Firewalls. Dortmund, Oktober 2004

Transkript

1 Firewalls Dortmund, Oktober 2004 Prof. Dr. Heinz-Michael Winkels, Fachbereich Wirtschaft FH Dortmund Emil-Figge-Str. 44, D44227-Dortmund, TEL.: (0231) , FAX: (0231)

2 Inhalt Seite Problembeschreibung 3 Schutz 5 Begriffsabgrenzung 8 Aufgaben 9 Komponenten 11 Arten 12 Funktionsweise 13 Logischer Standort 22 Organisatorische Verankerung 25 Nutzen 26 Kosten 27 Anbieter von Firewalls 28 Resümee 32 Literaturverzeichnis 37 Verzeichnis der Internet-Links 38 2

3 Problembeschreibung It is easy to run a secure computer system. You merely have to disconnect all dial-up connections and permit only direct-wired terminals, put the machine and its terminals in a shielded room, and post a guard at the door. F.T. Grampp und R.H. Morris, zitiert in Cheswick/Bellovin: Firewalls and Internet Security, 1994 Quelle: 3

4 ... Problembeschreibung Der sicherste PC ist der Rechner, der keine Außenanbindung besitzt, in einem feuersicheren Panzerschrank steht, keine Tastatur hat und ohne Wechsellaufwerke auskommt. Die Anbindung der Computer und Netzwerke zur Außenwelt ist jedoch unerlässlich, weil sich Wettbewerbsvorteile durch die Geschäftsabwicklung über den elektronischen Weg erzielen lassen. Die Verarbeitung hochsensibler und vertraulicher Daten nimmt zu. Eine Absicherung des Rechners ist unerläßlich! 4

5 Was soll geschützt werden? Daten hinsichtlich Vertraulichkeit Kann ich sicher sein, dass kein Unbefugter meine Daten einsehen kann? Integrität Stimmen diese Daten wirklich? Verfügbarkeit Sind die Daten auch wirklich da,wenn ich sie brauche? Guten Ruf Eindringling tritt mit Ihrer Identität auf Eindringling verschickt s unter Ihrem Namen Empfänger nimmt diese Nachrichten erns Schadensbegrenzung langwierig und peinlich was nicht offensichtlich frei erfunden wurde, kann guten Ruf auf Dauer schaden 5

6 Vor wem soll geschützt werden? Mögliche Angreifer können nur Menschen sein bzw. Computersysteme, die von Menschen programmiert wurden. Interne Täter Mitarbeiter /-innen ehemalige Mitarbeiter /-innen Quelle: Externe Täter Kriminelle, Wirtschaftsspione Aus dem Umfeld der Konkurrenz Joyrider (Spaß, Langeweile) Vandalen (auf Zerstörung aus) Punktejäger (sportliche Herausforderung) Hacker aus dem Computeruntergrund 6

7 Wogegen will man sich schützen? Dummheit und Unfälle durch naive oder schlecht geschulte Benutzer verursachen 55 % aller sicherheitsrelevanten Vorfälle (Studie unbekannt, Chapman / Zwicky: Einrichten von Firewalls, 1996) Einbrüche häufigste Methode Angreifer verwenden fremde Computer wie legitime Benutzer geschieht durch Manipulation von Benutzern (Benutzerkennung / Passwort) Ausschalten eines Dienstes darauf ausgerichtet, an der Benutzung des Computers zu hindern Eindringling überlastet System oder Netz mit Flut von Nachrichten (Denial of Service) Ziele: Diebstahl Daten werden kopiert und für eigene Zwecke verwendet Spionage allgemein die Entwendung und eine anschließende Erpressung Datenmanipulation Erlangen eines direkten oder indirekten Vorteils (z.b. Manipulation einer Schulnotentabelle) Löschen von Informationen 7

8 Begriffsabgrenzung Unter einer Firewall versteht man ein Sicherheitskonzept der Verbindung zwischen dem internen, relativ sicheren und dem öffentlichen, potentiell feindlichen Teil des Netzwerkes Der Name "Firewall" kommt aus der Architektur und kann mit Brandschutzmauer" übersetzt werden Elektronischer Pförtner 8

9 Aufgaben eines Firewall-Systems Kopplung des internen, privaten Unternehmensnetzwerkes an ein externes, öffentliches Datennetz wie das Internet stellt den einzigen Zugang des internen Datennetzes nach außen dar; sorgt dafür, dass interne Benutzers das System nur an einem streng kontrollierten Punkt verlassen können und ungestörten Zugriff auf öffentliche Netzwerke bekommen beschränkt den Zugang von Personen auf einen streng kontrollierten Bereich hält Angreifer davon ab, anderen Schutzvorrichtungen zu nahe zu kommen verbirgt die Identität des Computers 9

