Du erlaubst uneingeschränkten Zugriff vom Internet auf Deine internen Systeme? Dabei ist das oftmals doch gar nicht nötig.
Mit GeoIP-Filterung lässt sich der Zugriff auf Deine Infrastruktur länderbasiert einschränken - und das bringt gleich mehrere Vorteile:
✅ Angriffsfläche reduzieren: Blockiere Regionen, aus denen keine echten Verbindungen kommen.
⚙️ Weniger Belastung: Durch weniger Traffic reduzierst Du den Analyseaufwand Deiner Filtersysteme. Das spart Ressourcen, Bandbreite und reduziert die Anzahl der Alarme.
⛔ Gefahrenquellen sperren: Viele automatisierte Angriffe kommen aus Regionen, mit denen Du nie interagierst.
GeoIP ist kein Allheilmittel - VPNs und Umleitungen können diesen Filter umgehen. Aber als zusätzlicher Layer ist es eine der effizientesten Maßnahmen um Deine Firewall weiter zu härten.
Wie nutzt ihr GeoIP in Euren Firewalls - restriktiv oder nur für bestimmte Dienste?
#Firewall #GeoIP #CyberSecurity #OPNsense #ITSecurity #NetworkDefense #Automation
GeoIP-Filter sind in OPNsense super integriert, die Konfiguration ist sehr einfach. Ein guter Ausgangspunkt bietet ein Blick ins Handbuch unter https://docs.opnsense.org/manual/aliases.html#geoip oder sprechen Sie uns einfach an.
Der Punkt mit der Reduktion von Alarm-Rausch spricht mich besonders an – ständig Brute-Force-Versuche aus Ländern zu analysieren, mit denen man nie kommuniziert, kostet tatsächlich Kapazität, die man woanders besser einsetzt. Allerdings habe ich die Erfahrung gemacht, dass GeoIP-Filter manchmal zu aggressiv kalibriert werden und dann legitime Geschäftspartner blockieren. Wie geht ihr damit um – startet ihr eher restriktiv und öffnet dann nach Bedarf auf, oder testet ihr vorher mit Logging?
Das kommt darauf an. GeoIP funktioniert über die Länderangabe, welche bei der Registrierung von IPv4 Adressen angegeben wird. Das kann jeder mit „whois“ prüfen. Direkt per Tool auf dem eigenen PC – oder auf einer der vielen Internet whois-Seiten. Das Land, welches dort angegeben ist, ist das in der GeoIP Datenbank. Ausnahmen, wie angesprochen, gibt es aber. Ein Beispiel: Ein internationaler Konzern nutzt, da ihm die IPv4 Adressen ausgehen, in Deutschland welche, die ursprünglich in Frankreich angemeldet wurden. Das ist aber alles andere als die Regel.
Wir geben – natürlich nur dann, wenn das auch tatsächlich vertretbar ist – die Empfehlung, den Kreis etwas weiter zu fassen. Also nicht nur ein Land, sondern noch die Nachbarländer zusätzlich zu verwenden. Oder „Europa“. Wobei bei Europa das ein oder andere Land gerne ausgenommen wird. Damit fährt man ganz gut und Ausnahmen werden bei Bedarf freigeschaltet. Und Ausnahme könnte dabei sogar solche Dinge wie VPN aus „verbotenen“ Ländern bedeuten.
Jetzt sind wir Dienstleister und unsere Kunden vielseitig. Natürlich haben wir Kunden, bei denen ist der GeoIP Filter wirklich strikt. Und dann heißt es Logs prüfen und/oder auf Zuruf einzelne Freischaltungen vornehmen. Das geht soweit, dass es Dienste gibt, welche nur nach expliziter Freischaltung überhaupt erreichbar sind.
Zusammengefasst: Pauschal ist das schwierig zu sagen. In unsere Kursen vermitteln wir aus diesen Gründen heraus folgende These: Wenn bisher in der Firewall „eingehend allow any“ steht, dann sollte man das any überdenken. Muss es wirklich jeder sein? Oder könnte man mit Mitteln von OSINT, GeoIP oder was auch immer dieses any einschränken? In dem man zum Beispiel durch GeoIP schon einmal die Hälte der Welt ausschließt?