Rechnernetze (Fach) / VL 8 - Firewalls (Lektion)

Diese Lektion wurde von 21zwei erstellt.

Lektion lernen

Diese Lektion ist leider nicht zum lernen freigegeben.

zurück  |  weiter 1 / 1

• Ordnen Sie den Begriff "Firewall" in Bezug auf Ziele, Strategien und Grenzen ein. Firewall = ...isoliert ein internes, zu schützendes und vertrauenswürdiges Rechnernetz von einem nicht vertrauenswürdigen Rechnernetz (Bsp. Internet). Ziele• Zugangskontrolle zu Diensten durch Protokollanalyse • betrifft sowohl Eingang als auch Ausgang • Aufteilung in verschiedene Sicherheitsbereiche → im Sinne der IT-Sicherheit, eine weitere Verteidigungslinie StrategienErlaube (Blacklisting)• „Alles, was nicht explizit verboten ist, ist erlaubt.“ • reaktives Vorgehen Verbiete (Whitelisting)• „Alles, was nicht explizit erlaubt ist, ist verboten.“ • Planungsbedarf der notwendigen erreichbaren Dienste Grenzen• vor Insidern schützen (Rechner im Subnetz | Tunnel | ...)• gegen bisher unbekannte Angriffe schützen • umfassend gegen Viren/Würmer schützen • sich selbst konfigurieren • Verbindungen schützen, welche nicht durch sie hindurch führen
• Erläutern Sie den Firwall-Typ "Statusloser (stateless) Paketfilter" und nennen Sie Vor- und Nachteile. Ein statusloser Paketfilter ist dadurch gekennzeichnet, dass ▶ er anhand von Paketinformationen entscheiden, ob Paket an Zielsystem weitergeleitet oder verwirfen wird• z.B. Adressen (L2 & L3)• Ports (L4)• Flags (L2, L3 & L4)• diverse Protokollinformationen höherer Schichten (L5++) ▶ nicht alle Informationen interessant sind → Regeln beinhalten daher meist ein Fünf-Tupel• L3 Quell- und Ziel-Adresse• L4 Quell- und Ziel-Port• L4 Protokolltyp ⇒ Regelabgleich vereinfacht durch Konvention▶ sequenzielles Abarbeiten▶ ohne Berücksichtigung „früherer“ Pakete▶ weitere Entscheidungsinformationen: Flags, Richtung, Interface Vorteile• einfach in ASICs implementierbar• ...besser als nichts• auf Endsystemen (PC) auffindbar Nachteile• keine Verbindungskontrolle(Kontextunabhängigkeit)• keine „portagilen“ Protokolle/Anwendungen möglich• FTP, SIP o.ä. handeln dynamisch weitere (Übertragungskanäle mit diversen (zufälligen)Ports aus → nicht vorhersehbar → Zustandsverwaltung notwendig)• unübersichtliche Regelwerke
• Erläutere den Firewall-Typen "Stateful Paketfilter" und nenne Vor- und Nachteile. Statusbehafteter (stateful) Paketfilter • ist eine dynamische Paketfiltertechnik• die Datenpakete werden analysiert und der Verbindungsstatus wird in die Entscheidung einbezogen • es werden zeitlich begrenzte Regeln für Antwortpakete erstellt → Bsp.: DNS-Antworten Anstatt nur den Header von Netzwerkpaketen anzusehen, macht dieser Typ von Firewall die Filterregeln abhängig vom Zustand einer Verbindung. Schickt ein PC aus dem lokalen Netz eine HTTP-Anfrage an einen Webserver im Internet, dann merkt sich die Stateful Packet Inspection diese Anfrage. Die Firewall erlaubt dann Antwortpakete von außen für eine bestimmte Zeit, falls diese an den anfragenden Rechner gehen sollen. Andernfalls wird nicht angeforderter Traffic verworfen. Vorteile• Connection-Tracking → Zustände werden einbezogen• leichter zu konfigurieren → nur eine Richtung notwendig → Rückkanäle nur bei Bedarf geöffnet• Unterstützung komplexer Protokolle Nachteile• limitierter Durchsatz (Vgl. stateless)
