CompTIA SY0-701: Netzwerksicherheit & Architektur — Lernleitfaden

By Laurynas Brazys · 20 July 2026 · #comptia #sy0-701 #certification #exam-prep #study-guide

Teil des CompTIA Security+ SY0-701 — Lernleitfaden. Üben Sie mit verifizierten Antworten im CompTIA-Prüfungscenter, oder absolvieren Sie zeitlich begrenzte Übungstests auf ExamRoll.io.

Netzwerksicherheitsarchitektur ist die Disziplin der Anordnung von Geräten, Kontrollen und Verkehrsflüssen, sodass böswillige Aktivitäten eingedämmt, überwacht und blockiert werden, während legitime Geschäftskommunikation ungehindert abläuft. Sie kombiniert Richtlinien in Form von Regeln, strukturelle Grenzen in Form von Segmentierung und kryptografische Schutzmaßnahmen in Form von Tunneln – alles verstärkt durch Härtung auf Host- und Port-Ebene.

Firewall-Regeln und Zugriffskontrolllisten (ACLs)

Eine Firewall-Regel, ob auf einer zustandsbehafteten (stateful) Appliance oder als Router-ACL geschrieben, wertet den Datenverkehr anhand eines Fünf-Tupels aus: Quelladresse, Zieladresse, Quell-Port, Ziel-Port und Protokoll. Regeln werden von oben nach unten verarbeitet, und die erste Übereinstimmung gewinnt. Diese Reihenfolge ist von enormer Bedeutung. Eine Regel, die any any-Verkehr erlaubt und über einer spezifischen Ablehnungsregel platziert wird, macht diese Ablehnung bedeutungslos. Ebenso endet jeder gut konzipierte Regelsatz mit einer impliziten Ablehnung (implicit deny) – einer nicht geschriebenen Catch-All-Regel, die alles verwirft, was nicht explizit erlaubt ist.

Betrachten wir eine Richtlinie, die den ausgehenden DNS-Verkehr so einschränkt, dass nur ein dedizierter interner Resolver unter 10.50.10.25 externe Server auf UDP/53 abfragen darf:

access-list OUTBOUND permit udp host 10.50.10.25 any eq 53
access-list OUTBOUND deny   udp any any eq 53
access-list OUTBOUND permit ip  any any

Die Reihenfolge ist entscheidend: Die spezifische Erlaubnis steht vor der allgemeinen Ablehnung, und kein anderer Host kann externen DNS erreichen. Um eine bekanntermaßen bösartige eingehende Quelle wie 10.1.4.9 zu blockieren, ist die entsprechende eingehende Regel einfach:

access-list INBOUND deny ip host 10.1.4.9 any

An der Spitze der Liste für eingehenden Verkehr platziert, stellt sie sicher, dass die Adresse verworfen wird, bevor eine Erlaubnisregel greifen kann.

Firewalls können so konfiguriert werden, dass sie Fail-Open (erlauben den Verkehr, wenn das Gerät ausfällt) oder Fail-Closed (lehnen den gesamten Verkehr ab) sind. Fail-Open erhält die Verfügbarkeit, opfert aber die Sicherheit; Fail-Closed bewirkt das Gegenteil. Die Wahl muss bewusst getroffen werden und davon abhängen, ob das Segment die Betriebszeit (eine Fertigungshalle) oder die Vertraulichkeit (eine Enklave für die Zahlungsabwicklung) priorisiert.

Segmentierung, VLANs und Geolokalisierungskontrollen

Segmentierung teilt ein flaches Netzwerk in kleinere Broadcast- und Vertrauensdomänen auf. VLANs erzwingen eine Trennung auf Layer 2 auf gemeinsam genutzten Switches, während geroutete Subnetze und Firewalls Grenzen auf Layer 3 durchsetzen. Ein typisches Unternehmen trennt Benutzer-Workstations, Server, VoIP-Telefone, Gäste-WLAN, IoT-Geräte und Verwaltungsschnittstellen in verschiedene VLANs, die jeweils durch Inter-VLAN-ACLs geregelt werden. Segmentierung schränkt die laterale Bewegung (Lateral Movement) ein: Wenn Ransomware in einem Benutzer-VLAN detoniert, kann sie nicht sofort auf das Datenbank-VLAN übergreifen, ohne gefilterte Grenzen zu überwinden.

IP-Geolokalisierung erweitert die Segmentierung auf logischer Ebene. Wenn das Unternehmen nur in Nordamerika tätig ist, können Firewall-Regeln oder Geo-IP-Feeds Verbindungen aus anderen Regionen verwerfen, wodurch die Angriffsfläche für Brute-Force- und Aufklärungsverkehr drastisch verkleinert wird. Geolokalisierung ist kein Ersatz für die Authentifizierung – Angreifer verwenden VPNs und Proxys –, aber sie ist ein effektiver grober Filter.

Perimeter-Geräte: NGFW, IDS/IPS und WAF

Eine Next-Generation Firewall (NGFW) erweitert die traditionelle zustandsbehaftete Überprüfung (Stateful Inspection) um Anwendungserkennung, Integration von Benutzeridentitäten, TLS-Entschlüsselung und Threat-Intelligence-Feeds. Wo eine herkömmliche Firewall „TCP/443 zu 8.8.8.8“ sieht, erkennt eine NGFW „Benutzer jsmith verwendet Dropbox, um eine als PII klassifizierte Datei hochzuladen“.

