2008 AGI-Information Management Consultants May be used for personal purporses only or by libraries associated to dandelon.com network. Uwe Ullmann Check Point FireWall-1 /VPN-1
I Für wen ist das Buch geschrieben? 15 1 1.1 Was ist eine Firewall? 17 23 2 2.1 2.2 2.3 2.4 2.5 2.6 2.7 2.8 2.9 2.10 3 3.1 3.2 3.3 4 4.1 4.2 4.3 Kurzer Überblick über die verschiedenen Firewall- Technologien OSl-Modell (OSI, Open System Integrated) Hardware-Adresse Router Paketfilter Warum reichen Paketfilter alleine für Firewall-Systeme nicht aus? Warum werden Paktefilter trotzdem eingesetzt? Proxy Hybride Firewalls Transparenter Proxy (Second-Generation Application-Level Firewall) DMZ (Demilitarisierte Zone) IDS (Intrusion Detection System) Check Points Firewall bzw. die StatefuI Inspection Technology Vergleich von Paketfilter, Proxy und StatefuI Inspection Architektur der StatefuI Inspection Check Points Produkte und Module FireWall-1/VPN-l Leistungsmerkmale der FireWall-1 /VPN-1 Plattformen und Systemvoraussetzungen 25 25 28 28 30 31 32 33 36 37 37 38 38 39 41 42 45 47 47 47 48
4.4 4.5 4.6 4.7 Beschreibung der FireWall-1-Module Inspection Modul Firewall Modul Open Security Extension-Modul Connect Control-Modul Account Management-Modul Secure Server-Modul Management Server-Modul und GUI (Graphical User Interface) Enterprise Management Console Customer Log-Modul Reporting-Modu Beschreibung der VPN-1 -Module Encryption-Modul VPN-1-Module Add-On-VPN-Modul Certificate Manager-Modul SecuRemore-Software SecureClient Weitere Produkte von Check Point FloodGare-1 Provider-1 MetalP Was ist in der Version 4.1 der FireWall-1 /VPN-1 -Produktfamilie neu? 49 49 49 49 51 51 53 53 53 53 55 56 57 5 5.1 5.2 5.3 5.4 5.5 5.6 Kostenaspekte Allgemeines Anforderungen eines anspruchsvollen Sicherheitsheitskonzeptes Weitere Kostenaspekte Software-Kosten Firewall-1/VPN-1 Anmerkungen zur Lizenzpolitik von Check Point Kosten für Firewall-1-Module (Empfohlener Verkaufspreis (EVK) in Tausend Euro) Kosten für VPN-1-Module Kosten für FloodGate-1 Kosten für Kombinierte SVN-Lösungen (SVN, Secure Virtual Network) Beispielkonfiguration 59 59 ; 60 62 62 j 62 63 1 66 68 68 69 72
6 FireWall-1 (Stand Alone): Installation und Konfiguration 73 6.1 Software-Auswahl und -Installation 73 6.2 Installationsprozedur der FireWall-1 (Windows NT) 73 Allgemeines 73 Kopieren der FireWall-1-Dateien auf den Rechner 74 Backward Compatibility 75 Lizenznummern 76 Definition des Administrators 77 Definition der IP-Adresse 78 IP-Adressen der GUI 78 Remote Enforcement-Module 78 Control IP Forwarding 80 SMTP Security Server 80 Generierung einer Zufallszahl 82 Fertigstellung der Installation 83 Nachträgliche Konfigurationsänderungen mit dem Configuration Tool 84 Einspielen der Service Packs 84 nstallation der GUI 86 6.3 86 7 Beschreibung und Benutzung der FireWall-1-GUIs 89 7.1 Überblick 89 7.2 Security Policy Editor GUI 89 Erklärung der Shortcuts 90 7.3 Log Viewer-GUI 93 Log Viewer-Modi 96 Speichern und Verwalten der Logeinträge 97 Selektion und Suche der Logeinträge 97 7.4 System Status-GUI 98 7.5 99 8 Definition von Filterregeln, Netzwerkobjekten und Diensten 101 8.1 Allgemeines 101 8.2 Erstellung einer neuen Security Policy über den Vorlagen-Manager 101 8.3 Elemente der Filterregeln 103 Optionen der Filterregelelemente 104
