Sicherheit in vernetzten Systemen - RRZ Universität Hamburg

KAPITEL 7. „KLASSISCHE“ FIREWALLS IN IP-NETZEN
¯ die einzige Verbindung zwischen den beiden Netzwerken darstellt und
¯ Zugriffskontrolle und Auditing des Datentranfers zwischen beiden Netzwerken durchführt.
Der „klassische“ IP-Firewall wird zur Zugriffskontrolle zwischen dem Internet und einem lokalen
Netzwerk eingesetzt. Firewalls können aber auch sicherheitsrelevantere interne Netzwerke (Kaskade
von Firewalls) gegen Angriffe von außen schützen.
Dieser Beitrag gliedert sich in folgende Abschnitte: Im ersten Abschnitt werden die Elemente eines
Firewalls (Packet-Screen, Proxy-Server und Bastion) beschrieben. Im zweiten Abschnitt wird gezeigt,
wie sich die Elemente von Firewalls in die grundlegenden Architekturen eingliedern. In diesem Abschnitt
wird auch die Sicherheit der einzelnen Firewall-Architekturen verglichen. Danach wird anhand
von zwei Firewallarchitekturen beschrieben, wie die im letzten Abschnitt beschriebenen Konzepte in
der Praxis eingesetzt werden können. Zum Abschluß werden die Grenzen von Firewalls aufgezeigt.
7.2 Elemente eines Firewalls
7.2.1 Packet-Screen
Die Zugriffskontrolle durch eine Packet-Screen erfolgt auf der Grundlage der Header-Informationen
in den TCP/IP, UDP und ICMP Datagrammen (OSI Schichten 3 und 4, siehe auch [Möller 99]). Filterregeln,
die vom Administrator vorgegeben werden, geben an, welche Datagramme die Packet-Screen
passieren dürfen oder gesperrt werden. Es gibt zwei verschiedene Filterstrategien:
Gebotsregeln: Alles, was nicht explizit erlaubt ist, ist verboten.
Verbotsregeln: Alles, was nicht explizit verboten ist, ist erlaubt.
Eine größere Sicherheit gewährleistet die erste Filterstrategie. Nur Datagramme, deren Weiterleitung
durch eine Gebotsregel explizit erlaubt worden ist, können die Packet-Screen passieren. Fehler bei der
Festlegung der Regeln bewirken deshalb im allgemeinen, daß erlaubte Datagramme durch eine fehlerhafte
Regel gesperrt werden. Bei der zweiten Filterstrategie bewirkt eine fehlerhafte Verbotsregel,
daß Datagramme, die durch diese Regel gesperrt werden sollten, die Packet-Screen passieren können.
Es ist i.a. nicht möglich, alle Schwachstellen im internen Netzwerk zu schließen. Z.B. kann ein Host
im internen Netzwerk einen Dienst anbieten, den ein Benutzer ohne Kenntnis des Administrators
eingerichtet hat. Werden nur die in den Verbotsregeln angegebenen Dienste gesperrt, kann dieser
Dienst aber immer noch von außen angegriffen werden. Da der Administrator nicht weiß, daß dieser
Dienst eingerichtet worden ist, kann er diesen Dienst nicht explizit in den Regeln berücksichtigen.
Werden allerdings nur die erlaubten Dienste in den Gebotsregeln angegeben, ist der Dienst von außen
nicht angreifbar. Ohne Kenntnis des Systemadministrators kann in diesem Fall also kein eventuell
angreifbarer Dienst eingerichtet werden, der dem Internet zur Verfügung steht.
Gefiltert wird nach :
1. IP-Quell- und Zieladresse
2. Datagrammtyp (TCP / UDP / ICMP / IP)
102 SS 99, Seminar 18.416: Sicherheit in vernetzten Systemen