Xinux Wiki - Letzte Änderungen [de]

Apparmor sshd

Thomas.will — Tue, 28 Jul 2026 11:08:24 GMT

Der Einlogversuch zeigt, dass eine Menge noch freizuschalten ist

Datei:Linux-sec-fire-00.drawio.png

Thomas.will — Tue, 28 Jul 2026 10:02:54 GMT

Thomas.will lud eine neue Version von Datei:Linux-sec-fire-00.drawio.png hoch

Neue Seite

Fertiges Rocky Template

Thomas.will — Tue, 28 Jul 2026 09:30:04 GMT

In der Virtualbox

Fertiges Rocky Template

Thomas.will — Tue, 28 Jul 2026 08:43:07 GMT

Die Seite wurde neu angelegt: „=In der Virtualbox= ;Appliance importieren *Datei **Appliance importieren ***Fertig stellen ;Anpassung *Einstellungen **Netzwerk ***Netzwerkbrücke: '''br0'''…“

Neue Seite

=In der Virtualbox=
;Appliance importieren
*Datei
**Appliance importieren
***Fertig stellen
;Anpassung
*Einstellungen
**Netzwerk
***Netzwerkbrücke: '''br0'''
;Starten
*user: root
*pass: radler
;IP rausfinden
*ip a s

;Update und upgrade
*apt update
*apt full-upgrade
;Wenn GRUB Install kommt
*(X) /dev/sda
:Stammzertifikat ein bauen
*cd /usr/local/share/ca-certificates
*wget https://web.samogo.de/certs/kit-ca.crt
*update-ca-certificates

Linux - Security und Firewall

Thomas.will — Tue, 28 Jul 2026 08:42:05 GMT

VM Vorlage

Fertiges Debian Template

Thomas.will — Tue, 28 Jul 2026 08:33:53 GMT

In der Virtualbox

Fertiges Debian Template

Thomas.will — Tue, 28 Jul 2026 08:21:33 GMT

Die Seite wurde neu angelegt: „=In der Virtualbox= *Datei **Appliance importieren ***Fertig stellen“

Neue Seite

=In der Virtualbox=
*Datei
**Appliance importieren
***Fertig stellen

Linux - Security und Firewall

Thomas.will — Tue, 28 Jul 2026 08:18:11 GMT

VM Vorlage

Apparmor sshd

Thomas.will — Tue, 28 Jul 2026 07:39:13 GMT

Linux - Security und Firewall Plan Themen

Thomas.will — Tue, 28 Jul 2026 06:39:56 GMT

Exkurs: Vertiefung Netzwerk- und Security

Thomas Will

Thomas.will — Tue, 28 Jul 2026 06:28:38 GMT

Kontakt & Ressourcen

HIDS - Neue Techniken

Thomas.will — Tue, 28 Jul 2026 05:30:55 GMT

Die Seite wurde neu angelegt: „=Wazuh-Agent auf Debian- und Rocky-Clients= Debian und Rocky sind hier reine Hardening-Übungsclients (kein Webserver, keine spezifische Rolle) — der Age…“

Neue Seite

=Wazuh-Agent auf Debian- und Rocky-Clients=
Debian und Rocky sind hier reine Hardening-Übungsclients (kein Webserver, keine spezifische Rolle) — der Agent liefert Host-Telemetrie ans SIEM und führt bei den letzten beiden POCs auch aktiv Gegenmaßnahmen aus (HIPS-Teil). Die Installation unterscheidet sich nur beim Paketmanager (apt vs. dnf), danach läuft auf beiden Distributionen exakt dieselbe Konfiguration. Manager in diesem Artikel: '''wazuh.dkbi.com'''.

