Firewall Handbuch für LINUX 2.0 und 2.2 - zurück

overflows führen. Für die Firewall bedeutet dies, daß Sie UDP Traffic auf dem PORT
31375 ebenfalls zulassen muß, was bedeutet, daß ein Angreifer mit BO von der Firewall
unbemerkt Arbeitsstationen im Intranet fernsteuern kann, sofern es ihm gelingt ein solches
trojanisches Pferd einzuschleusen. Der Systemadministrator erfährt trotz aktiver Firewall
nichts von einem Angriff. Damit ist der Sinn einer Firewall völlig in Frage gestellt. In der
Praxis kann man bei vielen Clients jedoch den Bereich von Ports einschränken, was aber
prinzipiell nichts ändert, da sich auch Programme wie BO anpassen lassen.
19. Firewall mit bastion host und DMZ
Dieses Kapitel beschreibt die Problematik der Architektur von mehrstufigen Firewalls mit
DMZ (De-Militarisierte Zone). Es sehr komplex, diese Regeln aufzusetzen und vor allem
zu verstehen, da nicht immer klar wird, warum diese Regeln genau so implementiert
werden müssen. Nach der Liste folgen die Erklärungen. Es ist eine gute Übungsaufgabe,
eine einzige willkürlich gewählte Regel zu entfernen, und zu überlegen, was dann passiert.
Z.B. ist FTP 7 eine häufig vergessene Regel. Welche Angriffe werden möglich ? Erst wer
diese Frage genau beantworten kann, der sollte eine Firewall mit DMZ installieren.
19.1 Innere Firewall mit bastion host und Grenznetz
Die innere Firewall ist im Grunde das letzte Hindernis, welches einen Angreifer noch vom
internen Netzwerk trennt. Die Server im Grenznetz müssen aufgrund ihrer Anfälligkeit für
Angriffe im Prinzip als unsicher betrachtet werden. Es empfiehlt sich für diese Server eine
Fernwartung mit einem verschlüsselten Client, wie z.B. SSH von einer Arbeitsstation aus.
Für einen Angreifer ist es auch nach einem Angriff wesentlich schwieriger, seinen Angriff
über einen solchen SSL Client fortzusetzen. Fernwartung von einem Server sollte streng
vermieden werden. Als Filter sollte mindestens ein dynamischer Paketfilter zum Einsatz
kommen, normale Router reichen heutzutage keinesfalls mehr aus. Die Firewall sollte
darüber hinaus mit der äußeren Firewall verbunden werden. Zwischen den Logfiles von
innerer und äußerer Firewall sollte stets ein Abgleich der Logeinträge stattfinden. Wir so
ein Einbruch in einen Server in der DMZ bemerkt, so sind beide Firewalls komplett zu
sperren. Es muß danach eine Untersuchung der Server erfolgen.
Regel Richtung Quell-IP Ziel-IP Protokoll Quellport Zielport ACK? Aktion
SPOOF ein intern bel. bel. bel. bel. bel. verbieten
TEL1 aus intern bel. TCP >1023 23 bel. zulassen
TEL2 ein bel. intern TCP 23 >1023 ja zulassen
FTP1 aus intern bel. TCP >1023 21 bel. zulassen
FTP2 ein bel. intern TCP 21 >1023 ja zulassen
FTP3 aus intern bel. TCP >1023 >1023 bel. zulassen
FTP4 ein bel. intern TCP >1023 >1023 ja zulassen
FTP5 aus intern Bastion TCP >1023 21 bel. zulassen
FTP6 ein Bastion intern TCP 21 >1023 ja zulassen
FTP7 ein Bastion intern TCP bel. 6000-6003 bel. verbieten
FTP8 ein Bastion intern TCP >1023 >1023 bel. zulassen
FTP9 aus intern Bastion TCP >1023 >1023 ja zulassen
SMTP1 aus intern Bastion TCP >1023 25 bel. zulassen
SMTP2 ein Bastion Server TCP 25 >1023 ja zulassen
SMTP3 ein Bastion Server TCP >1023 25 bel. zulassen
SMTP4 aus Server Bastion TCP 25 >1023 ja zulassen
NNTP1 aus Server NNTP TCP >1023 119 bel. zulassen
NNTP2 ein NNTP Server TCP 119 >1023 ja zulassen
NNTP3 ein NNTP Server TCP >1023 119 bel. zulassen
Erstellt von Doc Gonzo - http://kickme.to/plugins