Transkript

1 v Inhaltsverzeichnis 1 Einleitung TCP/IP-Grundlagen TCP/IP Geschichtliches zu TCP/IP und zum Internet Internet-Standards und RFCs Uberblick ARP Routing Fehlersuche TCPundUDP Sun RPCs TCP/IP-Anwendungen DNS Telnet rsh, rcp und rlogin Mail FTP TFTP NFS und NIS Verschlusselungsverfahren Techniken / Algorithmen Symmetrische Verfahren Asymmetrische Verfahren Hash-Verfahren Digitale Unterschriften ZertikateundPKI Anwendungen Authentikation VPNs IPSEC SSL Mail-Verschlusselung... 66

2 vi Inhaltsverzeichnis 4 Angrie auf Netze und Computer Einbrechen in interne Rechnersysteme Angrie auf Verbindungen Mitlesen Manipulieren und Ubernehmen Denial-of-Service-Angrie Viren, Java und ActiveX Angrie von Insidern Firewall-Grundlagen Ziele, Konzepte, Einschrankungen Mehrstuge oder einstuge Firewalls Anwendungsbereiche Integration, Wartung, Organisation Firewalls und interne Server Standards und Empfehlungen zu Firewalls Einfache Komponenten von Firewalls IP-Filter Dynamische Filter TCP-/UDP-Relays Application Gateways / Proxies Protokollauswertung / Alarmsysteme Authentikationssysteme Paworter und Einmalpaworter Radius Tacacs Weg der Authentikation Authentikation in Proxies (In-Band) Out-Band-Authentikation Firewalls fur Remote Access Typische Probleme bei Remote Access Beispiel-Szenario Losungsansatze Produkte FireWall Cisco PIX SecureZone Ascend Secure Access Firewall Digital AltaVista Firewall fur NT Firewall/Plus TIS FWTK und Gauntlet von Network Associates

3 Inhaltsverzeichnis vii 9.8 Axent Raptor Firewall (fruher Eagle) BorderWare NetRoad Firewall WWW-Proxies Hardware-Router als Filter Linux-Kernel als Filter MailSweeper VirusWall WebManager Security-Scanner SATAN ISS SSH Hochverfugbare Firewalls HA-Server und Cluster Spezielle Software fur einzelne Firewalls Verbindungs-Verteiler bzw. TCP/IP-Dispatcher Dynamisches Routing HSRP /VRRP Intelligente Hubs / Switches HA auf Anwendungsebene Netzsegmente bei HA-Firewalls Zusammenfassung Intrusion Detection SessionWall RealSecure Adreumsetzung IP-Adressen Adreumsetzung mit Proxies Einfache NAT ITG Mailadressen Sendmail Gesamtkongurationen Mehrstuge Beispiele Absichern eines Gateways DNS Mail FTP-Zugri ins Internet WWW-Zugri ins Internet Telnet-Zugri ins Internet

4 viii Inhaltsverzeichnis 13.8 Eigene externe Server WWW-Server FTP-Server Externe Logins A Portnummern und ICMP-Typen A.1 Portnummern A.1.1 Privilegierte Ports A.2 Sonstige reservierte Ports A.3 ICMP-Typen B Interessante Web- und FTP-Adressen B.1 Firewall- und VPN-Hersteller B.2 Hersteller von Authentikationssystemen B.3 Content-Security-Hersteller B.4 Hersteller von Intrusion-Detection-Systemen B.5 Hacker-Magazine, Informationen Bugs B.6 Organisationen C Bibliographie D Abkurzungen Index

