Eine Firewall entscheidet für jedes Paket: durch oder nicht. Wie gut sie das kann, hängt davon ab, wie tief sie in das Paket schaut und wie gut ihre Regeln sind.
Sprint 4 · InputBrückenstufe 3
Eure Story: Als IT-Leitung HLG will ich, dass von außen nur erreichbar ist, was erreichbar sein muss, damit ein Angriff auf die Sendungsverfolgung nicht im Hallennetz endet.
Input für eure Storycard. Holt euch die Karte, die eure Storycard gerade braucht. Grundlage für AB 1 bis 7.
Du liest die drei Firewall-Varianten, die Sicherheitszonen mit DMZ und fünf typische Angriffe. Danach kannst du jede Variante einem Angriff zuordnen.
0 von 7 AB abgehakt AB-Liste öffnen
Der wichtigste Satz auf dieser Seite: Eine Firewall sieht nur, was auf der Schicht steht, auf der sie liest. Was darüber passiert, geht durch.
Was diese Seite ist: die fachsystematische Phase von Teil 4. Hier steht das Gerüst, das über unseren Fall hinaus trägt. Gearbeitet wird danach in den Lernangeboten und in der Storycard.
1 · Paketfilter: Regeln für jedes einzelne Paket
Ein Paketfilter prüft jedes Paket für sich. Er liest den Kopf auf der Vermittlungs- und Transportschicht: Quelladresse, Zieladresse, Protokoll (TCP, UDP, ICMP), Quellport, Zielport, dazu die Schnittstelle, an der das Paket ankommt. Das Paket läuft die Regeln von oben nach unten durch. Die erste passende Regel entscheidet: erlauben, verweigern (mit Rückmeldung an den Absender) oder verwerfen (still).
Am Ende steht die Standardregel: alles verweigern, was keine Regel erlaubt hat, und protokollieren. Ein Paketfilter ist schnell und braucht wenig Rechenleistung. Er weiß aber nicht, ob ein Paket zu einer Verbindung gehört. Wer Antworten aus dem Internet erlauben will, muss deshalb ganze Portbereiche öffnen.
2 · Zustandsbehafteter Filter (Stateful Packet Inspection)
Der zustandsbehaftete Filter merkt sich jede erlaubte Verbindung in einer Zustandstabelle: Quelle, Ziel, Ports, Protokoll und Zustand (etwa Aufbau, verbunden, Abbau). Ein Antwortpaket kommt nur herein, wenn es zu einem Eintrag passt. Eine einzige Regel „Antworten auf bestehende Verbindungen erlauben“ ersetzt so alle offenen Rückwege.
Gefälschte Antwortpakete ohne Eintrag werden verworfen. Die Zustandstabelle ist aber selbst ein Ziel: Sie hat nur begrenzt Platz. Wer sie mit halboffenen Verbindungen füllt, legt die Firewall lahm.
3 · Filter auf Anwendungsebene
Ein Filter auf Anwendungsebene (Application Layer, oft als Proxy oder als Filter vor einem Webdienst) liest den Inhalt: die HTTP-Anfrage, den SMTP-Dialog, die SIP-Nachricht. Er erkennt, ob jemand über den erlaubten Port 443 Befehle in ein Suchfeld schmuggelt, und kann Anfragen nach Mustern sperren oder begrenzen.
Dafür muss er das Protokoll verstehen und bei verschlüsseltem Verkehr die Verschlüsselung selbst beenden (Teil 5). Er kostet mehr Rechenleistung, braucht Pflege und kann Fehlalarme erzeugen. Eine Anmeldung mit gestohlenem, aber gültigem Passwort sieht auch für ihn korrekt aus.
4 · Sicherheitszonen und DMZ
Eine Sicherheitszone fasst Systeme mit gleichem Schutzbedarf und gleichem Vertrauen zusammen. Am Hub gibt es drei: das Internet (nicht vertraut), die DMZ 172.16.10.0/24 (halb vertraut, von außen erreichbar) und das interne Netz 10.10.0.0/16 (vertraut). Geregelt wird jeder Übergang zwischen zwei Zonen, in beiden Richtungen.
Die DMZ (demilitarisierte Zone) nimmt alles auf, was von außen erreichbar sein muss. Wird dort ein Server übernommen, sitzt der Angreifer in der DMZ und noch nicht im internen Netz. Deshalb gilt: Von außen in die DMZ nur die angebotenen Dienste, aus der DMZ nach innen nichts, höchstens eine eng begründete Ausnahme.
Einstufig hängt die DMZ an einer dritten Schnittstelle derselben Firewall (drei Beine). Zweistufig liegt sie zwischen einer äußeren und einer inneren Firewall, möglichst unterschiedlicher Bauart. Wer nach innen will, muss dann zwei Regelwerke überwinden.
5 · Typische Angriffe
| Angriff | Was passiert | Wo er wirkt |
|---|---|---|
| Portscan | Ein Angreifer fragt nacheinander viele Ports ab und sucht offene Dienste. Vorbereitung, noch kein Schaden. | Transport |
| Spoofing | Die Quelladresse ist gefälscht, etwa eine interne Adresse von außen, um eine Regel für innen auszunutzen. | Vermittlung |
| DoS (Überlastung) | Sehr viele Anfragen füllen Leitung, Zustandstabelle oder Server, bis legitime Anfragen nicht mehr durchkommen. | Transport, Anwendung |
| Webdienst ausnutzen | Über den erlaubten Port 443 werden Befehle in Eingabefelder geschickt, etwa in die Suche der Sendungsverfolgung. | Anwendung |
| Phishing auf Zugangsdaten | Eine Mitarbeiterin gibt ihr Passwort auf einer gefälschten Seite ein. Danach meldet sich der Angreifer ganz regulär an. | Mensch, Anmeldung |
Merksatz: Paketfilter prüfen Adressen und Ports, zustandsbehaftete Filter zusätzlich die Verbindung, Filter auf Anwendungsebene auch den Inhalt. Die DMZ trennt, was erreichbar sein muss, von dem, was geschützt bleiben muss. Am Ende jeder Filtertabelle steht: alles Übrige verweigern.
Zum Nachschlagen
- Verweigern und verwerfen: Verweigern schickt eine Absage zurück, verwerfen schweigt. Nach außen wird meist verworfen, damit ein Portscan länger dauert; nach innen verweigert, damit Fehler schnell auffallen.
- Gängige Ports: 22 SSH, 25 SMTP zwischen Mailservern, 53 DNS, 80 HTTP, 443 HTTPS, 587 Mail-Einlieferung durch Programme, 3128 häufiger Proxy-Port, 5060 SIP, 5061 SIP über TLS.
- Dokumentationsadressen: 192.0.2.0/24, 198.51.100.0/24, 203.0.113.0/24 (RFC 5737); private Bereiche 10.0.0.0/8, 172.16.0.0/12, 192.168.0.0/16 (RFC 1918).
Weiter zu Lernangebot 8 · Firewall-Varianten und Angriffe: Jetzt wendest du das Gerüst auf die drei Standorte von HLG an.