Firewall Handbuch für LINUX 2.0 und 2.2 - zurück

tcp 0 0 *:sunrpc *:* LISTEN
udp 0 0 *:1026 *:*
Alle Ports, die auf "LISTEN" stehen, sind aktiv. Wie man sehen kann, sind viel zu viele
Dienste unnötig aktiviert. Dieses ist ein Beispiel einer standardmäßig installierten LINUX
Distribution. Es gibt einfach zu viele Angriffspunkte für Cracker.
Die Dienste ECHO, DISCARD und CHARGEN sind z.B. in der S.u.S.E. Distribution
unnötig deaktiviert. Wenn diese deaktiviert werden, dann funktionieren z.B. TELNET und
andere Dienste, wie PING nicht mehr korrekt. Es kann dann erhebliche Zeitverzögerungen
beim Verbindungsaufbau oder beim Abbruch geben.
Auf einer Firewall sollten nur die unbedingt notwendigen Dienste und Dämomen laufen.
Für die Kernel 2.0 und 2.2 gibt es auf der Site http://www.freshmeat.net
Kernelerweiterungen, die sogar für einzelne User Accounting durchführen können. Diese
müssen in den Kernel einkompiliert werden. Zur einfacheren Bedienung finden sich dort
auch Frontends, mit denen das Paketezählen sehr einfach ist. Diese Funktionieren auch
mit der IPCHAINS Firewall im Kernel 2.2
10.6 Die Überprüfung der UNIX Sicherheit
Nicht nur unter UNIX ist es völlig unmöglich, absolute Sicherheit zu fordern. Das trifft um
so mehr zu, je mehr Dienste oder Dämonen auf dem Server aktiviert wurden.
Beim Einsatz eines UNIX Servers in der DMZ sollte dieser als BASTION HOST , siehe
hierzu Kapitel Architektur von Firewalls besonders abgesichert werden. Hierzu kann man
natürlich die LINUX Kernelfirewall mit IPFWADM, IPCHAINS oder auch SF Firewall
einsetzen. Auf der Firewall laufen dann jedoch viele Anwendungen. Diese Konstruktion
nennt sich BASTION HOST.
Selbstverständlich muß unbedingt ein BASTION HOST durch zwei Firewalls abgesichert
werden, eine auf der Seite des Internets, die andere auf der Seite des Intranets. Diese
Firewalls dürfen natürlich keine weiteren Dienste aktiviert haben. Sie dienen auf der Seite
des Internets der Überwachung und auf der Seite des Intranets der Sicherheit.
Zuerst möchte ich jedoch auf ein paar Quellen im Internet verweisen, die sich als recht
nützlich erwiesen haben:
http://viper.dmrt.com/tools/=Linux/Misc/unix-sec-checklist.htm
Die Datei unix-sec-checklist.htm findet man auch auf unzähligen anderen Servern, oft
jedoch in einer älteren Version. Wer in Suchmaschinen nach "UNIX" und "checklist" sucht,
der wird bald fündig. In dieser Checkliste ist alles Wichtige und Grundlegende für die
Absicherung von UNIX allgemein enthalten. Für unsere LINUX Firewall treffen diese Info´s
leider nicht zu. Es gilt hier eine besondere Regel.
Die eiserne Regel bei Firewalls: Eine Firewall hat nur eine Aufgabe, nämlich Firewalling.
Jede weitere Funktion, muß unbedingt ausgeschaltet werden. Das bedeutet im einzelnen:
• Entfernen aller Dienste aus der Datei /etc/inetd.conf. Danach ist eine
Administration nur noch von der Console aus möglich.
• Entfernen aller unnötigen Software nach der Installation der Firewall, dazu
gehören im Prinzip alle Pakete, die nicht direkt zur Administration notwendig
sind, darunter auch alle Compiler, Quellcodes..... Wer sich einmal die LINUX
Distributionen angeschaut hat, die auf eine FLOPPY passen, der wird
einsehen, daß auf der Firewall noch weniger Programme notwendig sind, als
dort. Ein TIP: TOM´S RESCUE DISK - Ein komplettes LINUX mit allen
Erstellt von Doc Gonzo - http://kickme.to/plugins