==Agent-Installation auf Debian==
====Repository einrichten====
;GPG-Schlüssel importieren
<syntaxhighlight lang="bash">
curl -s https://packages.wazuh.com/key/GPG-KEY-WAZUH | gpg --no-default-keyring --keyring gnupg-ring:/usr/share/keyrings/wazuh.gpg --import
chmod 644 /usr/share/keyrings/wazuh.gpg
</syntaxhighlight>
;Repository hinzufügen
<syntaxhighlight lang="bash">
echo "deb [signed-by=/usr/share/keyrings/wazuh.gpg] https://packages.wazuh.com/4.x/apt/ stable main" > /etc/apt/sources.list.d/wazuh.list
apt update
</syntaxhighlight>
====Agent installieren====
;Agent mit Manager-Adresse und Namen installieren
<syntaxhighlight lang="bash">
WAZUH_MANAGER="wazuh.dkbi.com" WAZUH_AGENT_NAME="debian-host" apt install -y wazuh-agent
</syntaxhighlight>
;Dienst aktivieren und starten
<syntaxhighlight lang="bash">
systemctl daemon-reload
systemctl enable --now wazuh-agent
</syntaxhighlight>
;Repository deaktivieren (verhindert ungewollte Updates)
<syntaxhighlight lang="bash">
sed -i "s/^deb /#deb /" /etc/apt/sources.list.d/wazuh.list
apt update
</syntaxhighlight>

==Agent-Installation auf Rocky==
====Repository einrichten====
;GPG-Schlüssel importieren
<syntaxhighlight lang="bash">
rpm --import https://packages.wazuh.com/key/GPG-KEY-WAZUH
</syntaxhighlight>
;Repository hinzufügen
<syntaxhighlight lang="bash">
cat > /etc/yum.repos.d/wazuh.repo << 'EOF'
[wazuh]
gpgcheck=1
gpgkey=https://packages.wazuh.com/key/GPG-KEY-WAZUH
enabled=1
name=EL-$releasever - Wazuh
baseurl=https://packages.wazuh.com/4.x/yum/
protect=1
EOF
</syntaxhighlight>
====Agent installieren====
;Agent mit Manager-Adresse und Namen installieren
<syntaxhighlight lang="bash">
WAZUH_MANAGER="wazuh.dkbi.com" WAZUH_AGENT_NAME="rocky-host" dnf install -y wazuh-agent
</syntaxhighlight>
;Dienst aktivieren und starten
<syntaxhighlight lang="bash">
systemctl daemon-reload
systemctl enable --now wazuh-agent
</syntaxhighlight>
;Repository deaktivieren (verhindert ungewollte Updates)
<syntaxhighlight lang="bash">
sed -i "s/^enabled=1/enabled=0/" /etc/yum.repos.d/wazuh.repo
</syntaxhighlight>

====Kontrolle (beide Clients)====
* Öffne das Wazuh-Dashboard, gehe zu ''Agent Management → Summary'' und prüfe, ob '''debian-host''' und '''rocky-host''' mit Status '''Active''' erscheinen.

----

=POC 1: Syscheck (FIM) auf sicherheitsrelevante Pfade=
FIM überwacht nicht nur Webserver-Uploads, sondern klassische Angriffsziele auf jedem Host: SSH-Keys, Cron, sudoers, die Passwort-/Shadow-Datei.
;Ergänze in ''/var/ossec/etc/ossec.conf'' den syscheck-Block
<pre>
<syscheck>
<directories check_all="yes" report_changes="yes" realtime="yes">/etc/ssh, /root/.ssh, /home/*/.ssh</directories>
<directories check_all="yes" realtime="yes">/etc/cron.d, /etc/cron.daily, /var/spool/cron</directories>
<directories check_all="yes" realtime="yes">/etc/sudoers.d</directories>
<directories check_all="yes">/etc/passwd, /etc/shadow, /etc/sudoers</directories>
</syscheck>
</pre>
* ''realtime="yes"'' funktioniert für Verzeichnisse (inotify) — einzelne Dateien wie ''/etc/passwd'' werden weiterhin nur im periodischen Scan geprüft (Standard: alle 12h), da inotify hier nicht greift.
* ''report_changes="yes"'' zeigt bei Textdateien ein Diff im Alert — bei einer neuen ''authorized_keys''-Zeile siehst du sofort, welcher Key hinzugefügt wurde.
;Agent neu starten
<syntaxhighlight lang="bash">
systemctl restart wazuh-agent
</syntaxhighlight>
====Kontrolle====
* Test von der Konsole des Clients:
<pre>
echo "ssh-ed25519 AAAA...test angreifer@kali" >> /root/.ssh/authorized_keys
</pre>
* Öffne im Dashboard ''Threat Hunting'' und filtere auf ''rule.groups:syscheck''
* Alert "File modified" (Rule 550/554-Familie) für ''authorized_keys'' muss erscheinen, im Diff steht die neue Zeile.

