Wer sich mit Cisco-Firewalls beschäftigt, stößt früher oder später auf zwei Bezeichnungen: Firepower Threat Defense und Secure Firewall Threat Defense. Dahinter stehen nicht zwei unterschiedliche Produkte. Cisco hat Firepower Threat Defense (FTD) in Secure Firewall Threat Defense umbenannt. Auch aus dem Firepower Management Center wurde das Secure Firewall Management Center. Cisco führt diese neuen Bezeichnungen seit Version 7.2.
Der Begriff Firepower ist trotzdem nicht vollständig verschwunden. Bei älteren Hardwareplattformen und einzelnen Systembezeichnungen kann er weiterhin auftauchen. Für Administrator ist deshalb vor allem wichtig, die alten und neuen Namen richtig einordnen zu können.
Was ist Cisco Secure Firewall Threat Defense?
Cisco Secure Firewall Threat Defense, kurz FTD, verbindet klassische Firewall-Funktionen mit zusätzlichen Sicherheitsmechanismen zur Analyse und Kontrolle des Netzwerkverkehrs.
Dazu gehören unter anderem:
- Zugriffskontrolle anhand von IP-Adressen, Ports, Protokollen und Sicherheitszonen
- Application Visibility & Control
- URL-Filtering
- Intrusion Prevention mit Snort
- Security Intelligence
- Datei- und Malware-Prüfung
- Site-to-Site- und Remote-Access-VPN
- die Einbindung von Security Group Tags aus Cisco ISE
Welche Funktionen tatsächlich eingesetzt werden können und wie sie arbeiten, hängt von der jeweiligen Konfiguration, Softwareversion und teilweise auch von der Lizenzierung ab. Cisco bündelt diese Sicherheitsmechanismen in einer gemeinsamen Access-Control-Architektur.
Der entscheidende Unterschied zu einer einfachen Paketfilter-Firewall liegt darin, dass Regeln nicht nur anhand von Netzwerkadressen und Ports getroffen werden können. FTD kann beispielsweise auch Anwendungen, URLs, Benutzerinformationen oder Security Group Tags als Kriterien verwenden und erlaubten Datenverkehr zusätzlich durch eine Intrusion- oder Datei-Prüfung schicken.
Secure Firewall
Warum heißt Firepower heute Secure Firewall?
Cisco hat die Produktbezeichnungen unter der Marke Secure Firewall vereinheitlicht. Aus Firepower Threat Defense wurde Secure Firewall Threat Defense und aus Firepower Management Center wurde Secure Firewall Management Center.
Dabei sollte man die Namensänderung von der technischen Weiterentwicklung des Produkts trennen. Cisco beschreibt das Rebranding selbst ausdrücklich als Änderung der angezeigten Produktnamen ohne funktionale Auswirkungen auf die Plattform. Neue Funktionen und technische Verbesserungen kommen dagegen mit den jeweiligen Softwareversionen hinzu.
Dass der Begriff Firepower heute noch anzutreffen ist, ist daher kein Widerspruch. Cisco weist darauf hin, dass ältere FTD-Hardwareplattformen weiterhin Firepower-Bezeichnungen verwenden können und auch einzelne Standardwerte oder Komponenten den bisherigen Namen enthalten.
Wo wird Secure Firewall Threat Defense eingesetzt?
FTD kann unterschiedliche Aufgaben innerhalb eines Unternehmensnetzwerks übernehmen. Typische Einsatzbereiche sind der Schutz von Netzwerkgrenzen, die Segmentierung interner Bereiche, die Angriffserkennung und die Bereitstellung von VPN-Verbindungen.
Schutz am Netzwerk-Perimeter
Am Übergang zwischen internem Netzwerk und Internet kontrolliert die Firewall, welche Verbindungen erlaubt oder blockiert werden.
Dabei können neben klassischen Netzwerkregeln weitere Sicherheitsmechanismen eingesetzt werden. Security Intelligence kann beispielsweise Verbindungen zu oder von bekannten problematischen IP-Adressen, URLs und Domains bereits in einer frühen Phase der Verarbeitung blockieren. Cisco verwendet dafür Reputationsinformationen und entsprechende Intelligence-Feeds.
