Diplomarbeit · HTL Wien 3 Rennweg · Schuljahr 2026/27
Eine Unternehmensinfrastruktur,
die sich selbst verteidigt.
4DFence plant, implementiert und prüft eine praxisnahe Netzwerktopologie auf Basis von Cisco UCS — mit Segmentierung, zentraler Verwaltung, Angriffserkennung und automatisierter Reaktion. Zwölf Hauptziele, vier optionale Ziele, ein durchgängiges Sicherheitskonzept.
Projektbeschreibung
Die Diplomarbeit verfolgt das Ziel, eine umfassende und praxisnahe Netzwerktopologie für ein beispielhaftes Unternehmensszenario zu planen, zu implementieren und sicherheitstechnisch abzusichern. Es entsteht eine moderne Unternehmensumgebung, in der Netzwerk-, Verwaltungs- und Sicherheitslösungen kombiniert und unter realitätsnahen Bedingungen eingesetzt werden. Die technische Umsetzung der virtualisierten Infrastruktur erfolgt auf Basis von Cisco Systems UCS.
Die geplante Umgebung umfasst typische Komponenten eines Unternehmensnetzwerks: Netzwerksegmentierung, zentrale Benutzer- und Rechteverwaltung, sichere Standortvernetzung sowie Überwachung und Analyse des Netzwerkverkehrs. Ergänzt wird das Konzept durch Systeme zur Erkennung, Protokollierung und Reaktion auf sicherheitsrelevante Ereignisse sowie Schutzmechanismen für Endgeräte, Webanwendungen, E-Mail-Kommunikation und drahtlose Netzwerke.
Ein weiterer Schwerpunkt liegt auf modernen Sicherheitskonzepten innerhalb des Unternehmensszenarios: Zugriffskontrolle, automatisierte Sicherheitsprozesse, Zero-Trust-Ansätze sowie die Absicherung öffentlich erreichbarer Dienste in getrennten Netzwerkbereichen. Im Anschluss an die Implementierung werden Angriffs- und Testszenarien durchgeführt, um die Wirksamkeit der Maßnahmen nachvollziehbar zu dokumentieren.
Ziele
Zwölf Hauptziele bilden das verpflichtende Fundament der Arbeit, von der virtuellen Laborumgebung bis zu den Zertifizierungsprüfungen. Vier weitere Ziele werden optional umgesetzt, abhängig vom Projektfortschritt.
Hauptziele
H1 Aufbau der virtuellen Laborumgebung verpflichtend
Auf dem UCS-Server entsteht eine virtuelle Laborumgebung, in der alle benötigten Netzwerk- und Security-Komponenten integriert und betrieben werden. Diese Umgebung bildet die Grundlage für alle weiteren Ziele.
- Bereitstellung und Konfiguration der virtuellen Maschinen auf dem UCS-Server
- Integration der benötigten Netzwerk- und Security-Systeme (z. B. Firewall, Server, Clients)
- Einbindung der erforderlichen Images und Installationsdateien
- Aufbau einer funktionierenden virtuellen Netzwerk-Topologie
- Sicherstellung der Konnektivität zwischen allen Systemen
- Erstellung von Snapshots bzw. Backups der Grundinstallation
H2 Active Directory (AD) verpflichtend
Ein Active-Directory-System übernimmt die zentrale Benutzer- und Rechteverwaltung innerhalb der virtuellen Laborumgebung. Folgende Features werden mindestens einmal implementiert:
- Zentrale Benutzer- und Gruppenverwaltung mit Sicherheitsgruppen und RBAC
- Group Policies (GPOs) mindestens für Browser, Passwörter und Firewall
- OU-Struktur mit Trennung mindestens nach Standorten und Accounts
- DNS integriert ins AD
- Redundante Domain Controller: mindestens 2 Domain Controller in mindestens 1 Standort
- Tiering / getrennte Admin-Konten
- LAPS
- Audit Logging & Monitoring
- Passwort- und Accountschutz
H3 Netzwerksegmentierung und Zugriffskontrolle verpflichtend
Die Netzwerktopologie wird durch Zugriffskontrolle und Segmentierung abgesichert. ACLs, Firewall-Regeln und Richtlinien steuern den Datenverkehr zwischen den Netzwerkbereichen gezielt und verhindern unautorisierte Zugriffe.
