Next Generation Firewall
Die Stateful Inspection ist gut im Verfolgen von Verbindungen – aber sie kennt den Inhalt dieser Verbindungen nicht. Ein Angreifer, der Schadcode über Port 443 einschleust oder legitime Cloud-Dienste für Command-and-Control-Kommunikation missbraucht, bleibt für eine klassische Firewall unsichtbar. Die Next Generation Firewall (NGFW) geht einen entscheidenden Schritt weiter: Sie analysiert nicht nur Ports und IP-Adressen, sondern den tatsächlichen Anwendungsinhalt des Datenstroms.
Der Begriff „Next Generation" wurde von Gartner 2003 geprägt. Die NGFW kombiniert klassische Firewall-Funktionen mit Deep Packet Inspection, Anwendungserkennung, Benutzeridentität und integrierter Bedrohungsintelligenz. Statt zu fragen „Ist Port 443 offen?", fragt sie: „Welche Anwendung verwendet diese Verbindung, wer ist der Benutzer, und verhält sich der Traffic normal?"
1) Die NGFW-Features im Detail
Die folgende Übersicht zeigt die wichtigsten Features einer modernen NGFW. In der Praxis sind diese Funktionen eng verzahnt – die Anwendungserkennung liefert den Kontext für IPS-Signaturen, und die Benutzeridentität fließt in Richtlinienentscheidungen ein.
2) Wie eine NGFW Traffic verarbeitet
Die Verarbeitungspipeline einer NGFW ist deutlich komplexer als bei einem klassischen Paketfilter. Jedes Paket durchläuft mehrere Prüfstufen nacheinander. Die Reihenfolge ist entscheidend: Ressourcenintensive Prüfungen (wie DPI oder Malware-Scanning) kommen erst, nachdem günstigere Checks (IP-Reputation, Protokollvalidierung) passiert sind.
3) Die Firewall-Generationen
Zusammenfassung
Die NGFW erweitert Stateful Inspection um Layer-7-Analyse: Anwendungserkennung (App-ID), Benutzeridentität (User-ID), integriertes IPS, Deep Packet Inspection und SSL/TLS-Inspection. Richtlinien lauten nicht mehr „Port 80 erlauben", sondern „Facebook-Video für Entwickler zwischen 12 und 13 Uhr erlauben". Der Preis: höherer Ressourcenbedarf und datenschutzrechtliche Anforderungen bei SSL-Inspection. Für die Platzierung im Netzwerk: Sicherheitszonen und DMZ.