Sicherheit in vernetzten Systemen - RRZ Universität Hamburg

KAPITEL 7. „KLASSISCHE“ FIREWALLS IN IP-NETZEN
7.4.3 Vergleich der Firewall-Architekturen
Während der AT&T Firewall auf der Gateway-Architektur (Abschnitt ) basiert, besteht der DEC Firewall
aus der Kombination einer Packet-Screen und einer Bastion. Bei beiden Firewalls wird eine
Benutzerauthentisierung mittels eines Challenge/Response Verfahrens durchgeführt. Diese Tatsache
unterstreicht die Bedeutung von kryptographischen Verfahren für den Betrieb von Firewalls.
Die Aufgaben der beiden Firewall-Architekturen unterscheiden sich. Während der AT&T Firewall
in erster Linie das innere Netzwerk gegen Bedrohungen aus dem äußerern Netzwerk sichern soll,
richteten sich die Sicherheitskonzepte des DEC Firewalls auch gegen Mißbrauch ausgehend von dem
inneren Netzwerk. Durch Beschränkung des Datenexports soll erreicht werden, daß keine geheimen
Dokumente aus dem inneren Netzwerk in das externe Netzwerk gelangen können.
7.5 Grenzen der Sicherheit durch Firewalls
In diesem Abschnitt werden die Sicherheitsgrenzen der Firewalls beschrieben. Da ein Firewall keine
Zugriffskontrolle im inneren Netzwerk durchführt, besteht kein Schutz des inneren Netzwerkes gegenüber
Angriffen aus dem inneren Netzwerk. Gerade durch diese Angriffe ist aber ein großes Risiko
gegeben, weil der Angreifer aus dem inneren Netzwerk die Schwächen dieses Netzwerkes i.a. besser
kennt als ein Angreifer von außen. Zudem weiß er, wo und in welcher Form die unternehmenskritischen
oder wertvollen Daten gespeichert sind.
Ein Firewall bietet alleine keinen Schutz der einzelnen Kommunikationsbeziehung. Die Portnummern
bzw. die IP-Adressen können leicht gefälscht werden. Ein Angreifer kann dadurch eine TCP-
Verbindung übernehmen (TCP-Hijacking) oder Daten verändern, die während der Verbindung übertragen
werden. Um diesen Mißbrauch zu verhindern, ist der Einsatz kryptographischer Protokolle
notwendig.
Durch die größere Bandbreite in Hochgeschwindigkeitsnetzen oder durch aufwendige Zugriffskontrollen
können Performanzprobleme auftreten. Dadurch können die Benutzer u.U. erzwingen, daß die
Sicherheit des Netzwerkes reduziert wird, um den ordnungsgemäßen Betrieb des Netzwerkes aufrecht
zu halten.
7.6 Zusammenfassung
¯ Ein Firewall ist ein System zwischen zwei Netzwerken, das die einzige Verbindung zwischen
den Netzen darstellt und eine Zugriffskontrolle und Auditing durchführt.
¯ Ein Firewall bietet effektive Methoden, ein Netzwerk gegenüber Angriffen von außen zu schützen,
ohne daß jeder interne Host aufwendig geschützt werden muß. Trotzdem müssen die Hostrechner
(z.B. Bastion) des Firewalls aufwendig gesichert werden, weil sie nach wie vor angreifbar
sind.
¯ Ein Firewall kann dazu beitragen, die Risiken des Datenmißbrauchs ausgehend von dem inneren
Netzwerk abzuschwächen (z.B. durch Zugriffskontrolle des Datenexportes).
¯ Durch Einführung eines Firewalls ist ein sehr umfangreiches Auditing des Netzwerkverkehrs
zwischen den beiden Netzen möglich.
112 SS 99, Seminar 18.416: Sicherheit in vernetzten Systemen