- Sinnvolle VLAN-Setzung
- ACLs zur Zugriffssteuerung
- Implementierung nach dem Least-Privilege-Prinzip
H4 Next-Generation Firewall und VPN verpflichtend
Eine Next-Generation Firewall (FortiGate) schützt die Infrastruktur vor externen Bedrohungen; VPN-Technologien sichern die Kommunikation zwischen mehreren Standorten ab. Folgende Features werden mindestens einmal implementiert:
- Web Filtering
- Intrusion Prevention System (IPS)
- SSL Inspection
- DoS Protection
- Antivirus Scanning
- Data Leak Prevention (DLP)
- Einrichtung und Absicherung von VPN-Verbindungen zwischen den Standorten
- Zugriffskontrolle und Verschlüsselung des standortübergreifenden Datenverkehrs mit VPN
H5 Monitoring / Security Information and Event Management (SIEM) verpflichtend
Ein Monitoring-System — im Aufbau einem SIEM ähnlich — sammelt, protokolliert und visualisiert sicherheitsrelevante Ereignisse zentral.
- Logs zentral sammeln
- Logs von verschiedenen Quellen auswerten
- Zusammenarbeit mit EDR und NDR
- Vordefinierte Ereignisse (z. B. mehrfach fehlerhafte Logins) bei Eintreten aufzeigen
- Visualisierung, etwa durch Reports
H6 Endpoint Detection & Response (EDR) verpflichtend
Eine EDR-Lösung überwacht und wertet sicherheitsbedrohende Aktivitäten auf Endgeräten aus. Playbooks behandeln erkannte Anomalien mit passenden Reaktionen.
- Überwachung ausgewählter Endgeräte
- Erkennung von sicherheitsrelevanten Ereignissen
- Protokollierung und zentrale Darstellung von Events
- Definition und Umsetzung einfacher Reaktionsmechanismen (Playbooks)
- Testen ausgewählter Angriffsszenarien im Labor
H7 Network Detection & Response (NDR) verpflichtend
Eine NDR-Lösung analysiert den Netzwerkverkehr und erkennt sicherheitsrelevante Aktivitäten. NDR arbeitet mit dem SIEM zusammen, um Logs auszuwerten und das Netzwerk abzuhärten.
- Überwachung des Netzwerkverkehrs in ausgewählten Segmenten
- Erkennung auffälliger oder potenziell schädlicher Netzwerkaktivitäten
- Bereitstellung von Netzwerk-Logs für Analyse und Auswertung
- Unterstützung der Zusammenarbeit mit dem SIEM-System
- Durchführung von Tests anhand definierter Netzwerkszenarien
H8 Network Access Control (NAC) verpflichtend
Eine NAC-Lösung kontrolliert den Netzwerkzugriff und lässt nur autorisierte Geräte und Benutzer zu — für höhere Netzwerksicherheit und weniger unbefugten Zugriff.
- Geräteauthentifizierung: Prüfung und Registrierung aller Endgeräte vor dem Netzwerkzugriff
- Benutzerautorisierung: Zugriffsrechte nach Benutzerrollen und Berechtigungen
- Netzwerksegmentierung: Trennung von Geräten in unterschiedliche Netzwerkbereiche
- Überwachung und Protokollierung: laufende Kontrolle aller Zugriffe sowie Dokumentation von Anmelde- und Sicherheitsereignissen
H9 Demilitarized Zone (DMZ) verpflichtend
Im Headquarter (HQ) trennt eine DMZ Dienste, die in der Realität öffentlich erreichbar wären, vom internen Unternehmensnetzwerk. Sie dient als isolierter Bereich für externe Services und Systeme.
