Servus an alle,
würde mal gerne die Kollektivmeinung hören.
Ich hatte diese Woche die Anforderung “Wir nutzen einen Web Dienst und da steht in der Beschreibung ‘Geben Sie an der Firewall Port 8090 zu api.xxx.xxx frei sonst funktioniert das nicht’”
Nun blockt unsere Firewall das natürlich. Der “einfach Weg” wäre jetzt einfach eine Regel zu machen. Ich sehe da aber das große Ganze, wenn jeder Website Betreiber solche “Extras” wollen würde, wäre der Aufwand enorm.
Wie seht Ihr das? Hättet Ihr einfach die Firewall angepasst? Seht Ihr zwingende Gründe warum das so sein muss. (IP Knappheit ließe sich m.E. mit einem Reverse Proxy besser lösen)
Schönen Gruß
HTTP ausgehend auf zwei Ports zu beschränken hat keinen Sicherheitseffekt aber nervt in solchen Fällen. Und weißt du, dass da nur HTTP rausgeht auf den Ports? Eben. Wenn ihr in HTTP reinschauen wollt, braucht ihr eh einen Proxy der TLS aufmacht, da habt ihr nochmal ganz andere Sorgen mit den Clients die keine Desktops sind.
Aber, es is wie es is und du wirst es nicht ändern, deswegen bau dir eine Automatisierung für die FW-Regeln wo du eine Liste von Ausnahmen reinwirfst und ab da ist sowas minimaler Aufwand, fertig.
Das kann man nicht laut genug sagen.
Ausgehende Portfilterregeln existieren nur um die Mitarbeiter zu erinnern, dass die Sicherheitsabteilung existiert. Die bieten keinen Sicherheitsvorteil und sorgen nur dafür, die Reibung zu erhöhen und zu verhindern, dass die Mitarbeiter ihre Arbeit erledigen können.
Einzelne Regeln können sinnvoll sein, z.B. SMTP zu beschränken damit alles über den Firmen-Mail-Server läuft wo es vernünftige Chancen gibt nicht auf allen möglichen Blacklists zu landen. Aber das sollte dann nur ein paar Ports betreffen.
Dein Firmenmailserver sollte nicht auf der selben IP laufen wie dein Outbound-Webtraffic just sayin’.
Sollte, gibt es aber in 99% der Fälle nicht so. Kaum eine Firma hat mehr als eine IP Addresse. Erstrecht nicht wenn es keine IT Bude ist.