Firewall Handbuch für LINUX 2.0 und 2.2 - zurück

Generierung einer e-Mail vorgesehen. Das kann dann sinnvoll sein, wenn große
Netzwerke überwacht werden müssen, oder wenn mit der Zerstörung des primären
Loghostes gerechnet werden muß. In diesem Fall ist es auch möglich, die Log-Ausgabe
an einen Drucker weiterzuleiten.
14.13 Counter intelligence
Ungeachtet einiger berechtigter "ethischer" Bedenken verfügt die SINUS Firewall über
eine automatische Gegenspionage. Ist die Funtion aktiviert, so verwendet sie
Standardwerkzeuge, wie identd, finger, oder rwho, um die User-ID des Angreifers
ermitteln zu können. Es ist natürlich möglich, daß diese Funktion falsche Informationen
zurückliefert, sie kann aber in einigen Fällen Angreifer bis in Rechenzentren oder PC-
Netze zurückverfolgen. Gleichzeitig kann sie den DNS-Namen von verdächtigen Hosts
überprüfen. Ist der "double reverse lookup" nicht eindeutig "positiv" (Übereinstimmung von
DNS und IP - Nummer), so wird ein besonderer Alarm ausgelöst, oder der Server für
jegliche Zugriffe von diesem Host gesperrt. Insbesondere dient diese Funktion bei
Internetserver als Schutz vor gespooften Angriffen.
14.14 Interner Aufbau der Firewall
Die Firewall besteht aus einem Firewall-Dämon, einem Kernel-Filter-Modul, einem
Kontrollprogramm und der Benutzeroberfläche in JAVA. Das Filtermodul übernimmt die
gesamten Filteraufgaben. Der Firewall-Dämon verarbeitet die Filter-Meldungen (z.B.
"Paket gesperrt"), erzeugt die dynamischen Filterregeln, Log-Einträge und
Alarmmeldungen.
Das Filter-Modul erfordert kleine Änderungen im Kernel, um ein sogenanntes "device" zu
erzeugen, welches wie unter UNIX üblich in /dev/firewall erscheint. Die Kommunikation
kann dann relativ einfach über das öffnen des "firewall device" geschehen. Gegenüber
ganzheitlichen Lösungen, bei denen das Filter-Modul und das Kontrollprogramm in einem
Programm zusammengefaßt wurden, hat diese Lösung den Vorteil, daß bei einer
Fehlfunktion des Kontrollprogramms die "forwarding" Funktionen des Kernels deaktiviert
sind, d.h. die Firewall unverzüglich alle Verbindungen sperrt (failsafe). Alle ein- und
ausgehenden Pakete durchlaufen das Filtermodul und müssen stets getrennte Regelsätze
für die angeschlossenen Netzwerkinterfaces passieren, was insbesondere für die
Erkennung von "adress spoofing" notwendig ist.
Ist die Firewall als "bastion host" konfiguriert, so wird jedes Paket zuerst gefiltert, bevor es
in der Firewall selber Schaden anrichten kann. Die Pakete werden anhand der statischen
und dynamischen Filterregeln überprüft, und je nach Resultat weitergeleitet,
stillschweigend vernichtet, oder unter Aussendung einer beliebig wählbaren "ICMP"
Meldung (destination unreachable...) zurückgewiesen. Falls der "notification level" nicht
NULL ist, wird zusätzlich eine Meldung an den Firewall-Dämon gesendet, der dann
weitere Aktionen ausführen kann. Das Kernel-Modul wird während dieser Ausführung
nicht blockiert, und kann sich bereits wieder einem weiteren Paket widmen.
14.15 Sicherheit oder Verfügbarkeit ?
Entsprechend dem Stellenwert der Sicherheit über die Verfügbarkeit wurde das System so
ausgelegt, daß es stets "failsafe" ist. Wenn der Firewall-Dämon abstürzen sollte, was
theoretisch im Rahmen des Möglichen liegt, jedoch noch nie passiert ist, dann werden alle
Interfaces komplett gesperrt. Es ist dann weder eingehender noch ausgehender Verkehr
möglich, da bei geschlossenem "firewall device" alle Pakete per default vernichtet werden.
Die Firewall muß dann von der Konsole aus reaktiviert werden. Diese Maßnahme
gewährleistet, daß der Administrator alle Log-Files in Ruhe untersuchen und auswerten
kann. Falls es dem Angreifer gelungen sein sollte, über einen aktivierten Dämon (apache,
dns, sendmail) o.ä. mittels eines "buffer overflows" zu gelangen, dann ist diese Firewall
jedoch verloren. Aus diesem Grund darf auf der Firewall niemals irgendein Dämon von
innen oder außen erreichbar sein. Völlig bedenkenlos kann jedoch X-Windows oder
Erstellt von Doc Gonzo - http://kickme.to/plugins