18.11.2025, 14:35
Sprache ändern
Registrieren
Anmelden
Sie sind nicht angemeldet.
render
God
Re: Firewall gesucht
Mittwoch, 7. Dezember 2005, 16:25
ich nutze schon lange keine "desktop-firewall" mehr (weil linux). ganz zufrieden war ich mit kerio ( http://www.kerio.com/kpf_download.html die alte version mit weniger schnick schnack gibt's unter http://www.321download.com/LastFreeware/page7.html#Kerio%20Personal%20Firewall ). witzig finde ich, dass es eine firewall von SKODA (dem autohersteller!) gibt: http://www.skoda.de/index.php?e=348-4 kA wie die ist, vielleicht mal draco fragen ... ;D
mfg.
render
äddit:
mfg.
render
äddit:
cool! die ist ja mal wirklich sicher ...
Zitat von ».dap«
Meine absolute Lieblingsfirewall: Adaptive Packet Destructive Filter
x-stars
God
Re: Firewall gesucht
Mittwoch, 7. Dezember 2005, 16:39
Meine absolute Lieblingsfirewall: Adaptive Packet Destructive Filter
Funktioniert direkt an meinem PC leider nicht, könnte aber vielleicht die Antenne abschrauben :
.
Thomas_Haindl
God
Re: Firewall gesucht
Donnerstag, 8. Dezember 2005, 11:40
ich kann die zone alarm firewall empfehlen.
... irgendwie hab' ich schon darauf gewartet :
Außer ein paar lustig aufklappender Fenster konnte ich bei dem Ding noch keine (sinnvolle) Funktion feststellen.
Bei Netzwerkdiensten gilt die Regel: Weniger ist Mehr.
Eine PF ist generell auch nur ein weiteres Programm (mit Bugs, diversen Diensten und dazugehörigen offenen Ports) das die Sicherheit eher verringert als diese zu verbessern.
Nochmal ...
- Externe SPI-Firewall mit einstellbaren TimeOuts, und Protokollen. Hilfreich ist, wenn man Chaining und Multi-Host erlauben/verbieten kann.
- Detektor für die aktuellen (regelmäßige Updates) Angriffs-Formen - das ist nur nötig, wenn Inbound-Verkehr zugelassen werden muß (z.B. Game-Server). Im Normalfall wird hier einfach komplett dichtgemacht (incl. ICMP) 1).
- Für Online-Gamer sollten fragmentierte UDP-Packete (für einzelne Hosts) durchgelassen werden.
- UPnP = OFF
- SMTP (Auth) auf den Provider "festnageln" - dann gucken alle Mass-Mail-Würmer in die Röhre.
Wenn man jetzt noch dafür sorgt, daß keine Malware die man über http/ftp/pop bekommt, ihr Unwesen treibt (Benutzer-Rechte, OnAcess-Scanner) kann man einigermaßen beruhigt internetten.
mfg, Thomas
P.S.: zu 1) Das ist nicht RFC-konform - negative Effekte sind jedoch nicht bekannt.
KingofBohmte
Senior Member
Re: Firewall gesucht
Donnerstag, 8. Dezember 2005, 11:58
Okay, ihr habt mich überredet. Dann lauf ich solo durch die Gegend und besorg mir nen gescheiten Router. Den brauch ich ja eh...
Ne, die kommt mir nicht ins Haus...
ich kann die zone alarm firewall empfehlen.
Ne, die kommt mir nicht ins Haus...
leuko
Senior Member
Re: Firewall gesucht
Donnerstag, 8. Dezember 2005, 12:19
Es ist überall zu beobachten das wenn es um Virenscanner bzw PFWs geht in der Regel Produkte empfohlen werden weil Sie bisher keine Probleme gemacht haben bzw in diesem Zeitraum keine Infektion stattgefunden hat (oder besser: bemerkt wurde).
Das dies nicht wirklich sinnig ist sollte eigentlich nicht zur Diskussion stehen. Angenommen ein Juwelier lässt seine Ladentüre über nacht offen und hängt eine Kuhglocke an den Türgriff und es wird monatelang nichts gestohlen - kann man davon nun ableiten das dies eine sinnvolle Lösung ist sich gegen Diebstahl abzusichern?
Leider wird nur zu oft von den "Fachmedien" suggeriert das eine PFW unabdinglich sei. Dies hat zur Folge das sich User xy eine PFW installiert und sich in der Regel sicher fühlt. Hinzu kommt das der unbedarfte sich damit Probleme schafft weil plötzlich irgendwelche Programme nicht mehr wie gewollt funktionieren und der Zusammenhang erst garnicht begriffen wird. Zudem wird in der Regel, sollte das Produkt zu aufdringlich sein, eh schnell auf erlauben geklickt.