5 ix Vorbemerkungen Vorbemerkungen zur 2. Auage Seit dem Erscheinen der ersten Auage dieses Buches hat sich der Bereich Netzwerksicherheit und Fiewalls stark vergroert und erweitert. Wahrend 1996/97 der Begri Firewall nahzu synonym mit der Absicherung eines Internet-Zugangs verwendet wurde, hat er heute eine breitere Bedeutung. Bisher ungesicherte Remote- Access-Zugange, Heimarbeitsplatze, Auendienstanbindungen, Partnerrmen-Anbindungen oder Extranets protieren von den etablierten Firewall-Techniken, stellen aber auch neue Anforderungen. Da diese Zugange kommerzielle Ablaufe ermoglichen und sichern, ist die ununterbrochene Verfugbarkeit der Verbindungen eine hauge Forderung. In dieser zweiten Auage sind daher einige neue Kapitel hinzugekommen, die sich speziell mit der Thematik der Zugange auerhalb des Internets sowie der hohen Verfugbarkeit von Firewalls beschaftigen. Andere Kapitel wurden aktualisiert und den neuen Entwicklungen und Produkten im Netzwerksicherheitsbereich angepat. Stefan Strobel, Juli 1999 Vorbemerkungen zur 1. Auage In Firewalls-Seminaren und alteren Buchern zum Thema Firewalls wird in der Einleitung regelmaig das exponentielle Wachstum des Internets und die steigende Kommerzialisierung dieses Netzes angefuhrt. Diese Argumente sollen hier nicht wiederholt werden. Da der Anschlu an das Internet und generell seine kommerzielle Nutzung gewisse Gefahren mit sich bringt, ist inzwischen uberall bekannt. Ebenso scheint sichauchschon herumgesprochen zu haben, da Firewalls beim Anschlu groerer Organisationen notig sind, um einen Groteil dieser Gefahren in den Gri zu bekommen. Leider sind uber diesen Punkt hinaus noch viele Miverstandnisse und Geruchte an der Tagesordnung. Schon die Frage, was Firewalls uberhaupt sind, wird teilweise recht kontrovers diskutiert. Die Mei-

6 x Vorbemerkungen nung, eine Firewall sei das Produkt X des Herstellers Y ist weit verbreitet, obwohl gerade dies nicht zutrit. Auf der anderen Seite beschreibt die Standardliteratur zum Thema Firewalls ausfuhrlich die ursprunglichen Grundtechniken, die benotigt werden, um mit Hilfe von einfachen Routern und Unix- Programmen eigene Firewalls aufzubauen. Inzwischen haben sich jedochsowohl die Anforderungen an einen sicheren Internet-Zugang als auch das Angebot an kommerziellen Hilfsmitteln zum Aufbau von Firewalls stark geandert. Heutige kommerzielle Firewall-Produkte, als Werkzeuge und Bausteine zum Aufbau von Firewalls, lassen sich nicht mehr nur in die Kategorien Filter oder Application Gateway einordnen. Verwandte Gebiete wie Benutzerauthentizierung, Accounting, Verschlusselung oder Virenschutz sind nicht mehr von Firewall- Konzepten zu trennen, sondern sind unverzichtbare Anforderungen geworden. Dieses Buch versucht, einen aktuellen Uberblick uber Techniken und Anforderungen heutiger Firewall-Konzepte zu geben, und beschreibt daher auch die wichtigsten kommerziellen Firewall-Systeme mit ihren Starken und Schwachen. Daneben wird auf weitere Probleme eingegangen, die heute neben dem reinen Schutz gegen direkte Angrie aus dem Internet mit Firewalls zu losen sind. Das Buch richtet sich an alle, die sich fur die Thematik Firewalls und Sicherheit in TCP/IP-Netzen interessieren. Es wird dabei vorausgesetzt, da der Leser ein Grundverstandnis von Computern und Netzwerken besitzt. Die fur das Verstandnis von Firewalls notigen TCP/IP-Grundlagen werden in den einfuhrenden Kapiteln kurz erlautert. Danksagungen Ohne die tatkraftige Unterstutzung mehrerer Kollegen und Freunde hatte sich die Fertigstellung dieses Buches sicher noch Monate hinausgezogert. Ganz besonderer Dank gilt daher Stefan Middendorf, der sich um die Formatierung und das Layout gekummert hat, dem gesamten Firewall-Team bei IntegralisCentaur fur die inhaltliche Unterstutzung sowie allen Lesern der ersten Auage, die kleinere Druckfehler und Feedbacks geliefert haben, und schlielich Ursula Zimpfer, die das Copy-Editing durchgefuhrt hat.