Managed Firewall im Fokus – von der Leistungsdefinition bis zum Reporting

Wir haben ein klein bisschen den Vorteil, dass jeden Tag irgendein anderer Hackerangriff oder ähnliches in der Presse zu finden ist und wir uns auch einfach ein bisschen darauf berufen können, und wir dem Kunden klarmachen, dass es nicht damit getan ist, da jetzt eine Firewall hinzustellen, die einmal zu installieren und dann läuft sie schon und in drei Jahren machen wir eine Verlängerung oder ähnliches, sondern dass der Schutzmechanismus wirklich erst gegeben ist, auch der Mehrwert für den Kunden, wenn man sich regelmäßig das System kümmert, Firmware Updates einspielen gegen spezielle Bedrohungen, spezielle Filtersätze oder ähnliches. Dafür ist die IT einfach zu dynamisch und die Bedrohungsfaktoren draußen einfach zu groß und auch zu vielfältig, die da momentan auch so jeden Tag aus dem Boden sprießen.

Wir haben die Systeme anein Monitoring System von uns angedockt, wo wir kontinuierlich auch die Firewall überwachen und überprüfen, was geht an Traffic rein und raus. Wir analysieren mehrmals in der Woche, was an Traffic durch den Kunden durchgegangen ist, um frühestmöglich erkennen zu können, wenn irgendwo was schief geht. Wir nutzen natürlich auch bei einigen Kunden so eine Technik wie MDR, wodurch wir Hilfe von dritter Seite bekommen, wo wir uns auf die Expertise von Profis verlassen können und hier auch sichergehen können, dass uns da jemand alarmiert, wenn uns mal irgendwas durchrutscht.

Zum Beispiel sehen wir ab und zu, wenn Kunden Geräte ins Netzwerk bringen, wo sie nicht hingehören oder ins WLAN mit aufnehmen oder ähnliches, wo dann bei uns Alarmierungen hochgehen, wo ein sogenannter Command and Control Server kontaktiert wird, also wo scheinbar ein Gerät Schadcode runterzuladen versucht wird. Das haben wir in den letzten Tagen das eine oder andere Mal feststellen müssen, dass das bei Kunden auftritt. Dann gehen die Techniker von uns auf die Firewall. Was ist das für ein Endgerät? Ist das eventuell legitimierter Traffic, der wirklich raus soll? Um im letzten Step auch mit dem Kunden ins Gespräch zu gehen: Hör mal, wir haben hier ein Gerät gefunden. Hast du was Neues aufgenommen? Bitte guck mal! Bis einer von uns hinfährt, das Gerät versucht zu identifizieren und dann aus dem Netzwerk rausnimmt. Bis jetzt hatten wir tatsächlich das Glück, dass das alles falsche Alarme waren, also dass das legitimierter Traffic war, der nach außen ins Internet gegangen ist und wir da zum Glück ja keinen Angriff oder ähnliches im Netzwerk feststellen konnten.

Beim Onboarding geht es erst einmal darum, sich so gut wie möglich im Vorfeld mit der IT oder mit der Geschäftsführung abzustimmen. Was sind denn für Anwendungen im Einsatz? Habt ihr spezielle Software im Einsatz? Um dann nachgehend schon das Regelwerk zu gestalten. Aber es kommt immer wieder vor, dass es sich nicht 100% im Vorfeld klären lässt, so dass wir die Firewall die ersten ein, zwei Tage ein bisschen lascher einstellen, um nicht zu viel Unmut beim Kunden zu erzeugen und dann nach und nach analysieren – anhand von Log Dateien, Protokollen etc. – und dann auch noch mal Rücksprache mit dem Kunden, ob diese Sachen wirklich benötigt sind. Wo wir dann sehen, okay, das Programm XYZ, da hat keiner dran gedacht. Das kommuniziert noch ins Internet, dann ist das Regelwerk nach und nach zu verfeinern und scharf zu schalten. Das funktioniert nicht 100 Prozent direkt von Anfang an.

Das ist ein wachsender und stetiger Prozess, den man gerade beim Onboarding bei Neukunden mit angehen muss. Und das lässt sich wie gesagt auch nicht 100 Prozent im Vorfeld abfangen.

Verschiedene Pakete haben wir tatsächlich bei uns nicht mehr im Portfolio. Das hatten wir vor einigen Monaten, da gab es Standard, Premium, Basic Managed Firewall, wo verschiedene Funktionsumfänge enthalten waren. Davon sind wir weggegangen, weil a) die Pakete mit dem Kunden zu diskutieren teilweise anstrengend war und b) das größte Paket eigentlich auch den besten Schutz für den Kunden bietet.

Und wir machen jetzt nur noch die Unterscheidung anhand des Durchsatzes, der sich in den Useranzahlen widerspiegelt. Also für Useranzahl XYZ haben wir hier dieses Paket, für eine größere Anzahl musst du dieses Paket nehmen und darin haben wir tatsächlich auch schon den kompletten Funktionsumfang der Firewall mit drin. Und zusätzlich an Dienstleistungen haben wir immer die Grundinstallation, auch die Integration beim Kunden im Netzwerk mit einer Pauschale versehen, die wir dem Kunden mit abrechnen.

Und darüber hinaus haben wir Regelwerk Anpassungen, mal einen VPN User anzulegen, das Reporting anzuschauen, sich um Firmware Updates zu kümmern, auch sich darum zu kümmern, wenn ein Firmware Update schiefgegangen ist, dass ist komplett in dem Managed Firewall Paketen mit enthalten.

Was wir nicht drin haben, das wird nach Dienstleistungsaufwand dementsprechend abgerechnet, sind größere Änderungen im Netzwerk des Kunden. Segmentierung von Netzen oder Anbindung von verschiedenen größeren Zweigstellen etc., weil das meistens mehr Know How und auch Aufwand erfordert, den man halt im Vorfeld einfach nicht in diese Managed Pakete mit rein kalkulieren kann.

Wir weisen das bei uns über das Ticketsystem mit einem 0 € Betrag auf den Rechnungen aus. „Inklusiv in dem Service Vertrag mit enthalten“, steht dann bei uns auf der Rechnung. Somit weiß der Kunde, dass wir was gemacht haben.

Und wir sind komplett davon weggegangen, Firewall Reports an Mitarbeiter oder die Geschäftsführung beim Kunden zu schicken, weil die meistens so technisch sind, dass viele Kunden gar nichts damit anfangen können und die Nachfragen größer sind als der Nutzen. Eine andere Sache ist es, wenn wir den MDR Service mit angedockt haben, wo Kunden professionell mit überwacht werden, dann haben wir die Thematik, dass wir diesen Report an den Kunden mitschicken.

Wir machen diesen Managed Firewall Bereich ausschließlich mit der Lösung, die wir bis ins FF kennen. Wenn dann ein anderer Hersteller oder ähnliches beim Kunden steht, müssen wir den ganz klar für den Managed Service Bereich ablehnen, da wir nicht alle Firewalls kennen und uns lieber mit dem Produkt beschäftigen, das beim großen Teil unserer Kunden im Einsatz ist

Das ist etwas anderes, wenn man im „Nicht Managed Service“ Bereich unterwegs ist. Da kann man dann schauen, zum Beispiel mit Partnerunternehmen, ob der eine oder andere Partner das machen kann, aber wir selbst in dem Fall definitiv nicht. Da macht man sich einfach eine Baustelle auf, die man nicht haben will.