Sicherheit in vernetzten Systemen - RRZ Universität Hamburg

KAPITEL 3. LÖSUNGSMÖGLICHKEITEN FÜR DIE SICHERHEITSPROBLEMATIK
Mit einer Packet Screen ist es möglich, eine Zugriffssteuerung anhand der Quell- und Zieladressen
sowie der Quell- und Zielports zu realisieren. Durch Filterregeln für Quell- und Zieladressen läßt sich
die Erreichbarkeit einzelner Rechner oder Subnetze festlegen. Die Einschränkung der erreichbaren
Dienste(http,ftp,telnet,...)erfolgtdurchdieFilterung der Quell- und Zielports. Bei den Filterregeln
wird zwischen „Deny Filtern“ und „Pass Filtern“ unterschieden [Ranum, 1992].
Ein Vorteil von Packet Screens sind ihre geringen Kosten, da die notwendige Hardware, in Form eines
Routers, meist bereits vorhanden ist und der Router lediglich umkonfiguriert werden muß.
Ein weiterer Vorteil ist die Transparenz einer Packet Screen. Solange keine unerlaubten Dinge versucht
werden, wird ein Benutzer die Packet Screen nicht bemerken.
Eine Packet Screen besitzt allerdings auch einige Nachteile, von denen im folgenden einige genannt
werden.
Die nur indirekte Kontrolle der übertragenen Protokolle ist ein solcher Nachteil. Da nicht nach Protokollen,
sondern nach Portnummern gefiltert wird, ist es nicht gesichert, daß auf den verschiedenen
Ports auch nur die gewünschten Protokolle übertragen werden. Durch „Tunneling“-Techniken können
so auch Ports und Rechner angesprochen werden, die nicht erreichbar sein sollten [Bellovin 1989].
Desweiteren besteht die Gefahr, daß Rechnern mit einer gefälschten IP-Adresse ebenfalls Zugang
gewährt wird.
Durch die Prüfung aller einzelnen Pakete kann es in Abhängigkeit der Vielzahl der Filterregeln zu
Performanzeinbußen kommen.
Da ein Router keine Auditdaten liefern kann, müssen im Falle eines erfolgreichen Einbruchs die Auditdaten
der einzelnen internen Hosts gesammelt und verglichen werden. Aufgrund dieses fehlenden
Audits kann eine Packet Screen nicht als „richtige“ Firewall bezeichnet werden (vgl. Definition in
3.5.3).
Beispiel: Gateway mit Proxy
Gateway mit Proxy
Netz 1 Netz 2
Abbildung 3.2: Zwei Netze durch ein Gateway mit Proxy-Server verbunden
Ein Rechner, der Verbindung zu zwei Netzen hat, wird als Gateway bezeichnet, wenn Verbindungen,
die über diesen Rechner laufen, auf Applikationsebene realisiert werden. Bieten diese Applikationen
weiterhin die Möglichkeit einer Zugriffskontrolle und eines Audits, so kann der Rechner als Gateway-
Firewall genutzt werden.
Als einen Proxy bzw. Proxy-Server wird ein Dämon bezeichnet, der auf einem vorher definierten Port
des Gateways auf eine Verbindung eines Klienten wartet. Der Proxy-Server prüft, ob der Verbindungswunsch
des Klienten erlaubt ist. Ist dies der Fall, stellt der Proxy die Verbindung zum Zielrechner her.
48 SS 99, Seminar 18.416: Sicherheit in vernetzten Systemen