Category Archives: Technischer Blog

HOWTO: Härten einer WatchGuard Firebox mit fail2ban (Schutz gegen SSLVPN Logon Brute-Force)

4 Comments

Im Rahmen der Brute-Force-Angriffe auf das WatchGuard SSLVPN Portal haben wir ein Proof of Concept Setup mit einer externen Linux-VM gebaut, um IP-Adressen nach mehreren fehlerhaften Login-Versuchen auf die WatchGuard-eigene auto-blocklist zu setzen.
Die benötigten Scripte und Snippets sind unter der MIT-License auf Github veröffentlicht: https://watchguard-toolbox-project.github.io/

Update Fireware 12.10.4:  Mit dem aktuellen Fireware-Update (Version 12.10.4) kann auch das jetzt integrierte Feature “Block Failed Logins” verwendet werden.
Eine ausführliche Anleitung dazu finden Sie in diesem HOWTO-Artikel.

Idee / Funktionsweise

Weiterlesen »

HOWTO: Automatische Installation von Sicherheitsupdates für Microsoft und Third-Party Anwendungen zur Härtung der Endgeräte

1 Comment

Gilt für WatchGuard Advanced EPDR, EPDR, EDR, EPP sowie die ehemalige Panda Welt (AD360 & Co.).

Mit dem Zusatzmodul WatchGuard Patch Management ist es möglich, schnell und einfach Patches von Microsoft, Linux und macOS, sowie Third-Party Anwendungen (Patch-Library) zu installieren.

Der folgende Artikel beschreibt die automatische Installation von kritischen und wichtigen Sicherheitsupdates für Microsoft und Third-Party Anwendungen.

Weiterlesen »

HOWTO: Trade-Up mit WatchGuard AuthPoint

Comment

In diesem Blog-Artikel geht es um die Auswirkungen bei einem Trade-Up für Firebox Appliances, die in der WatchGuard Cloud eingebunden und in AuthPoint konfiguriert sind.

Logging & Reporting ist direkt nach dem Trade-Up für Ihre abgelöste Firebox nicht mehr verfügbar. Ihre AuthPoint-Integration funktioniert nach dem Trade-Up möglicherweise nicht mehr, weil die „alte“ Appliance nach dem Hardware Austausch und der Inbetriebnahme Ihrer neuen Firebox nicht mehr aus der WatchGuard Cloud erreichbar ist.

In diesem Blog-Artikel beschreiben wir, was Sie hierbei beachten müssen.

Problemstellung

Weiterlesen »

Massive Angriffe auf SSLVPN – Maßnahmen und Härtung der Firewall

9 Comments

Update: 20.12.2024
Neben dem SSL-VPN verzeichnen wir zunehmend auch Brute-Force-Angriffe auf das Access Portal von WatchGuard Firewalls.
Falls Sie das genannte Feature nutzen, sollten Sie unbedingt die im Artikel empfohlenen Best-Practices (“Block Failed Authentications”, MFA, Geo-Filter,…) umsetzen.

Update: 23.10.2024
WatchGuard hat weltweit Brute-Force-Angriffe auf SSL-VPNs festgestellt, die zu einer ungewöhnlich hohen Anzahl unbekannter Anmeldeversuche beim AuthPoint-Authentifizierungsdienst geführt haben. Diese Angriffe können Dienstunterbrechungen verursachen, die die Servicequalität beeinträchtigen und bei einigen Kunden zu fehlgeschlagenen Authentifizierungssitzungen, Zeitüberschreitungen oder Abbrüchen führen können. Die Brute-Force-Angriffe sind jedoch nicht direkt gegen AuthPoint gerichtet und haben keine Sicherheitsverletzungen bei den WatchGuard-Diensten verursacht. Weitere Infos unter https://status.watchguard.com oder im WatchGuard Support Center unter >> Detect and mitigate brute force attacks that target Mobile VPN with SSL (SSLVPN).

Problem:

Aktuell sehen wir in den Logs vieler Kundenfirewalls Brute-Force-Attacken auf den WatchGuard SSLVPN bzw. das dazugehörige SSLVPN Portal (https://<Ext.-IP>/sslvpn_logon.shtml).

Die Logs zeigen, dass die Angreifer nicht nur Benutzernamen und Passwörter „raten“, sondern auch gezielt die Anmeldeserver des SSLVPN Portals auslesen. Neben typischen Benutzernamen werden so auch alternative Anmeldeserver angesprochen, welche ggf. keine MFA (Multifaktor-Authentifizierung) konfiguriert haben. Weiterlesen »

HOWTO: Best Practices/Empfehlungen Konfiguration von Access Points in der WatchGuard Cloud

Comment

Dieser Artikel liefert eine Richtschnur über die empfohlenen Einstellungen der WatchGuard Access Points. Diese hängen allerdings sehr von den Gegebenheiten vor Ort und der Art und dem Alter der WiFi-Clients ab. Beispielhaft richten wir hier eine Gast-SSID ein.

Änderungen am Artikel:

  1. Update 05.06.2024 einige Parameter wurden den neusten Erkenntnissen angepasst.
  2. Update 29.08.2024 Die Voraussetzungen für die AP Verbindung zur WG-Cloud wurden hinzugefügt.
  3. Update 13.08.2025 Der Link zum LED-Indikator wurde angepasst und kleine Änderungen vorgenommen.

Hinweis: Wir raten generell zu einer professionellen WiFi-Ausleuchtung! Bei WatchGuard besteht die Möglichkeit den kostenlosen WiFi-Design Service zu nutzen: >> Zum Wi-Fi Design Service.

