Ein IT-Netzwerkaudit beschränkt sich nicht darauf, Ports zu scannen und Switches aufzulisten. Der Wert eines Audits liegt in seiner Fähigkeit, einen Nachweis über die operative Kontrolle zu liefern, nicht in einem einfachen statischen Inventar. Hier behandeln wir die methodologischen Punkte, die den Unterschied zwischen einem verwertbaren Ergebnis und einem Dokument ausmachen, das ohne weitere Maßnahmen abgelegt wird.
Abweichung zwischen deklarierter und beobachteter Konfiguration: der wahre Ausgangspunkt
Die meisten Netzwerkaudit-Leitfäden beginnen mit der Kartierung. Das ist notwendig, aber unzureichend, wenn sie sich auf einen rohen SNMP-Export beschränkt. Der erste Reflex sollte sein, die deklarierte Konfiguration (CMDB, interne Dokumentation, Architekturdiagramme) mit der tatsächlich auf den Geräten beobachteten Konfiguration zu konfrontieren.
Auch lesenswert : Erfahren Sie, wie ein Wirtschaftsmagazin die Markttrends für 2024 vorausahnt
Ein Switch, dessen VLAN-Tabelle nicht mit dem offiziellen Netzwerkdiagramm übereinstimmt, stellt ein unmittelbares Risiko dar. Eine Firewall, deren aktive Regeln von der dokumentierten Sicherheitsrichtlinie abweichen, macht jede angegebene Konformität ungültig. Jede Abweichung zwischen dem Deklarierten und dem Beobachteten muss zeitgestempelt und nachverfolgt werden, indem identifiziert wird, wer die Informationen gesammelt hat und unter welchen Bedingungen.
Dieser Ansatz verwandelt das Audit in einen anfechtbaren Beweis, insbesondere im Rahmen der NIS2-Richtlinie, die verlangt, in einem dokumentierten Konformitätsrahmen zu denken. Es reicht nicht mehr aus, technische Kästchen abzuhaken: Die auditiere Einheit muss formell den gewählten Umfang rechtfertigen, einschließlich der Klassifizierung von Tochtergesellschaften und der Interkonnektivität mit Dritten. Um ein IT-Netzwerkaudit erfolgreich durchzuführen, ist diese dokumentarische Strenge ebenso wichtig wie die technische Analyse selbst.
Ebenfalls empfehlenswert : Die unverzichtbaren Trends für eine erfolgreiche Inneneinrichtung in diesem Jahr
Netzwerkresilienztests: Failover, Umschaltungen und effektive Wiederherstellung
Viele Audits beschränken sich auf die Identifizierung von Schwachstellen. Sie erstellen einen Bericht über Schwachstellen, die nach Kritikalität eingestuft sind, und gehen dann zum Aktionsplan über. Das fehlende Glied ist der kontrollierte Resilienztest.
Ein nicht getesteter Wiederherstellungsplan ist kein Wiederherstellungsplan. Wir empfehlen, systematisch drei operationale Überprüfungen in den Auditumfang zu integrieren:
- Umschaltung eines WAN-Links oder eines Firewall-Clusters unter realen Bedingungen, mit Messung der tatsächlichen Ausfallzeit und Vergleich mit dem angegebenen RTO
- Wiederherstellung eines vollständigen Netzwerk-Backups (Konfiguration der aktiven Geräte, Filterregeln, Zertifikate) in einer isolierten Umgebung, um die Integrität der Dateien zu validieren
- Simulation des Ausfalls eines kritischen Knotens (Wi-Fi-Controller, interner DHCP/DNS-Server), um das Verhalten des Netzwerks ohne menschliches Eingreifen zu beobachten
Diese Tests offenbaren Fragilitäten, die in der Kartierung nicht sichtbar sind. Ein aktives/passives Cluster, das mehrere Minuten benötigt, um umzuschalten, anstatt nur einige Sekunden, weist auf ein Problem mit dem Heartbeat oder einer falsch konfigurierten Priorität hin. Ein Konfigurationsbackup, das sich nicht korrekt wiederherstellen lässt, macht jede Kontinuitätsstrategie obsolet.
Netzwerksicherheitslage: über das Scannen von Schwachstellen hinausgehen
Aktuelle Netzwerkaudits beschränken sich nicht mehr auf VLANs, ACLs und offene Ports. Der Begriff Sicherheitslage umfasst nun auch organisatorische Elemente, die die technische Solidität beeinflussen.
