Firewall Handbuch für LINUX 2.0 und 2.2 - zurück

erfahrene Angreifer fern. Sie dienen im Prinzip nur dazu, die Verfügbarkeit der Server zu
erhöhen. Im Gegensatz zu früheren Empfehlungen (Einrichten von Firewalls
Chapman/Zwicky) sollten die Firewalls mindestens Statful Paket Filter (SPF Firewalls) sein
und über verschlüsselte Protokolle zur Fernwartung und Analyse der Logfiles verfügen.
Die Überwachung von Firewall 1 und der Server 1+2 in der DMZ stellt allerdings ein
Problem dar, dessen Lösung nicht ganz trivial ist. Logserver sind ebenfalls anfällig gegen
buffer overflows und können von Angreifern stillgelegt werden. (DoS attack) Es darf
unter keinen Umständen Firewall 2 für die kontinuierliche Übertragung von Logfiles auf
einen Logserver im lokalen Netz geöffnet werden. Es bietet sich an, den WWW-Server in
der DMZ als Logserver für Router und Firewall 1 einzusetzen. Mit FTP z.B. könnte eine
Arbeitsstation die puren ASCII Logfiles von Router und Firewall 1 herunterladen und
auswerten. Besser ist jedoch ein eigener Server in der DMZ, der nur eine Aufgabe hat,
nämlich die Logfiles zu speichern. Da auf diesem alle weiteren Funktionen deaktiviert sind,
ist dieser höchstwahrscheinlich nicht anfällig gegen buffer overflows, weil er viel weniger
Angriffspotential bietet. Ein Auswertungsprogramm könnte aber so geringe Differenzen
zwischen den Logfiles von Router, Server 1 und dem Logserver sofort bemerken. Es ist
höchst unwahrscheinlich, daß ein Angreifer zur gleichen Zeit beide Logserver angreifen
kann.
17. Filterregeln und Erklärungen
Dieses Kapitel beschreibt alle wichtigen Protokolle und die Zusammenhänge zwischen IP,
TCP, UDP und den höheren, weil zusammengesetzten Protokollen. Es wird im Detail
beschrieben, welche Ports in welcher Reichenfolge geöffnet werden müssen, damit diese
über die Firewall transportiert werden können. Leider bieten sogar Hersteller von
renommierten Firewalls Proxy´s für Protokolle an, die sich nicht für Proxy´s eignen.
Entsprechende Sicherheitsprobleme sind somit vorprogrammiert. Diese folgenden Kapitel
werden diese im Detail beschreiben und begründen.
17.1 Das ACK - Bit
Manchmal ist es sinnvoll eine TCP-Verbindung in nur eine Richtung zuzulassen, und in die
andere Richtung zu verbieten. Wir müssen hierzu zwischen dem Vorgang des
Verbindungsaufbaues und der Übertragung der folgenden Pakete unterscheiden. Um eine
Verbindung aufzubauen, wird ein SYN Paket gesendet, welches mit einem ACK quittiert
wird. Danach folgen nur noch Pakete, die kein ACK Bit gesetzt haben. Es reicht also nach
dem SYN-Bit zu differenzieren, da Pakete mit SYN-Bit kein ACK-Bit gesetzt haben sollten.
Was aber passiert, wenn ein Angreifer SYN und ACK Bits zusammen setzt ? Nun, sobald
ein ACK Flag gesetzt ist, muß das Paket zu einer bestehenden Verbindung gehören. Die
Firewall merkt sich stets Verbindungen, die mit einem SYN-Flag erfolgreich den Filter
passiert haben. Da TCP Verbindungen stets mit Prüfsumme und Sequenznummer
abgesichert sind, gelingt es dem Zielhost oder der Firewall nicht, diese Pakete einer
Verbindung zuzuordnen, daher werden sie abgelehnt. Da es leider noch einige
Betriebssysteme gibt, die schwere Fehler im TCP/IP Stack haben (Windows NT), sollte
man möglichst eine Firewall mit PROXY einsetzen. Stateful Paket Filter (SPF´s) leiten
Pakete manchmal ohne diese Prüfung weiter (RAPTOR, FIREWALL-1). Um also einen
Verbindungaufbau von außen nach innen zu erlauben, darf beim ersten Paket das ACK-
Bit nicht gesetzt sein. Was passiert aber, wenn der Router nicht nach SYN/ACK
unterscheiden kann, oder die ACK Regeln falsch gesetzt wurden ?
Ein Beispiel:
Regel Richtung Protokoll Quellport Zielport
1 ein TCP >1023 25
2 aus TCP 25 >1023
3 aus TCP >1023 25
Erstellt von Doc Gonzo - http://kickme.to/plugins