=POC 2: Rootcheck (Rootkit-/Anomalieerkennung)=
Rootcheck ist Wazuhs eingebauter Scanner für versteckte Prozesse/Ports und bekannte Trojaner-Signaturen — der Teil, der rkhunter/chkrootkit ersetzt. Er läuft standardmäßig aktiv, Frequenz und Umfang lassen sich anpassen.
;Prüfe/ergänze in ''/var/ossec/etc/ossec.conf''
<pre>
<rootcheck>
<disabled>no</disabled>
<check_unixaudit>yes</check_unixaudit>
<check_files>yes</check_files>
<check_trojans>yes</check_trojans>
<check_dev>yes</check_dev>
<check_sys>yes</check_sys>
<check_pids>yes</check_pids>
<check_ports>yes</check_ports>
<frequency>3600</frequency>
</rootcheck>
</pre>
* ''check_pids''/''check_ports'' vergleichen, was der Kernel meldet, gegen das, was Tools wie ''ps''/''netstat'' anzeigen — die klassische Rootkit-Erkennungsmethode (Prozess versteckt sich vor Userland-Tools, ist aber im Kernel sichtbar).
* ''check_trojans'' matcht Systembinaries gegen bekannte Trojaner-Signaturen (''/var/ossec/etc/shared/rootkit_trojans.txt'').
* ''frequency'' auf 3600s runtergesetzt, damit ihr in der Übung nicht 12h auf den nächsten Scan warten müsst.
;Agent neu starten
<syntaxhighlight lang="bash">
systemctl restart wazuh-agent
</syntaxhighlight>
====Kontrolle====
* Rootcheck lässt sich nicht einfach durch eine harmlose Aktion auslösen (das ist ja der Zweck) — zur Kontrolle reicht es, den erfolgreichen Scan-Lauf zu prüfen:
<pre>
tail -f /var/ossec/logs/ossec.log | grep rootcheck
</pre>
* Im Dashboard unter ''Threat Hunting'' filtere auf ''rule.groups:rootcheck'' — auf einem sauberen Client i.d.R. wenige/keine Alerts, das ist der Normalzustand.

=POC 3: Security Configuration Assessment (SCA)=
SCA prüft die Systemkonfiguration gegen CIS-Benchmarks — für Debian und die RHEL-Familie (Rocky) gibt es jeweils eigene, mitgelieferte Policies.
;Verfügbare Policies prüfen
<syntaxhighlight lang="bash">
ls /var/ossec/ruleset/sca/
</syntaxhighlight>
;SCA in ''/var/ossec/etc/ossec.conf'' aktivieren (Policy-Datei je nach Ausgabe des obigen Befehls anpassen)
<pre>
<sca>
<enabled>yes</enabled>
<scan_on_start>yes</scan_on_start>
<interval>12h</interval>
<policies>
<policy>cis_debian_linux.yml</policy> 
</policies>
</sca>
</pre>
;Agent neu starten
<syntaxhighlight lang="bash">
systemctl restart wazuh-agent
</syntaxhighlight>
====Kontrolle====
* Im Dashboard: ''Security Configuration Assessment'' → Agent auswählen
* Zeigt Pass/Fail-Quote pro Policy sowie jeden einzelnen Check (z.B. "Ensure permissions on /etc/passwd are configured") mit Remediation-Hinweis
* Guter Vergleichspunkt Debian vs. Rocky: beide Policies prüfen ähnliche Punkte, aber mit unterschiedlichen Default-Ergebnissen (z.B. SELinux-Checks tauchen nur bei Rocky auf)

