# NeoSphere Firewall 

## Intro

Die Sophos Firewall beinhaltet unterschiedliche Security Features. Diese koennen global oder gezielt in Firewall Regeln eingesetzt werden, um Netzverkehr zu filtern und auf Sicherheitsrisiken zu scannen. 
In Anlehnung an unsere Erfahrung und unsere technische Einschaetzung, setzen wir diese Sicherheitsfeatures bei Netzwerken ein, bei welchen wir der Meinung sind, dass dies aus Sicherheitsgruenden notwendig ist. 

Die vorhandenen Sicherheits Features umfassen die folgenden (die Liste ist nicht erschoepfend, sondern beinhaltet ):

- Intrusion Prevention System
- Web Filter
- Application Filter
- Web Server Protection (Reverse Proxy/ WAF)

Im Folgenden moechte ich diese Features kurz erklaeren, um im Anschluss auf relevante Punkte in diesem Zusammenhang in Ihrer Netzwerkstruktur einzugehen.
Zuvor stellen wir eine Zusammenfassung Ihres Netzwerk auf, auf welche die genannten Security Features wirken. 

## Network Infrastructure

In Ihrer Firewall sind die folgenden Netze konfiguriert:

| Name            | Interface | Netzwerk           |
| --------------- | --------- | ------------------ |
| WAN             | Port2-WAN | 192.168.178.254/24 |
| LAN - Internal  | Port11    | 192.168.10.254/24  |
| Wlan NEO-Intern | Port11    | 192.168.20.254/24  |
| Wlan NEO-Mobile | Port11    | 192.168.30.254/24  |
| Wlan NEO-Guest  | Port11    | 192.168.40.254/24  |
| MGMT Netz       | Port11    | 192.168.50.254/24  |
| Server Netz     | Port9     | 192.168.60.254/24  |
| Labor Netz      | Port10    | 192.168.70.254/24  |
| Telefon Netz    | Port11    | 192.168.80.254/24  | 

Spaeter gehen wir drauf ein wie die Sicherheitsfunktionen auf die einzelnen Netze angewendet sind.

## Security Features

### Intrusion Prevention System

*Quelle: <https://docs.sophos.com/nsg/sophos-firewall/19.5/Help/en-us/webhelp/onlinehelp/AdministratorHelp/IntrusionPrevention/index.html>*

#### Intro
Im Allgemeinen, ueberwacht ein Intrusion Prevention System (IPS) den Netzwerkverkehr auf potentielle Gefahren und blockt diese automatisch, indem es Meldungen raussendet, gefaehrliche Verbindungen unterbricht, boeswilligen Content entfernt oder andere Sicherheitsaktoinen triggert. 

Sophos ueberwacht den Verkehr speziell auf Anomalien, um DoS (Denial of Service) Attacken und andere Spoofing (Taeuschung/Verschleirungs) Attacken abzuwehren. Man kann spezifisch Policies setzen, welche Handlungen vorgeben bei zutreffenden Kriterien im Netzwerkverkehr. 


### Web Filter

*Quelle: <https://docs.sophos.com/nsg/sophos-firewall/19.5/Help/en-us/webhelp/onlinehelp/AdministratorHelp/Web/index.html>*

#### Intro
Web Filter schraenkt den Verkehr ein beim Web Browsing. Es koennen Einschraenkungen gesetzt werden mit _Kategorien_, _URL Gruppen_ und _Datei Typen_, um das Web Browsing zu limitieren. 
Dadurch koenne Webseiten komplett geblockt werden oder Warnmeldungen injiziert werden beim Besuch bestimmter Seiten (zum Beispiel das koennen ganze Social Media Plattformen geblockt werden).


### Application Filter

*Quelle: <https://docs.sophos.com/nsg/sophos-firewall/19.5/Help/en-us/webhelp/onlinehelp/AdministratorHelp/Applications/index.html>*

#### Intro
Der Applikationsfilter hilft Malware und Attacken resultierend aus dem Netzwerkverkehr von Applikationen zu verhindern. Zusaetzlich kann damit die Bandbreite und der Netzverkehr einzelner Applikationen eingeschraenkt werden. 


### Web Server Protection
*Quelle: <https://docs.sophos.com/nsg/sophos-firewall/19.5/Help/en-us/webhelp/onlinehelp/AdministratorHelp/WebServer/index.html>*

#### Intro
Hier kann man gezielt Web Server im Netzen vor "Level 7" Sicherheitsluecken schuetzen. Das beinhaltet zum Beispiel cookie, URL und Form Manipulation. Hier kann auch der Web Server konfiguriert werden, wen man schuetzen moechte, verschieden Schutz- und Authentizierungs Policies einbinden. Die web server protection entspricht einem Reverse Proxy in seiner Funktion.


### Einbindung ins Netzwerk

| Firewall Regel                          | IPS             | Web Filter                                                                                           | App Filter                   | Web Server                      | Notizen                                                                     |
| --------------------------------------- | --------------- | ---------------------------------------------------------------------------------------------------- | ---------------------------- | ------------------------------- | --------------------------------------------------------------------------- |
| Reverse Proxy apps.neospherebiotech.com | 'generalpolicy' | n/a                                                                                                  | n/a                          | https zertifikat bereitstellung | Reverse Proxy fuer ubt02 Server.                                            |
| Wlan_NEO-Guest -> WAN                   | 'generalpolicy' | Blocke Expliziten Content                                                                            | Blocke 'very high risk apps' | n/a                             | Erlaubter Verkehr ins offene Internet von Wlan_NEO-Guest aus                |
| Wlan_NEO-Mobile -> WAN                  | n/a             | Blocke Expliziten Content, </br> scan http Verkehr und decrypte https Verkehr, </br> zero-day Schutz | n/a                          | n/a                             | Erlaubter Verkehr ins offene Internet von Wlan_NEO-Guest aus                |
| Wlan_NEO-Intern -> WAN                  | 'generalpolicy' | Blocke Expliziten Content                                                                            | Blocke 'very high risk apps' | n/a                             | Erlaubter Verkehr ins offene Internet von Wlan_NEO-Intern aus               |
| LAN -> WAN                              | 'generalpolicy' | Blocke Expliziten Content, </br> scan http Verkehr und decrypte https Verkehr, </br> zero-day Schutz | Blocke 'very high risk apps' | n/a                             | Erlaubter Verkehr von allen internen (nicht-wifi und nicht mgmt) Netzwerken |

#### Erklaerung der Begrifflichkeiten

*IPS:* Die 'generalpolicy' umfasst ueber 7000 signaturen bei welchen es reagiert. Hier ein kleiner Auszeig als Beispiel. Leider kann ich keine Liste alles Signaturen erzeugen.
![IPS-generalpolicy](files/neosphere/firewall-ips.png)

*Web Filter:* _Explicit Content_: 'Deny access to sexually explicit sites.' _Scan http traffic and https decryption_: Malware und Content scanning by Sophos: Blockt malware, wenn gefunden. HTTPS decryption and scanning: Ueberprueft ssl Zertifikat von Internetseiten und blockt invalide Zertifikate

*App Filter*: Alle geblockten Applikationen sind im folgenden Bild dargestellt. 
![IPS-App Filter](files/neosphere/firewall-appfilter.png)
