entsprechenden Flussprotokolle bietet. Informationen zu den Konfigurationsverfahren finden Sie unter „IP-Filterung konfigurieren (NGFW)“ und „IP-Filterung konfigurieren “.

Häufig gestellte Fragen

Was ist der Unterschied zwischen IP-Filterung und URL-Filterung?

Bei der IP-Filterung werden die Quell- und Ziel-IP-Adressen des gesamten Datenverkehrs – unabhängig davon, ob es sich um Webdaten handelt oder nicht – mit Reputations- und Geolokalisierungsdaten abgeglichen. Bei der URL-Filterung wird die HTTP/HTTPS-Anfrage selbst überprüft und mit der Kategorie sowie der Reputation der Zielwebsite abgeglichen – eine engere, aber detailliertere Kontrolle.

Welche Maßnahmen werden bei der IP-Filterung standardmäßig ergriffen?

Es gibt keine einheitliche globale Standardaktion; jedes Profil legt seine eigene Standardaktion fest, die angewendet wird, wenn keine Sperrliste, Zulassungsliste, Geolokalisierungsregel oder Reputationsregel zutrifft. Vordefinierte Profile wie das von der „ Versa “ empfohlene Profil werden mit bereits konfigurierten reputationsbasierten Ablehnungs- oder Warnaktionen ausgeliefert.

Kann die IP-Filterung Datenverkehr blockieren, der nicht über HTTP oder HTTPS läuft?

Ja. Da bei der IP-Filterung das IP-Tupel und nicht der Anwendungsinhalt ausgewertet wird, gilt sie für jedes Protokoll – FTP, SMTP, DNS oder andere. Durch die umgekehrte Adresssuche lässt sich der URL-basierte Kontext auf Nicht-HTTP-Sitzungen ausweiten, indem das IP-Tupel zunächst in eine Domain aufgelöst wird.

Wie aktuell sind die IP-Reputationsdaten?

Versa Networks bietet einen Reputations-Feed, der sowohl täglich als auch in Echtzeit aktualisiert wird und Kategorien wie Botnetze, Denial-of-Service-Angriffe, Phishing, Scanner und Spam-Quellen abdeckt. Administratoren können zudem bei Bedarf direkt über Director die aktuelle Reputation und den geografischen Standort einer beliebigen einzelnen IP-Adresse abfragen.

Haben Whitelists Vorrang vor einer negativen IP-Reputation?

Ja. Sperr- und Zulassungslisten werden vor den auf Reputation und geografischer Lage basierenden Regeln ausgewertet. Daher wird eine Adresse, die ausdrücklich auf der Zulassungsliste steht, auch dann zugelassen, wenn sie einen schlechten Reputationswert aufweist, und eine Adresse, die ausdrücklich auf der Sperrliste steht, wird unabhängig von ihrer Reputation oder ihren Standortdaten blockiert.

Mehr zum Thema IP-Filterung

Wenn Sie mehr erfahren möchten, finden Sie hier Quellen, denen wir vertrauen.

Verwandte Begriffe

Wenn Sie sich gerade mit IP-Filterung beschäftigen, sollten Sie sich als Nächstes diese Artikel ansehen.