Verkehr, der nicht bereits an dieser Stelle blockiert wird, kann anschließend anhand detaillierterer Access-Control-Regeln bewertet und – abhängig von der Konfiguration – weiter untersucht werden.
Segmentierung innerhalb des Netzwerks
Secure Firewall Threat Defense kann auch eingesetzt werden, um den Datenverkehr zwischen internen Netzwerkbereichen zu kontrollieren.
Access-Control-Regeln können dabei nicht nur IP-Adressen, Ports und Sicherheitszonen berücksichtigen. In Verbindung mit Cisco Identity Services Engine (ISE) lassen sich auch Security Group Tags, kurz SGTs, als Kriterien für Quell- und Zielsysteme verwenden.
Dadurch können Zugriffsregeln zusätzlich auf den in Cisco ISE beziehungsweise Cisco TrustSec definierten Sicherheitsgruppen aufbauen.
Intrusion Prevention mit Snort 3
Für die Erkennung von Angriffsmustern verwendet Secure Firewall Threat Defense die Snort-Inspection-Engine.
Snort untersucht Netzwerkverkehr anhand von Intrusion-Regeln. Je nach Konfiguration können erkannte Ereignisse lediglich protokolliert oder im Prevention-Modus auch blockiert werden.
In aktuellen Threat-Defense-Versionen kommt Snort 3 zum Einsatz. Cisco beschreibt gegenüber Snort 2 unter anderem Änderungen an der Architektur sowie Verbesserungen bei Speicherbedarf, Reload-Zeiten, Performance und Skalierbarkeit. Snort 2 wird in aktuellen Threat-Defense-Versionen nicht mehr unterstützt.
Datei- und Malware-Prüfung
Auch Dateien können in die Sicherheitsprüfung einbezogen werden.
Eine Malware & File Policy kann an eine Access-Control-Regel gebunden werden. Dateien, die über eine entsprechende Verbindung übertragen werden, können dadurch vor der Weiterleitung geprüft werden. Abhängig von Lizenzierung und Regelwerk lassen sich bestimmte Dateitypen kontrollieren oder Dateien auf Malware untersuchen.
Damit ist es möglich, eine Netzwerkverbindung grundsätzlich zu erlauben und den übertragenen Inhalt trotzdem einer zusätzlichen Sicherheitsprüfung zu unterziehen.
VPN für Standorte und Remote User
FTD kann außerdem als VPN-Gateway eingesetzt werden.
Für Site-to-Site-VPNs unterstützt Secure Firewall Threat Defense IPsec-Verbindungen mit IKEv1 oder IKEv2. Für Remote-Access-VPNs dokumentiert Cisco SSL sowie IPsec mit IKEv2. Somit können sowohl unterschiedliche Standorte miteinander verbunden als auch Remote User sicher an das Unternehmensnetzwerk angebunden werden.
Secure Firewall Threat Defense
Für die Verwaltung stehen unterschiedliche Möglichkeiten zur Verfügung. Zwei zentrale Varianten sind das Secure Firewall Management Center und der Secure Firewall Device Manager.
Secure Firewall Management Center
Das Secure Firewall Management Center, kurz FMC, ist für die zentrale Verwaltung von Secure-Firewall-Systemen vorgesehen.
Über das Management Center lassen sich unter anderem Firewall-Regeln, Application Control, Intrusion Prevention, URL-Filtering sowie Malware-Schutz zentral verwalten. Zusätzlich stellt es Sicherheits- und Ereignisinformationen für Analyse und Betrieb bereit.
Das ist insbesondere dann relevant, wenn mehrere Firewalls über eine gemeinsame Management-Plattform administriert werden sollen.
Secure Firewall Device Manager
Alternativ kann ein Threat-Defense-System lokal über den Secure Firewall Device Manager verwaltet werden.
Auch hier zeigt sich das Rebranding: Cisco verwendet inzwischen die Bezeichnung Secure Firewall Device Manager. Die Abkürzung FDM beziehungsweise ältere Firepower-Bezeichnungen sind in Dokumentationen und bestehenden Umgebungen jedoch weiterhin anzutreffen.
