Firewall Handbuch für LINUX 2.0 und 2.2 - zurück

insbesondere, daß nicht nur alle Zielports gescannt werden müssen, sondern auch alle
Kombinationen von Quell-und Zielports. Ein einziger SCAN mit 65.000^2
Kombinationsmöglichkeiten dauert auf einem 10 MBit LAN ca. 30 Minuten pro Host.
Derjenige, dessen Portscanner nach Sekunden schon eine Meldung liefert, der hat mit
Sicherheit nur Zielports gescannt. Bekannte Security Scanner, wie ISS oder NMAP
überprüfen nicht alle Kombinationen von Quell-und Zielports. Wer also insbesondere UNIX
Maschinen im Internet betreibt, der sollte seine Maschinen nochmals gründlicher scannen.
Kritisch sind auch programmierbare Firewalls. Hier könnte ein Experte z.B. diese so
programmieren, daß die Firewall sich für Zugriffe von außen öffnet, wenn in der
Reihenfolge 17-4567-65123-2-470 die Ports kurz angesprochen werden. Dies läßt sich
recht einfach z.B. mit der SINUS-Firewall-1 realisieren. (Übrigens kann man dieses
Verfahren auch dazu benutzen, um eine Art Authentifizierung für Surfer zu realisieren,
siehe Homepage von ARCOR). Man sollte auch als Nichtexperte stets in die
Konfigurationsdatei der Firewall hineinschauen. Diese Konstrukte sind leicht zu
entdecken. Wer also eine Firewall von einer externen Firma installieren läßt, der sollte
stets dafür sorgen, daß das KNOW HOW in der eigenen Firma zumindest ausreicht, um
die Firewallregeln überprüfen zu können.
Die Schußfolgerung daraus ist, daß für die Überprüfung einer Firewall ein Blick auf die
Firewallregeln dringend geboten ist, um auszuschließen, daß Hintertüren eingebaut
wurden.
Eine Firmen lassen trotzdem ihre Firewall Anbindung gerne überprüfen. Ziel könnte es
z.B. sein, eine Datei von einem internen (FTP/FILE) Server in das Internet zu entführen.
Diese Aufgabe ist dank Microsofts Sicherheitspolitik doch recht einfach zu bewältigen. Viel
wichtiger ist es, daß die Alarmmechanismen auch funktionieren. Es darf einem Angreifer
nicht gelingen, eine Datei unbemerkt zu entführen. Hierzu muß ein Angriff tatsächlich
ausgeführt werden. Wenn der Systemadministrator alle Angriffe im Alltagsstreß bemerkt,
dann ist viel erreicht. Hierzu gehört eine mehrtägige Ausbildung. Eine Firewall ist nur so
sicher, wie sein Bedienungspersonal qualifiziert ist. Dabei spielen der Hersteller der
Firewall und die Eigenschaften der Firewall nur eine untergeordnete Rolle. Man sollte also
an der Firewall sparen, nicht aber an der Ausbildung der Administratoren. Wer Wert auf
Bedienungskomfort der Firewall legt, der ist auch mit dem JAVA-Interface der SINUS
Firewall gut bedient.
34. Werkzeuge für Auditing
Im Internet finden sich zahlreiche professionelle Werkzeuge. Auf der Homepage von
Bernd Eckenfels http://sites.inka.de/sites/lina/freefire-l/, auch FreeFire genannt, finden
sich zahlreiche professionelle Werkzeuge, die allesamt frei verfügbar sind. Die Auswahl
dort ist wirklich sehr groß. Ein Werkzeug, welches dort fehlt, ist Ballista. Mit diesem kann
man gezielt TCP/IP Stacks auf mögliche DoS Angriffe kontrollieren. Dieselben Tests kann
man auch mit der Bibliothek net::rawip für PERL unter FreeBSD, SOLARIS und LINUX
durchführen. Man findet diese auf der Site http://www.freshmeat.net. Ein Geheimtip ist
ISIC zusammen mit der Library libnet von Mike Frantzen
(http://expert.cc.purdue.edu/~frantzen/ von der PURDUE Universität, wo viele TCP/IP
Stacks herstammen. Als Security Scanner hat sich der ISS Security Scanner von ISS.NET
bewährt. Dieser ist dort auch als LINUX Version im Quellcode erhältlich. Von SATAN,
SAINT o.ä. veralteten und nur auf UNIX spezialisierten Werkzeugen sollte man dringendst
absehen, da diese nur wenige UNIX-Spezifische Sicherheitsprobleme erkennen können.
Beim Scan von Firewalls sollte man auch stets beachten, daß viele Firewalls gegen
Scanner counter intelligence Strategien implementiert haben, weswegen die Resultate
oft zweifelhaft sind. Siehe hierzu auch im Kapitel Analyse eines TIS-FWTK und Firewall-1
Wer mag, der sollte einmal mit Hilfe des ISS Scanners einige SSL-Server von SHOP
Anbietern untersuchen. Interessant ist es, daß diese Server zwar eine sichere SSL-
Erstellt von Doc Gonzo - http://kickme.to/plugins