10 ... Aufgaben eines Firewall-Systems Allgemein Sicherheitsbezogen Zugangskontrolle auf Netzwerkebene Zugangskontrolle auf Benutzerebene Zugangskontrolle auf Datenebene Rechteverwaltung Kontrolle auf der Anwendungsebene Entkopplung von Diensten Alarmierung Beweissicherung und Protokollauswertung Verbergen der internen Netzstruktur Vertraulichkeit von Nachrichten Schutz des internen Netz gegen unbefugten Zugriff von außen Schutz der Firewall gegen Angriffe aus dem externen Netz Schutz gegen Manipulation aus dem internen Netz Schutz der lokal übertragenen und gespeicherten Daten gegen Angriffe auf deren Vertraulichkeit oder Integrität Schutz der lokalen Netzkomponenten gegen Angriffe auf deren Verfügbarkeit Schutz vor Angriffen durch das Bekanntwerden von neuen sicherheitsrelevanten Softwareschwachstellen 10

11 Komponenten einer Firewall Hardware ein zuverlässiger PC zwei Netzwerkkarten Software z.b. ZoneAlarm, SYMANTEC, Norton Sicherheitsregeln Default Deny ( Alles, was nicht ausdrücklich erlaubt ist, ist verboten ) Default Permit ( Alles, was nicht ausdrücklich verboten ist, ist erlaubt ) 11

12 Arten von Firewalls Software-Firewalls: Microsoft: Internetverbindungs-Firewall (Windows XP) Symantec: Norton Personal Firewall 2002 Zone Labs: Zone Alarm Pro Internet Security Systems: Black Ice Defender Hardware-Firewalls: eignen sich für Unternehmen sehr teuer komplexe Verwaltung Router-Firewalls (Hardware): keine echten Firewalls; ein Router kann die Adresse und die Ports von Dritten im Web verbergen 12

13 Funktionsweise von Firewalls Überwachungsfokus auf einzelne Datenpakete Pakete (= elementare Kommunikationseinheit im Internet) werden durchgelassen oder blockiert Jedes Paket besitzt eine Anzahl von Headern mit speziellen Informationen, wie z.b. IP-Quelladresse, IP-Zieladresse festgelegte Regeln steuern den Netzwerkverkehr jedes Datenpaket, das die Firewall passiert, wird nach diesen Regeln behandelt Regeln : Alles erlaubt, zu definierende Kriterien sind verboten Alles verboten, zu definierende Kriterien sind erlaubt Behandlung der Pakete: ACCEPT: Datenpaket wird angenommen und weitergeleitet DENY : Datenpaket wird verworfen; sendende Maschine erhält keine Rückmeldung REJECT: Datenpaket wird verworfen, sendende Maschine erhält Rückmeldung, dass das Paket nicht verworfen wurde 13

14 ... Funktionsweise von Firewalls Sicherheitsregeln Default Deny Alles, was nicht ausdrücklich erlaubt ist, ist verboten. beschreibt die Daten, die durch die Firewall durchgelassen werden sollen Firewall blockiert alles proforma Administration gibt jeden einzelnen Dienst frei anwenderfreundlich bei neuen Diensten Default Permit Alles, was nicht ausdrücklich verboten ist, ist erlaubt Firewall blockiert nur Dienste, die als gefährlich eingestuft und konfiguriert werden alle Daten, die nicht von der Sicherheitsregel abgedeckt werden, werden durchgelassen neue gefährliche Dienste müssen selbst entfernt werden mehr Aufwand bei der Definition von Abweisungsregeln anwenderfreundlich bei neuen Diensten 14

15 ... Funktionsweise von Firewalls Grundsätzliche Anwendungsebenen für Firewalls Firewall auf Protokollebene (PFF) Firewall auf Applikationsebene (ALF) Firewall als Screened Subnet Wichtige Nebenfunktionen Aufzeichnung und Protokoll der unberechtigten Zugriffe und Operationen Lieferung aller nötigen Informationen für eine Verfolgung : Datum und genaue Uhrzeit Wer wollte etwas tun? Wo wollte er etwas tun? Alarmierung optisch (Anzeige am Bildschirm) per Signalton per per SMS 15