Wie verarbeitet FTD den Netzwerkverkehr?
Der Datenverkehr durchläuft in FTD verschiedene Sicherheitsmechanismen. Dabei gibt es jedoch keine einfache starre Prüfkette, die für jede Verbindung identisch abläuft. Welche Prüfungen tatsächlich stattfinden, hängt von den konfigurierten Policies und der jeweiligen Verbindung ab.
Eine Prefilter Policy kann bestimmten Datenverkehr beispielsweise frühzeitig blockieren oder über Fastpath von weiterer Inspection ausnehmen. Verbindungen, die weiter analysiert werden, können anschließend unter anderem durch Security Intelligence, Identitätsprüfungen und Access-Control-Regeln verarbeitet werden.
Die Access Control Policy ist dabei ein zentraler Bestandteil. Ihre Regeln werden der Reihe nach ausgewertet. Die erste Regel, deren Bedingungen vollständig auf eine Verbindung zutreffen, bestimmt die weitere Behandlung des Datenverkehrs. Als Kriterien können unter anderem Netzwerkadressen, Ports, Anwendungen, URLs, Benutzer und SGTs verwendet werden.
Bei erlaubtem Verkehr können zusätzlich Intrusion- sowie File- und Malware-Policies greifen. Dadurch entscheidet die Firewall nicht nur, ob eine Verbindung stattfinden darf, sondern kann den übertragenen Datenverkehr bei entsprechender Konfiguration auch weiter untersuchen.
Application Control und URL-Filtering
Ein wichtiger Bestandteil der Zugriffskontrolle ist die Möglichkeit, Anwendungen und Webzugriffe in Regeln einzubeziehen.
FTD kann Netzwerkverkehr Anwendungen zuordnen und diese Information für Access-Control-Regeln verwenden. Anwendungsverkehr kann dadurch beispielsweise zugelassen, blockiert oder einer tieferen Inspektion durch Snort zugeführt werden.
Beim URL-Filtering können Regeln unter anderem auf URL-Kategorien und Reputation basieren. Bei verschlüsseltem HTTPS-Verkehr bestehen allerdings technische Einschränkungen hinsichtlich der Informationen, die ohne Entschlüsselung verfügbar sind. Cisco beschreibt deshalb zusätzliche Möglichkeiten wie TLS-Zertifikatssichtbarkeit beziehungsweise Decryption für entsprechende Einsatzfälle.
Automatisierung über REST-APIs
FTD lässt sich nicht ausschließlich über grafische Verwaltungsoberflächen konfigurieren.
Cisco stellt für Secure Firewall Threat Defense eine REST API zur Verfügung. Darüber können Programme über HTTPS mit einem Threat-Defense-System interagieren. Der Secure Firewall Device Manager enthält dafür auch einen API Explorer, der verfügbare Ressourcen und Methoden dokumentiert.
Damit können wiederkehrende Konfigurationsaufgaben oder die Einbindung in bestehende Automatisierungsprozesse über Schnittstellen umgesetzt werden.
Jetzt Trainings entdecken
Fazit: Neuer Name, bekannte Grundlage
Cisco Secure Firewall Threat Defense ist die heutige Bezeichnung für die Plattform, die viele Administrator noch als Firepower Threat Defense kennen.
Die Namensänderung selbst verändert die Funktion der Plattform nicht. Sie ordnet die bisherigen Firepower-Bezeichnungen vielmehr unter der Marke Cisco Secure Firewall neu ein. Gleichzeitig entwickelt Cisco FTD über neue Softwareversionen technisch weiter.
FTD verbindet klassische Zugriffskontrolle mit Funktionen wie Application Control, URL-Filtering, Security Intelligence, Intrusion Prevention, Datei- und Malware-Prüfung sowie VPN. Die einzelnen Mechanismen lassen sich über Policies miteinander kombinieren und an die jeweilige Netzwerkumgebung anpassen.
Für Administrator ist deshalb vor allem eines wichtig: Firepower und Secure Firewall sind im Zusammenhang mit FTD keine zwei getrennten Welten. Die Bezeichnungen haben sich geändert – viele der bekannten Konzepte und Abkürzungen sind jedoch weiterhin relevant.