=POC 4: Vulnerability Detection=
Anders als die vorherigen POCs wird dieses Modul zentral auf dem '''Manager''' aktiviert, nicht im Agent-''ossec.conf''. Es matched installierte Pakete gegen CVE-Feeds — bei Debian den Debian Security Tracker, bei Rocky die Red-Hat-OVAL-Daten.
;Auf dem Manager in ''/var/ossec/etc/ossec.conf'' prüfen/aktivieren
<pre>
<vulnerability-detection>
<enabled>yes</enabled>
<index-status>yes</index-status>
<feed-update-interval>60m</feed-update-interval>
</vulnerability-detection>
</pre>
;Manager neu starten
<syntaxhighlight lang="bash">
systemctl restart wazuh-manager
</syntaxhighlight>
====Kontrolle====
* Im Dashboard: ''Vulnerability Detection'' → Agent auswählen (debian-host bzw. rocky-host)
* Auf so gut wie jedem frisch installierten System stehen bereits einige CVEs in der Liste — kein künstlicher Test nötig, ihr müsst nur nach Severity (Critical/High) sortieren
* Guter Vergleichspunkt: dieselbe Software (z.B. OpenSSL) taucht bei Debian und Rocky ggf. mit unterschiedlichem Patch-Stand und damit unterschiedlichen CVEs auf

=POC 5: Active Response — SSH-Brute-Force mit nftables blocken=
Das ist der eigentliche HIPS-Teil: Wazuh löst bei erkanntem Brute-Force selbstständig eine Gegenmaßnahme auf dem Client aus. Das mitgelieferte ''firewall-drop''-Skript zielt auf iptables — da ihr nftables nutzt, bauen wir ein eigenes Skript.

====nftables-Grundgerüst auf dem Client====
;Set und Drop-Regel anlegen (falls noch nicht vorhanden)
<pre>
table inet filter {
set blocklist {
type ipv4_addr
flags timeout
}
chain input {
type filter hook input priority 0; policy accept;
ip saddr @blocklist drop
}
}
</pre>

====Active-Response-Skript auf dem Client====
;''/var/ossec/active-response/bin/nft-drop'' anlegen
<syntaxhighlight lang="bash">
#!/bin/bash
read -r INPUT_JSON
COMMAND=$(echo "$INPUT_JSON" | jq -r .command)
IP=$(echo "$INPUT_JSON" | jq -r .parameters.alert.data.srcip)

case ${COMMAND} in
add)
nft add element inet filter blocklist "{ ${IP} timeout 30m }"
;;
delete)
nft delete element inet filter blocklist "{ ${IP} }"
;;
esac
</syntaxhighlight>
;Ausführbar machen
<syntaxhighlight lang="bash">
chmod 750 /var/ossec/active-response/bin/nft-drop
chown root:wazuh /var/ossec/active-response/bin/nft-drop
</syntaxhighlight>

====Konfiguration auf dem Manager====
;''<command>'' und ''<active-response>'' in ''/var/ossec/etc/ossec.conf'' (Manager) ergänzen
<pre>
<command>
<name>nft-drop</name>
<executable>nft-drop</executable>
<timeout_allowed>yes</timeout_allowed>
</command>

<active-response>
<command>nft-drop</command>
<location>local</location>
<rules_id>5712</rules_id>
<timeout>1800</timeout>
</active-response>
</pre>
* Rule '''5712''' ist Wazuhs eingebaute Brute-Force-Regel: 8 fehlgeschlagene SSH-Logins von derselben Quell-IP innerhalb von 120 Sekunden.
* ''timeout_allowed=yes'' + ''<timeout>1800</timeout>'' heißt: nach 30 Minuten entfernt Wazuh den Block automatisch selbst (ruft das Skript nochmal mit ''delete'' auf) — wichtig, damit sich niemand dauerhaft aussperrt.
;Manager neu starten
<syntaxhighlight lang="bash">
systemctl restart wazuh-manager
</syntaxhighlight>

