Microsegmentation mit Kubernetes: Network Policies, mTLS und Gateways

Microsegmentation mit Kubernetes ist heute eine Kernkompetenz für moderne Netzwerksecurity, weil Container-Plattformen die klassischen Annahmen von Netzsegmentierung auf den Kopf stellen: IPs sind kurzlebig, Workloads skalieren dynamisch, Services kommunizieren oft East-West über Cluster-Overlay-Netze, und ein großer Teil des Traffics läuft verschlüsselt über HTTP/2 oder gRPC. Wer in dieser Welt weiterhin mit statischen IP-Listen und groben…

Compliance Frameworks: ISO 27001, NIS2, PCI DSS in Firewall Controls übersetzen

Compliance Frameworks wirken auf den ersten Blick abstrakt: ISO 27001 spricht von Managementsystemen und Kontrollen, NIS2 von risikobasierten Maßnahmen und Meldepflichten, PCI DSS von Anforderungen für Zahlungsdaten. In der Praxis landen viele dieser Vorgaben jedoch sehr konkret im Netzwerk – und damit in Firewall Controls. Genau hier scheitern viele Programme: Entweder wird „Compliance“ als Dokumentationsübung…

Threat Intelligence Feeds: Enrichment ohne Alert-Fatigue

Threat Intelligence Feeds sind für viele Security-Teams der schnellste Weg, externe Erkenntnisse in die eigene Erkennung zu bringen: bösartige IPs, Domains, URL-Muster, Dateihashes, Signaturen, TTPs (Tactics, Techniques and Procedures) und Kampagnenkontext. In der Praxis scheitert der Nutzen jedoch häufig an einem bekannten Problem: Alert-Fatigue. Wenn jede neue IOC-Liste (Indicator of Compromise) sofort zu tausenden Treffern…

Geo-IP Policies: Sinnvoller Einsatz und häufige Fehlannahmen

Geo-IP Policies sind in vielen Unternehmen ein beliebtes Werkzeug, um Netzwerkzugriffe „einfach“ zu steuern: Bestimmte Länder werden blockiert, andere zugelassen, und schon wirkt die Angriffsfläche kleiner. In der Realität sind Geo-IP Policies jedoch ein zweischneidiges Schwert. Richtig eingesetzt können sie tatsächlich Risiko reduzieren, Incident-Triage beschleunigen und Compliance-Anforderungen unterstützen. Falsch eingesetzt führen sie dagegen zu trügerischer…

DNS Security: Protective DNS, Sinkholes und Detection Patterns

DNS Security ist in modernen IT-Netzwerken ein zentraler Hebel, weil nahezu jede Kommunikation mit einer Namensauflösung beginnt – egal ob Web, SaaS, Updates, API-Calls oder Command-and-Control (C2) von Malware. Genau deshalb ist DNS gleichzeitig ein bevorzugter Angriffsvektor und ein hervorragender Sensor: Angreifer nutzen DNS für Phishing, für die Infrastruktursteuerung von Botnetzen, für Datenabfluss (DNS Tunneling)…

Egress Filtering: Data Exfiltration und C2 Traffic blockieren

Egress Filtering ist eine der wirkungsvollsten, aber am häufigsten vernachlässigten Sicherheitsmaßnahmen in Enterprise-Netzwerken. Während viele Architekturen stark auf Ingress-Schutz (WAF, IDS/IPS, DDoS, Perimeter-Firewalls) fokussieren, findet ein großer Teil moderner Angriffe im Inneren statt: kompromittierte Endgeräte, gestohlene Credentials, laterale Bewegung und schließlich Command-and-Control (C2) sowie Data Exfiltration nach außen. Genau an diesem Punkt entscheidet sich, ob…

Network Security Monitoring: Logs, NetFlow/IPFIX und Telemetry kombinieren

Network Security Monitoring ist nur dann wirklich wirksam, wenn Sie mehrere Datenquellen zusammenführen: klassische Logs (Firewall, VPN, DNS, Proxy), Flow-Daten wie NetFlow/IPFIX und moderne Telemetrie (Streaming Telemetry, SNMP-Alternativen, Cloud Flow Logs). Jede einzelne Quelle liefert nur einen Ausschnitt: Logs sind detailreich, aber selektiv; NetFlow/IPFIX ist skalierbar, aber eher „wer spricht mit wem“; Telemetry zeigt Zustand…

SIEM Integration: Firewall Logs korrelieren und priorisieren

Eine saubere SIEM Integration ist heute der Unterschied zwischen „wir haben viele Firewall Logs“ und „wir erkennen Angriffe früh, priorisieren richtig und reagieren kontrolliert“. Firewalls und Next-Gen Firewalls (NGFW) sind zentrale Kontrollpunkte im Netzwerk: Sie entscheiden über Allow/Deny, führen NAT aus, kennen Zonenpfade, sehen Applikationssignaturen, TLS-Events und oft auch Benutzer- oder Geräte-Kontext. Gleichzeitig erzeugen sie…

Log-Design für Firewalls: Struktur, Normalisierung und Retention

Ein professionelles Log-Design für Firewalls ist die Grundlage für wirksames Security Monitoring, Incident Response und auditierbare Compliance. In vielen Umgebungen werden Firewall-Logs zwar „irgendwie“ gesammelt, aber ohne klare Struktur, ohne Normalisierung und ohne definierte Retention. Das Ergebnis ist vorhersehbar: Entweder zu viele Daten (Kostenexplosion, Alert-Fatigue, unübersichtliche Dashboards) oder zu wenig verwertbare Informationen (fehlende Felder, keine…

Alert Engineering: High-Signal Security Alerts aus Firewall Events

Alert Engineering ist die Disziplin, aus großen Mengen an Firewall Events wenige, hochrelevante Security Alerts zu bauen, die tatsächlich handlungsfähig sind. In vielen Organisationen werden Firewall-Logs zwar zentral gesammelt, aber die Alarmierung folgt einfachen Mustern: „Deny = Alert“ oder „IOC-Hit = Ticket“. Das führt fast immer zu Alert-Fatigue: Das SOC wird mit tausenden Low-Signal-Events überflutet,…