- Hauptserver: Web, DNS, FTP
- Bastion-Host-Server
- Mail-Server mit FortiMail
- Mikrosegmentierung innerhalb der DMZ — Server und Dienste voneinander isoliert
- Bereitstellung nach außen
H10 Angriffs-/Testszenarien sowie Dokumentation verpflichtend
Alle implementierten Features werden durch Angriffs- und Testszenarien überprüft. Für jedes Feature wird mindestens ein Szenario umgesetzt, die Durchführung und die Ergebnisse werden dokumentiert.
H11 NSE 4 – FortiOS Administrator verpflichtend
Alle vier Teammitglieder treten zur Fortinet-Zertifizierungsprüfung NSE 4 – FortiOS Administrator an.
- Tobias Kalman
- Huba Kormany
- Eliah Haneder
- Florian Iser
H12 NSE 5 – Secure Wireless LAN Administrator verpflichtend
Alle vier Teammitglieder treten zur Fortinet-Zertifizierungsprüfung NSE 5 – Secure Networking (Secure Wireless LAN Administrator) an.
- Tobias Kalman
- Huba Kormany
- Eliah Haneder
- Florian Iser
Optionale Ziele
O1 Sandbox optional
Eine Sandbox-Lösung mit FortiSandbox analysiert verdächtige Dateien und potenziell schädliche Inhalte in einer isolierten Umgebung — Bedrohungen werden erkannt, bevor sie das Produktivnetzwerk erreichen.
- Aufbau einer isolierten Sandbox-Umgebung
- Analyse von verdächtigen Dateien und Malware
- Bewertung des Verhaltens von Dateien
- Dokumentation der Analyseergebnisse und Klassifizierung der Bedrohungen
- Anbindung an das SIEM
O2 Security Orchestration, Automation and Response (SOAR) optional
Eine SOAR-Lösung wird konzeptionell oder praktisch integriert, um Sicherheitsereignisse aus SIEM, EDR und NDR zu automatisieren, zu korrelieren und standardisierte Reaktionsmaßnahmen auszuführen.
- Integration von Sicherheitsereignissen aus SIEM, EDR oder NDR in eine zentrale SOAR-Logik
- Erstellung automatisierter Playbooks für definierte Sicherheitsvorfälle
- Umsetzung mindestens eines automatisierten Response-Workflows (z. B. IP-Block oder Host-Isolation)
- Korrelation und Verarbeitung sicherheitsrelevanter Events aus verschiedenen Quellen
- Dokumentation und Auswertung der automatisierten Reaktionen
O3 Secure WLAN optional
Ein sicheres WLAN-System auf Basis von WPA3 und RADIUS-Authentifizierung kontrolliert den drahtlosen Netzwerkzugang zentral und gewährt nur authentifizierten Benutzern und Geräten Zugriff.
- Einrichtung eines WLANs mit WPA3-Verschlüsselung
- Integration eines RADIUS-Servers zur zentralen Authentifizierung
- Konfiguration der Benutzer- bzw. Geräteauthentifizierung über RADIUS
- Einschränkung des WLAN-Zugriffs auf autorisierte Benutzer und Geräte
- Test der Authentifizierung und Zugriffskontrolle im WLAN
O4 Web Application Firewall (WAF) optional
Eine Web Application Firewall schützt Webanwendungen gezielt vor Angriffen und unerlaubtem Zugriff.
- Absicherung von Web-Applikationen durch eine WAF
- Schutz vor automatisierten Angriffen durch Bot-Mitigation
- Implementierung von DDoS-Schutzmechanismen für Web-Dienste
- Absicherung und Kontrolle von API-Zugriffen (API-Security)
- Test und Validierung der Schutzmechanismen durch Angriffsszenarien
Nicht-Ziele
- N1 Die Diplomarbeit wird nach Abnahme und Benotung nicht weitergeführt.
- N2 Weiterführung und Wartung der UCS-Umgebung liegen außerhalb des Projektumfangs.
- N3 Verwendete Geräte werden per Automatisierungsskript in den ursprünglichen Zustand zurückgesetzt.
Technologiebasis
Die virtualisierte Infrastruktur läuft auf Cisco Systems UCS. Darauf aufbauend kombiniert 4DFence Werkzeuge aus vier Bereichen der Sicherheitsarchitektur.