Extended Access Control List 101: Zugriffsmanagement & Berechtigungen

Kurzfassung

Eine erweiterte Zugriffskontrollliste (ACL) geht über Standard-ACLs hinaus, indem sie den Netzwerkverkehr basierend auf Quell-/Zieladressen, Portnummern, Protokollen und Zeitbereichen filtert – was Administrator:innen eine granulare Kontrolle bietet, um Bedrohungen zu blockieren und gleichzeitig den legitimen Datenverkehr aufrechtzuerhalten. Die Konfiguration einer solchen umfasst das Definieren von Ablehnungs- und Zulassungsanweisungen, das Anwenden der Liste auf eine Netzwerkschnittstelle und das Festlegen der Datenverkehrsrichtung mithilfe der Befehle „in“ oder „out“.

Erweiterte ACLs verstehen

Eine erweiterte Zugriffskontrollliste (ACL) kann festlegen, welchem Datenverkehr der Zugriff gestattet oder verweigert wird, und fungiert so als Gatekeeper für Ihr Netzwerk. Es kann dem Systemadministrator bei der Einrichtung des Netzwerks ein höheres Maß an Flexibilität und Kontrolle bieten. Es ist in hohem Maße anpassbar und ermöglicht es Ihnen, Regeln für den Datenverkehr festzulegen, die auf mehr als nur der Internet Protocol (IP)-Adresse basieren. Dies kann dabei helfen, Netzwerkangriffe zu verhindern und gleichzeitig den Datenverkehr durchzulassen, dem Sie Zugriff gewähren möchten. Eine erweiterte ACL kann eingerichtet werden, um den Zugriff bestimmter Quellen über bestimmte Ports auf Zielcomputer zu blockieren. Auf diese Weise können Sie den ein- und ausgehenden Datenverkehr sehr präzise steuern.  

Was ist eine Extended Access List (ACL)?

Eine Access Control List ist ein Regelwerk, das definiert, welcher Traffic in einem Netzwerk erlaubt bzw. verboten ist – und legt so das Fundament für eine grundlegende Security. Eine Extended Access List bietet mehr Flexibilität und Individualisierungsoptionen als eine klassische ACL. Letztere gibt dem Betriebssystem eines Computers lediglich vor, welche Nutzer auf bestimmte Objekte wie einzelne Dateien und Verzeichnisse zugreifen dürfen. Eine Extended ACL ergänzt diese Standard-ACL um weitere, spezifischere Parameter. Auf diese Weise können Sie den Traffic im Netzwerk priorisieren und Ihre Netzwerksicherheit optimieren. Denn die Welt verändert sich, und die Bedrohungslandschaften entwickeln sich weiter – Ihre Netzwerksicherheit muss mit dieser Dynamik Schritt halten. Und, noch wichtiger: Um Ihren Kunden und Mitarbeitern die beste User-Experience und eine hochwertige digitale Interaktion zu ermöglichen, müssen Sie die Cyberangriffe stoppen, ohne den Traffic zu stören.

Welche Funktionen bietet eine erweiterte ACL?

Eine Standard-ACL erlaubt oder verweigert den Datenverkehrszugriff basierend auf der Quell-IP-Adresse, während eine erweiterte Zugriffskontrollliste Pakete mit einem höheren Grad an Spezifikation filtern kann. Es kann über die reine IP-Adresse hinaus bestimmen, welche Arten von Datenverkehr es zulässt oder blockiert, um beispielsweise das Transmission Control Protocol (TCP), das Internet Control Message Protocol (ICMP) und das User Datagram Protocol (UDP) einzubeziehen. Eine erweiterte ACL kann den Datenverkehr basierend auf Folgendem filtern:

• Quelladresse
• Zieladresse
• Portnummer
• Protokoll
• Zeitrahmen

Die Extended ACL bietet eine breite Palette von Konfigurationsoptionen, die Ihnen helfen, gefährlichen Traffic zu stoppen, während vertrauenswürdige und notwendige Daten ungehindert ihr Ziel erreichen. Dabei kann der IP-Traffic im Bereich 100-199 und 2000-2699 priorisiert werden. In der Regel setzt die Extended Access List in der Regel nah bei der Quelle an.

Welche Befehle werden in einer erweiterten ACL verwendet?

