Firewall Handbuch für LINUX 2.0 und 2.2 - zurück

nicht erkannt werden. Desweiteren sind Firewall-Router anfällig gegen spoofing-Angriffe
von einem benachbarten Arbeitsplatzrechner, der einen session hijacking Angriff ausführt.
Offiziell besitzen Firewall-Router Mechanismen gegen spoofing, sie können aber, da sie
keine Statusinformationen über Details einer Verbindung besitzen, spoofing - Angriffe nur
zwischen der inneren und äußeren Netzwerkadresse erkennen. Ein typischer Vertreter
dieser Firewall-Router, der sich gut zu Studienzwecken eignet, ist z.B. LINUX. Für die
Kontrolle von größeren Netzwerken eignet sich dieser Typ von Firewall-Router nicht mehr.
Stateful Paket Filter (SPF)
Stärken
• Hohe Geschwindigkeit (teilweise)
• Keine offenen Ports
• Ausführliche LOG-Informationen
• Ausführliche Zustandsinformationen über alle Verbindungen
• Fähigkeit für Clustering
• Schutz gegen Scanner (counter intelligence)
• Einfache Wartung und Installation
• Einsetzbar in großen Netzwerken
• Skalierbar
• Eigene Programmiersprache
• Vielseitig einsetzbar
Schwächen
• Bieten wenig Schutz vor TCP-Angriffen
• Teilweise keinen eigenen TCP/IP-Stack
• Zuwenig Kenntnis von Protokollen, häufig kein echter Schutz
• Proxy nur für einige wenige Protokolle verfügbar
• Keine Authentifizierung, jedoch nachrüstbar
• Teuer in Anschaffung und Unterhaltung
• Einbruch der Performance bei Aktivierung aller Filter
Stateful Paket Filter sind als besonders schnelle Filter bekannt. In Geschwindigkeitstests
schneiden sie stets hervorragend ab, und eignen sich scheinbar besonders für den
Einsatz bei ISP´s zum Schutz von Servern oder Netzwerken mit
Hochgeschwindigkeitsanbindung (>100 MBit). Diese Eigenschaften lassen vermuten, daß
hierbei einige wichtige Überprüfungen nicht stattfinden, um die Durchsatzgeschwindigkeit
zu erhöhen. Die Hersteller gehen davon aus, daß der TCP/IP-Stack der Server hinter der
Firewall diese Untersuchungen sowieso durchführt. Das hat in der jüngsten Vergangenheit
zu zahlreichen Angriffen auf TCP/IP-Stacks hinter SPF-Firewalls geführt, insbesondere bei
Internet-Dienstleistern. Stateful Paket Filter verfügen gegenüber Firewall-Routern
zusätzlich über einen Mechanismus, der, sobald eine Verbindung geöffnet wird, in die
Pakete hineinschaut (Inspektion), den Status (Herkunft, Ziel, belegte Ports, MAC-Adresse,
Sequenznummern, Offsets, Protokolle, Befehle) speichert und überwacht. Sie erkennen
Zusammenhänge zwischen TCP- und UDP-Paketen (RPC, NFS) u.s.w.. Durch die
Überwachung des Status und die Inspektion werden viele Angriffe unmöglich, die bei
Firewall-Routern noch funktionieren. Angriffe auf TCP/IP-Stacks können sie nur zum Teil
abwehren, im allgemeinen funktionieren viele DoS-Angriffe auf TCP/IP-Stacks hinter SPF-
Firewalls recht gut, sehr zum Leidwesen einiger ISP´s. Aus diesen Gründen haben
führende Hersteller zusätzlich zu den SPF-Filtern noch PROXY-Eigenschaften für
spezielle Dienste, also auch noch eigene TCP/IP-Stacks den Firewalls hinzufügen
müssen. Aktiviert man aber alle Schutzmechanismen und nutzt viele PROXY-
Eigenschaften, sowie Filter für protokollspezifische Befehle (HTTP: PUT, GET, POST) und
die Erkennung für Angriffssignaturen, so bricht die Performance dieser Filter dramatisch
ein. SPF´s eignen sich aufgrund ihres Designs hervorragend, eine Programmiersprache
Erstellt von Doc Gonzo - http://kickme.to/plugins