Firewall Handbuch für LINUX 2.0 und 2.2 - zurück

liefert, jedoch korrekte Informationen über alle von außen sichtbaren und erreichbaren
Hosts. Dafür wird dann intern ein unabhängiger DNS-Server aufgesetzt, der die richtigen
Informationen über interne und externe Adressen des Netzwerk besitzt. Beide DNS-
Server, insbesondere der externe DNS-Server muß gut gegen Anfriffe abgesichert sein,
da er die Einträge für Mail-Server (MX) des Unternehmens nach außen hin trägt. Werden
diese verändert, so können von außerhalb keine e-Mails mehr empfangen werden, diese
werden evtl. an einen beliebigen Server im Internet vom Angreifer umgeleitet. Damit kein
Angreifer eine falsche IP - Nummer vortäuschen kann, sollte der bastion host und der
interne DNS-Server stets ein double reverse lookup durchführen. Hierbei wird die IP-
Adresse über reverse lookup in den Namen und der Name wieder in die IP - Nummer
aufgelöst. Stimmen die Ergebnisse nicht überein, ist entweder der zugreifende Client ein
Angreifer, oder falsch konfiguriert. Jedefalls kann er seine Identität nicht nachweisen, und
somit sollte er strikt abgelehnt werden. Hierzu müssen alle Dämonen des bastion hosts
mit der Bibliothek des TCP Wrappers (TCPD) unter UNIX zusammen kompiliert werden.
Der Wrapper prüft vor des Start eines Dienstes, ob der double reverse lookup korrekt war.
War er das nicht, so wird der Client abgelehnt. Der TCP Wrapper und der INETD sind
auch unter Windows NT verfügbar.
20. Firewall mit Screened Host Architektur
Firewall mit überwachtem Host:
I N T E R N E T
^
|
|
Firewall
| lokales Netz
+--------+--------+--------+------->
| | | |
Server1 Host A Host B Host C
Beispiel 3
Diese Architektur ist im Gegensatz zu einem Firewall - Aufbau mit nur einer Firewall und
einem im Intranet positionierten, von der Firewall überwachten Host (Server1)
kostengünstiger, aber auch unsicherer. Der gesamte Datenverkehr mit dem Internet wird
über diesen überwachten Host abgewickelt (screened host). Da kein Grenznetz existiert,
gelten für den überwachten Host besondere Restriktionen. Er ist mit einer festen IP -
Nummer über aus dem Internet erreichbar. Dieser stellt als das klassische Extranet dar,
einen WWW-Server, der im Hause steht, aber von außerhalb jederzeit zu erreichen ist.
Dieser Server sollte unbedingt wie ein bastion host abgesichert und darüber hinaus auch
gegen buffer overflows abgesichert sein. Es muß sichergestellt werden, daß alle
Arbeitsstationen im Intranet ausschließlich über den bastion host ihren Datenverkehr mit
Hosts im Internet abwickeln. Die Firewall sollte also alle internen Arbeitsstationen für
direkten Zugriff auf Server im Internet sperren. Es werden aber auch besondere
Anforderungen an die Firewall gestellt, das gilt besonders für die Auswahl relevanter
Ereignisse, die an den Systemadministrator gemeldet werden müssen. Da bei dieser
Konfiguration kein Abgleich zwischen Logfiles von innerer und äußerer Firewall erfolgen
kann, ist also hier besondere Aufmerksamkeit erforderlich. Es ist von einer solchen
Konfiguration abzuraten, da sie keinerlei Sicherheitsreserven bieten kann.
Regel Richtung Quell-IP Ziel-IP Prot Quellport Zielport ACK? Aktion
SPOOF ein intern bel. bel. bel. bel. bel. verbieten
TEL1 aus intern bel. TCP >1023 23 bel. zulassen
TEL2 ein bel. intern TCP 23 >1023 ja zulassen
Erstellt von Doc Gonzo - http://kickme.to/plugins