künftige Firewall FAQ für Laien

[Ronald]

Diskussionsthread der künftigen „Firewall FAQ für Laien“

Vorwort:

Das ist ein Versuch, eine FAQ in einer bilateralen Form zu erstellen. Du bist jetzt in einem einen Diskussionsthread für die künftige „Firewall FAQ für Laien“ gelandet. Das funktioniert wie folgt: Im Ursprungsthread "Firewall FAQ für Fortgeschrittene" werden zunächst Themen vorgegeben, die im Forum diskutiert werden. Daraus entstehen Zusammenfassungen. Sämtliche Zusammenfassungen, welche "Laienkompatibel" erscheinen, findest Du hier. Du kannst Kommentare dazu schreiben, Änderungsvorschläge unterbreiten, sowie eine Nützlichkeitsbewertung abgeben. All das wird die endgültige Fassung der FAQ beeinflussen.

Ziel des Threads:

Ziel ist es, einzelne Themen im Ursprungsthread mit euch nacheinander zu diskutieren. Nach jedem Thema werden die Erkenntnisse in kurze, blau markierte Beiträge zusammengefasst. Ich hoffe, daß dadurch eine nützliche FAQ entsteht.

Die endgültige Version wird wie ein Buch aufgebaut sein (Inhaltsverzeichnis + untereinander liegende Beiträge). Also keine Debatten und Zusammenfassungen zu den einzelnen Themen mehr. Dieser Thread hier bleibt als reiner Diskussionsthread bestehen, auf die ich dann in den Beiträgen verlinken werde.

Bewertung:

Die Forumssoftware liefert eine Möglichkeit herauszufinden, ob der Thread für Dich hilfreich ist, oder nicht. Leider funktioniert das nicht unter einem Gast-Account. Du musst dich also mit Deiner registrierten Kennung anmelden, dann den Thread öffnen und oben auf der Optionsleiste den Menüpunkt „Bewertung“ auswählen. Damit kannst Du mir ein Feetback gaben, ob der Thread für Dich hilfreich ist, oder nicht. Davon habe ich persönlich nichts – es gibt also KEINE Bonuspunkte für den Account oder dergleichen, die ich mir damit erschleichen könnte oder mit denen Du meinem Account schaden kannst.

Neben dem Sterne-"Barometer" (Nützlichkeitsbewertung) benötige ich dringend Deine direkte Kritik, denn ich kann nicht Hellsehen. Konstruktive Verbesserungsvorschläge sind natürlich ebenso gerne gesehen. Die FAQ ist für Dich gedacht, nicht für mich.

Wenn Dir die FAQ gefällt, dann hält Dich natürlich niemand davon ab, auch die helfenden Forumanwender wie z.B. catweazle, sys3, kommune23, tele, io.sys, pirke und Invicta positiv zu bewerten. Dieser Art der Bewertung funktioniert etwas anders und verschafft dem Anwenderaccount motivierende Bonuspunkte.

Und so geht’s: Mit der registrierten Kennung anmelden, auf die oben aufgeführten Kennungen klicken, dann links unten auf die Waage gehen: „[x] Diesen Beitrag positiv bewerten“ ankreuzen, eine kurze Bemerkung und ggf. Deinen Namen angeben, fertig.

Wichtiger Hinweis zur Bewertung:

Wenn Du diesen Thread bewertest, dann beziehe dich bitte auf die Verständlichkeit der blau markierten „Zusammenfassungen“ und nicht auf den chaotischen Aufbau des Threads. Der Grund für das Chaos wird hier erklärt (klick). Wie unter „Ziel des Threads“ bereits erwähnt, wird die endgültige Version der FAQ natürlich einen anderen Aufbau erhalten.

Historie + Aufbau der Zusammenfassungen:

Die Beiträge stammen aus dem Thread "Firewall FAQ für Fortgeschrittene". Ursprünglich wurden sie dort hinterlegt, um zu zeigen, wie sich komplexe Themen mit einfachen, kurzen Sätzen erklären lassen. Dieser Aufbau hat sich allerdings im anderen Thread nicht als praktikabel erwiesen, weshalb die Themen in den neuen Thread gezogen wurden. Das ist allerdings etwas misslich, da sämtliche Debatten, welche vor fast jeder Zusammenfassung geschrieben wurden, nun in dem anderen Thread liegen. Ist eine Zusammenfassung für Dich unklar oder gar strittig, so sollten die zusätzlichen Beiträge eigentlich helfen, Missverständnisse zu klären. Um das Problem zu lösen, wurde in jeden Beitrag hinter dem Wort „Zusammenfassung“ ein Link hinterlegt, welcher Dich direkt zu den Debatten führt.

Hinweis zu den Aktualisierungen:

Dieser Thread hier wird der anderen FAQ immer um eine gewisse Zeitspanne hinterherhinken. Habt also etwas Geduld.

---------- Inhaltsverzeichnis: ---------

Grundsätzliche Fragen:

• Was ist eine Firewall und wozu ist sie gut?
• Gibt es Hardware-Firewalls?

Wann Du eine Firewall einsetzen solltest:

• Ist der Schutz Deines Systems auch dann notwendig, wenn Du nichts zu verbergen hast?
• Wie gelingt es eigentlich einem Wurm ohne Dein Zutun einen Dienst (auch Service genannt) auf Dein System zu befallen?

Grundlegende Netzwerkbegriffe, welche auch bei der Konfiguration einer Firewall benötigt werden:

• MAC; IP-Adresse; Port; Subnetzmaske
• Was ist ein Proxy?
  • Was ist NAT oder PAT bzw. (IP- / NAT-) Masquerading?
• Was ist eine DMZ (Demilitarisierte Zone)?
• Was versteht man unter Port Forwarding bzw. Reverse Porxy?
• Was ist ein VPN (Virtual Privat Network)?
  • Was macht der „VPN Pass-Through“-Modus einer Firewall?
• Was ist ein Tunnel? Und wie lässt sich damit eine Firewall umgehen?
• Fortsetzung folgt …

Die erweiterten Features einer Desktop-Firewall verstehen:

• Eine Trennung zwischen dem Firewall-Modul und den erweiterten Features schafft Klarheit …
  • das IDS (Intrusion Detection System)
  • die Netzwerkzugriffe einzelner Programme kontrollieren
  • die Systemzugriffe einzelner Programme mit einer Sandbox einschränken und überwachen

Verbreitete Missverständnisse klären:

• Wieso kannst Du auf das Internet zugreifen, obwohl der http-Port 80 für den Zugriff von außen gesperrt ist?

Sonstiges:

• externe Firewalls versus Desktop-Firewalls

Bye, Ronald

[Ronald]

Zusammenfassung aus dem Ursprungsthread zur Frage: Was ist eine Firewall und wozu ist sie gut?

Desktop Firewall

Als Desktop- oder Personal-Firewall wird eine lokal auf dem Computer installierte Firewallsoftware bezeichnet. Sie versucht Programme auf dem Computer davon abzuhalten, ohne das Einverständnis des Anwenders mit der Außenwelt zu kommunizieren und verhindert im günstigsten Fall bösartige oder ungewollte Zugriffe auf den Computer von außen.

externe Firewall

Eine externe Firewall, auch Hardwarefirewall genannt, verhindert ebenfalls bösartige oder ungewollte Zugriffe auf das System von außen, kann aber einzelne Programme nur sehr bedingt davon abhalten, ohne das Einverständnis des Anwenders mit der Außenwelt zu kommunizieren.

Bye, Ronald

[Ronald]

Zusammenfassung aus dem Ursprungsthread zur Frage: Ist der Einsatz eines Firewallsystems auch dann sinnvoll, wenn man nichts zu verbergen hat?

Ein Firewallsystem dient nicht dazu, die Privatsphäre zu schützen, weshalb die Frage, ob man etwas zu verbergen hat, für deren Einsatz nicht entscheidend ist. Vielmehr besteht die Aufgabe des Firewallmoduls darin, auf der Ebene des Netzwerkprotokolls bestimmte Netzwerkverbindungen zu erlauben oder zu unterbinden. Die erweiterten Funktionalitäten einer Desktop Firewall sind für weitere Aufgaben zuständig, welche beispielsweise den Zugriff einzelner Programme auf das Netzwerk verwalten, Autostarteinträge überwachen, per Sandbox die Datei- und Systemzugriffe der Prozesse einschränken oder „Angriffe“ erkennen und nach Malware suchen. Ein Firewallsystem ist also ein Werkzeug, welches einem innerhalb gewisser Grenzen dabei helfen kann, das eigene System zu verstehen und zu kontrollieren.

Es gibt Computerwürmer, welche sich ohne Zutun des Anwenders von Rechner zu Rechner „hangeln“ und sich dort verewigen. Greifen sie das System über eine Schwachstelle in einem Dienst an (auch Service genannt), welcher auf dem Rechner läuft, dann arbeiten sie auf dem System mit den erweiterten Rechten des Dienstes. Ein Virenscanner kann den Wurm erst dann erkennen, wenn er bereits das System infiziert hat. Selbst wenn es ihm gelingen sollte, den Wurm zu eliminieren, so ist er kurz danach wieder da, da der Rechner auf demselben Weg wieder infiziert wird. Eine Deaktivierung des Dienstes kann die Verbreitung des Wurms verhindern (weshalb man grundsätzlich alle Netzwerkdienste deaktivieren sollte, die man nicht benötigt). Aktuelle Sicherheitsupdates können den Infektionsweg ebenfalls schließen. Verbreitet sich der Wurm jedoch noch vor der Veröffentlichung eines Sicherheitsupdates oder ist eine Echtzeit-Aktualisierung des Systems auf dem betroffenen Rechnern nicht möglich ist, so kann ein Firewallsystem dazu dienen, den Zugriff auf den Dienst zu beschränken. Kommt der Angriff von außen (also aus dem Internet), so ist eine externe Firewall die beste Lösung für das Problem. Zugriffe aus dem eigenen Netz kann eine Desktop Firewall einschränken.

Bye, Ronald

[Ronald]

Zusammenfassung aus dem Ursprungsthread zur Frage: Was ist ein Service oder Dienst? Und wie gelingt es eigentlich einem Wurm, ohne Zutun des Anwenders ein System zu befallen?

Was ist ein Dienst?

Ein Dienst (auch Service genannt) ist ein Programm, welches im Unterschied zu anderen Programmen auch dann gestartet wird, wenn sich an dem System kein Benutzers angemeldet hat. In den meisten Fällen läuft ein Dienst mit erweiterten Rechten (in einem so genannten Systemkontext). Wie jedes andere Programm auch kann ein Dienst an einem festgelegten Netzwerkport lauschen, um auf Anfragen aus dem Netz zu reagieren. Typische Vertreter davon sind der Serverdienst (lanman), Telnet, rsh und http, etc.

Wie kann ein Wurm ohne Zutun des Anwenders einen PC befallen?

Um das zu realisieren, schickt der Wurm ein speziell manipuliertes Paket an einen Port eines fehlerhaft programmierten Dienstes, welches Teile des Stacks überschreibt (Pufferüberlauf). Dadurch wird beliebiger Code von außen auf den Rechner eingeschleust und ausgeführt. Der Code läuft mit den Rechten des Dienstes (also in der Regel im Systemkontext) und hat somit oftmals sogar mehr Rechte, als ein Administrator. Ein Wurm kann sich auf diese Weise von selbst auf den Rechner kopieren und installieren. Von dort aus sucht er weitere Rechner im Netz, um diese zu infizieren. Im Unterschied zu anderen Würmern verbreitet sich dieser Wurm ohne Zutun des Anwenders. Der Anwender muss also kein eMail-Attachment öffnen oder eine präparierte Website aufrufen, damit sein Rechner infiziert wird.

Bye, Ronald

[Ronald]

Zusammenfassung aus dem Ursprungsthread: Adressierung in Netzwerken

MAC-Adresse

Jede Netzwerkkarte (kurz NIC genannt) hat eine eindeutige, abrufbare Seriennummer, welche man MAC-Adresse, LAN-ID, NIC-Nummer oder physikalische Adresse nennt. Sie setzt sich zusammen aus einer Hersteller-ID und einer angrenzenden, laufenden Nummer. Dadurch lässt sich jede Netzwerkkarte weltweit eindeutig identifizieren.

Geht eine Netzwerkkommunikation über das eigene Subnetz hinaus, so erhalten die Netzwerkpakete die MAC-Adresse des Routers, über den sie geleitet werden. Niemand aus dem Internet kann somit die wahre MAC-Adresse des Kommunikationspartners sehen, da ihm während der Verbindung lediglich die MAC-Adresse des letzten Routers übermittelt wird.

Da die MAC-Adresse nicht über Subnetzgrenzen hinweg übertragen wird, ist sie für eine globale Adressierung in komplexen Netzwerken ungeeignet.

Node

Die so genannte Node- oder Knoten-Nummer ist ebenfalls eine Seriennummer für Netzwerkkarten, welche abhängig vom System meistens der MAC-Adresse entspricht, manchmal aber auch eine vom System erstellte, verfahrensinterne Nummer darstellt.

MAC-Filter

Ein MAC-Filter beschränkt den jeweiligen Zugriff auf Netzwerkkarten mit einer bestimmten MAC-Adresse. Allerdings ist es sehr leicht, die MAC-Adresse seiner eigenen Netzwerkkarte zu ändern (MAC-Spoofing). Aus diesem Grund ist ein Filter für MAC-Adressen eines Accesspoints zwar durchaus sinnvoll, da er eine zusätzliche Barriere für einen Skriptkiddie darstellt. Jedoch ist ein MAC-Filter noch lange kein Garant für ein geschlossenes Netz.

Adressierung in TCP/IP-Netzen

In komplexen Netzwerken bedarf es einer erweiterten Form der Identifikation, um Netzwerkpakete verwaltungstechnisch effizient adressieren zu können. Unter Verwendung des TCP/IP-Protokolls bedient man sich einer IP-Adresse und eines Ports, um eine eindeutige Adresse zu bilden. Damit eine praktikable Zuordnung von IP-Adressen zu einem bestimmten Subnetz möglich wird, unterteilt die Subnetzmaske jede IP-Adresse in zwei Bereiche (Netzwerk-ID und Rechner-ID), was die Konfiguration von Netzwerkkomponenten stark vereinfacht.

IP-Adresse

Die IP-Adresse ist vergleichbar mit einer Hausadresse, die eine Straßennummer und eine Hausnummer enthält. Nur über die Adresse weiß die Post, zu welchem Haus (zu welcher Netzwerkkarte) die Pakete geliefert werden sollen.

Beispiel einer 32-Bit IP-Adresse:  192.168.1.23

Jeder Ziffernblock einer IP-Adresse (Block1 . Block2 . Block3 . Block4) kann theoretisch einen Wert von 0 bis 255 annehmen. Einer IP-Adresse sollte man aber nur Werte zwischen 1 bis 254 zuweisen, da die Werte 0 und 255 eine besondere Bedeutung haben. Wenn man das eigene Netzwerk irgendwann einmal mit dem Internet verbinden möchte (z.B. per DSL-Router) sollte man in seinem eigenen Netzwerk einen IP-Adressbereich verwenden, der für private (also nicht öffentliche) Netzwerke vorgesehen ist (z.B. 192.168.x.x; die für diesen Adressbereich empfohlene Subnetzmaske lautet 255.255.255.0 und sollte keinesfalls kleiner als 255.248.0.0 sein).

Port

Der Port, auch Anschlussnummer genannt, funktioniert sinnbildlich gesehen wie ein Namensschild an einem Hauseingang. Das Haus (die Netzwerkkarte) hat eine Adresse (die IP-Adresse). Über die zusätzlich angegebene Port-Nummer weiß das Betriebssystem, für welches Programm im Haus das Netzwerkpaket bestimmt ist.

Beispieladresse mit Portangabe (hier http-Port 80):   192.168.1.23:80

Subnetzmaske

Damit Netzwerkkomponenten, die mehrere Subnetze miteinander verbinden, ihre Arbeit verrichten können, müssen sie wissen, welche Netzwerkpakete zu welchem Netz gehören. Um dies zu realisieren, hat man nach einem Weg gesucht, wie man die Netzwerkzugehörigkeit anhand der IP-Adresse erkennen kann. So wurde festgelegt, dass die ersten Ziffern der IP-Adresse den Namen des Netzwerkes bilden, während der zweite Teil der Zahl die eindeutige ID eines Rechners (genauer einer Netzwerkkarte) in diesem Netzwerk umfasst.

