Was ist eine Next-Generation-Firewall (NGFW)?

Eine Next-Generation-Firewall (NGFW) ist eine Firewall, die neben der herkömmlichen zustandsorientierten Paketfilterung zusätzlich Funktionen wie Anwendungserkennung, Intrusion Prevention und Inhaltsprüfung bietet, sodass Richtlinien nicht mehr ausschließlich anhand von IP-Adresse, Port und Protokoll, sondern auch anhand der Anwendungsidentität sowie des Benutzers oder der Gruppe durchgesetzt werden können.

Die wichtigsten Erkenntnisse

• NGFW erweitert die zustandsorientierte Filterung um anwendungsorientierte Layer-7-Richtlinien.
• Es vereint IPS, URL-Filterung und TLS-Prüfung in einer einzigen Kontrollstelle.
• Anwendungen werden anhand von Signaturen, heuristischen Verfahren und statistischen Analysen identifiziert.
• Die Einsatzmöglichkeiten reichen von Perimeter-Geräten bis hin zu cloudbasierten NGFWaaS-Lösungen.
• VersaDas NGFW-Modul läuft innerhalb von VOS als Teil des Sicherheitsstacks.

Auf dieser Seite: Warum das wichtig ist · So funktioniert es · Arten · NGFW & Versa · Häufig gestellte Fragen

Warum ist eine NGFW wichtig?

Klassische zustandsorientierte Firewalls entscheiden anhand der Quell- und Ziel-IP-Adresse, des Ports und des Protokolls, was zugelassen wird. Dieses Modell war sinnvoll, als jede Anwendung noch einen eigenen Port hatte, versagt jedoch, wenn Dutzende von Anwendungen – sowohl genehmigte als auch nicht genehmigte – denselben HTTPS-Port nutzen und auf Schicht 4 identisch erscheinen. Eine Firewall, die lediglich „Datenverkehr auf Port 443“ erkennt, kann eine SaaS-Anwendung nicht von einer Filesharing-Website oder einem versteckten Malware-Kanal unterscheiden.

NGFW ist wichtig, weil es diese Lücke in der Transparenz schließt. Durch die Überprüfung des Datenverkehrs bis hin zur Anwendungsschicht identifiziert es die Anwendung und den Nutzer hinter einer Sitzung, wendet Intrusion Prevention gegen bekannte Exploits an, filtert Ziele nach URL-Kategorien und überprüft verschlüsselte Sitzungen – alles von einem einzigen Kontrollpunkt aus. Diese Konsolidierung reduziert die Anzahl der einzelnen Sicherheitstools, die in einem Netzwerk miteinander verknüpft werden müssen, und ermöglicht es, dass Richtlinien sich danach richten, um welchen Datenverkehr es sich tatsächlich handelt, und nicht nur danach, wohin er geleitet wird.

Was ist eine NGFW?

Eine NGFW ist eine Firewall, die zusätzlich zur herkömmlichen zustandsorientierten Filterung Funktionen zur tiefgehenden Paketanalyse und Anwendungserkennung bietet. Eine herkömmliche Firewall gleicht eine Sitzung anhand von Quell- und Zieladresse, Port und Protokoll ab – und belässt es dabei. Eine NGFW hingegen führt eine fortlaufende Auswertung durch: Sie wendet signaturbasierte, heuristische und statistische Methoden an, um festzustellen, welche Anwendung die Sitzung generiert hat – selbst wenn diese über einen gängigen Port getunnelt wurde –, und setzt dann die entsprechenden Richtlinien für diese Identität durch.

Darüber hinaus kommen die Funktionen hinzu, die der NGFW ihren Namen geben: Intrusion Prevention, die bekannte Exploits blockiert, URL- und Webfilterung, die Ziele kategorisiert, TLS/SSL-Entschlüsselung, die verschlüsselte Sitzungen überprüft, anstatt sie ungeprüft durchzulassen, sowie QoS-Steuerungen, die an die erkannte Anwendung gekoppelt sind. Zusammen machen diese die Firewall zu einem einzigen Kontrollpunkt, der die Schichten 3 bis 7 abdeckt.

Arten der NGFW-Bereitstellung

NGFW-Funktionen werden in verschiedenen Formen bereitgestellt. Appliance-basierte NGFWs laufen als dedizierte Hardware am Netzwerkperimeter oder am Rand einer Zweigstelle – das traditionelle Modell, dessen Dimensionierung sich nach dem Durchsatz des Standorts richtet. Virtuelle NGFWs nutzen dieselbe Prüf-Engine als virtuelle Maschine oder Container in einem Rechenzentrum, einer privaten Cloud oder einer öffentlichen Cloud und tauschen dabei eine physische Box gegen elastische Rechenkapazität ein. Cloud-basierte NGFWs, die oft als „Firewall-as-a-Service“ oder „NGFWaaS“ vermarktet werden, setzen Richtlinien von verteilten Cloud-Präsenzpunkten aus durch, anstatt von einem festen Standort aus. Auf diese Weise werden NGFW-Funktionen typischerweise innerhalb einer „ SASE “- oder SSE-Architektur genutzt. Ein viertes Modell, bei dem die NGFW in ein SD-WAN-Edge-Gerät eingebettet ist, integriert die Firewall direkt in den WAN-Edge selbst – das Modell, das die VOS-Plattform v Versaverwendet.

