Absichern des Routers

Wenn bereits ein Benutzer konfiguriert ist, ändern Sie das Passwort, wenn erforderlich.

Beim Anlegen eines Benutzers über den Schnellstart-Assistenten und die Aufforderung beim Aktivieren eines Profils ohne vorherige Konfiguration einer Authentifizierung besteht die Möglichkeit einer Übernahme bzw. Erzeugung eines sicheren Passworts.

Der Zugriff auf den Router ist auf verschiedene Weisen möglich.

Folgende Möglichkeiten für Zugriff und Authentifizierung sind verfügbar:

Dieser Configuration Guide beschreibt die Konfiguration der verschiedenen Authentifizierungsmethoden.

Die regelmäßige Synchronisierung von Datum und Uhrzeit im Router mit einem NTP-Server ist für viele IT-Sicherheits-Funktionen wie z.B. befristete Zertifikate unabdingbar. Dazu steht eine bestimmte Aktion im Router zur Verfügung, die zeitgesteuert oder durch verschiedene Ereignisse regelmäßig ausgelöst werden kann. In den Werkseinstellungen ist eine NTP-Synchronisierung nicht konfiguriert. Berücksichtigen Sie dabei auch notwendige Einstellungen/Überprüfungen von (Netz)-Filterregeln. Bei einer Inbetriebnahme mit dem Schnellstart-Assistenten wird eine NTP-Synchronisierung konfiguriert. Wird der Schnellstart-Assistent nicht verwendet, richten Sie die NTP-Synchronisierung manuell ein.

Halten Sie die Firmware immer auf dem aktuellsten Stand, um zu verhindern, dass der Router noch IT-Sicherheitslücken hat, die bereits behoben wurden.

Mit dem Router Management bietet Ihnen INSYS icom eine einfache Lösung zur Verwaltung und Wartung Ihrer Router an. Setzen Sie damit die Aktualisierung der Geräte-Firmware, den Rollout von Edge Computing-Anwendungen oder die inkrementelle Änderung von Gerätekonfigurationen und die Bereitstellung von Zertifikaten einfach und ressourcenschonend um.

Die Firmware des Routers kann auch mit Hilfe der Auto-Update-Funktion automatisch aktualisiert werden. Dazu können Sie eigene Update-Server betreiben. Außerdem müssen die automatischen Updates durch eine bestimmte Aktion angestoßen werden, die zeitgesteuert oder durch verschiedene Ereignisse regelmäßig ausgelöst werden kann.

In den Werkseinstellungen ist der DHCP-Server für IPv4 aktiviert. Wenn eine IP-Adressvergabe durch den Router nicht erforderlich ist, deaktivieren Sie den DHCP-Server.

In den Werkseinstellungen ist das DNS-Relay aktiviert. Deaktivieren Sie das DNS-Relay, wenn es nicht erforderlich ist, DNS-Anfragen aus dem lokalen Netz ins WAN weiterzuleiten, d.h. wenn keine externen Geräte oder auch Container auf dem Router DNS-Anfragen stellen. DNS-Anfragen des Routers sind auch bei deaktiviertem DNS-Relay möglich.

Aktivieren Sie nur die Dienste im Router, die für den Betrieb der Applikation unbedingt erforderlich sind. Konfigurieren Sie dabei die Dienste so sicher wie möglich, wie z.B. HTTPS statt HTTP für die REST-Schnittstelle oder für SNMP nur v3 verwenden. Achten Sie darauf, dass die aktivierten Dienste zusätzliche Filterregeln erfordern können.

Aktivieren Sie für eine sichere Applikation zusätzlich zu den IPv6-Filtern auch die IPv4-Filter. Dann müssen für alle erlaubten Kommunikationsverbindungen entsprechende Filterregeln festgelegt werden. Überprüfen Sie weiterhin sämtliche bereits vorhandenen Filterregeln auf ihre Notwendigkeit und schränken Sie diese ggf. weiter ein oder deaktivieren Sie diese. Legen Sie für den Betrieb der Applikation erforderliche Filterregeln neu an.

SLAAC (StateLess Address AutoConfiguration) dient in lokalen IPv6-Netzwerken zur automatischen Konfiguration von IPv6-Adressen mit einem durch Router Advertisement verkündetem Adress-Prefix. Wird kein IPv6 oder kein Router Advertisement in einem IPv6-Netzwerk verwendet, deaktivieren Sie SLAAC für dieses lokale Netzwerk.

Aktivieren Sie die MAC-Filter, um die Kommunikation auf bestimmte Geräte einzuschränken. Für andere Geräte ist dann keine Kommunikation mit dem Router möglich.

Teilen Sie Netzwerke in Segmente mit unterschiedlichen Sicherheitsanforderungen in mehrere lokale IP-Netze am Switch des Routers auf. Schotten Sie diese voneinander ab und konfigurieren Sie präzise Kommunikationsregeln (z.B. Firewall), um den Datenaustausch zwischen diesen Netzen auf das notwendigste zu beschränken.

Legen Sie entsprechende Meldungen an, die dann im Rahmen einer Aktion beim Eintreten des Ereignisses versandt werden, um über IT-Sicherheits-relevante Ereignisse am Router, wie z.B. Anmeldeversuche oder An- oder Abstecken von Ethernet-Kabeln, informiert zu werden.

Verschlüsselungsverfahren unterliegen technischen Entwicklungen. Verschlüsselungsverfahren, die einmal als sicher galten, können mittlerweile nicht mehr ausreichend sicher sein. Überprüfen Sie die von Ihnen verwendeten Verschlüsselungsverfahren regelmäßig auf ihre Sicherheit und ersetzen Sie diese ggf. durch aktuellere Verschlüsselungsverfahren. Verwenden sie ausreichend lange Schlüssel.

Wenn Ihre Sicherheitsverfahren auf einer Zertifikatsstruktur basieren, halten Sie diese immer aktuell. Tauschen Sie Ihre Zertifikate regelmäßig. Konfigurieren Sie den Gültigkeitszeitraum nicht zu lange. Machen Sie von der Verwendung einer Zertifikatssperrliste (Certificate Revocation List) Gebrauch, um ungültig gewordene Zertifikate zeitnah zurückzurufen.

Das Router Management von INSYS icom bietet Ihnen einfache Möglichkeiten zum regelmäßigen Ausrollen aktualisierter Zertifikate und Zertifikatssperrlisten auf Ihre Router.

Router von INSYS icom verfügen über eine Vielzahl von Möglichkeiten, Verbindungen sicher zu gestalten, wie OpenVPN oder IPsec. Verwenden Sie die Configuration Guides für die Konfiguration sicherer Tunnel-Verbindungen.

Verwenden Sie bei sicheren Verbindungen zur Erhöhung der Sicherheit eine Authentifizierung mit Hilfe einer Zertifikatsstruktur statt mit Pre-shared Keys oder Benutzername/Kennwort-Kombinationen.

Darüber hinaus bietet INSYS icom mit der icom Connectivity Suite einen eigenen VPN-Service an, der Ihnen eine einfache und sichere Vernetzung Ihrer Geräte ermöglicht - auch in China. Auch hierzu finden Sie eine Reihe von Configuration Guides, die Ihnen bei der Konfiguration helfen.

Stellen Sie den Router an einem zutrittsgeschützten Ort auf, z.B. ein abschließbarer Raum mit überwachtem Zugang von verantwortlichen Administratoren. Für den Installationsort gelten folgende Anforderungen: