[Ronald]

Zitat von Catweazle

Du willst doch jetzt net wirklich eine zentrale Firewall noch durch hostbasierte Firewalls ergänzen.

Genau das. Du siehst das aus der Sicht eines Netzwerkadmins in großen Firmennetzen, mit all den praktischen Möglichkeiten, welche Dir eine externe Firewall bietet (in diesem Fall die DMZ, auf die wir noch zu sprechen kommen). Du bist dem Thread dadurch um Meilen voraus. Hier geht es erst einmal um das grundlegende Konzept:

• Auf einem Home-PC, welcher mit dem Internet verbunden ist, ergibt die Verwendung einer Desktopfirewall meistens Sinn. Wird dort bereits eine externe Firewall verwendet (was auf jeden Fall zu empfehlen ist), so sind als Ergänzung vor allem die erweiterten Features der Desktopfirewall gefragt. Diese >>können<< dabei helfen, eine Malware zu erkennen, die auf das Internet zugreifen möchte, oder Autostarteinträge überwachen (Host-Based-IDS), etc. Eben all dass, was eine Desktopfirewall neben dem Firewallmodul anzubieten hat.
  
  Hinweis: Natürlich ist es wichtig zu wissen, wie einfach es ist, eine Desktopfirewall zu umgehen (darauf kommen wir später noch zu sprechen). Wichtig deshalb, damit man sich zu keiner leichtfertigen Handlung hinreißen läßt, nur weil eine solche Software auf dem eigenen System installiert wurde. Für das grundlegende Konzept spielen diese Schwächen aber vorerst keine Rolle. Auch darf man dabei nicht aus den Augen verlieren, dass viele ihrer Barrieren auf einer externen Firewall schlicht nicht vorhanden sind. Ohne die Desktopfirewall bedarf es also nicht einmal mehr einer Attacke, um unerwünschte Zugriffe über die externe Firewall hindurch auf das Internet zu ermöglichen.
  
  
• Als nächstes lässt sich der Einsatz einer Desktopfirewall in kleinen Home-Netzwerken bis hin zu überschaubaren Firmennetzen betrachten. Sollen diese gegen Attacken aus dem eigenen Netz gesichert werden, so kann auch hier der Einsatz einer Desktopfirewall einen Sinn ergeben. Beispiel: Startet jemand ein mit einem Wurm infiziertes Programm im eigenen Netz, welches eine Schwäche in einem Netzwerkdienst für die Verbreitung nutzt, so sind innerhalb von Sekunden alle Rechner verseucht und ggf. arbeitsunfähig, wenn niemand den Zugriff auf diesen Dienst unterbindet (siehe Blaster-Wurm). Eine Desktopfirewall kann dabei helfen, genau diesen Zugriff zu verhindern.
  
  Besser wäre es natürlich, wenn sich auf dem Client alle Netzwerkdienste deaktivieren lassen. Keine Netzwerkdienste bedeutet, daß kein Zugriff auf den Rechner mehr möglich ist. Diese Schlussfolgerung bildet das vorherrschende Argument gegen die Verwendung von Desktopfirewalls. Allerdings hat MS die Dienste weit mehr mit dem System verlinkt, als es auf den ersten Blick scheint. So auch den Serverdienst. Wird er deaktiviert, dann laufen einige Abfragen des lokalen Systems einfach nicht mehr (Beispiel: das Ermitteln von Usergruppen über bestimmte API’s - deaktiviere den Serverdienst, rufe lusrmgr.msc auf, gehe auf einen User und versuche zu ermitteln, in welchen Gruppen er sich befindet, etc.). Das hat zu Folge, daß einige Programme nicht mehr richtig laufen. Demgegenüber gibt es auch Situationen, in denen ein Netzwerkdienst schlicht als solcher benötigt wird und eine Absicherung dieser Geräte per Hardwarefirewall aus Kostengründen nicht in betracht kommt. Hier kann das Firewallmodul der Desktopfirewall dabei helfen, den Zugriff darauf auf einige wenige Clients zu beschränken. Benötigt wird das Firewallmodul auch, wenn der Zugriff auf einen erforderlichen Netzwerkdienst auf das lokale System beschränkt werden soll (localhost, die so genannte Loopback-Schnittstelle 127.0.0.1), ohne dass sich die Software dahingehend konfigurieren lässt.
  
  Hinweis: Was sich in kleinen Netzen leicht realisieren läßt (um solche Netze geht es in diesem Forum ja hauptsächlich), stellt in größeren Netzwerken schlicht ein Verwaltungsproblem dar: Die Konfiguration jeder einzelnen Desktopfirewall, welche vornehmlich durch das Deaktivieren der erweiterten Features ein Stück vereinfacht werden kann.
  
  
• Wie sieht es mit der Verwendung einer Desktopfirewall auf einem Serversystem aus?: Das Firewallmodul könnte den Zugriff auf das System mithilfe von IP-Filtern beschränken. Sollten die erweiterten Features der Desktopfirewall ein Host-Based-IDS beinhalten, so kann deren Einsatz dabei helfen, unerwünschte Aktivitäten im System aufzuspüren. In einem kleinen (Home-) Netzwerk ohne erfahrenen Netzwerkadministrator kann der Einsatz einer solchen Desktopfirewall deshalb durchaus lohnenswert sein.
  
  Ein Profi wird hingegen einen anderen Weg beschreiten: Bildlich gesehen wird das Firewallmodul hier ausgeschaltet. Stattdessen stellt er eine externe Firewall direkt vor das zu schützende System. Diese läßt sich zum einen nicht so leicht umgehen und zum anderen ist sie von der Ferne aus besser zu warten. Und statt der erweiterten Features einer Desktopfirewall kommt auf dem Server ein professioneller Host-Based-IDS zum Einsatz. Der Grundgedanke bleibt aber derselbe, wenn auch in stark abgewandelter Form.

Bye, Ronald