16 Firewall auf Protokollebene (Paket Filter Firewall) Funktionsweise Filter analysieren den Vorspann (Header) von Datenpaketen Ziel- oder Herkunfts-Adressen werden ausgewertet Filtern die Information auf der Transportebene, d.h. sie werden nach vorgegebenen Regeln weitergeleitet oder abgefangen Einsetzbarkeit als Schutz zwischen dem unsicheren und zu schützendem Netz Quelle: 16

17 ... Firewall auf Protokollebene (Paket Filter Firewall) Vorteile einfachste Form des Schutzes leicht realisierbar leicht erweiterbar hohe Geschwindigkeit geringe Auswirkung auf Netzwerkauslastung unterstützen andere Protokollfamilien z.b. IPX, OSI, SNA, DECNET geregelte Kommunikation im Intranet Nachteile relativ niedriges Sicherheitsniveau kein Filtern von Inhalten kein ausreichender Schutz gegen z.b. Address Spoofing (Vortäuschen vertrauenswürdiger Adressen) komplexe Filterregeln erschweren Nutzung und laufende Pflege keine ausreichende Protokollierungsmöglichkeit kann nur in kleinen Netzen eingesetzt werden 17

18 Firewall auf Applikationsebene (Application Level Gateway) Wird als Schutz zwischen dem unsicheren und zu schützendem Netz eingesetzt, filtert die Informationen auf der Anwendungsebene und kann nach vorgegebenen Regeln die Verbindungen erlauben oder verbieten ein speziell konfigurierbarer Rechner Filter analysieren neben Vorspännen der Pakete auch Inhalte der Daten meist als dual-homed Gateway eingesetzt, d.h. die Application Gateway arbeitet mit zwei Netzschnittstellen, wobei die Pakete aus dem unsicheren Netz hereinkommen und aus dem zu schützenden Netz hinausgehen Für jede zu schützende Anwendung wird ein Proxy (vertrauenswürdiger Stellvertreter) vorgeschaltet, mit dem jeder Anwender aus dem externen Netz zunächst verbunden wird Proxy hat die Aufgabe, schutzwürdige Interna (z.b. IP-Adressen) zu verbergen Quelle: 18

19 ... Firewall auf Applikationsebene (Application Level Gateway) Vorteile Auf die jeweilige Applikation zugeschnitten hohes Sicherheitsniveau interne Netzstruktur wird verdeckt umfassende Protokollierungsmöglichkeiten Nachteile komplex, i.d.r. teuer Probleme bei neuen Applikationen Auswirkung auf Netzwerkauslastung 19

20 Firewall als Screened-Subnet besteht meist aus zwei Paket-Filtern, welche sich vor und hinter der Gateway befinden sog. Sandwich-System Teilnetz zwischen dem zu schützendem Netz und dem unsicherem Netz Kontrolle der Verbindungen und Pakete Konfiguration 1: sehr gute Lösung Konfiguration 2: flexibel, aber unsicher Quelle: 20

21 ... Firewall als Screened-Subnet Vorteil: kein direkter Zugang zur Gateway Struktur des internen Netzes wird verdeckt zusätzliche Sicherheit durch den zweiten Paket-Filter umfangreiche Protokollierung sicherstes Konzept Nachteil: teuer 21

22 Logischer Standort Zwei Zonen, eine Firewall gesicherte Zone (internes Netzwerk) und ungesicherte Zone (Internet) öffentlicher Server ist nicht geschützt und Gefahren aus dem Internet ausgesetzt geringer Aufwand für Anschaffung, Installation, Unterhalt von Hard- und Software überschaubare Konfiguration 22

23 ... Logischer Standort Drei Zonen, zwei Firewalls internes Netzwerk (Zone 1), DMZ (Zone 2), Internet (Zone 3) größte Sicherheit aller zu schützender Bereiche und Systeme zwei getrennte Systeme müssen beschafft und gewartet werden größerer Aufwand für Anschaffung, Installation, Konfiguration und Unterhalt von Hard- und Software 23

24 ... Logischer Standort Drei Zonen, eine Firewall internes Netzwerk (Zone 1), DMZ (Zone 2), Internet (Zone 3) größte Sicherheit aller zu schützender Bereiche und Systeme höhere Komplexität des Firewalls größere Gefahr der Fehlkonfiguration 24

25 Organisatorische Verankerung Eine Firewall muss folgende Bedingungen für einen effektiven Schutz bieten: auf einer umfassenden Sicherheitspolitik aufsetzen, im skonzept der Organisation eingebettet sein, korrekt installiert und korrekt administriert werden. 25

