Firewall Handbuch für LINUX 2.0 und 2.2 - zurück

eigene Dateien schreiben. Das betrifft auch den LINUX Firewallkernel. Wir gehen aber
nun davon aus, daß alle Events geloggt werden.
Auf was sollte man in Logfiles achten ? Nun, entscheidend ist es, Meldungen, die durch
fehlerhafte Konfiguration verursacht werden, von echten Angriffen unterscheiden zu
können. Man sollte in der Lage sein, einen echten Angriff von einem Portscanner
unterscheiden zu können. Da es im Internet viele gemeine Quellcodes gibt, solle man
einmal einige selber testen, um zu sehen, wie die Firewall oder der LINUX Host darauf
reagiert, welche Fehlermeldungen erscheinen, und wie diese zu interpretieren sind. Man
sollte sich aber darüber im Klaren sein, daß der Betrieb einer LINUX Firewall doch etwas
elementarer ist, als der Betrieb einer teuren Firewall. Wer z.B. den Marktführer, Firewall-1
von Checkpoint auf SUN SOLARIS installiert, der wird sich wundern, welche Probleme auf
ihn zukommen. Die Tücke steckt auch hier im Detail. Der Betrieb unter Windows NT ist
ebenso mit vielen Problemen gesät, die sich ohne professionelle Hilfe nicht lösen lassen.
LINUX Firewall sind mit Abstand die am besten dokumentierten Systeme, die man finden
kann. Hilfe gibt´s hier stets im Internet in den NEWSGROUPS. Das wichtigste ist jedoch,
im Falle eines Angriffs sich auf die erwähnten Analysewerkzeuge zu besinnen, und
einfach mal das System in Ruhe beobachten. Wenn man dann einen Angriff bemerkt, der
zudem noch erfolgreich ist, ist noch lange keine Panik angesagt. Es dauert seine Zeit, bis
ein Angreifer sich im Intranet zurechtgefunden hat, die Sicherheitsschranken der Server
überwunden hat, und er anfangen kann, die Daten über ISDN zu kopieren. Besonderes
Augenmerk sollte man auch auf Aufzeichnungslücken des SYSLOGD haben. Unter fast
allen LINUX 2.0 Versionen ist es relativ einfach möglich, durch die Firewall hindurch den
INETD und den SYSLOGD mit einem DoS Angriff stillzulegen. Der Grund ist ein Fehler im
Kernel selber, der erst in der Kernelversion 2.2 (oder 2.0 mit Patches) beseitigt wurde.
Hierbei ist es für einen Angreifer möglich, den SYSLOGD stillzulegen, damit er keinerlei
Spuren des Angriffs mehr aufzeichnen kann. Man sollte sich also niemals nur auf die
LOGDATEIEN einer LINUX Firewall verlassen. Wer einmal live einige solche Angriffe
beobachten konnte, der kann viel lernen.
Zum Schluß noch einmal der Hinweis auf den DFN-CERT. In dessen Archiven befindet
sich eine scheinbar völlig veraltete Anleitung zur Absicherung von UNIX. Leider hat sich
bei UNIX im Prinzip seit Jahren nichts elementares mehr getan, außer das der Marktanteil
von freien UNIX´en stark gestiegen ist. Der DFN-CERT betreibt ein unschätzbar wertvolles
Archiv mit vielen wichtigen Themen. Reinschauen lohnt sich !
11. Aufbau eines LINUX ISDN Firewall-Routers
Der Schritt zu einem ISDN Router unter LINUX mit Firewall besteht nun aus der
konsequenten Umsetzung der Firewallregeln auf das ISDN Interface. Da zum Zeitpunkt
der Einwahl die dynamische IP - Nummer erst noch vergeben wird, ist es nicht möglich,
die Firewallregeln vorher aufzusetzen. Man kann sich aber damit behelfen, daß ein Teil
der Firewallregeln nach dem Verbindungsaufbau aktiviert wird. Hierzu muß man
sichergehen, daß während des Verbindungsaufbau die Firewallregeln alle gelöscht sind,
und daß die default policy des externen Interfaces auf deny steht, und spoofing verhindert
wird. Somit können für die kurze Zeit des Verbindungsaufbaues keine Angreifer in das
Intranet vordringen. Wie aktiviert man jedoch weitere Firewallregeln nach dem
Verbindungsaufbau ? Im Grunde liegt das ganze Geheimnis in der Datei /etc/ppp/ip-up,
die identisch mit der Datei /etc/ppp/ip-down ist. Hier müssen die entsprechenden
Firewallregeln in der Sektion ip-up und ip-down eingefügt bzw. verändert werden. Hier
ein Beispiel:
BASENAME=`basename $0`
INTERFACE=$1
DEVICE=$2
SPEED=$3
LOCALIP=$4
REMOTEIP=$5
if [ -z "$REMOTEIP" ]; then
Erstellt von Doc Gonzo - http://kickme.to/plugins