Site icon bintorosoft.com

Hardening-Checkliste L3/L4: Minimum Controls für Public Infrastructure

Red Snapper

Cloud storage banner background, remixed from public domain by Nasa

Eine Hardening-Checkliste L3/L4 beschreibt die minimalen, aber wirkungsvollen Schutzmaßnahmen auf Netzwerk- und Transportebene, die jede Public Infrastructure zuverlässig umsetzen sollte. Gemeint sind dabei Systeme und Übergabepunkte, die direkt oder indirekt vom Internet erreichbar sind: Edge-Router, Transit-Links, Internet-Gateways, DDoS-Mitigation, Load-Balancer, Firewalls, NAT, VPN-Edges und öffentliche Services, die auf L4 (TCP/UDP) exponiert werden. Gerade weil L3/L4-Controls oft „unsichtbar“ wirken, werden sie in vielen Umgebungen zu spät standardisiert – mit der Folge, dass Spoofing, Reflection, Scans, volumetrische DDoS-Attacken oder Routing-Fehlkonfigurationen unnötig großen Schaden anrichten. Diese Hardening-Checkliste L3/L4 liefert eine praxistaugliche Mindestbasis: Sie hilft, Angriffsflächen zu reduzieren, Kapazität für legitimen Traffic zu schützen, Fehlkonfigurationen schneller zu erkennen und Incident Response zu vereinfachen. Gleichzeitig ist das Ziel nicht maximale Restriktion um jeden Preis, sondern operierbare Sicherheit: jede Maßnahme muss messbar, wartbar und im Change-Prozess testbar sein.

Scope und Begriffe: Was zählt zu L3/L4-Hardening?

L3-Hardening betrifft IP-Routing und Paketbehandlung (IPv4/IPv6, ICMP/ICMPv6, Routing-Protokolle, Anti-Spoofing, MTU/Fragmentierung, Control-Plane-Schutz). L4-Hardening betrifft Transport-Mechanismen wie TCP/UDP (State-Tabellen, SYN-Handling, Connection-Limits, Timeouts, UDP-Amplification-Risiken, Service-Exposure). „Public Infrastructure“ meint dabei nicht nur klassische Rechenzentren, sondern auch Cloud-Edges, Anycast/PoPs, CDN-Anbindungen, Hybrid-Uplinks und externe Transit-Partner.

Hardening-Checkliste L3: Minimum Controls

Ingress Filtering gegen Spoofing (BCP38/BCP84)

Ein zentraler Minimum Control ist Ingress Filtering: Pakete mit gefälschter Quelladresse sollen möglichst nahe am Eintrittspunkt verworfen werden. Dadurch reduzieren Sie Reflection-/Amplification-Risiken und verhindern, dass Ihr Netz selbst als Plattform für Angriffe missbraucht wird. Die Grundlage dafür ist BCP 38, das das Filtern von Spoofing-Quellen beschreibt. Eine gut wartbare Referenz ist RFC 2827 (BCP 38).

uRPF sinnvoll einsetzen (strict vs. loose)

Unicast Reverse Path Forwarding (uRPF) ist ein wirksamer Baustein, wenn Routing-Pfade gut kontrolliert sind. In asymmetrischen Umgebungen kann „strict“ uRPF legitimen Traffic fälschlich verwerfen; „loose“ uRPF ist toleranter, aber weniger strikt. Entscheidend ist, die uRPF-Variante pro Edge-Kontext zu wählen (z. B. strict an klaren Customer-Edges, loose an komplexen Internet-Edges).

Bogon- und Special-Use-Adressen filtern (IPv4/IPv6)

Das Blocken nicht-routbarer oder reservierter Quelladressen („Bogons“) ist ein klassisches L3-Minimum-Control. Wichtig ist, sich an authoritative Quellen zu orientieren und die Regeln regelmäßig zu aktualisieren. Hilfreich sind die IANA-Register für Special-Purpose-Netze: IANA IPv4 Special-Purpose Address Registry und IANA IPv6 Special-Purpose Address Registry.

ICMP/ICMPv6: gezielt erlauben statt pauschal blocken

ICMP ist für Diagnose und Stabilität wichtig (z. B. PMTUD). Pauschales Blocken führt häufig zu schwer erklärbaren Problemen (Blackholing bei MTU, fehlerhafte Traceroutes, schlechte Fehlersignale). Für IPv6 ist ICMPv6 noch kritischer, weil Neighbor Discovery und bestimmte Control-Nachrichten essenziell sind. Eine gute technische Referenz ist RFC 4890 (ICMPv6 Filtering Recommendations).

Control-Plane-Protection (CoPP/CPPr) und Management-Plane-Hardening

Ein häufiges Ausfallmuster: Die Control Plane von Routern/Edges wird durch Flooding oder Scans überlastet (CPU hoch, Routing instabil, BGP-Sessions flappen). Minimum Controls sind daher Control-Plane-Policer und strikte Management-Zugriffe.

Routing Security: Prefix Filtering, Max-Prefix, Policy Hygiene

Fehlkonfigurationen und Route Leaks sind in Public Infrastructure besonders kritisch, weil sie schnell großflächige Auswirkungen haben. Minimum Controls auf BGP-Sessions sind Prefix-Filter, Max-Prefix-Limits und klare Policies. Zusätzlich wird RPKI zunehmend als Standard betrachtet, um ungültige Routen zu erkennen. Für Grundlagen zu RPKI eignet sich die Dokumentation der RPKI-Community, z. B. RPKI-Dokumentation.