NGFW & Versa

VersaDie NGFW ist ein in das Betriebssystem „Versa “ integriertes Sicherheitsmodul, das den Datenverkehr über den einfachen Abgleich von Ports, Protokollen und IP-Adressen hinaus unterscheidet. Sie umfasst eine Anwendungsfirewall, ein Intrusion-Prevention-System, die Überprüfung von TLS/SSL-verschlüsseltem Datenverkehr, Website-Filterung sowie QoS- und Bandbreitenmanagement. Administratoren konfigurieren es, indem sie ein Zugriffsrichtlinienprofil (eine ACL) sowie Regeln erstellen, die Kriterien der Schichten 3 und 4 sowie der Schicht 7 – Anwendung und URL-Kategorie – abdecken. Dabei verwenden sie vordefinierte und benutzerdefinierte Objekte für Anwendungen, Anwendungsfilter, Gruppen, Dienste, URL-Kategorien und URL-Reputation.

Die NGFW wird pro VOS-Gerät über dessen Dienstknotengruppe und anschließend pro Mandant über Organisationsbeschränkungen aktiviert. Die Richtlinienregeln wenden dann Sicherheitsprofile auf den entsprechenden Datenverkehr an: IP-Filterung, Virenschutz, Schwachstellen-/IPS-Schutz, URL-Filterung, DNS-Filterung, CASB, DLP, ATP und RBI. Bedrohungsdaten werden in den Dashboards von „ Versa Analytics“ erfasst, die Berichte zu URL-Kategorien und Regelaktivitäten liefern. Den vollständigen Arbeitsablauf finden Sie unter „Next-Gen-Firewall (NGFW) konfigurieren “.

Häufig gestellte Fragen

Was ist der Unterschied zwischen einer NGFW und einer herkömmlichen Firewall?

Eine herkömmliche Firewall filtert den Datenverkehr ausschließlich anhand der Quell- und Ziel-IP-Adresse, des Ports und des Protokolls. Eine NGFW ergänzt dies um die Erkennung von Anwendungen, die Eindringungsprävention und die URL-Filterung, sodass die Richtlinien darauf basieren, um welche Anwendung es sich tatsächlich handelt, und nicht darauf, welchen Port sie nutzt.

Wie erkennt eine NGFW Anwendungen im Netzwerkverkehr?

NGFWs kombinieren Signaturabgleich, Heuristiken und statistische Analysen, um die Anwendung zu identifizieren, die eine Sitzung initiiert, selbst wenn diese über einen gängigen Port wie 443 getunnelt wird. Die NGFW von Versawendet diese Methoden bereits bei den ersten Paketen einer Sitzung an und ordnet die Richtlinien anschließend der identifizierten Anwendung zu.

Kann eine NGFW verschlüsselten (TLS/SSL) Datenverkehr überprüfen?

Ja. Die meisten NGFWs verfügen über eine TLS/SSL-Entschlüsselung, in der Regel über eine Forward-Proxy-Abfangfunktion, sodass IPS, URL-Filterung und Antiviren-Profile Inhalte überprüfen können, die andernfalls undurchsichtig und unkontrolliert blieben. Das VOS-NGFW-Modul von Versaunterstützt diese Entschlüsselung als eine seiner zentralen Funktionen zur Datenverkehrsprüfung.

Ersetzt eine NGFW eine separate IPS- und URL-Filterlösung?

In der Regel ja, was die Durchsetzung von Richtlinien angeht – IPS und URL-Filterung werden meist als integrierte Profile bereitgestellt, die über NGFW-Regeln angewendet werden, und nicht als eigenständige Appliances. Im VOS von Versawerden beide als Sicherheitsprofile konfiguriert, die direkt mit den Zugriffsrichtlinien der NGFW verknüpft sind.

Ist eine NGFW nur ein Hardware-Gerät?

Nein. Die NGFW-Funktionalität wird nicht nur als eingebettete Komponente in einem SD-WAN-Edge-Gerät wie beispielsweise einer VOS-Appliance bereitgestellt, sondern auch als virtuelle Maschine, als Container oder als Cloud-basierter Dienst (NGFWaaS), der im Rahmen einer Architektur nach dem Prinzip „ SASE “ oder „SSE“ genutzt wird.

Mehr zum Thema NGFW

Wenn Sie mehr erfahren möchten, finden Sie hier Quellen, denen wir vertrauen.

Verwandte Begriffe

Wenn Sie sich gerade über NGFW informieren, sollten Sie sich als Nächstes diese Artikel ansehen.