Die Subnetzmaske, auch Netzmaske genannt, legt fest, welcher Bereich der IP-Adresse zum Netzwerkbereich gehört. Der Rest der IP-Adresse bildet den Rechnerbereich, welchen man auch Hostbereich nennt.

Somit ist sichergestellt, dass keine IP-Adresse aus dem einen Subnetz einen Adresskonflikt mit einer IP-Adresse eines anderen Subnetzes auslöst. Zudem müssen die Netzwerkkomponenten nun lediglich die Netzwerknamen aus der IP-Adresse ermitteln, um die Netzwerkpakete dem jeweiligen Subnetz zuordnen zu können. Auf diese Weise lassen sich Regeln für Netzwerkkomponenten ganz einfach formulieren.

Ein kleines Beispiel anhand einer typische IP-Adresse: 192.168.1.23:80

Eine Subnetzmaske von „255.255.255.0“ bestimmt nun, dass die ersten drei Byte (also die ersten drei Ziffernblöcke) komplett den Netzwerkbereich bilden. Bildlich gesehen handelt es sich hierbei also um die 192.168.1'te Straße (Netzwerk-ID), Hausnummer 23 (Rechner-ID), Raum 80 (Portnummer). Hätte man in dem Netz eine Subnetzmaske von „255.255.0.0“ festgelegt, so würde die Straßennummer 192.168 lauten und die Hausnummer wäre nun 1.23

Je größer die Subnetzmaske ist, umso weniger Rechner lassen sich pro Subnetz erfassen (bei 255.255.255.0 sind es „nur“ 254 Rechner pro Subnetz, was in der Regel aber ausreichen sollte; bei 255.255.0.0 sind es immerhin schon 64.516 mögliche Rechner pro Subnetz). Und je kleiner die Subnetzmaske ist, desto weniger Subnetze lassen sich definieren.

Der Unterschied zwischen dem Anfrage- und Rückgabe-Port

Ein Internetdienst, welcher z.B. Webseiten bereitstellt, wird durch ein Programm realisiert, welches auf dem jeweiligen Internetserver läuft. Bei dem Programm handelt es sich um einen Netzwerkdienst (auch Service oder D*aemon genannt), welcher an einem bestimmten Port lauscht. So bindet sich z.B. ein http-Dienst an den Port 80, über den er Anfragen eines beliebigen Clients entgegennimmt.

Wenn es um Portregeln geht, gibt es ein weit verbreitetes Missverständnis: Auf das Beispiel bezogen, läuft auf dem Client ein beliebiger Internetbrowser, welcher seine Anfrage an den Server:Port80 stellt. Entgegen dem, was oftmals vermutet wird, bindet sich der Internetbrowser jedoch nicht ebenfalls an den Port 80 des PCs, um die Antwortpakete entgegenzunehmen. Sobald mehrere Internetbrowser auf dem PC gestartet werden, würde das auch nicht mehr funktionieren, da sich so mehrere Prozesse ein und denselben Rückgabeport teilen müssten. Welchem Prozess aber sollte das Betriebssystem die dort eingehenden Netzwerkpakete übergeben? Eine eindeutige Zuordnung wäre so nicht möglich.

Deshalb bindet sich jeder gestartete Browserprozess an einen anderen, dynamisch erzeugten Rückgabeport, welcher in einem Bereich zwischen 1024 und 65535 liegt. So startet der Browser seine Anfrage an den Server:Port80 und teilt ihm gleichzeitig mit, dass die Antwort zurück an die IP-Adresse des PCs auf Port xyz zu schicken ist (xyz=Rückgabeport des jeweiligen Browserprozesses). Genau genommen erhält sogar jedes autonome Browserfenster seinen eigenen Rückgabeport, selbst wenn die Fenster zu ein und demselben Prozess gehören. Auf diese Weise bleibt die Zuordnung der Antwortpakete jederzeit eindeutig.

Bezogen auf eine Firewall bedeutet dies, dass man die Übermittlung der Antwortpakete nicht unterbinden kann, indem man eingehende Pakete auf Port 80 blockiert. Werden hingegen ausgehende Pakete unterbunden, die sich an den Port 80 richten, so ist keine http-Anfrage mehr möglich, was den Zugriff der internen Rechner auf Webseiten verhindert.

Bye, Ronald

Bevor ich was schreibe mach ich das z.B. in Word und poste das dann nicht 10000 mal