Intrusion Detection Systems (IDS) und Intrusion Prevention Systems (IPS) analysieren den Datenverkehr anhand von Signaturen und Verhaltens-Baselines. Der entscheidende Unterschied: Ein IDS ist out-of-band und passiv – es wird typischerweise von einem SPAN-Port oder Netzwerk-Tap gespeist – und kann nur alarmieren. Ein IPS ist inline, befindet sich im Datenverkehrspfad und kann bösartige Flüsse in Echtzeit verwerfen, zurücksetzen oder unter Quarantäne stellen. Der Einsatz eines IDS, wo Prävention erforderlich ist, macht Angriffe sichtbar, aber nicht abgewehrt; der Einsatz eines IPS ohne sorgfältiges Tuning birgt das Risiko, legitimen Verkehr zu blockieren. Wählen Sie basierend auf der Aufgabe: Überwachung und Forensik erfordern ein IDS, aktive Durchsetzung erfordert ein IPS.

Eine Web Application Firewall (WAF) arbeitet auf Layer 7 und versteht speziell die Semantik von HTTP/HTTPS. Sie analysiert Anfragen, um SQL-Injection, Cross-Site-Scripting und den Missbrauch von Anwendungslogik zu erkennen. Eine WAF ist kein allgemeines IPS: Sie schützt speziell Webanwendungen und wird direkt vor Webservern platziert oder in einen Reverse-Proxy oder ein CDN eingebettet. Umgekehrt deckt ein IPS breitere Protokolle ab, ihm fehlt jedoch der tiefe Anwendungskontext, der erforderlich ist, um eine manipulierte UNION SELECT-Payload zu erkennen, die in einem POST-Body versteckt ist.

Load Balancer und Inhaltsfilterung

Load Balancer verteilen Client-Verbindungen auf einen Pool von Backend-Servern unter Verwendung von Algorithmen wie Round-Robin, Least-Connections oder Weighted Hashing. Über die Leistung hinaus ermöglichen sie eine elastische Verfügbarkeit: Das Hinzufügen oder Ersetzen eines Backend-Servers erfordert nur die Aktualisierung des Pools, ohne für den Client sichtbare Unterbrechung. Dies macht Load Balancer zur bevorzugten Lösung, wenn die Anforderung darin besteht, Kapazität mit minimalem Betriebsaufwand hinzuzufügen oder zu ersetzen. Moderne Load Balancer beenden auch TLS, führen Zustandsprüfungen (Health Checks) durch und integrieren sich mit WAF- und DDoS-Scrubbing-Diensten.

Inhaltsfilter und Secure Web Gateways inspizieren den ausgehenden Benutzerverkehr, blockieren den Zugriff auf Kategorien wie Malware, Phishing oder richtlinienverletzende Inhalte und setzen oft eine Filterung auf DNS-Ebene als zusätzliche Verteidigungslinie durch.

VPNs und verschlüsselte Tunnel

Virtuelle Private Netzwerke (VPNs) gewährleisten Vertraulichkeit und Integrität für den Datenverkehr, der unvertrauenswürdige Netzwerke durchquert. IPsec arbeitet auf Schicht 3 und kann jeglichen IP-Verkehr schützen; es verwendet IKE (Internet Key Exchange) für die Aushandlung und entweder AH (Authentication Header, nur Integrität) oder ESP (Encapsulating Security Payload, Integrität und Vertraulichkeit). SSL/TLS-VPNs arbeiten auf den Schichten 4–7, typischerweise über einen Webbrowser oder einen schlanken Client, und sind einfacher durch NAT und Firewalls zu implementieren als IPsec. WireGuard ist ein modernes VPN-Protokoll mit minimaler Codebasis, das Curve25519 für den Schlüsselaustausch und ChaCha20-Poly1305 für die Verschlüsselung verwendet und in vielen Szenarien eine deutlich bessere Leistung als OpenVPN oder IPsec bietet.

Split-Tunneling leitet nur den für das Unternehmen bestimmten Verkehr durch das VPN, während der Internetverkehr lokal das Netzwerk verlässt. Dies reduziert die Auslastung der VPN-Bandbreite, bedeutet aber, dass Bedrohungen aus dem Internet die Sicherheitskontrollen des Unternehmens umgehen. Full-Tunnel-VPN leitet den gesamten Verkehr durch das Unternehmensgateway, was Inhaltsfilterung und DLP-Inspektion auf Kosten höherer Latenz und Bandbreite ermöglicht.

Praktisches Szenario: Laterale Bewegung über ein flaches Netzwerk

Ein Beratungsunternehmen betrieb alle Workstations, Server und Drucker in einem einzigen /16-Subnetz ohne interne Segmentierung. Als ein Angreifer durch eine Phishing-E-Mail auf der Workstation eines Junior-Analysten ersten Zugriff erlangte, nutzte er nmap, um 847 erreichbare Hosts zu entdecken, identifizierte einen ungepatchten Windows Server 2012 R2-Dateiserver, nutzte MS17-010 (EternalBlue) aus, um SYSTEM-Zugriff zu erhalten, und verwendete diesen Brückenkopf dann, um den Domain Controller zu erreichen. Die gesamte Phase der lateralen Bewegung dauerte weniger als vier Stunden. Wäre das Netzwerk segmentiert gewesen – Workstations in einem separaten VLAN von den Servern, mit Inter-VLAN-Firewall-Regeln, die nur notwendige Protokolle zulassen – hätte die Workstation des Analysten den Dateiserver auf SMB/445 nicht erreichen können, und die Angriffskette wäre beim ersten Pivot unterbrochen worden.

← Bedrohungen · Alle Domänen · Sicherheitsbetrieb →

Diese Fragen üben → · Zeitlich begrenzte Übung auf ExamRoll.io →