====Kontrolle====
* Von der Kali aus 8+ fehlgeschlagene SSH-Logins gegen den Client, z.B.:
<pre>
hydra -l root -P /usr/share/wordlists/rockyou.txt -t 4 -f ssh://<client-ip>
</pre>
* Auf dem Client: ''nft list set inet filter blocklist'' → Angreifer-IP muss mit Timeout auftauchen
* ''tail -f /var/ossec/logs/active-responses.log'' auf dem Client zeigt den ''add''-Aufruf
* Im Dashboard: ''Threat Hunting'' → ''rule.id:5712'' (Erkennung) und ''rule.id:651'' (Active-Response ausgelöst)
* Weiterer SSH-Versuch von der Kali muss jetzt ins Leere laufen (Connection timeout, kein Reset)

[[Kategorie:WAZUH]]

Linux - Security und Firewall

Thomas.will — Tue, 28 Jul 2026 05:30:46 GMT

HIDS

Firewall Topologien

Thomas.will — Tue, 28 Jul 2026 04:45:35 GMT

Cloud-native Security / SASE

Datei:Sase.drawio.png

Thomas.will — Tue, 28 Jul 2026 04:45:16 GMT

Thomas.will lud eine neue Version von Datei:Sase.drawio.png hoch

Neue Seite

Datei:Sase.drawio.png

Thomas.will — Tue, 28 Jul 2026 04:44:11 GMT

Thomas.will lud eine neue Version von Datei:Sase.drawio.png hoch

Neue Seite

Datei:Sase.drawio.png

Thomas.will — Tue, 28 Jul 2026 04:40:58 GMT

Thomas.will lud eine neue Version von Datei:Sase.drawio.png hoch

Neue Seite

Datei:Sase.drawio.png

Thomas.will — Tue, 28 Jul 2026 04:37:00 GMT

Thomas.will lud eine neue Version von Datei:Sase.drawio.png hoch

Neue Seite

Datei:Sase.drawio.png

Thomas.will — Tue, 28 Jul 2026 04:35:46 GMT

Thomas.will lud Datei:Sase.drawio.png hoch

Neue Seite

Firewall Topologien

Thomas.will — Tue, 28 Jul 2026 04:25:40 GMT

Cloud-native Security / SASE

Datei:Zerotrust.drawio.png

Thomas.will — Mon, 27 Jul 2026 09:35:06 GMT

Thomas.will lud eine neue Version von Datei:Zerotrust.drawio.png hoch

Neue Seite

Datei:Zerotrust.drawio.png

Thomas.will — Mon, 27 Jul 2026 09:34:43 GMT

Thomas.will lud Datei:Zerotrust.drawio.png hoch

Neue Seite

Firewall Topologien

Thomas.will — Mon, 27 Jul 2026 09:26:46 GMT

Von getrennten Paketfiltern zur Next-Generation Firewall (NGFW)

Datei:Ngfw.drawio.png

Thomas.will — Mon, 27 Jul 2026 09:26:33 GMT

Thomas.will lud Datei:Ngfw.drawio.png hoch

Neue Seite

Datei:Dmz screened zusammen.drawio.png

Thomas.will — Mon, 27 Jul 2026 09:24:42 GMT

Thomas.will lud Datei:Dmz screened zusammen.drawio.png hoch

Neue Seite

Firewall Topologien

Thomas.will — Mon, 27 Jul 2026 09:22:07 GMT

Screened Subnet (DMZ)

Datei:StatefullPacketInspection.drawio.png

Thomas.will — Mon, 27 Jul 2026 09:20:50 GMT

Thomas.will lud eine neue Version von Datei:StatefullPacketInspection.drawio.png hoch

