Firewall Handbuch für LINUX 2.0 und 2.2 - zurück

Themen
• Explosion der Datenmengen bei Angriffen
• Random attacks und Log Strategien
• Log Rotation
• Vernichtung von Spuren
• Größe von Festplatten
Firewalls erzeugen in manchen Fällen erhebliche Mengen an Logfiles, besonders dann,
wenn gegen irgendeine Regel verstoßen wird.
So kann ein Angreifer mit ganz wenigen Paketen über eine langsame Anbindung, z.B.
ISDN einen Datenstrom von der Firewall zum Logserver hin erzeugen, der nahe der
Belastungsgrenze einer Ethernet-Anbindung liegt. Der Multiplikator kann bis zum ca. 200 -
fachen der Bandbreite des Angriffspaketes betragen, also bei ISDN (8 KByte) kann ein
Angriff für einen Bandbreite von bis zu 1.6 MByte pro Sekunde zwischen Firewall und
Logserver sorgen, wenn nicht besondere Maßnahmen ergriffen werden.
Findige Firewall - Hersteller haben daher intelligente Mechanismen eingebaut, die z.B.
Mehrfachmeldungen eines oder mehrerer Verstöße nur noch einmal aufzeichnen.
Angreifer kennen natürlich die Log-Strategien fast aller Hersteller und sind so in der Lage,
mit RANDOM-Angriffen verschiedenster Art eine Firewall und/oder deren Logserver an
den Rand der Leistungsfähigkeit zu bringen. Bei 2 Mbit+ Internet-Anbindungen ist die
Menge der Log-Einträge sicher das größte Problem von allen.
Viele Hersteller behelfen sich durch Log - Rotation, d.h ein Angriff wird immer
mitgeschnitten und, falls die Festplatten voll sind, wird von vorne angefangen. Für einen
Angreifer bedeutet dies aber, daß er ohne Gefahr entdeckt zu werden, beliebige Angriffe
starten kann. Er weiß, daß er nach den Angriffen den Logserver wieder überschwemmen
kann. Die wahren Dokumente seiner Untaten verschwinden dann unter belanglosen
Meldungen. Massive Angriffe müssen daher unbedingt mit proaktiven counter intelligence
Maßnahmen bekämpft werden, und zwar hin bis zu einem DoS-Angriff, der von der
Firewall selber gegen den Host des Angreifers ausgeführt wird. Die Größe derjenigen
Platte, die die LOG-Files speichert, sollte ein vielfaches derjenigen Größe betragen, die
ein bis zu 72 Stunden lang dauernder Beschuß mit bekannten Toolkits verbraucht.
Nur eine einzige kommerzielle Firewall verhält sich im Fall, daß kein freier Speicherplatz
mehr zur Verfügung steht, korrekt und sperrt alle Interfaces - DEC Firewall. Für einen ISP
ist das aber sicher nicht die korrekte Lösung.
DoS und Filter in Firewall
Themen
• Filter auf Anwendungsebene
• Programmierung von Filtern
• Analyse von Angriffen
• Längenbegrenzungen
• Support von Firewall - Herstellern
• Filter im Eigenbau
PROXY-Filter, die auf Anwendungsebene filtern, sollten nicht Bestandteil der Firewall sein.
Das hat mehrere Gründe.
Filter erfordern einen hohen Aufwand an CPU Leistung und können außerdem WWW ,
FTP, SMTP und SQL Server meist nicht vor buffer overflow Angriffen schützen. Hierzu
muß man in Kenntnis der genauen Sicherheitslücken auf dem Zielserver sein, um einen
wirksamen Filter programmieren zu können. Kennt man diese aber, so ist es sicher
Erstellt von Doc Gonzo - http://kickme.to/plugins