 

Folgende Vorüberlegungen sind wichtig:

  • Die Netzwerkanbindung der Access Points und Konfiguration der VLAN’s
  • Die Ordnerstruktur in der Cloud
  • Die Erstellung einer Access Point Site
  • Machen Sie auch möglichst zuerst ein Firmware-Update

Weiterlesen »

HOWTO: Reverse Proxy mit HTTPS Content Inspection und Content Actions (Deep Packet Inspection)

Comment

Der nachfolgende Artikel beschreibt die Absicherung HTTPS basierter Anwendungen via einer Incoming Proxy Regel mit aktivierter HTTPS Content Inspection und Content Actions.
Die Firewall Regel und die HTTPS Proxy Action beinhalten folgende Security Features der Total Security Suite: Intrusion Prevention, Gateway AV, Intelligent AV, Geolocation und den APT Blocker.

Erläuterung:

Mit Content Actions können HTTP-Anfragen basierend auf der Kombination aus der Domäne im HTTP-Host-Header und dem Pfad in der HTTP-Anfrage an verschiedene interne Webserver weitergeleitet werden.

Optional:
Wenn Sie die Konfiguration entsprechend unseres Howto’s umsetzen, haben Sie einen guten Schutz vor ext. Angriffen. Um die Sicherheit weiter zu erhöhen kann man vor einer WatchGuard Firebox einen weiteren Proxy z.B. NGINX (ausgelagert) mit vorgeschalteter DDOS Protection einsetzen, somit wird unter anderem die IP-Adresse, des Backends verschleiert.

Voraussetzungen:

Weiterlesen »

HOWTO: Redundantes AuthPoint Radius (Microsoft Netzwerkrichtlinienserver) Setup mit der WatchGuard Firebox

Comment
Problemstellung

Da Microsoft für IKEv2 oder L2TP MS-CHAPv2 voraussetzt, müssen die Radius Anfragen von dem AuthPoint Gateway an einen Microsoft NPS weitergeleitet werden. Leider Kann in AuthPoint kein NPS Failover konfiguriert werden. Für SSLVPN oder IPSEC wird kein NPS benötigt!

Lösungsvorschlag

Die Firebox bietet die Möglichkeit mit einem Loopback Interface und einer SNAT Load Balancing Action, die Radius Anfragen auf mehrere Server zu verteilen.
Um die Erreichbarkeit der Server zu prüfen, sendet die Firebox alle 10 Sekunden ein ICMP Paket an die Server. Wenn einer der Radius Server nicht mehr auf die ICMP Pakete antwortet werden die Anfragen an den verbliebenen Server gesendet, bis der Server wieder auf die ICMP Pakete antwortet.
Dieses Setup bietet leider keine Redundanz, wenn der Radius Dienst nicht mehr ordnungsgemäß funktioniert.

Weiterlesen »

HOWTO: Download und Installation von manuellen Patches via WatchGuard Patch Management

Comment

Gilt für WatchGuard Advanced EPDR, EPDR, EDR, EPP sowie die ehemalige Panda Welt (AD360 & Co.).

Mit dem Zusatzmodul WatchGuard Patch Management ist es möglich, schnell und einfach Patches von Microsoft oder Third-Party Anwendungen (>> Patch-Library) zu installieren.
In einigen Fällen können Patches, bei denen eine EULA bestätigt werden muss oder der Downloadlink nicht öffentlich verfügbar bzw. unbekannt ist, nicht automatisch via Patch Management installiert werden. Hierzu ist ein manueller Eingriff notwendig.

Der folgende Artikel beschreibt die Installation von manuellen Downloads.

Weiterlesen »

HOWTO: OpenVPN / WatchGuard SSLVPN und „Start Before Logon“ konfigurieren

2 Comments

Seit der Version 2.6 von OpenVPN (>> Changelog OpenVPN) gibt es die Möglichkeit ein „Start Before Logon“ (PLAP, Pre Logon Access Provider, VPN Before Login, GINA-Mode) zu konfigurieren. Ein Login noch vor der Benutzeranmeldung bietet für Domain-Computer einige Vorteile (Passwortänderungen, GPO, Start-Skripte, neue Benutzerprofile anlegen, …) und ist ein häufig gewünschtes Feature.

Da WatchGuard für deren SSLVPN einen OpenVPN als Grundlage verwendet, kann dieser How-To Artikel sowohl für WatchGuard als auch für alle anderen OpenVPN fähigen VPN-Gateways verwendet werden.

Weiterlesen »

Neuer Microsoft365-Alias in der Firebox ab Firmware v12.10

1 Comment

Seit Firmware v12.10 gibt es einen neuen „Microsoft365“-Alias im Fireware Policy Manager. Die hinterlegte Liste mit DNS und IP-Adressen basiert auf folgendem Link, der von Microsoft gepflegt wird:

https://learn.microsoft.com/en-us/microsoft-365/enterprise/urls-and-ip-address-ranges?view=o365-worldwide&redirectSourcePath=%252fen-us%252farticle%252fOffice-365-URLs-and-IP-address-ranges-8548a211-3fe7-47cb-abb1-355ea5aa88a2

Ein Alias ist eine Abkürzung, die eine Gruppe von Hosts, Netzwerken oder Schnittstellen identifiziert. Ihre Konfigurationsdatei enthält viele Standardaliase. Sie können auch neue Aliase erstellen. Um den Datenverkehr über Ihre Firebox zu verwalten, können Sie dann beliebige Aliase zu den in Ihrer Konfigurationsdatei definierten Policies hinzufügen.

Den „Microsoft365“-Alias finden Sie über das bekannte Menü im Fireware Policy Manager:

Weiterlesen »