SECURITY
02.12.2005, 08:00 Uhr
Firewalling - Typen und Techniken
Welche unterschiedlichen Firewall-Typen gibt es und welche Vor- beziehungsweise Nachteile gehen mit ihnen einher? Computerworld-Experte Marc Ruef kennt die Antwort.
Frage:
Welche unterschiedlichen Firewall-Typen gibt es und welche Vor- beziehungsweise Nachteile gehen mit ihnen einher?
Antwort:
Die klassische Firewall-Diskussion kennt lediglich zwei unterschiedliche Firewall-Typen. Die ursprüngliche Variante ist in einem Paketfilter (PF) gegeben. Dieser analysiert die Kommunikationen auf der Netzzugangs-, der Netzwerk- und der Transport-ebene. Lediglich anhand von IP-Adressen und Port-Nummern des Absenders sowie Empfängers werden Entscheidungen über die Zulassung der Verbindung getroffen. In modernen Implementierungen werden ebenfalls die Header-Optionen der Pakete sowie Verbindungs-Stati des Daten-Austauschs analysiert. Dies soll komplexe Angriffe und Attacken mittels korrupten Paketen (z.B. Firewalking) verhin-dern.
Vorteil derartiger Lösungen ist ihre Einfachheit. Verhältnismässig simpel lassen sie sich entwickeln und ihre Regeln anwenden. Eine solche technische Primitivität ist sicherheitstechnisch stets ein Vorteil, denn es ergibt sich aus ihr eine geringere Chance auf Fehler bei der Umsetzung. Ihre einfache Analysetechnik ist aber ebenfalls ihr grösster Nachteil. So können Paketfilter nicht erkennen, ob die über einen freigegebenen Port umgesetzte Kommunikation auch wirklich jene ist, für die sie sich ausgibt. Durch das Aufsetzen eines modifizierten Mailservers liessen sich nämlich auch Mail-Verbindungen über den TCP-Port 80, der eigentlich für Web-Verbindungen (HTTP) vorgesehen ist, abwickeln.
Die klassische Firewall-Diskussion kennt lediglich zwei unterschiedliche Firewall-Typen. Die ursprüngliche Variante ist in einem Paketfilter (PF) gegeben. Dieser analysiert die Kommunikationen auf der Netzzugangs-, der Netzwerk- und der Transport-ebene. Lediglich anhand von IP-Adressen und Port-Nummern des Absenders sowie Empfängers werden Entscheidungen über die Zulassung der Verbindung getroffen. In modernen Implementierungen werden ebenfalls die Header-Optionen der Pakete sowie Verbindungs-Stati des Daten-Austauschs analysiert. Dies soll komplexe Angriffe und Attacken mittels korrupten Paketen (z.B. Firewalking) verhin-dern.
Vorteil derartiger Lösungen ist ihre Einfachheit. Verhältnismässig simpel lassen sie sich entwickeln und ihre Regeln anwenden. Eine solche technische Primitivität ist sicherheitstechnisch stets ein Vorteil, denn es ergibt sich aus ihr eine geringere Chance auf Fehler bei der Umsetzung. Ihre einfache Analysetechnik ist aber ebenfalls ihr grösster Nachteil. So können Paketfilter nicht erkennen, ob die über einen freigegebenen Port umgesetzte Kommunikation auch wirklich jene ist, für die sie sich ausgibt. Durch das Aufsetzen eines modifizierten Mailservers liessen sich nämlich auch Mail-Verbindungen über den TCP-Port 80, der eigentlich für Web-Verbindungen (HTTP) vorgesehen ist, abwickeln.
