Windows Server 2008 Sicherheit – Die technische Referenz - Gattner

Windows-Firewall mit erweiterter Sicherheit 119
Ausgehende Filterung
Nachdem ich viele Jahre lang Händeringen, Hyperventilation und meterlange Bücherregale
mit Ratschlägen von Herstellern, Administratoren und Sicherheitsexperten (sowohl echte als
auch selbsternannte) beobachten durfte, bin ich zu dem Schlusss gekommen, dass ausgehende
Filterung von Netzwerkverkehr auf Hostfirewalls in den meisten Fällen sinnlos ist. Ich
schreibe bewusst »in den meisten Fällen«. Etwas weiter unten komme ich darauf zurück und
beschreibe, wann ich ausgehende Filterung für angebracht halte. Um einen bekannten Ausspruch
von Bruce Schneier zu zitieren, den ich für einen echten Experten halte (auch wenn
ich öfters anderer Meinung bin als er): Ausgehende Filterung ist üblicherweise lediglich
»Sicherheitstheater«. Es ist die eingehende Filterung, die böswilligen Netzwerkverkehr
stoppt, zum Beispiel Nimda, Slammer, Sasser, Blaster oder was auch immer unerwünschten
Netzwerkverkehr an Ihren Server sendet.
Als Microsoft in Service Pack 2 für Windows XP die stark verbesserte Firewall einführte,
wurde eine Menge Geschwafel produziert, weil sie keine ausgehende Filterung enthielt. Ich
sage es Ihnen ganz unverblümt: Die meisten dieser Beschwerden kamen von Leuten, die
(gelinde gesagt) nicht allzu viel davon verstehen, was beim Thema Computersicherheit
sinnvoll ist, oder von Unternehmen, die ihre eigenen Clientfirewallprodukte anpriesen. Falls
ein Angreifer (oder Malware) die Kontrolle über Ihren Computer übernommen hat, was soll
ihn dann hindern, die Firewall so umzukonfigurieren, dass sie Verkehr von beliebigen Anwendungen
durchlässt? Der Angreifer braucht wahrscheinlich nicht einmal die Firewall
umzukonfigurieren, er kann einfach Ports nutzen, die bereits erlaubt sind, oder die Kontrolle
über eine Anwendung übernehmen, die bereits Verkehr hinaussenden kann. Ein anderer
bedenklicher Aspekt der meisten Clientfirewalllösungen ist, dass ausgehende Filterung jegliche
Benutzerfreundlichkeit in Grund und Boden stampft: Nachdem Sie das verdammte
Ding installiert haben, werden Sie mit Hunderten von Popupdialogen bombardiert, die Sie
fragen, ob der Internet Explorer wirklich eine Verbindung zu www.microsoft.com öffnen darf
oder ob Sie wirklich absolut sicher sind, dass der MSN Web Messenger Verkehr an msn.com
senden darf. Nachdem sich ein Benutzer eine Woche lang durch Unmassen dieser Dialogfelder
geklickt hat, neigen selbst paranoide Systemadministratoren und Sicherheitsexperten
dazu, das Ding völlig zu deaktivieren. Oder sie gewöhnen sich an, sofort ohne Hinsehen auf
Ja oder Zulassen zu klicken, damit sie eine Chance haben, ihre Arbeit auf dem Computer
erledigt zu bekommen!
Microsofts neuestes Serverbetriebssystem nutzt die ausgehende Filterung auf intelligente
Weise, indem sie Systemdienste daran hindert, Netzwerkverbindungen aufzubauen, sofern
sie diese Verbindungen nicht benötigen, um ihre Funktion zu erfüllen. Falls ein Dienst kompromittiert
wird, ist er nicht in der Lage, die Firewall umzukonfigurieren, ohne den Benutzer
darüber zu informieren. Sie können nämlich keine Firewalleinstellungen ändern. In der
Standardeinstellung erlaubt die neue Firewall alle anderen ausgehenden Netzwerkpakete.
Sie können das Standardverhalten so ändern, dass der gesamte ausgehende Verkehr blockiert
wird, aber ich rate davon ab, weil Sie dann viele Stunden, Tage und möglicherweise Wochen
dafür aufwenden müssen, jede Ausnahme auszutüfteln, die Sie konfigurieren müssen, damit
Ihre Server alle ihre vorgesehenen Aufgaben erfüllen können.
Detaillierte Regeln
In Windows Server 2008 und Windows Vista ist die Firewall sowohl für eingehende als auch
ausgehende Verbindungen aktiviert. Die Standardrichtlinien blockieren den meisten eingehenden
Verkehr und erlauben den meisten ausgehenden Verkehr. Die Firewall unterstützt die