Neue Seite

Datei:Dualhomedhost.drawio.png

Thomas.will — Mon, 27 Jul 2026 09:20:29 GMT

Thomas.will lud eine neue Version von Datei:Dualhomedhost.drawio.png hoch

Neue Seite

Datei:Paketfilter.drawio.png

Thomas.will — Mon, 27 Jul 2026 09:20:06 GMT

Thomas.will lud eine neue Version von Datei:Paketfilter.drawio.png hoch

Neue Seite

@@ Zeile 1: / Zeile 1: @@
 =Wir brauchen die weiteren Profile=
-*sudo apt install apparmor-profiles apparmor-profiles-extra
+*sudo apt install apparmor-profiles apparmor-profiles-extra apparmor-utils rsyslog
 =Installation=
 *cd /etc/apparmor.d/
 *cp /usr/share/apparmor/extra-profiles/usr.sbin.sshd /etc/apparmor.d/
 =Je nach dem in den enforce oder complain Modus=
 *aa-enforce /etc/apparmor.d/usr.sbin.sshd
@@ Zeile 11: / Zeile 16: @@
 =Gucken ob man noch Dinge ergänzen muss=
 <pre>
 Reading log entries from /var/log/syslog.
-Updating AppArmor profiles in /etc/apparmor.d.
-Complain-mode changes:
+Profile:  /usr/sbin/sshd
-Profile:    /usr/sbin/sshd
+Execute:  /usr/lib/openssh/sshd-session
-Capability: net_admin
+Severity: unknown
-Severity:   8
- [1 - capability net_admin,]
+In(h)erit / (C)hild / (P)rofile / (N)amed / (U)nconfined / (X) ix On / (D)eny / Abo(r)t / (I)gnore / (F)inish
-(A)llow / [(D)eny] / (I)gnore / Audi(t) / Abo(r)t / (F)inish
 </pre>
 =Der Einlogversuch zeigt, dass eine Menge noch freizuschalten ist=

@@ Zeile 35: / Zeile 35: @@
 *[[VM Vorlage Linux - Security und Firewall Labor]]
 *[[Fertiges Debian Template]]
 = Router Firewall =

@@ Zeile 34: / Zeile 34: @@
 = VM Vorlage =
 *[[VM Vorlage Linux - Security und Firewall Labor]]
 = Router Firewall =

@@ Zeile 14: / Zeile 14: @@
 Updating AppArmor profiles in /etc/apparmor.d.
 Complain-mode changes:
 Profile:    /usr/sbin/sshd
 Capability: net_admin
 Severity:   8
   [1 - capability net_admin,]
 (A)llow / [(D)eny] / (I)gnore / Audi(t) / Abo(r)t / (F)inish
 </pre>
 =Der Einlogversuch zeigt, dass eine Menge noch freizuschalten ist=
-*Bitte ergänzen

← Nächstältere Version		Version vom 28. Juli 2026, 06:39 Uhr
Zeile 50:		Zeile 50:

	=Exkurs: Vertiefung Netzwerk- und Security=		=Exkurs: Vertiefung Netzwerk- und Security=
−	*Tools (tcpdump, wireshark, ~~netstat~~, nmap)	+	*Tools (tcpdump, wireshark, ss, nmap)

@@ Zeile 9: / Zeile 9: @@
 ***Netzwerkbrücke: '''br0'''
 ;Starten
-*user: root
+*user: kit
-*pass: radler
+*pass: kit
 ;IP rausfinden
 *ip a s
-;Update und upgrade
+if [[ "$current_host" = *-template ]]; then
-*apt update
+    echo "Template erkannt – SSH-Hostschlüssel werden neu erzeugt."
-*apt full-upgrade
+    rm -f /etc/ssh/ssh_host_*
-;Wenn GRUB Install kommt
+    ssh-keygen -A
-*(X) /dev/sda
+else
-:Stammzertifikat ein bauen
+    echo "Nicht das Template – keine Änderung."
-*cd /usr/local/share/ca-certificates
+fi
-*wget https://web.samogo.de/certs/kit-ca.crt
+</syntaxhighlight>
-*update-ca-certificates
+*'''chmod +x /usr/local/sbin/new-ssh-host-keys'''

@@ Zeile 1: / Zeile 1: @@
 =In der Virtualbox=
 *Datei
 **Appliance importieren
 ***Fertig stellen

@@ Zeile 31: / Zeile 31: @@
 * '''YouTube:''' [@doktorxinux743](https://www.youtube.com/@doktorxinux743)
 * '''GitHub:''' [doktor-xinux](https://github.com/doktor-xinux/)
 = Aktueller Kurs: Etherpad =

@@ Zeile 166: / Zeile 166: @@
 = HIDS =
 *[[HIDS - Linux - Security und Firewall Labor]]
 = [[Was ist GSM|Greenbone]] Security/Vulnerability Manager (''Hacking & Security'' Seite 161) =

