Sicherheit in vernetzten Systemen - RRZ Universität Hamburg

3.5. NETZWERKSICHERHEIT
Eine Firewall ist eine Schwelle zwischen Netzen mit verschiedenen Sicherheitsniveaus.
Durch technische und administrative Maßnahmen wird dafür gesorgt, daß jede Kommunikation
zwischen den Netzen über die Firewall geführt werden muß. Auf der Firewall
sorgen Zugriffskontrolle und Audit dafür, daß nur berechtigte Verbindungen zwischen
den Netzen aufgebaut werden und potentielle Angriffe schnellstmöglich erkannt werden.
Einer der wichtigsten Punkte dieser Definition ist, daß es nur genau eine Verbindung zwischen den
Netzen gibt. Sollte es Abweichungen von dieser Regel geben, hier sind vor allem Modemverbindungen
zu nennen, muß dies explizit in einer Policy (siehe Abschnitt 3.6) festgehalten werden. Als Ausnahme
kann beispielsweise eine Modemverbindung zu einem Mailserver zugelassen werden, damit
Mitarbeiter auch von auswärts Zugriff auf ihre Daten haben.
Meist wird davon ausgegangen, daß eine Firewall ein lokales Netz (LAN) vom Internet abtrennt.
Aber gerade bei größeren Firmen wird das interne Netz oftmals weiter unterteilt und durch „interne“
Firewalls geschützt. Beispielsweise kann durch eine „interne“ Firewall das Rechnernetz der Personalabteilung
vom restlichen Firmennetz geschützt werden, damit nicht jeder Angestellte Zugang zu
vertraulichen Daten aus dem Personalwesen erlangen kann.
Es gibt verschiedene Möglichkeiten, eine Firewall zu realisieren. Sie reichen von ganz einfachen Konfigurationen
bis hin zu komplizierten, sehr aufwendigen Implementationen.
Eine grobe Unterteilung kann in vier Klassen erfolgen:
¯ Packet Screens,
¯ Gateways,
¯ Kombinationen von Packet Screen und Bastion sowie
¯ Mischtechniken.
In den folgenden zwei Abschnitten werden nur die beiden ersten Konzepte genauer dargestellt. Aus
[Kohlrausch, 1999] und [Ellermann, 1994] können weitergehende Informationen zu den verschiedenen
Firewallkonzepten entnommen werden.
Beispiel: Packet Screen
Packet Screen
Netz 1 Netz 2
Abbildung 3.1: Zwei Netze durch eine Packet Screen verbunden
Packet Screens bilden die einfachste Möglichkeit, eine Firewall aufzubauen. Dafür kann ein bereits
vorhandener Router so konfiguriert werden, daß er nur bestimmte Pakete durchläßt und andere hingegen
abblockt (vgl. [Carl-Mitchell et al., 1992]). Daher werden Packet Screens auch oftmals als „Screening
Router“ bezeichnet.
SS 99, Seminar 18.416: Sicherheit in vernetzten Systemen 47