Erster Punkt: die Zentralisierung der Protokolle. Ein Netzwerk, dessen aktive Geräte ihre Protokolle nicht an einen zentralen Sammler (Syslog, SIEM) senden, ist ein blindes Netzwerk. Das Audit muss überprüfen, ob die Protokolle gesammelt, über NTP zeitgestempelt und über einen Zeitraum aufbewahrt werden, der mit den gesetzlichen Anforderungen (DSGVO, NIS2) übereinstimmt.
Zweiter Punkt: die Zugriffsrichtlinien auf die Administrationsgeräte. Wir beobachten regelmäßig, dass SSH- oder HTTPS-Zugriffe auf Switches und Router von jedem Benutzer-VLAN aus ohne Einschränkungen durch Management-ACLs geöffnet sind. Der Zugriff auf den Administrationsbereich muss segmentiert und auf ein dediziertes VLAN beschränkt werden, mit zentralisierter Authentifizierung (RADIUS oder TACACS+).
Dritter Punkt: die Firmware. Ein Netzwerkgerät, dessen Firmware seit mehreren Jahren nicht aktualisiert wurde, sammelt bekannte CVEs. Das Audit muss die installierte Version mit den Sicherheitshinweisen des Herstellers für jedes aktive Gerät abgleichen.
NIS2-Konformität und Netzwerksicherheit
Die NIS2-Richtlinie erweitert den Umfang der betroffenen Entitäten, einschließlich KMUs aus kritischen Sektoren. Für diese Unternehmen ist das Netzwerkaudit nicht mehr optional. Es wird zu einem Baustein des Nachweises der Konformität, ebenso wie die Risikoanalyse oder der Vorfallmanagementplan. Das Audit-Ergebnis muss daher so strukturiert sein, dass es als Nachweis im Falle einer Kontrolle dient.
Auditbericht: einen verwertbaren Bericht strukturieren
Ein Auditbericht, der Hunderte von Findings ohne Priorisierung oder geschäftlichen Kontext auflistet, endet in einer Schublade. Die Qualität des Ergebnisses bestimmt die tatsächliche Auswirkung des Audits auf die Infrastruktur.
Jedes Finding muss einem konkreten geschäftlichen Risiko zugeordnet werden. Ein offener TCP-Port auf einem Produktionsserver hat nicht die gleiche Kritikalität, je nachdem, ob er eine Kundendatenbank oder einen internen Überwachungsdienst exponiert. Der Bericht muss diesen Unterschied klarstellen.
Wir empfehlen, das Ergebnis in drei Ebenen zu strukturieren:
- Exekutive Zusammenfassung für das Management, mit den wesentlichen Risiken, die in geschäftliche Auswirkungen übersetzt werden (Ausfall, Datenverlust, Nichteinhaltung von Vorschriften)
- Detaillierter technischer Bericht für das Infrastrukturteam, mit den gesammelten Beweisen, Konfigurationsaufnahmen und festgestellten Abweichungen
- Priorisierter Maßnahmenplan mit Aufwandsschätzung, identifiziertem Verantwortlichen und Frist, nach abnehmender Kritikalität geordnet
Diese Aufteilung ermöglicht es jedem Gesprächspartner, die Informationen auf seinem Lesenniveau zu finden, ohne die IT-Abteilung mit technischen Details zu überfluten oder das Management ohne konsolidierte Sicht zu lassen.
Nachverfolgung nach dem Audit und Kostenmanagement
Der Bericht schließt das Audit nicht ab. Eine Nachverfolgung nach drei Monaten ermöglicht es zu überprüfen, ob die kritischen Maßnahmen umgesetzt wurden, ob die korrigierten Konfigurationen nicht zurückgefallen sind und ob die Überwachungstools die identifizierten blinden Flecken abdecken. Ohne diese Nachverfolgung wird die Mehrheit der geplanten Maßnahmen nie umgesetzt.
Das Netzwerkaudit im Unternehmen gewinnt an Relevanz, wenn es als wiederkehrender Prozess behandelt wird, nicht als einmaliges Ereignis. Die Planung eines jährlichen Zyklus, abgestimmt auf die Fristen der Konformität und die Entwicklungen der Infrastruktur (Cloud-Migration, SD-WAN-Implementierung), gewährleistet, dass das Netzwerk mit den tatsächlichen Bedürfnissen der Systeme und Benutzer in Einklang bleibt.