@@ Zeile 79: / Zeile 79: @@
 *Ein Enforcement-Punkt für alle Standorte statt Hardware pro Standort &mdash; Policy folgt dem Nutzer, nicht dem Netzwerkstandort.
 *Besonders relevant für Unternehmen mit vielen Standorten oder viel Remote-Arbeit.
 {{#drawio:sase}}

@@ Zeile 7: / Zeile 7: @@
 *kann ganzes Netzwerk schützen
 *extrem effektiv
 *schnell, da über die Verbindungen nicht Buch geführt wird
 ==Nachteil==
 *Filterbeschreibungen sind nicht perfekt
@@ Zeile 59: / Zeile 59: @@
 =Zero Trust / ZTNA=
 *Der Bruch mit dem klassischen Perimeter-Denken: Es gibt kein pauschal vertrauenswürdiges „internes Netz“ mehr.
 *Jede Verbindung wird einzeln anhand von Identität, Gerätezustand und Kontext autorisiert &mdash; unabhängig davon, wo der Client sitzt.
 *Deny-by-default: ohne explizite Erlaubnis keine Verbindung.
-*Zugriff ist immer anwendungsspezifisch, nie netzwerkweit.
+*Zugriff ist immer anwendungsspezifisch, nie netzwerkweit (z.B. Zugriff auf genau eine interne App, nicht auf das ganze Subnetz).
-*Löst zunehmend klassische VPN-Zugänge als Angriffsfläche ab.
+*Löst zunehmend klassische VPN-Zugänge als Angriffsfläche ab &mdash; ein kompromittiertes VPN gibt sonst Zugriff aufs ganze Netz, ein kompromittierter ZTNA-Zugang nur auf die eine freigegebene Anwendung.
 *ZTNA ist mittlerweile Standardbestandteil in Enterprise-NGFWs &mdash; es ersetzt Screened Subnet/DMZ nicht, ergänzt sie aber um eine Prüfung pro Zugriff statt pro Netzzone.
 {{#drawio:zerotrust}}
 =Cloud-native Security / SASE=
-*Die Firewall wandert aus dem eigenen Rechenzentrum in die Cloud.
+*'''SASE (Secure Access Service Edge)''' beschreibt, wie die klassische Firewall-Hardware im eigenen Rechenzentrum durch einen Sicherheits-Stack in der Cloud ersetzt wird.
-*Egal ob Remote-Nutzer oder Zweigstelle: der Traffic läuft über denselben Cloud-Sicherheitsstack, bevor er sein Ziel erreicht.
+*Egal ob Remote-Nutzer oder Zweigstelle: der Traffic läuft immer zuerst über denselben Cloud-Sicherheitsstack, bevor er sein Ziel erreicht.
-*SASE bündelt Secure Web Gateway (SWG), CASB, Firewall-as-a-Service (FWaaS) und ZTNA.
+*SASE bündelt vier Bausteine in einem Dienst:
 *Ein Enforcement-Punkt für alle Standorte statt Hardware pro Standort &mdash; Policy folgt dem Nutzer, nicht dem Netzwerkstandort.
 *Besonders relevant für Unternehmen mit vielen Standorten oder viel Remote-Arbeit.
 [[Datei:sase.png]]
 {{#drawio:sase}}

@@ Zeile 56: / Zeile 56: @@
 **zunehmend '''KI-gestützte Anomalieerkennung'''
 *NGFW ist heute der De-facto-Standard in Unternehmen. Sie ersetzt nicht die Konzepte aus den vorherigen Abschnitten, sondern bündelt sie in einer Plattform.
 {{#drawio:ngfw}}

@@ Zeile 43: / Zeile 43: @@
 *Skaliert auf mehrere Grenznetze, z.B. für ein zusätzliches Partnernetz (Vertriebspartner), das genauso angebunden wird.
 *Bis heute das Standardmuster für Mailserver, Webserver, VPN-Gateways &mdash; nur dass die zwei Filter heute meist Zonen einer einzigen NGFW sind statt zwei getrennter Geräte.
 {{#drawio:dmz_screened_subnet}}
 =Von getrennten Paketfiltern zur Next-Generation Firewall (NGFW)=