Eine Extended Access List sieht in der Regel in etwa so aus: 

access-list access-list number [permit/deny] protocol source IP address

source-wildcard destination destination-wildcard [operator]

Diese Befehle bedeuten Folgendes:

• Access-List Number: die Nummer der Access List für den angegebenen Bereich
• Permit: Traffic zulassen, falls die Bedingungen zutreffend sind
• Deny: Traffic nicht zulassen, falls die Bedingungen zutreffend sind
• Protocol: Filterung anhand bestimmter Protokolle möglich
• Source IP Address: die IP-Adresse oder Quelle, von der das Paket stammt
• Destination-Wildcard: Angabe einer Quell-Wildcard, um die Ziel-IP-Adresse oder einen Bereich von IP-Adressen zu bestimmen, damit nicht jede IP-Adresse einzeln eingegeben werden muss
• Operator: Angabe der Portnummer im Falle aktiver Protokollfilter, mit folgenden Optionen:
  • eq Gleich: der angegebene Port wird überwacht
  • gt Größer: ein Bereich ab einem bestimmten Port wird überwacht
  • lt Kleiner: ein Bereich bis zu einem bestimmten Port wird überwacht
  • neq Ungleich: ein bestimmter Port wird von der ACL ausgeschlossen

Wie richten Sie eine Extended ACL ein?

Wenn Sie verhindern wollen, dass eine unautorisierte Quelle auf Ihr Netzwerk zugreift, dann müssen Sie nicht den gesamten Traffic zwischen den beiden IP-Adressen stoppen. Sie können auch lediglich die Zugriffe zwischen den konkreten Ports einschränken. Dafür müssen Sie zunächst die Quell-IP-Adresse definieren und mit einer Wildcard-Maske blockieren. Im nächsten Schritt legen Sie das Ziel fest, für das Sie den Zugriff beschränken wollen. Hier bestimmen Sie die entsprechenden Ports, die keinen Zugriff erhalten sollen, zum Beispiel so:

Router1# conf t

Router1(config)# access-list [access-list number] deny tcp host [source IP address or addresses] eq [port number]

Router1(config)# access-list [access-list number] deny tcp host [source IP address or addresses] eq [port number]

Überprüfen Ihrer erweiterten ACL-Konfiguration

Die erste Anweisung dient dazu, das Ziel am spezifischen Zielport zu blockieren, während die zweite dies für Hypertext Transfer Protocol Secure (HTTPS) wiederholt. Der „eq“-Befehl ermöglicht die Eingabe für angegebene Ports. Sie können diese Liste mit dem Befehl „Show Access List“ überprüfen, um sicherzustellen, dass die erweiterte ACL alle erforderlichen Anweisungen enthält.

Wie stoppen Sie die „Deny all“-Anweisung?

Wenn Sie lediglich Deny-Anweisungen hinzufügen, enthält die ACL eine implizite „DENY ALL“-Anweisung, die negiert werden muss, um den gewünschten Zugriff zu ermöglichen und einen vollständigen Netzwerkausfall zu verhindern. Dies wird im Befehl „Show Access List“ nicht angezeigt.

Hinzufügen einer Zulassungsanweisung zur Wiederherstellung des Datenverkehrs

Um dies zu beheben, muss eine Zulassungsanweisung hinzugefügt werden. Es muss ein „any any“-Befehl verwendet werden, da andernfalls der gesamte Datenverkehr, der nicht den Access-List-Regeln entspricht, verworfen wird. Rufen Sie die Zugriffsliste über die ihr zugewiesene Nummer auf und fügen Sie dann „Permit“ hinzu. Sie müssen die Zulassung so konfigurieren, dass sie anschließend IP-Adressen aus allen Variationen innerhalb der Anweisung von einer beliebigen Quelle zur Zieladresse einschließt und zulässt. Dies verweigert nur die Anweisungen, die Sie zuvor eingeschränkt haben, und lässt allen anderen Datenverkehr zu.

Wie wenden Sie die ACL an und bestimmen die Richtung des Datenverkehrs?

Die erweiterte ACL-Liste kann nun auf eine Schnittstelle angewendet werden. Die ACL sollte in der Regel so nah wie möglich an der Quelle platziert werden. An dieser Stelle müssen Sie dem Datenverkehr mitteilen, in welche Richtung er fließen soll.

Verwenden der Befehle „in“ und „out“ zum Festlegen der Datenverkehrsrichtung

Hierbei wird ein „in“- oder ein „out“-Befehl verwendet, um zu ermitteln, in welche Richtung sich das Paket bewegt. Ein eingehendes Paket verwendet den Befehl „in“, während ein ausgehendes den Befehl „out“ verwendet. Sobald die erweiterte ACL angewendet wird, wird der Zugriff für den von Ihnen blockierten Datenverkehr eingeschränkt, während der restliche Datenverkehr weiterhin von seiner Quelle zum Ziel fließen kann. ACL-Listen müssen konfiguriert werden, bevor sie angewendet und anschließend aktiviert werden.

