Firewall Handbuch für LINUX 2.0 und 2.2 - zurück

4 ein TCP 25 >1023
Das Beispiel zeigt die Filterregeln, die einen Host hinter einem Paketfilter schützen sollen.
Ein Client aus dem Internet kann eine Verbindung zu dem Host aufbauen, um e-Mail zu
senden (Regel 12). Der Host selber darf Verbindungen zu anderen Hosts aufbauen, um e-
Mails zu versenden. Regel (34). Was ist aber, wenn ein Angreifer mit einem Client von
Port 25 aus einen beliebigen Port > 1023 auf dem Host erreichen will ? Nach Regel 4
würde die Verbindung zugelassen werden. Ein Angriff wäre somit erfolgreich. Der kleine
Zusatz in Regel 4 (ACK gesetzt) bedeutet gleichzeitig: SYN darf keinesfalls gesetzt sein !
Dann ist nämlich der Verbindungsaufbau von Port 25 nach z.B. Port 8080 (WWW-
PROXY-CACHE) des Hosts untersagt.
Ein großes Problem ist die Behandlung von UDP. UDP kennt keine ACK-Bits, sodaß hier
der Paketfilter immer wieder von neuem entscheiden muß, ob das Paket zulässig ist, oder
nicht. UDP besitzt auch keine Prüfsummen, die eventuell verlorengegangene oder von
einem Angreifer zusätzliche eingeschleuste Pakete entdecken könnten. Hierfür gibt es
TCPUDP Relays
Für die Sicherheitsüberprüfung mit einem Portscanner bedeutet dieses, daß alle
Kombinationen von Quellport und Zielport ebenfalls geprüft werden müssen. Das wären
ungefähr 4.3 Milliarden Pakete (65536^2). Die Überprüfung mit nur einem Paket würde ca.
1 Tag dauern (10 MBit). Portscanner überprüfen daher stets nur die Zielports unter
Verwendung eines einzigen Quellports.
Wie wichtig diese Überprüfung ist, zeigt sich an einem Einbruch in die Site von Wietse
Venema, der Autor des TCP-WRAPPER ist. Ein Hacker hat den Quellcode so verändert,
daß eine Rootshell aktiviert wird, sobald von einem bestimmten Quellport auf einen
bestimmten Zielport des Wrappers zugegriffen wird. Ein normaler Portscanner hätte das
Problem nicht erkannt. Umso wichtiger erscheint es, daß die Firewall "counter intelligence"
Mechanismen besitzt, und nach einigen wenigen Portscans die Verbindung zu diesem
Host sperrt ! Der Nachteil ist jedoch, daß die Firewallregeln schlecht überprüfbar sind, da
stets die counter intelligence Mechanismen aktiv werden und die Sicherheitsüberprüfung
verhindern.
17.2 Sicherheitshinweise zur Generierung von Firewallregeln
Es gibt im Internet einige Programme, PERL-Skripte mit HTML Interfaces, die
entsprechend den Eingaben des Users fertige Regeln für z.B. LINUX IPFWADM, IPFW,
IPCHAINS, IPFILTER, u.s.w. generieren. Diese Sites sind nicht speziell gesichert, und es
besteht stets die Möglichkeit, daß Regeln falsch sind, weil der Generator von einem
Angreifer verändert wurde. Auch Hinweise aus NEWSGROUPS (Hier meine
Konfiguration) sind unbedingt auf Korrektheit zu überprüfen.
18. Übersicht Filterregeln
Hier nun eine Übersicht über alle häufig eingesetzten Protokolle, die ACK Bits und
Portnummern.
18.1 Mail Dienste
SMTP DMZ (e-Mail)
SMTP ist ein Dienst, der auf TCP basiert SMTP-Empfänger benutzen Port 25, SMTP-
Sender benutzen eine beliebige Portnummer über 1023.
Erstellt von Doc Gonzo - http://kickme.to/plugins