ADMIN Magazin Gestapelt - Schneller und sicherer mit RAID (Vorschau)

Security
Windows-Firewall
Sie zwischen verschiedenen Regeltypen
wählen:
n Isolierung: schränkt die Verbindungen
anhand bestimmter Authentifizierungsregeln
ein.
n Authentifizierungsausnahme: definiert
Computer, von denen keine Verbindungen
angenommen werden.
n Server-zu-Server: Verbindungen zwischen
den in der Regel angegebenen
Computern werden authentifiziert.
n Tunnel: Bezieht sich auf Gateway-Computer
als Tunnelendpunkte. Wählen
Sie »Isolierung«, wird der Computer
gegen nicht authentifizierte Computer
isoliert. Auf der nächsten Dialogseite
können wiederum verschiedene Möglichkeiten
ausgewählt werden:
n Authentifizierung für eingehende und
ausgehende Verbindungen anfordern:
Obwohl die Authentifizierung generell
angefordert wird, ist sie bei diesem
Typ nicht erforderlich.
n Authentifizierung ist für eingehende
Verbindungen erforderlich und muss
für ausgehende Verbindungen angefordert
werden: Hier sind eingehende
Verbindungen nur dann erlaubt, wenn
sie authentifiziert werden können.
Ausgehende Verbindungen werden
zwar nach Möglichkeit authentifiziert,
aber auch zugelassen, wenn die Authentifizierung
nicht erfolgreich war.
n Authentifizierung ist für eingehende
und ausgehende Verbindungen erforderlich:
Diese Einstellung ist die restriktivste
von allen und erlaubt sowohl
bei ein- als auch bei ausgehenden Verbindungen
nur authentifizierte Kommunikation
(Abbildung 7).
Als Nächstes wird die Authentifizierungsmethode
festgelegt. Hierbei können
Sie wählen, ob die IPsec-Einstellungen
verwendet werden sollen, oder ob über
Kerberos authentifiziert werden soll.
Letzeres erfordert die Mitgliedschaft in
einer Domäne. Nachdem die Regel einen
Namen erhalten hat, ist sie erstellt und
erscheint im Hauptfenster. Achtung: Die
Regel ist auch sofort aktiv! Haben Sie
eine entsprechend restriktive Regel erstellt,
wird der Computer isoliert, wenn
die Remote-Systeme nicht ebenfalls entsprechend
konfiguriert sind. Möchten
Sie die Verbindung über eine bestimmte
ein- oder ausgehende Regel nur dann
zulassen, wenn sie gesichert ist, können
Abbildung 8: Mit dieser Einstellung erlaubt die
Windows-Firewall Verbindungen nur dann, wenn sie
entsprechend geschützt sind.
Sie die entsprechende Aktion in den Eigenschaften
der Regel auswählen (Abbildung
8). In diesem Fall können Sie über
den Button »Anpassen« weitere Einstellungen
für die Sicherung der Kommunikation
auswählen und so zum Beispiel
eine Verschlüsselung erzwingen.
Steuerung per Netshell
und Powershell
Die Windows-Firewall lässt sich bequem
über die grafische Oberfläche konfigurieren.
Unter »Computerkonfiguration/
Windows‐Einstellungen/Sicherheitseinstellungen
| Windows‐Firewall mit erweiterter
Sicherheit« hilft der bekannte
Dialog-Assistent dabei, bestimmte Regeln
für ein- und ausgehenden Netzwerkverkehr
und die Verbindungssicherheitsregeln
zu erstellen.
Doch auch auf der Kommandozeile lässt
sich die Windows-Firewall auslesen und
konfigurieren, zum Beispiel mit der Netshell.
So können Sie zum Beispiel alle
Regeln der Firewall mit dem folgenden
Befehl auslesen:
netsh advfirewall firewall show rule U
name=all
Möchten Sie die Firewall deaktivieren,
können Sie dies mit dem folgenden Befehl
für sämtliche Profile tun: »netsh advfirewall
set allprofiles state off«. Die Reaktivierung
erfolgt mit demselben Befehl,
nur dass am Ende »state on« angegeben
wird. Um beispielsweise eine Regel zu erstellen,
die Ping eingehend erlaubt, lautet
der Befehl folgendermaßen:
netsh advfirewall firewall add rule nameU
="ICMPv4 eingehend" dir=in action=allow U
protocol=icmpv4
Die Regel ist aktiv und wird auch im
Regelwerk unter »Eingehende Regeln«
angezeigt.
Auch die Powershell ermöglicht eine
Konfiguration der Windows-Firewall. Allerdings
ist dies nicht ganz trivial und
bei Weitem nicht so gradlinig wie die
Netshell-Befehle. Die Interaktion mit der
Windows-Firewall geschieht über das
COM-Objekt »HNetCFG.FWPolicy2«. Die
Konfiguration erfordert einige Skripting-
Kenntnisse.
Tipps und Fazit
Die Windows-Firewall mit erweiterter Sicherheit
bietet die Möglichkeit, sowohl
eingehende als auch ausgehende Verbindungen
zu kontrollieren. Sie unterscheidet
dabei einzelne Netzwerkstandorte,
die als Profile hinterlegt sind. Dabei ist zu
beachten, dass ausgehende Verbindungen
grundsätzlich durch die Standardregel
für alle Profile erlaubt sind. Andererseits
arbeitet die Firewall „stateful“, das
heißt sie lässt Antwortpakete durch, ohne
dass hierfür explizite Regeln erforderlich
sind.
Die Windows-Firewall ermöglicht es dem
Administrator, im Gegensatz zu Netzwerk-Firewalls,
für einzelne Programme
festzulegen, ob ihnen die Kommunikation
erlaubt oder verboten ist. Zusätzlich
ist es möglich, die Kommunikation via
IPsec abzusichern. Hierzu lässt sich die
Windows-Firewall sowohl für Authentifizierung
wie auch für Verschlüsselung
konfigurieren. (ofr)
n
Der Autor
Eric Amberg ist Geschäftsführer der ATRACON
GmbH ([http:// www. atracon. de]), seit vielen
Jahren im Bereich IT-Infrastruktur als Trainer
und Consultant tätig und verfügt über langjährige
Projekterfahrung. Sein
besonderer Fokus liegt auf
Netzwerk-Themen. In seinen
Seminaren legt er großen
Wert auf eine praxisnahe
Schulung.
84 Ausgabe 06-2012 Admin www.admin-magazin.de