ACL-Ressourcen

ACL-Listen sind eine Kernkomponente der Netzwerksicherheit. Erweiterte ACL-Listen lassen sich umfassend individualisieren, um sicherzustellen, dass wichtige und notwendige Datenpakete zwischen Quelle und Ziel übertragen werden, während nicht autorisierter oder potenziell gefährlicher Traffic blockiert oder eingeschränkt wird. Die Konfiguration einer Extended ACL für Ihr Netzwerk kann zeitaufwändig sein. Es gibt aber spezialisierte Unternehmen, Drittanbieter und Ressourcen, die Sie bei der Erstellung der Listen unterstützen und anleiten können. Ein guter Ausgangspunkt ist das Extended ACL-Tutorial von Cisco, das Sie bei der Planung und Entwicklung einer Extended ACL für Ihr Netzwerk unterstützt.

Häufig gestellte Fragen

Was ist der Unterschied zwischen einer Standard-ACL und einer erweiterten ACL?

Eine Standard-ACL erlaubt oder verweigert den Zugriff des Datenverkehrs ausschließlich anhand der Quell-IP-Adresse. Eine erweiterte ACL kann Pakete mit einem höheren Spezifikationsgrad filtern, einschließlich Quelladresse, Zieladresse, Portnummer, Protokoll und Zeitraum, und bietet so eine größere Flexibilität und Kontrolle über den Netzwerkverkehr.

Welche Arten von Datenverkehr kann eine erweiterte ACL filtern?

Eine erweiterte ACL kann den Datenverkehr anhand von Quelladresse, Zieladresse, Portnummer, Protokoll (wie TCP, ICMP und UDP) und Zeitraum filtern und geht damit weit über die reine Quell-IP-Filterung einer Standard-ACL hinaus.

Was bedeutet die implizite Anweisung „deny all“ in einer erweiterten ACL?

Wenn einer ACL Deny-Anweisungen hinzugefügt werden, enthält die Liste eine implizite „DENY ALL“-Anweisung, die den gesamten Datenverkehr blockiert, der nicht explizit von einer Regel erfasst wird. Diese Anweisung erscheint nicht in der Ausgabe des Befehls „Show Access List“, daher muss eine Zulassungsanweisung hinzugefügt werden, um den Fluss des legitimen Datenverkehrs wiederherzustellen.

Wie wenden Sie eine erweiterte ACL auf eine Netzwerkschnittstelle an?

Sobald die erweiterte ACL mit den erforderlichen Deny- und Permit-Anweisungen konfiguriert ist, wird sie auf eine Netzwerkschnittstelle angewendet. Die ACL sollte in der Regel so nah wie möglich an der Quelle platziert werden, und die Richtung des Datenverkehrs muss mit einem „in“-Befehl für eingehenden Datenverkehr oder einem „out“-Befehl für ausgehenden Datenverkehr angegeben werden.

Was bewirkt der Operator „eq“ in einem erweiterten ACL-Befehl?

Der Operator „eq“ (Equal) wird in einem erweiterten ACL-Befehl verwendet, um anzugeben, dass genau der referenzierte Port überwacht oder gefiltert werden soll. Dadurch kann die Access-List den Datenverkehr auf eine exakte Portnummer ausrichten.

Wo sollte eine erweiterte ACL in einem Netzwerk platziert werden?

Eine erweiterte ACL sollte generell so nah wie möglich an der Quelle angewendet werden. Diese Platzierung stellt sicher, dass unerwünschter Datenverkehr frühzeitig blockiert wird, wodurch die unnötige Belastung des Netzwerks verringert wird.

Referenzen

The Study of Network Security With Its Penetrating Attacks and Possible Security Mechanisms. (Mai 2015). A Monthly Journal of Computer Science and Information Technology.

Access Agent: Improving the Performance of Access Control Lists. (April 2016). International Journal of Scientific & Technology Research.

Konfigurieren der Cisco IDS-Blockierung. (2003). Leitfaden für Cisco-Sicherheitsexpert:innen für sichere Intrusion-Detection-Systeme.

Cisco Content Services Switch. (2002). Managing Cisco Network Security (Second Edition).

Configuring IP Access Lists. (2007). Cisco.