künftige Firewall FAQ für Laien

[Ronald]

Zusammenfassung aus dem Ursprungsthread zur Frage: Ist der Einsatz eines Firewallsystems auch dann sinnvoll, wenn man nichts zu verbergen hat?

Ein Firewallsystem dient nicht dazu, die Privatsphäre zu schützen, weshalb die Frage, ob man etwas zu verbergen hat, für deren Einsatz nicht entscheidend ist. Vielmehr besteht die Aufgabe des Firewallmoduls darin, auf der Ebene des Netzwerkprotokolls bestimmte Netzwerkverbindungen zu erlauben oder zu unterbinden. Die erweiterten Funktionalitäten einer Desktop Firewall sind für weitere Aufgaben zuständig, welche beispielsweise den Zugriff einzelner Programme auf das Netzwerk verwalten, Autostarteinträge überwachen, per Sandbox die Datei- und Systemzugriffe der Prozesse einschränken oder „Angriffe“ erkennen und nach Malware suchen. Ein Firewallsystem ist also ein Werkzeug, welches einem innerhalb gewisser Grenzen dabei helfen kann, das eigene System zu verstehen und zu kontrollieren.

Es gibt Computerwürmer, welche sich ohne Zutun des Anwenders von Rechner zu Rechner „hangeln“ und sich dort verewigen. Greifen sie das System über eine Schwachstelle in einem Dienst an (auch Service genannt), welcher auf dem Rechner läuft, dann arbeiten sie auf dem System mit den erweiterten Rechten des Dienstes. Ein Virenscanner kann den Wurm erst dann erkennen, wenn er bereits das System infiziert hat. Selbst wenn es ihm gelingen sollte, den Wurm zu eliminieren, so ist er kurz danach wieder da, da der Rechner auf demselben Weg wieder infiziert wird. Eine Deaktivierung des Dienstes kann die Verbreitung des Wurms verhindern (weshalb man grundsätzlich alle Netzwerkdienste deaktivieren sollte, die man nicht benötigt). Aktuelle Sicherheitsupdates können den Infektionsweg ebenfalls schließen. Verbreitet sich der Wurm jedoch noch vor der Veröffentlichung eines Sicherheitsupdates oder ist eine Echtzeit-Aktualisierung des Systems auf dem betroffenen Rechnern nicht möglich ist, so kann ein Firewallsystem dazu dienen, den Zugriff auf den Dienst zu beschränken. Kommt der Angriff von außen (also aus dem Internet), so ist eine externe Firewall die beste Lösung für das Problem. Zugriffe aus dem eigenen Netz kann eine Desktop Firewall einschränken.

Bye, Ronald

[Ronald]

Zusammenfassung aus dem Ursprungsthread zur Frage: Was ist ein Service oder Dienst? Und wie gelingt es eigentlich einem Wurm, ohne Zutun des Anwenders ein System zu befallen?

Was ist ein Dienst?

Ein Dienst (auch Service genannt) ist ein Programm, welches im Unterschied zu anderen Programmen auch dann gestartet wird, wenn sich an dem System kein Benutzers angemeldet hat. In den meisten Fällen läuft ein Dienst mit erweiterten Rechten (in einem so genannten Systemkontext). Wie jedes andere Programm auch kann ein Dienst an einem festgelegten Netzwerkport lauschen, um auf Anfragen aus dem Netz zu reagieren. Typische Vertreter davon sind der Serverdienst (lanman), Telnet, rsh und http, etc.

Wie kann ein Wurm ohne Zutun des Anwenders einen PC befallen?

Um das zu realisieren, schickt der Wurm ein speziell manipuliertes Paket an einen Port eines fehlerhaft programmierten Dienstes, welches Teile des Stacks überschreibt (Pufferüberlauf). Dadurch wird beliebiger Code von außen auf den Rechner eingeschleust und ausgeführt. Der Code läuft mit den Rechten des Dienstes (also in der Regel im Systemkontext) und hat somit oftmals sogar mehr Rechte, als ein Administrator. Ein Wurm kann sich auf diese Weise von selbst auf den Rechner kopieren und installieren. Von dort aus sucht er weitere Rechner im Netz, um diese zu infizieren. Im Unterschied zu anderen Würmern verbreitet sich dieser Wurm ohne Zutun des Anwenders. Der Anwender muss also kein eMail-Attachment öffnen oder eine präparierte Website aufrufen, damit sein Rechner infiziert wird.

Bye, Ronald

[Ronald]

Zusammenfassung aus dem Ursprungsthread: Adressierung in Netzwerken

MAC-Adresse

Jede Netzwerkkarte (kurz NIC genannt) hat eine eindeutige, abrufbare Seriennummer, welche man MAC-Adresse, LAN-ID, NIC-Nummer oder physikalische Adresse nennt. Sie setzt sich zusammen aus einer Hersteller-ID und einer angrenzenden, laufenden Nummer. Dadurch lässt sich jede Netzwerkkarte weltweit eindeutig identifizieren.

Geht eine Netzwerkkommunikation über das eigene Subnetz hinaus, so erhalten die Netzwerkpakete die MAC-Adresse des Routers, über den sie geleitet werden. Niemand aus dem Internet kann somit die wahre MAC-Adresse des Kommunikationspartners sehen, da ihm während der Verbindung lediglich die MAC-Adresse des letzten Routers übermittelt wird.

Da die MAC-Adresse nicht über Subnetzgrenzen hinweg übertragen wird, ist sie für eine globale Adressierung in komplexen Netzwerken ungeeignet.

Node

Die so genannte Node- oder Knoten-Nummer ist ebenfalls eine Seriennummer für Netzwerkkarten, welche abhängig vom System meistens der MAC-Adresse entspricht, manchmal aber auch eine vom System erstellte, verfahrensinterne Nummer darstellt.

MAC-Filter

Ein MAC-Filter beschränkt den jeweiligen Zugriff auf Netzwerkkarten mit einer bestimmten MAC-Adresse. Allerdings ist es sehr leicht, die MAC-Adresse seiner eigenen Netzwerkkarte zu ändern (MAC-Spoofing). Aus diesem Grund ist ein Filter für MAC-Adressen eines Accesspoints zwar durchaus sinnvoll, da er eine zusätzliche Barriere für einen Skriptkiddie darstellt. Jedoch ist ein MAC-Filter noch lange kein Garant für ein geschlossenes Netz.

Adressierung in TCP/IP-Netzen

In komplexen Netzwerken bedarf es einer erweiterten Form der Identifikation, um Netzwerkpakete verwaltungstechnisch effizient adressieren zu können. Unter Verwendung des TCP/IP-Protokolls bedient man sich einer IP-Adresse und eines Ports, um eine eindeutige Adresse zu bilden. Damit eine praktikable Zuordnung von IP-Adressen zu einem bestimmten Subnetz möglich wird, unterteilt die Subnetzmaske jede IP-Adresse in zwei Bereiche (Netzwerk-ID und Rechner-ID), was die Konfiguration von Netzwerkkomponenten stark vereinfacht.

IP-Adresse

Die IP-Adresse ist vergleichbar mit einer Hausadresse, die eine Straßennummer und eine Hausnummer enthält. Nur über die Adresse weiß die Post, zu welchem Haus (zu welcher Netzwerkkarte) die Pakete geliefert werden sollen.

Beispiel einer 32-Bit IP-Adresse:  192.168.1.23

Jeder Ziffernblock einer IP-Adresse (Block1 . Block2 . Block3 . Block4) kann theoretisch einen Wert von 0 bis 255 annehmen. Einer IP-Adresse sollte man aber nur Werte zwischen 1 bis 254 zuweisen, da die Werte 0 und 255 eine besondere Bedeutung haben. Wenn man das eigene Netzwerk irgendwann einmal mit dem Internet verbinden möchte (z.B. per DSL-Router) sollte man in seinem eigenen Netzwerk einen IP-Adressbereich verwenden, der für private (also nicht öffentliche) Netzwerke vorgesehen ist (z.B. 192.168.x.x; die für diesen Adressbereich empfohlene Subnetzmaske lautet 255.255.255.0 und sollte keinesfalls kleiner als 255.248.0.0 sein).

Port

Der Port, auch Anschlussnummer genannt, funktioniert sinnbildlich gesehen wie ein Namensschild an einem Hauseingang. Das Haus (die Netzwerkkarte) hat eine Adresse (die IP-Adresse). Über die zusätzlich angegebene Port-Nummer weiß das Betriebssystem, für welches Programm im Haus das Netzwerkpaket bestimmt ist.

Beispieladresse mit Portangabe (hier http-Port 80):   192.168.1.23:80

Subnetzmaske

Damit Netzwerkkomponenten, die mehrere Subnetze miteinander verbinden, ihre Arbeit verrichten können, müssen sie wissen, welche Netzwerkpakete zu welchem Netz gehören. Um dies zu realisieren, hat man nach einem Weg gesucht, wie man die Netzwerkzugehörigkeit anhand der IP-Adresse erkennen kann. So wurde festgelegt, dass die ersten Ziffern der IP-Adresse den Namen des Netzwerkes bilden, während der zweite Teil der Zahl die eindeutige ID eines Rechners (genauer einer Netzwerkkarte) in diesem Netzwerk umfasst.

Die Subnetzmaske, auch Netzmaske genannt, legt fest, welcher Bereich der IP-Adresse zum Netzwerkbereich gehört. Der Rest der IP-Adresse bildet den Rechnerbereich, welchen man auch Hostbereich nennt.

Somit ist sichergestellt, dass keine IP-Adresse aus dem einen Subnetz einen Adresskonflikt mit einer IP-Adresse eines anderen Subnetzes auslöst. Zudem müssen die Netzwerkkomponenten nun lediglich die Netzwerknamen aus der IP-Adresse ermitteln, um die Netzwerkpakete dem jeweiligen Subnetz zuordnen zu können. Auf diese Weise lassen sich Regeln für Netzwerkkomponenten ganz einfach formulieren.

Ein kleines Beispiel anhand einer typische IP-Adresse: 192.168.1.23:80

Eine Subnetzmaske von „255.255.255.0“ bestimmt nun, dass die ersten drei Byte (also die ersten drei Ziffernblöcke) komplett den Netzwerkbereich bilden. Bildlich gesehen handelt es sich hierbei also um die 192.168.1'te Straße (Netzwerk-ID), Hausnummer 23 (Rechner-ID), Raum 80 (Portnummer). Hätte man in dem Netz eine Subnetzmaske von „255.255.0.0“ festgelegt, so würde die Straßennummer 192.168 lauten und die Hausnummer wäre nun 1.23

Je größer die Subnetzmaske ist, umso weniger Rechner lassen sich pro Subnetz erfassen (bei 255.255.255.0 sind es „nur“ 254 Rechner pro Subnetz, was in der Regel aber ausreichen sollte; bei 255.255.0.0 sind es immerhin schon 64.516 mögliche Rechner pro Subnetz). Und je kleiner die Subnetzmaske ist, desto weniger Subnetze lassen sich definieren.

Der Unterschied zwischen dem Anfrage- und Rückgabe-Port

Ein Internetdienst, welcher z.B. Webseiten bereitstellt, wird durch ein Programm realisiert, welches auf dem jeweiligen Internetserver läuft. Bei dem Programm handelt es sich um einen Netzwerkdienst (auch Service oder D*aemon genannt), welcher an einem bestimmten Port lauscht. So bindet sich z.B. ein http-Dienst an den Port 80, über den er Anfragen eines beliebigen Clients entgegennimmt.

Wenn es um Portregeln geht, gibt es ein weit verbreitetes Missverständnis: Auf das Beispiel bezogen, läuft auf dem Client ein beliebiger Internetbrowser, welcher seine Anfrage an den Server:Port80 stellt. Entgegen dem, was oftmals vermutet wird, bindet sich der Internetbrowser jedoch nicht ebenfalls an den Port 80 des PCs, um die Antwortpakete entgegenzunehmen. Sobald mehrere Internetbrowser auf dem PC gestartet werden, würde das auch nicht mehr funktionieren, da sich so mehrere Prozesse ein und denselben Rückgabeport teilen müssten. Welchem Prozess aber sollte das Betriebssystem die dort eingehenden Netzwerkpakete übergeben? Eine eindeutige Zuordnung wäre so nicht möglich.

Deshalb bindet sich jeder gestartete Browserprozess an einen anderen, dynamisch erzeugten Rückgabeport, welcher in einem Bereich zwischen 1024 und 65535 liegt. So startet der Browser seine Anfrage an den Server:Port80 und teilt ihm gleichzeitig mit, dass die Antwort zurück an die IP-Adresse des PCs auf Port xyz zu schicken ist (xyz=Rückgabeport des jeweiligen Browserprozesses). Genau genommen erhält sogar jedes autonome Browserfenster seinen eigenen Rückgabeport, selbst wenn die Fenster zu ein und demselben Prozess gehören. Auf diese Weise bleibt die Zuordnung der Antwortpakete jederzeit eindeutig.

Bezogen auf eine Firewall bedeutet dies, dass man die Übermittlung der Antwortpakete nicht unterbinden kann, indem man eingehende Pakete auf Port 80 blockiert. Werden hingegen ausgehende Pakete unterbunden, die sich an den Port 80 richten, so ist keine http-Anfrage mehr möglich, was den Zugriff der internen Rechner auf Webseiten verhindert.

Bye, Ronald

Bevor ich was schreibe mach ich das z.B. in Word und poste das dann nicht 10000 mal

[Ronald]

Na toll. Im Eröffnungsbeitrag stand ein goßer, roter Hinweis, daß der Thread gerade erstellt wird. Ich habe extra darum gebeten, daß noch niemand den Thread bewertet und niemand dort Beiträge hineinschreibt, solange er sich im Aufbau befindet (logisch, denn so ergab er noch keinen Sinn). Und was ist?: Die erste schlechte Bewertung folgte prompt dafauf, noch ehe der Thread fertiggestellt war. Echt toll. Danke.

So, nun bin ich fertig. Jetzt kann eure Kritik folgen.

@Cool Master

Zitat von Cool Master

Bevor ich was schreibe mach ich das z.B. in Word und poste das dann nicht 10000 mal

Viele Wege führen nach Rom. Was ist los? Warum stört Dich das? Bekommst Du jedes mal eine Nachricht, wenn ich einen Beitrag aktualisiere? Tät mich mal interessiern.

Bye, Ronald

[tele]

Hi Ronald,

Das Problem für einige ist einfach, dass du dir anmaßt sinnlos zu spammen.

Übersetzt, damit man derartiges versteht heißt das einfach, dass auch in Foren ein gewisses Herdendenken herrscht, sprich manches einfach cool ist und anderes nicht. Dazu zählt zum Beispiel mehr als andere schreiben (der Gehalt ist daabei irrelevant, ab einer bestimmten Anzahl ist man einfach ein Spammer) und dazu zählt das benutzen von widerlichen Blaufarben, genauso wie das mehrmalige untereinanderposten eigener Sachen.

Außerdem ist es für einige einfach bequemer mal eben "spammer" o.ä. zu tippen als einen gehaltvollen Beitrag zu verfassen, und so dem Herdentrieb gerecht zu werden.

Ich würde dir gern eine weitere positive Bewertung für deine Mühe geben, aber ich muss erstmal andere Bewerten, tut mir leid.

Ich find es auch unfair von allen, die diese Arbeit nicht würdigen und sie im gleichen Atemzug sogar ncoh negativ bewerten.

Und um nicht selber noch ins totale Offtopic abzurutschen, werde ich mich jetzt wieder ganz dem Thema widmen.
------------------------------------------------------------------------


Wenn eine Firewall effektiven Schutz gegen Würmer bietet, wieso installier ich dann nicht einfach eine, und geb einfach Sachen wie der "Datei- und Druckerfreigabe" (eigentlich als NetBios bekannt) Zugriff - sowohl von außen als auch von innen?

Eine Firewall kann nur das schützen, was sie blockiert. Ist der Dienst freigegeben, können Packete ungehindert durch. Dazu zählen auch Würmer und ähnliches. Daher sollte mit offenen Ports steht restriktiv umgegangen werden, und nur das freigeschaltet werden, was man wirklich benötigt. Und die "Datei und Druckerfreigabe" hat z.b. über das Internet keinen Sinn.





"Ich bin der Meinung Spyware auf meinem Rechner zu haben, was kann ich dagegen tun bzw. wie erkenne ich das?"

Es gibt viele Möglichkeiten einem derartigen Problem zu begegnen. Die beste hierbei ist Wissen. Wer weiß welcher Prozess wofür zuständig ist und welche software was mitbringt und wie man das entdeckt, der hat schon die halbe Miete. Dann brauch man nur noch die "löschen" taste und alles ist okay.

"Wissen ist ja schön und gut - aber wie bekomme ich das."
Das einfachste ist, vor dem Installieren von Software erst einmal in einschlägigen Foren & Newsseiten zu suchen, ob es vielleicht ein bekanntes Problem mit dieser Software gibt. Wird man nicht fündig, so ist der nächste Schritt die Installation der Software selbst, eine Dektop Firewall mit eingeschalteter PRogrammmkontrolle vorrausgesetzt.
meldet nun die Firewall, dass ein bestimmter Prozess Zugriff auf das Internet haben möchte, so kann man erstmal bequem nach dem Namen des Prozesses googlen, wobei man bei den meisten wirklich fündig wird.

Der nächste Schritt wäre dann noch zur Siocherheit eine Such Software wie Ad.Aware über die eigenen Platten laufen zu lassen, und man sollte vor Spyware sicher sein.


für Fragen da,

Euer tele

Genau Tele du sagt es es ist einfach nur Spam. Wie ich schon geschrieben habe erst z.B. in Word verfassen und dan Posten nicht 6 mal oder wie oft es ist. Ich habe keine Negative Bewertung gegeben habe ich bis jetzt noch gar nicht!! Und wenn das Niveau so bleibt wird es auch keine Negativen Bewertungen geben.

Edit:

Ich bin nicht so ich gebe die auch ne Positive Bewertung für deine Mühe

Edit 2:

Kanns nicht alle Beiträge nehmen und in einen packen?