Dieser Artikel soll eine Richtschnur liefern über die empfohlenen Einstellungen der WatchGuard Access Points. Diese hängen allerdings sehr von den Gegebenheiten vor Ort und der Art und dem Alter der WiFi-Clients ab.
Folgende Überlegungen sind wichtig:
WatchGuard veröffentlicht jeden Monat neue Artikel und andere Inhalte in der >> WatchGuard Knowledge Base. Dabei werden u.a. häufige Fragen beantwortet und bekannte Probleme bearbeitet.
So auch im Januar 2024:
Mit dem WLAN Feature Network Access Enforcement (Durchsetzung des Netzwerkzugriffs) können Administratoren festlegen, welche Geräte auf interne Ressourcen zugreifen dürfen. Es müssen gewisse Sicherheitsanforderungen erfüllt sein, bevor eine Verbindung gestattet wird. So kann der Administrator beispielsweise verlangen, dass Endgeräte durch ein WatchGuard Endpoint Security-Produkt geschützt sein müssen. Durch diesen zusätzlichen Schutzmechanismus wird klar definiert, dass nur abgesicherte Geräte auf das Netzwerk zugreifen dürfen.
In diesem Webinar geht es um die Einsatzzwecke und Anforderungen von Network Access Enforcement sowie deren Umsetzung und Konfiguration.
WatchGuards Threat Lab ist eine Gruppe von Bedrohungsforschern, die sich mit der Analyse und Aufbereitung der letzten Malware- und Netzwerk-Attacken beschäftigen. Sie greifen dabei auf die Daten zurück, die sie vom WatchGuard Firebox Feed bekommen, aber auch aus internen und externen Threat Intelligences und einem Forschungs-Honeynet. Daraus werden Analysen und praktische Sicherheitshinweise über die größten Gefahren und Bedrohungen abgeleitet. Weiterlesen
Der nachfolgende Artikel beschreibt die Absicherung HTTPS basierter Anwendungen via einer Incoming Proxy Regel mit aktivierter HTTPS Content Inspection und Content Actions.
Die Firewall Regel und die HTTPS Proxy Action beinhalten folgende Security Features der Total Security Suite: Intrusion Prevention, Gateway AV, Intelligent AV, Geolocation und den APT Blocker.
Mit Content Actions können HTTP-Anfragen basierend auf der Kombination aus der Domäne im HTTP-Host-Header und dem Pfad in der HTTP-Anfrage an verschiedene interne Webserver weitergeleitet werden.
Optional:
Wenn Sie die Konfiguration entsprechend unseres Howto’s umsetzen, haben Sie einen guten Schutz vor ext. Angriffen. Um die Sicherheit weiter zu erhöhen kann man vor einer WatchGuard Firebox einen weiteren Proxy z.B. NGINX (ausgelagert) mit vorgeschalteter DDOS Protection einsetzen, somit wird unter anderem die IP-Adresse, des Backends verschleiert.
Da Microsoft für IKEv2 oder L2TP MS-CHAPv2 voraussetzt, müssen die Radius Anfragen von dem AuthPoint Gateway an einen Microsoft NPS weitergeleitet werden. Leider Kann in AuthPoint kein NPS Failover konfiguriert werden. Für SSLVPN oder IPSEC wird kein NPS benötigt!
Die Firebox bietet die Möglichkeit mit einem Loopback Interface und einer SNAT Load Balancing Action, die Radius Anfragen auf mehrere Server zu verteilen.
Um die Erreichbarkeit der Server zu prüfen, sendet die Firebox alle 10 Sekunden ein ICMP Paket an die Server. Wenn einer der Radius Server nicht mehr auf die ICMP Pakete antwortet werden die Anfragen an den verbliebenen Server gesendet, bis der Server wieder auf die ICMP Pakete antwortet.
Dieses Setup bietet leider keine Redundanz, wenn der Radius Dienst nicht mehr ordnungsgemäß funktioniert.
Seit Kurzem verfügbar: Fireware 12.10.2 und WatchGuard System Manager 12.10.2.
Seit Kurzem verfügbar: Access Point Firmware v2.2.22.
Ivanti hat Sicherheitslücken in Ivanti Connect Secure und Ivanti Policy Secure Gateway bekannt gegeben. Dabei handelt es sich um eine Schwachstelle zur Umgehung der Authentifizierung (CVE-2023-46805) und eine Command-Injection-
Es ist allerdings bestätigt, dass von diesen Schwachstellen keine WatchGuard-Produkte oder -Dienste betroffen sind. Auch nicht das Software Development Kit von Ivanti für Patch Management.
Weitere Informationen dazu unter:
Gilt für WatchGuard Advanced EPDR, EPDR, EDR, EPP sowie die ehemalige Panda Welt (AD360 & Co.).
Mit dem Zusatzmodul WatchGuard Patch Management ist es möglich, schnell und einfach Patches von Microsoft oder Third-Party Anwendungen (>> Patch-Library) zu installieren.
In einigen Fällen können Patches, bei denen eine EULA bestätigt werden muss oder der Downloadlink nicht öffentlich verfügbar bzw. unbekannt ist, nicht automatisch via Patch Management installiert werden. Hierzu ist ein manueller Eingriff notwendig.
Der folgende Artikel beschreibt die Installation von manuellen Downloads.
