Ist ein VLAN eine Sicherheitsgrenze?
Nur dann, wenn Verkehr zwischen VLANs durch eine Firewall oder Zugriffsregeln läuft, die etwas durchsetzen. Ein VLAN allein trennt Broadcast-Domänen auf einem Switch; erlaubt der Router zwischen den VLANs alles, ist die Trennung kosmetisch, und das ist in kleinen Netzen ein häufiger Befund. Falsch konfigurierte Switchports können einem Angreifer außerdem erlauben, zwischen VLANs zu springen, etwa Trunk-Ports, die für Nutzergeräte offen sind, oder das Standard-VLAN, das für alles verwendet wird. Damit VLANs zählen: Routen Sie zwischen ihnen über eine Firewall mit Freigabeliste, setzen Sie Nutzerports auf ein einziges Access-VLAN, deaktivieren Sie ungenutzte Ports und halten Sie Verwaltungsoberflächen in einem eigenen VLAN. Prüfen Sie dann mit echtem Verkehr, ob die Regeln halten. NetSenX zeigt Host-zu-Host-Verbindungen in überwachten Segmenten und erkennt Scans und laterale Bewegung in jedem Plan, sodass ein Host sichtbar wird, der VLAN-übergreifend erreicht, was er nicht soll, sofern dieser Verkehr über eine gespiegelte Verbindung läuft.
Weiterlesen
Verwandte Fragen
- Wie prüfe ich, dass das Gäste-WLAN unser internes Netz nicht erreicht?
- Reicht ein separates Gäste-WLAN für die Sicherheit?
- Kann jemand ein Gerät an eine freie Netzwerkdose in unserem Büro anschließen?
- Was ist 802.1X, und braucht ein kleines Büro das?
- Reicht Multi-Faktor-Authentifizierung, um Kontoübernahmen zu stoppen?
← Alle 45 Fragen zu Zero Trust, Identität und SegmentierungAlle Themen