Verwaltungszugriff auf Netzwerkgeräte isoliert
Infrastruktur & Endgeräte
Stand 20.01.2026nicht erfüllthoch
Bewertung durch HoliSec (alle Quellen) · Lauf vom 20.01.2026 · Verantwortlich: TechPartner Süd GmbH
IST-Zustand
Verwaltungsoberflächen von Firewall, Switches, APs, iLO, NAS und Kameras aus dem Client-Netz erreichbar; FortiGate-Admins ohne trusted-host, Timeout 8 Stunden.
Soll-Zustand
Verwaltungszugriff auf Netzwerkgeräte isoliert
Empfehlung
Management-VLAN, trusted-hosts, kurze Timeouts.
Aussage aus dem Gespräch
- Firewall, Switches und APs sind aus dem Client-Netz per Web und SSH erreichbar; TechPartner Süd kommt per VPN auf das Web-Interface.
Aussagen belegen den Ist-Zustand; die Bewertung erfolgt aus der Erhebung.
Evidenz
Dokumente
Noch keine Dokumente zu dieser Anforderung – z. B. Richtlinie, Netzplan, Vertrag oder Foto als Nachweis.
Technische Prüfpunkte
FortiGate fw-sued-01Firewall-Audit
| Status | Prüfpunkt | Ist-Zustand | Soll |
|---|---|---|---|
| nicht erfüllt | Admins ohne trusted-host-Beschraenkung | 2 | 0 (alle auf Mgmt-Netz beschraenken) |
| teilweise | Admin-Timeout (Minuten) | 480 | <= 15 |
iLO ilo-bkp01iLO-Audit
| Status | Prüfpunkt | Ist-Zustand | Soll |
|---|---|---|---|
| erfüllt | IPMI/DCMI-over-LAN deaktiviert | deaktiviert | deaktiviert (Angriffsfläche) |
| erfüllt | iLO-SSH restriktiv | deaktiviert | deaktiviert oder auf Mgmt-Netz beschränkt |
| erfüllt | Kein Klartext-HTTP am iLO | HTTP deaktiviert (nur HTTPS) | nur HTTPS |
| erfüllt | SNMP restriktiv/deaktiviert | SNMPv3 (Checkmk), v1/v2c aus | deaktiviert oder SNMPv3 |
iLO ilo-esx01iLO-Audit
| Status | Prüfpunkt | Ist-Zustand | Soll |
|---|---|---|---|
| erfüllt | IPMI/DCMI-over-LAN deaktiviert | deaktiviert | deaktiviert (Angriffsfläche) |
| erfüllt | iLO-SSH restriktiv | deaktiviert | deaktiviert oder auf Mgmt-Netz beschränkt |
| erfüllt | Kein Klartext-HTTP am iLO | HTTP deaktiviert (nur HTTPS) | nur HTTPS |
| erfüllt | SNMP restriktiv/deaktiviert | SNMPv3 (Checkmk), v1/v2c aus | deaktiviert oder SNMPv3 |
Mailserver srv-mail01Mailserver-Audit
| Status | Prüfpunkt | Ist-Zustand | Soll |
|---|---|---|---|
| teilweise | Admin-Konsole (Port 4040) zugriffsbeschränkt | Admin-Web auf :4040 erreichbar (intern geprüft) — externe Exposition via FortiGate-Regelwerk verifizieren | Admin-Zugriff auf Management-Netz beschränkt |
NAS nas-bkp01NAS-Audit
| Status | Prüfpunkt | Ist-Zustand | Soll |
|---|---|---|---|
| erfüllt | NAS nicht Internet-exponiert | internes VLAN (10.20.18.18, VLAN18 'qnap'), kein direkter Internet-Zugriff | kein direkter Internet-Zugriff auf das NAS |
Netzwerk-Switch sw-halle-01Switch-Audit
| Status | Prüfpunkt | Ist-Zustand | Soll |
|---|---|---|---|
| erfüllt | Telnet deaktiviert | deaktiviert (no telnet-server) | deaktiviert |
| erfüllt | SSH aktiviert | aktiv (SSH-Login als manager erfolgreich) | aktiviert |
| erfüllt | Konsolen-/Idle-Timeout gesetzt | 10 Minuten | gesetzt (<= 10 Min) |
| erfüllt | Manager-Passwort gesetzt | gesetzt (password manager) | gesetzt (kein Default/leer) |
WLAN-Controller wlan-werkWLAN-Audit
| Status | Prüfpunkt | Ist-Zustand | Soll |
|---|---|---|---|
| erfüllt | Telnet deaktiviert | nicht aktiv | deaktiviert (nur SSH) |
| erfüllt | Admin-Passwort als Hash gespeichert | ja | gehasht |
Maßnahmen
- Management-Netz einrichtengeplant
Verlauf
- Lauf vom 20.1.2026: nicht erfüllt20.10.2026, 07:15
- Lauf vom 16.12.2025: nicht erfüllt20.10.2026, 07:15
- Lauf vom 18.11.2025: nicht erfüllt20.10.2026, 07:15
- Lauf vom 14.10.2025: nicht erfüllt20.10.2026, 07:15
- Maßnahme angelegt: Management-Netz einrichten20.10.2026, 07:15
Kommentare
Noch keine Kommentare.