Sicherheit für IT-Infrastrukturen

Der Landkreis Grafschaft Bentheim liegt im Südwesten von Niedersachsen. Kreisstadt und größte Stadt des Landkreises ist Nordhorn mit rund 53.000 Einwohnern. Der IT-Service des Landkreises stellt für die Mitarbeiter der Verwaltung den störungsfreien Betrieb und die Fortentwicklung der IT-Arbeitsumgebung inklusive der erforderlichen IT-Infrastrukturen sicher. Diese Aufgabe schließt den Betrieb eines eigenen Rechenzentrums für die sichere Datenhaltung und die Anbindung der kommunalen Eigenbetriebe sowie weiterer externer öffentlicher Einrichtungen mit ein.

Die 15 Mitarbeiter der IT-Abteilung verwalten rund 700 PC-Arbeitsplätze für die 800 Mitarbeiter des Landkreises. Hinzukommen rund 1.400 PCs, die in einem Schulnetz verknüpft sind sowie weitere 140 PC-Arbeitsplätze in den Schulen. Die Sicherheit dieser IT-Infrastruktur und der sensiblen Daten der öffentlichen Verwaltung ist für den Landkreis elementar. Um die IT-Umgebung besser abzusichern und die Transparenz über die im Netzwerk genutzten Applikationen zu erhöhen, entschied sich die IT-Abteilung eine neue Firewall-Lösung anzuschaffen.

Performance steigern, Verwaltungsaufwand reduzieren

Die alte Stateful-Inspection-Firewall-Lösung war in die Jahre gekommen. Sowohl die Leistung der bestehenden Architektur als auch der hohe Administrationsaufwand genügten nicht mehr den Ansprüchen. „Wir haben die Problemstellung frühzeitig erkannt. Projektziel war es, die Sicherheit und Transparenz des Netzwerkverkehrs zu erhöhen und gleichzeitig den Verwaltungsaufwand zu verringern“, so Ralf Schildkamp, IT-Administrator beim Landkreis Grafschaft Bentheim. Zudem bestand die Sicherheitsarchitektur aus drei unterschiedlichen Clustern – je einer für die Schulen und die Kreisverwaltung sowie noch ein gemeinsamer für den Web-Sicherheitsbereich. Diese drei Cluster sollten durch einen einzigen ersetzt werden, um Support und Kosten zu reduzieren.

Auf der Suche nach einer geeigneten Firewall-Lösung wandten sich die Verantwortlichen des Landkreises Grafschaft Bentheim an die Networkers AG, Spezialisten mit langjähriger Erfahrung hinsichtlich Planung, Aufbau und Betrieb sicherer und leistungsfähiger Applikations- und Netzwerkinfrastrukturen. Der Landkreis Grafschaft Bentheim arbeitet seit mehreren Jahren mit dem Dienstleister zusammen.

Im September 2012 präsentierte die Networkers AG den Projektverantwortlichen das Lösungsszenario von Palo Alto Networks. Daneben war auch eine weitere Firewall-Lösung eines anderen Herstellers angefragt worden. Die IT-Abteilung des Landkreises entschied sich aber nach der Demonstration dazu, nur die Next-Generation Firewall von Palo Alto Networks im Rahmen einer Teststellung zu evaluieren.

Sicherheitsstruktur mit virtuellen Systemen

Bereits zu diesem Zeitpunkt wurde die alte Firewall-Umgebung auf die neue Lösung migriert. Hierzu wurden die drei bestehenden Firewall-Cluster durch einen Palo-Alto-Networks-Cluster, basierend auf einer PA-5020-Appliance mit zwei virtuellen Systemen, ersetzt. Die Umstellung und Migration des kompletten Regelwerks erfolgte in fünf Schritten, wobei mit dem Cluster der Kreisverwaltung begonnen wurde. Im Anschluss ersetzten die Techniker der Networkers die bestehende Web-Sicherheitslösung der Kreisverwaltung durch die neue Appliance.