Fragmentierung, MTU und Path-MTU-Discovery bewusst behandeln

Fragmentierung und MTU-Probleme verursachen besonders bei Public Services schwer reproduzierbare Fehler. Ein Minimum Control ist, PMTUD nicht „kaputtzufiltern“ und Fragmente nicht blind zu verwerfen, ohne die Nebenwirkungen zu prüfen. Gleichzeitig sind Fragmente ein Missbrauchsvektor (Evasion, Ressourcenverbrauch). Das Ziel ist eine balancierte Policy: Fragmente reduzieren, aber Kompatibilität sicherstellen.

Hardening-Checkliste L4: Minimum Controls

Service Exposure: nur notwendige Ports, klare Ownership

Auf L4 ist das Grundprinzip: Was nicht benötigt wird, darf nicht erreichbar sein. Das umfasst sowohl klassische Port-Listen als auch Cloud Security Groups und Load-Balancer Listener. Jede offene Port-Freigabe braucht einen Owner, einen Zweck und eine Review-Frequenz.

TCP-Schutz: SYN-Flood-Resilienz und Connection-Management

TCP-basierte Angriffe und Lastspitzen zielen häufig auf die Erzeugung von State: SYN-Floods, viele kurze Verbindungen, gezielte Erschöpfung von Conntrack/State Tables. Minimum Controls sind hier robuste SYN-Mechanismen, Limits und sinnvolle Timeouts.

State-Table-/Conntrack-Schutz: Kapazität, Telemetrie, Fallback

State-Exhaustion ist in Public Infrastructure ein häufiges Outage-Szenario. Minimum Controls sind: harte Kapazitätsgrenzen kennen, Frühwarn-Metriken messen und im Incident eine klare Recovery-Strategie haben (ohne „blind rebooten“).

UDP-Hardening: Amplification vermeiden und Noise dämpfen

UDP ist für viele legitime Services relevant (DNS, VoIP, QUIC), aber auch Hauptträger volumetrischer DDoS-Angriffe. L4-Minimum Controls sind: keine unnötigen UDP-Services öffentlich, klare Rate Limits und Schutz gegen Reflection.

Rate Limiting und Policing: Baseline-basiert statt Bauchgefühl

Damit Rate Limiting nicht legitime Peaks beschädigt, sollte es auf Messwerten basieren. Ein praktikables Vorgehen ist, Limits aus der P95-Baseline abzuleiten und einen Sicherheitsfaktor zu nutzen.

L = P × F

P steht für die P95-Baseline (z. B. pps oder new connections/s) und F für einen Faktor (typisch 2–5, abhängig vom Service). Dieses Modell ersetzt keine Tests, liefert aber eine nachvollziehbare Startgröße.

Anycast, CDN, Scrubbing: L4-Hardening über Architektur

Nicht jedes Problem ist durch einzelne Filterregeln lösbar. In Public Infrastructure ist die Architektur oft das wirksamste L4-Hardening: Anycast verteilt Last, CDNs absorbieren volumetrische Peaks, Scrubbing-Center filtern großflächige DDoS-Muster. Wichtig ist, diese Mechanismen in Ihre Checkliste als Minimum-Option aufzunehmen, wenn Ihr Risikoprofil es erfordert.

Beobachtbarkeit als Minimum Control: Metriken, Logs, Korrelation

Hardening ohne Telemetrie ist operativ riskant. Minimum Controls definieren daher nicht nur „Filter setzen“, sondern auch „Filter messen“. Für L3/L4 sind besonders wichtig: Drops nach Regel, pps/bps pro Interface, new connections/s, State-Table-Auslastung, ICMP/ICMPv6 Drops, sowie Routing-Health (BGP Session State, Prefix Counts).

Change- und Test-Disziplin: So bleibt Hardening stabil

Viele Outages entstehen nicht, weil Hardening „falsch“ ist, sondern weil es ohne saubere Tests ausgerollt wurde. Minimum Controls für Public Infrastructure sollten daher auch den Prozess abdecken: Reviews, Staging, Rollback, Canary-Deployment und dokumentierte Validierung.

Hardening-Checkliste L3/L4: Kompakte Mindestliste (audit- und ops-tauglich)

Typische Failure Modes: Wo Minimum Controls oft scheitern

Outbound-Referenzen für vertiefende Standards und Empfehlungen

Cisco Netzwerkdesign, CCNA Support & Packet Tracer Projekte

Cisco Networking • CCNA • Packet Tracer • Network Configuration

Ich biete professionelle Unterstützung im Bereich Cisco Computer Networking, einschließlich CCNA-relevanter Konfigurationen, Netzwerkdesign und komplexer Packet-Tracer-Projekte. Die Lösungen werden praxisnah, strukturiert und nach aktuellen Netzwerkstandards umgesetzt.

Diese Dienstleistung eignet sich für Unternehmen, IT-Teams, Studierende sowie angehende CCNA-Kandidaten, die fundierte Netzwerkstrukturen planen oder bestehende Infrastrukturen optimieren möchten. Finden Sie mich auf Fiverr.

Leistungsumfang:

Lieferumfang:

Arbeitsweise:Strukturiert • Praxisorientiert • Zuverlässig • Technisch fundiert

CTA:
Benötigen Sie professionelle Unterstützung im Cisco Networking oder für ein CCNA-Projekt?
Kontaktieren Sie mich gerne für eine Projektanfrage oder ein unverbindliches Gespräch. Finden Sie mich auf Fiverr.

 

Exit mobile version