Firewall Handbuch für LINUX 2.0 und 2.2 - zurück

die sich aber unter Anleitung gut beheben lassen. Sie bieten zumeist keinerlei
Schutz gegen Angriffe auf application level, Kenntnisse über
Protokollmechanismen sind eher selten (FTP). Das Angebot an PROXY´s ist
gut.
• PROXY-Firewalls auf NT-Basis mit eigenem TCP/IP-Stack Diese laufen
i.a. stabil und sind sehr zuverlässig, sind aber relativ teuer in Anschaffung und
Support. Viele Firewalls, die auf Windows NT mit eigenem TCP/IP-Stack
laufen, sind Portierungen von UNIX auf NT. Leider sind diese nicht so
leistungsfähig, wie unter UNIX, obwohl die Software praktisch identisch ist.
Der Grund liegt in dem effizienteren Memory-Konzept von UNIX und teilweise
auch daran, daß der IP-Stack (nicht der TCP-Stack) von UNIX mit genutzt
wird.
• Firewalls auf UNIX-Basis ohne eigenen Stack Sie laufen erfahrungsgemäß
stabil und sind sicher. Fehlkonfigurationen treten häufig und fast nur bei
LINUX-Firewalls auf, die nach Anleitungen von Distributoren aus dem
Internet, oder aus Zeitschriften (C´t) aufgebaut wurden. Firewalls, die auf
BSD-Systemen oder Solaris aufsetzen, besitzen oft eine hohe Qualität und
sind sehr sicher, auch gegen Bedienungsfehler.
• Firewalls auf UNIX-Basis mit eigenem TCP/IP-Stack Diese Firewalls sind
oft identisch mit denen auf NT-Basis ohne eigenen TCP/IP-Stack. Sie
arbeiten unter UNIX schneller.
• Firewalls mit eigenem Betriebssystem Viele dieser Firewalls benutzen
FreeBSD (Borderware), BSDI (Borderware, Genua Wall), Linux (Watchguard,
TIS FWTK, GNATwall). Hinter einigen kommerziellen Firewalls steckt UNIX,
weil es, wenn man es auf die wesentlich Funktionen reduziert, auf eine
Diskette paßt. Zu erwähnen ist noch CISCO PIX, welche auf IOS läuft, einer
Eigenentwicklung von CISCO.
Da es viele Mischformen von Firewalls gibt, sollte man sich doch genauer informieren,
welche der Eigenschaften den Anforderungen am meisten entgegenkommt.
23.2 Angriffe auf den TCP/IP-Stack
Angriffe auf den TCP/IP-Stack sind gegenwärtig die Ursache von immensen Ausfällen bei
ISP´s und innerhalb des Netzwerkes von Unternehmen. Verantworlich sind hierbei häufig
mangelhafte TCP/IP-Stacks in Servern und Routern, die empfindlich auf defekte
Netzwerkkarten und speziell konstruierte TCP/IP-Pakete reagieren. Diese Pakete werden
von Programmen erzeugt, die im Internet im Quellcode und als Windows-Programm
veröffentlicht werden. Diese werden exploits genannt und sind im BUGTRAQ Archiv zu
finden (http://www.geek-girl.com)
Sie sind fast ohne Netzwerkkenntnisse von jedermann ausführbar und greifen Internet-
Server und arglose Surfer an. Insbesondere Fa. Microsoft hat sich hierbei nicht mit Ruhm
bekleckert, die Folgen waren allerorts zu spüren: Computerwoche, SWF3, Microsoft,
Netscape... -Internet-Server und viele andere waren wochenlang »offline«,
hunderttausende von Surfern werden mit DoS-Angriffen belegt, die ein Einfrieren vor allem
von Windows 95/98/NT Workstations bewirken.
Für mission critical Dienstleistungsbetreiber bedeutete dies erhebliche Folgekosten, die
sich aus Ausfallzeiten, Schadensersatzansprüchen, Beratung, Kauf und Einrichtung einer
Firewall u.s.w zusammensetzte. Als dann auch einige Firewallhersteller keine wirksame
Lösung liefern konnten, war das Chaos perfekt. Microsoft z.B. sperrte alle direkten Zugriffe
auf deren Internet-Server und ließ über mehrere Wochen nur Pakete zu, die über
bekannte PROXY's bei ISP's geroutet wurden.
PROXY´s oder CACHING PROXY's nutzen zwangsläufig ihren eigenen TCP/IP-Stack für
ein- und ausgehende Pakete. Pakete von Angreifern über PROXY´s mußten somit
Erstellt von Doc Gonzo - http://kickme.to/plugins