Firewall Handbuch für LINUX 2.0 und 2.2 - zurück

Arbeitsplätzen im Netz erfolgen. Es existieren nun zwei Möglichkeiten, den Zugriff zu
begrenzen. Die Änderung der Firewallregeln, oder die Anpassung des der Datei
/etc/hosts.allow, /etc/hosts.deny und der /etc/inetd.conf Datei. Betrachten man nun die
Datei /etc/hosts.allow:
ALL: LOCAL
in.ftpd sshd : ALL
Es wird allen Arbeitsstationen im Netzwerk die Aktivierung der Dämonen in.ftpd und
sshd erlaubt. (FTP und SSH) Betrachten man nun die Datei /etc/hosts.deny:y
ALL: PARANOID
ALL EXCEPT in.ftpd sshd : ALL
Man erreicht mit diesen Einstellungen, daß die Firewall ein "double reverse lookup" bei
jedem Verbindungsaufbau durchführt, d.h. den DNS - Namen in eine IP - Nummer auflöst,
mit reverse lookup diese IP - Nummer zurück in den DNS - Namen auflöst, und vergleicht.
Ist die zugreifende Maschine dann nicht korrekt in die DNS - Server eingetragen, also
nicht offiziell, dann wird die Verbindung abgelehnt. Ein Grund hierfür kann sein, daß ein
Angreifer versucht, von einem Laptop o.ä. sich Zugang zur Firewall zu verschaffen. Im
Internet führt diese Einstellung zu einer erheblichen Belastung der DNS Server, weil
weltweit viele Konfigurationsfehler passieren. Allerdings verbessert diese Einstellung sehr
den Schutz vor Angriffen mit gespooften Adressen. Hierzu muß jedoch der TCPD mit -
DPARANOID neu kompiliert werden. Dies trifft im Übrigen auf die Dämonen zu: APACHE,
SAMBA, BIND, SQUID, mountd...Diese müssen alle mit der eingebundenen libwrap neu
kompiliert werden, damit diese bei jedem Kontakt mit einem Client einen double reverse
lookup durchführt. Der Befehl man tcpd gibt zusätzlich noch genügend Hinweise für die
Konfiguration des TCP Wrappers.
Hier noch einige Tips zur Konfiguration der Firewall
• Die Firewallregeln sollten immer nur von einem vollständigen Skript aus
gesetzt werden.
• Es sollte sichergestellt sein, daß alle vorherigen Regeln gelöscht werden.
Dies kann mit: ipfwadm -F/I/O -f geschehen. Um sich davon zu überzeugen,
daß alle Regeln wirklich gelöscht sind, reicht ipfwadm -I/O/F -l aus.
• Man sollte nicht vergessen, vor dem Löschen der Regeln die Firewall von
dem ISDN - Router zu trennen. Die default policy ist auch eine Regel. Im
richtigen Moment könnte sonst ein Angreifer durch die Firewall tunneln. Dies
ist abhängig davon, ob forwarding im Kernel aktiviert wurde.
• Die Firewall sollte niemals ungeprüft an das Internet angeschlossen werden.
Die Philosophie des Herumprobierens, bis es läuft, und dann zu testen,
hat schon vielfach zu Einbrüchen geführt. Insbesondere interessieren
sich Hacker für neu vergebene IP-Netze und Domainnamen (RIPE). Es
dauert mitunter nur Stunden, bis ein Hacker sein Glück versucht.
• Das Mitloggen von Ereignissen schon zu Beginn kann sehr aufschlußreich
sein, insbesondere auch der internen Pakete. Es sollten stets auch alle Flags
(SYN, ACK) überprüft werden. Mit der Option -o am Anschluß einer jeden
Firewallregel wird sichergestellt, daß bei einem Verstoß gegen diese Regel
ein Eintrag im Logfile der Firewall erscheint.
• Schon beim Aufbau der Firewall sollte die Security Policy aufgestellt sein.
10. Überprüfung der Firewallregeln
Es ist immer eine gute Idee, die Firewallregeln auch von einer zweiten Person überprüfen
zu lassen, die viel weniger Ahnung hat. Die vielen Fragen, die dann aufkommen, zeigen
dann, ob alles richtig verstanden und umgesetzt wurde. Die Befehle lauten:
Erstellt von Doc Gonzo - http://kickme.to/plugins