Zudem wurde für den Web-Sicherheitsbereich ein benutzerbasiertes Regelwerk aufgestellt, das auf den umfangreichen Applikationskontrollfunktionen der PA-5020 basiert. Die App-ID der neuen Firewall identifiziert mit bis zu vier verschiedenen Mechanismen zur Klassifizierung des Datenverkehrs, welche Anwendungen im Netzwerk ausgeführt werden. Dabei agiert die Lösung unabhängig von Port, Protokoll, SSL-Verschlüsselung oder möglichen Umgehungsmethoden. SSL-verschlüsselte Datenströme können so im Hinblick auf Risiken untersucht werden. Im Anschluss an die Identifikation der Applikation zieht die Firewall das Regelwerk für weitere Aktionen heran.

Bevor die Cluster der Schulen auf den PA-5020-Cluster umgestellt wurden, richtete der IT-Dienstleister zwei virtuelle Systeme, je eines für die Kreisverwaltung und eines für die Schulen, auf der Firewall ein. Als nächsten Schritt implementierten die IT-Fachleute den PA-5020-Cluster auch im Netzwerk der Schulen. Hierbei wurde wie bereits zuvor im Cluster der Kreisverwaltung das komplette Regelwerk auf die neue Lösung migriert. Im Anschluss wurde auch der Web-Security-Bereich der Schulen auf die Firewall umgestellt. Die Implementierung des neuen Clusters konnte in weniger als zwei Wochen realisiert werden. Schließlich begann im Oktober 2012 die IT-Abteilung des Landkreises mit der Teststellung.

Applikationskontrolle und vereinfachtes Management

Die Evaluation der neuen Lösung mit kompletter Regelwerksmigration erfolgte über einen Zeitraum von zwei Monaten. „Qualität und Performance der Lösung haben uns überzeugt“, so Schildkamp. „Vor allem die Applikationskontrolle und das Management zeichnen die Firewall aus. Zudem konnten wir gleichzeitig mehrere bestehende Systeme mit nur einer neuen Appliance ersetzen und so auch den internen Aufwand reduzieren.“

Die PA-5020-Appliance stellt bis zu 5 Gbit/s Durchsatz für die wesentlichen Funktionsbereiche Netzwerk, Sicherheit, Bedrohungsschutz und Management bereit. Die Daten- und Steuerungsebenen sind physisch voneinander getrennt, um sicherzustellen, dass der Managementzugriff unabhängig von der Höhe des Datenflusses stets verfügbar ist.

Um das Netzwerk vor Risiken im zugelassenen Anwendungsdatenverkehr zu schützen, verfügt die Firewall über die Funktion Content-ID. Diese nutzt verschiedene Mechanismen, die eine Verletzung der Netzwerkintegrität durch Spyware, Viren oder Sicherheitslücken in Anwendungen verhindern. Der Schutz funktioniert unabhängig vom Typ der Anwendung, deren Datenverkehr als Transportmittel genutzt wird. Zu den Mechanismen von Content-ID zählen Funktionen wie ein Anwendungsdekoder, ein Intrusion Prevention System, integrierte URL-Protokollierung sowie ein einheitliches Format von Bedrohungssignaturen. „Mit der Applikationskontrolle sind wir darüber informiert, was im Netzwerk passiert und können daraus Vorgehensweisen und Richtlinien entwickeln. Mit der Firewall sind wir in der Lage, Anwendungen gezielt zu erlauben und gleichzeitig das Netzwerk zu schützen“, fasst Schildkamp zusammen.

Im Dezember 2012 ersetzte der IT-Dienstleister die Testgeräte durch die endgültigen Geräte. Auch dieser Austausch verlief einwandfrei. In Zukunft soll die Lösung zusätzlich als Routing-Instanz zwischen den Clients des lokalen Behördennetzes und den Servern im Rechenzentrum dienen. Ralf Schildkamp blickt auch diesem Projekt optimistisch entgegen „Dadurch können wir sowohl die externen als auch die internen Client-Zugriffe auf das Rechenzentrum reglementieren. Zudem ermöglicht uns die Zwischenschaltung ein zentrales Monitoring und Logging.“

www.grafschaft-bentheim.de

www.paloaltonetworks.com

www.networkers.de