8.4 Die Definition von Netzwerkobjekten 109 Objektdefinition Workstation 1 10 Objektdefinition Netzwerke 1 15 Objekrdefinition Domain 1 16 Objektdefinition Router, Switch, Integrated Firewall 1 17 Objektdefinition Group 1 17 Objektdefinition Logical Server 1 1 8 Objektdefinition Address Range 1 19 8.5 Die Definition von Netzwerkdiensten mittels des Service-Managers 119 TCP-Service-Optionen 120 UDP-Service-Optionen 1 21 RPC-(Remote Procedure Call) Service-Optionen 1 21 ICMP-(lnternet Control Message Protocol) Service-Optionen 1 21 Definition eigener Dienste (Other) 1 22 Definition von Dienstegruppen (Group) 1 24 Definition von Port-Bereichen (Port Range) 1 24 8.6 Objektdefinition und Filterregeln für unser Beispiel (Stand Alone FireWall-1) 125 8.7 129 9 Sicherheitsgrundeinstellungen (Security Policy Properties) 131 9.1 Erklärung der Security Policy-Felder 131 9.2 Erklärung der Services Policy Services-Felder 135 9.3 Erklärung der Log- und Alert-Felder 138 9.4 Security-Server 139 9.5 SYNDefender 141 SYNDefender Gateway 142 SYNDefender Passive Gateway 143 Wann sollte welches Verfahren gewählt werden? 144 9.6 Weitere Parametrisierungsmöglichkeiten der Sicherheitsgrundeinstellungen (Properties Setup) 145 High Availability-Option 146 Fortsetzung weiterer Sicherheitsgrundeinstellungsparameter: 147 9.7 149 10
Inhaltsverzeich ms 10 Authentisierung 151 10.1 Durch die FireWall-1 unterstützte Authentisierungstypen 151 Wie funktioniert die User-Authentisierung? 1 Wie funktioniert die Client-Authentisierung? 155 Wie funktioniert die implizite Client-Authentisierung? 1 57 Wie funktioniert die Session-Authentisierung? 1 60 10.2 Vergleich der verschiedenen Authentisierungsverfahren 163 Authentisierung in den Sicherheitsgrundeinstellungen (Security Properties Setup) 163 10.3 Definition von Benutzem 165 10.4 Definition der Authentisierungverfahren 166 S/Key 169 10.5 Anmerkungen zu unserem Praxisbeispiel 171 10.6 174 11 NAT: Network Address Translation 177 11.1 Einführung 177 11.2 Funktion von NAT 178 Funktion dynamisches NAT (Hiding) 178 Funktion statisches NAT 1 80 Funktion PAT (Port Address Translation) 1 82 11.3 Wie hat Check Point NAT und PAT realisiert? 183 NAT-Architektur beim dynamischen NAT 1 84 NAT-Architektur beim statischen NAT im Source Mode 1 85 NAT-Architektur beim statischen NAT im Destination Mode 1 86 NAT und das Regelwerk der FireWall-1 1 87 11.4 NAT-Beispiele für die FireWall-1 187 Konfigurationsbeispiel dynamisches NAT 1 87 Konfigurationsbeispiel statisches NAT 192 11.5 197 12 Security Server, URL-Filter, Virenscanner 199 12.1 Einleitende Anmerkungen 199 12.2 Konfigurationsbeispiel FTP-Security Server 202 Nicht Check Point spezifische Konfigurationsarbeiten 202 Firewall-1 -spezifische Konfigurationsschritte mittels des Policy Editors von Checkpoint: 203