• Erläutere das von Skype verwendete Hole-Punching-Verfahren. Welcher Firewall-Typ liegt zugrunde? Hole Punching = ist eine Technik, mit der eine UDP-Verbindung zwischen zwei Rechnern hergestellt werden kann, auch wenn beide sich hinter restriktiven Firewalls befinden.  Ablauf: 1. Zwei Teilnehmer erfragen beim Skype-Server auf welcher IP und welchem Port die Gegenseite arbeitet2. beide Senden an diese Informationen ein UDP-Paket3. das Paket wird abgelehnt, da (i.d.R.) keine Input-Regel existiert, welche das Paket zulässt → Pakete werden an den Firewalls verworfen4. durch das Senden, wurden aber nun (zeitlich limitierte) Firewall-Regeln erstellt, welche nun ab diesem Zeitpunkt Antworten zulassen Firewall-Typ: Stateful Paketfilter
• Erläutere den Firewall-Typ "Application-Gateways (Proxies)" und nenne Vor- und Nachteile. Application Gateways = führen Kontrollen auf Anwendungsebene durch. Der Schutz besteht im Großen und Ganzen darin, dass üblicherweise ein äußerer Anwender nicht unmittelbar mit einer Anwendung verbunden wird, sondern mit einem vertrauenswürdigen Proxy. ▶Kommunikation zwischen Client und Server läuft über den Proxy• Möglichkeit der Authentifizierung• Möglichkeit der Filterung von Parametern (z.B. FTP keine Dateien größer X)• Mail-Server-/Web-Proxy: Virenerkennung ▶ trennt log. E2E-Verbindung auf → Proxy übernimmt zwei Rollen▶ Verbindung stets von „innen“ nach „außen“▶ Konzentration der Sicherheitsfunktionen auf einen Übergangspunkt (ggf. ein Proxy pro Dienst) Vorteile:• erhöhte Sicherheit• Differenzierte Authentifikationen/Überprüfungen Nachteile:• aufwändig• unflexibel (pro Dienst ein Proxy)• ggf. eingeschränkte Performance
• Erklären Sie die Topologien "Screening Host/Router" und nennen Sie Vor- und Nachteile. Topologien - Screening Host/Router = stellt den einfachsten Dall einer Absicherung dar. Zwischen das zu schützende Netz und dem WAN ist eine Einrichtung geschaltet, die nur bestimmt Pakete befördert und andere zurückhält. Dazu prüft die Einrichtung die Pakete nach bestimmten Kriterien wie z.B. Protokollnummer, Quell- und Ziel-IP-Adresse oder Port.  • ACL• NAT/NPAT• Ende-zu-Ende Verbindung Vorteile• typisch für Heimnetze (preiswert)• selektive Steuerung von Datenströmen Nachteile• zwei Netzwerkkarten benötigt
• Erkläre die Topologie "Dual-Homed Bastion Host" und nenne Vor- und Nachteile. Topologie "Dual-Homed Bastion Host"• Unterbrechung der Verbindung • gesamter Verkehr durchläuft den Bastion Host → Flaschenhals• Firewall, Proxy und Router zugleich = Es existiert keine direkte Verbidnung vom LAN zum WAN und umgekehrt. Für die Außenwelt ist vom lokalen Netz nur der Gateway zu sehen.• mindestens zwei Netzschnittstellen        → eine für in das Intranet eingehenden Daten        → und eine für die ausgehenden Daten• Gateway kann nicht umgangen werden• einzige Vermittlungsstelle zwischen Netzen • IP-Forwarding (direkte Weiterleitung von Paketen) muss deaktiviert sein Vorteile:• Umfangreiches Protokollieren aller Verbindungen  • Möglichkeit Angriffe aufzuspüren• Keine direkten Verbindungsmöglichkeiten in und aus Intranet• interne Netzstruktur wird versteckt Nachteile • Jeder Dienst benötigt explizit konfigurierten Proxy-Server (nicht für jeden Dienst Implementierung verfügbar)• einzelne Komponente für gesamten Schutz des Netzwerks zuständig (erfolgreicher Angriffs auf Proxy-Server macht gesamtes Netzwerk angreifbar)

zurück  |  weiter 1 / 1