26 Nutzen einer Firewall Vorteile Nachteile Fokus auf Sicherheitsentscheidungen Sicherheitspolitik durchsetzen Begrenzung der Angriffsfläche Zentraler Verbindungsknoten Protokollieren von allen Internet- Aktivitäten hohe Anschaffungskosten Kauf von Hardware Kauf von Software Kein Schutz vor bösartigen Insidern keinen vollständigen Schutz vor Viren hoher Administrationsaufwand keine Selbsteinrichtung Installation des Systems Restrisiken Kein Schutz vor unbekannten Gefahren 26

27 Kosten Anschaffungskosten Kauf der Hardware Kauf der Software Installation des Systems Betriebskosten Wartung der Hardware Schulung der Mitarbeiter Ständige Administration Einbußen der Geschäfte und Arbeitsausfall bei Ausfall / Störung des Systems 27

28 Anbieterübersicht Firewalls Eine Liste deutscher Firewall-Anbieter ist zu erhalten unter: (Quelle: Net 10/99, S.26) 28

29 Anbieterübersicht Firewalls: Kommerzielle Systeme SYMANTEC (Norton Internet Security) + Automatische Updates (ein Jahr frei) + großer Funktionsumfang, u.a. Virenschutz + Detailliert konfigurierbar + Wahl zwischen automatischer und manueller Konfiguration - Automatische Konfiguration zu großzügig - Preis (80 Euro) Fazit Ein teures Produkt, aber stark in Features und zielgenau einstellbar, für Profis 29

30 Anbieterübersicht Firewalls: Freeware ZoneAlarm + Freeware + Blockiert VBS-Mailattach-Skripts + Einfache Bedienung - Pop-Alarm zu empfindlich - Keine detaillierte Konfiguration Fazit Simples Schutztool, das für normalen Gebrauch ausreicht 30

31 ... Anbieterübersicht Firewalls: Freeware TINY FIREWALL + Freeware + Flexibel konfigurierbar + Guter Regel-Editor + Hohe Sicherheit - Teilweise noch Konfigurationsbedarf Fazit Sieht simpel aus, hat aber Stärken, die sich dem interessierten Lernwilligen erschließen, für Anspruchsvolle 31

32 Resümee Verbindung zum Netzwerk Keine Sicherheit 32

33 ... Resümee Keine Verbindung zum Netzwerk Sicherheit 33

34 ... Resümee gefilterte Verbindung zum Netzwerk etwas Sicherheit 34

35 ... Resümee Ein Computernetz, das mit anderen Netzen in Verbindung steht, kann niemals 100 % gesichert werden, weil die Entwicklung in diesem Bereich viel zu schnell geht nicht alle Möglichkeiten bei der Entwicklung einer Firewall bedacht werden können in manchen Dingen ein Kompromiss zwischen Performance und Sicherheit geschlossen werden muss Menschen die Firewalls entwickeln und konfigurieren und halt Fehler machen eine Firewall nur gegen Sicherheitslücken schützen kann, die bekannt sind Durch Konfiguration und Pflege einer Firewall lässt sich jedoch ein hoher Grad an Sicherheit erreichen Stärke der Firewall hängt von vielen Faktoren ab Konzeption und Umsetzung der Sicherheitsregeln, technische Realisierung, Wartung und Pflege des Systems 35

36 Schlusszitat Bruce Schneier (Guru der IT-security Szene): "Um die Sicherheit im Internet ist es schlecht bestellt. Jahr für Jahr tauchen immer raffiniertere Hackmethoden auf. Damit kann die Netzgemeinde nicht Schritt halten: Wir verlieren den Kampf!" 36

37 Literaturverzeichnis Chapman, D. Brent / Zwicky, Elizabeth D. : Einrichten von Internet Firewalls - Sicherheit im Internet gewährleisten, O Reilly/International Thomson Verlag, 1996 Kyas, Othmar: Sicherheit im Internet, Bergheim: DATACOM-Buchverlag, 1996 Cheswick, William R. / Bellovin, Steven M.: Firewalls und Sicherheit im Internet, Addison- Wesley, 1996 Norbert Pohlmann (1998): Firewall-Systeme: Sicherheit für Internet und Intranet, MITP-Verlag, München Elisabeth D. Zwicky, Simon Cooper & D. Brent Chapman (2001): Einrichten von Internet Firewalls, O Reilly Verlag, Köln 37

38 Internet-Links