Nicht Check Point-spezifische Konfigurationsarbeiten (FTP-Security Server) 203 FireWall-1- spezifische Konfigurationsschritte (FTP-Security Server) 204 12.3 Konfigurationsbeispiel HTTP-Security Server 208 Nicht Check Point spezifische Konfigurationsarbeiten 210 Firewall-1-spezifische Konfigurationsschritte mit dem Policy Editor von Check Point 210 Nicht Check Point-spezifische Konfigurationsarbeiten (HTTP-Security Server) 210 Check Point spezifische Konfigurationsarbeiten (HTTP-Security Server) 21 1 12.4 Konfigurationsbeispiel SMTP-Security Server 218 Nicht Check Point-spezifische Konfigurationsarbeiten 21 9 FireWall-1 spezifische Konfigurationsschritte mittels des Policy Editors von Check Point 21 9 Check Point-spezifische Konfigurationsschritte zur Einrichtung eines Virenscanners für SMTP (E-Mail) 220 12.5 225 13 Verschlüsselung 227 13.1 Einführung in die Verschlüsselungstechniken 227 Wo wird verschlüsselt? 227 13.2 Symmetrische Verschlüsselung 230 Beispiele für symmetrische Verschlüsselung 23 1 13.3 Asymmetrische Verschlüsselung 231 Beispiele für asymmetrische Verschlüsselung 233 Anwendungsbereich für asymmetrische Verschlüsselungsverfahren zur Transportsicherung 233 Anwendungsbereich für asymmetrische Verschlüsselungsverfahren zur Authentisierung 234 13.4 Trust Center und die digitale Signatur 235 Hash-Algorithmen 237 13.5 Schlüsselmanagement-Protokolle 237 13.6 IPSec 238 IPSec-Authentisierungsdaten 239 SPI (Security Parameter Index) 240 IPSec Encapsulating Security Payload (ESP) 240 Vorteile beim Aufbau eines IPSec-Tunnels 242 Nachteile beim Aufbau eines IPSec-Tunnels 242 13.7 243 12
14 14.1 14.2 14.3 14.4 14.5 15 15.1 15.2 15.3 15.4 15.5 16 16.1 16.2 16.3 VPN-1: Installation und Konfiguration Was ist ein VPN? Vergleich zwischen VPN-Lösungen und traditionellen Unternehmensnetzen Vorteile von VPN-Lösungen Nachteil von VPN-Lösungen Schlussfolgerung aus dem Vergleich der Vor- und Nachteile von VPN-Lösungen Einsatzmöglichkeiten und Voraussetzungen für VPN-Lösungen Check Points VPN-1 Installation und Konfiguration von VPN-1 Software-Setup Anpassung der Objekteigenschaften der Firewall Definition des VPN-Netzes Definition der VPN-Filterregel Editieren der Verschlüsselungsparameter innerhalb der VPN-Filterregeln SecuRemote Aufgabe und Lizenzierung von SecuRemote Allgemeine Anforderungen an Internet Remote Dial In-Software Leistungsmerkmale von SecuRemote Installation und Konfiguration von SecuRemote Konfiguration des VPN-Gateways (mit Desktop Security) Konfiguration des Remote-Clients (mit Desktop Security) Traffic Management und FloodGate-1 Was ist Traffic Management? Was ist Quality of Service? Traffic Management und IP-Anwendungen Class Based Queuing TCP Window Sizing Multi Path Queuing Vergleich von Class Based Queuing, TCP Window Sizing und Multi Path Queuing 245 245 245 247 248 248 249 2 251 251 253 262 264 265 270 271 271 272 274 275 275 282 284 287 287 289 291 295 296 296 298
nhaltsverzeichnis 16.4 16.5 16.6 16.7 16.8 Produkteigenschaften von FloodGate-1 FloodGate-1 -Installation FloodGate-1 -Konfiguration Objektdefinition Traffic Control-Eigenschaften Definition der Grundeinstellungen für Traffic Control Bandbreiten-Policy-Management FloodGate-1 -Monitoring 299 301 303 303 304 305 306 313 315 17 17.1 17.2 17.3 18 Ausblick Zentrale Administration und grafische Visualisierung Verbesserte Performance Allgemeiner Ausblick Glossar und Abkürzungsverzeichnis Index 317 317 320 321 323 349 14