Mit persönlich fällt ua ein Gespräch mit einem AUßendienstmitarbeiter ein dessen Updateprogramm nicht funkionierte. Die Frage ob eine FW installiert sei wurde verneint. Nach einiger Zeit wurde festgestellt das der Gilb installiert war. Das "Teil" testweise ausschalten wollte er nicht da es Ihn "permanent vor Hacker Angriffen aus dem Internet schützt" (O-Ton). Es dauerte 15 Minuten bis er es geschafft hatte das betreffende Programm wieder freizugeben.
OK, dieses Szenario (->Scheinsicherheit) trifft in den meisten Fällen natürlich nur auf den "normalen" Anwender zu...
Auch wenn man in der Lage ist derartige Produkte zu bedienen und sich dennoch nicht fälschlicherweise in Sicherheit wiegt gibt es noch etliche Dinge die gegen einen Einsatz sprechen.
Dies wurde aber schon dermaßen oft durchgekaut das ich wenig Lust habe noch mehr zu schreiben.
Als Phone Home Kontrolle kann eine PFW ja noch halbwegs brauchbar sein...sofern man sich bewusst ist das es kein Problem darstellt diese zu umgehen.
Das dies nicht wirklich sinnig ist sollte eigentlich nicht zur Diskussion stehen. Angenommen ein Juwelier lässt seine Ladentüre über nacht offen und hängt eine Kuhglocke an den Türgriff und es wird monatelang nichts gestohlen - kann man davon nun ableiten das dies eine sinnvolle Lösung ist sich gegen Diebstahl abzusichern?
Leider wird nur zu oft von den "Fachmedien" suggeriert das eine PFW unabdinglich sei. Dies hat zur Folge das sich User xy eine PFW installiert und sich in der Regel sicher fühlt. Hinzu kommt das der unbedarfte sich damit Probleme schafft weil plötzlich irgendwelche Programme nicht mehr wie gewollt funktionieren und der Zusammenhang erst garnicht begriffen wird. Zudem wird in der Regel, sollte das Produkt zu aufdringlich sein, eh schnell auf erlauben geklickt.
Mit persönlich fällt ua ein Gespräch mit einem AUßendienstmitarbeiter ein dessen Updateprogramm nicht funkionierte. Die Frage ob eine FW installiert sei wurde verneint. Nach einiger Zeit wurde festgestellt das der Gilb installiert war. Das "Teil" testweise ausschalten wollte er nicht da es Ihn "permanent vor Hacker Angriffen aus dem Internet schützt" (O-Ton). Es dauerte 15 Minuten bis er es geschafft hatte das betreffende Programm wieder freizugeben.
OK, dieses Szenario (->Scheinsicherheit) trifft in den meisten Fällen natürlich nur auf den "normalen" Anwender zu...
Auch wenn man in der Lage ist derartige Produkte zu bedienen und sich dennoch nicht fälschlicherweise in Sicherheit wiegt gibt es noch etliche Dinge die gegen einen Einsatz sprechen.
Dies wurde aber schon dermaßen oft durchgekaut das ich wenig Lust habe noch mehr zu schreiben.
Als Phone Home Kontrolle kann eine PFW ja noch halbwegs brauchbar sein...sofern man sich bewusst ist das es kein Problem darstellt diese zu umgehen.
Y0Gi
God
Re: Firewall gesucht
Donnerstag, 8. Dezember 2005, 15:48
ich kann die zone alarm firewall empfehlen. [...] hällt alles böse vom pc fern
ja, das glauben alle, die es nicht besser wissen. ironischerweise bietet ZA selbst noch zusätzliche angriffsfläche und damit trifft die aussage "hält alles böse vom pc fern" erst recht nicht mehr zu.
Thomas_Haindl
God
Re: Firewall gesucht
Donnerstag, 8. Dezember 2005, 16:02
... wenn ein User so fanatisch ist und ernsthaft glaubt, dass dieses ständigen Zugriffe von aussen ernsthafte Attacken wären.
Die "ernsthaften" Attacken merkt das Spielzeug ja garnicht.
Da hier imho erst auf dem Protokoll-Stack aufgesetzt wird, sind alle Varianten, die mit unvollständigen Packeten arbeiten (insbesondere alle ....-Floods) unsichtbar.
Auf der anderen Seite gibt's bereits einen einfachen DoS-Angriff mit ICMP-8 (das schriebst Du bereits). Der Benutzer ist nur noch mit dem Wegklicken von Dialogs beschäftigt, und kommt nicht mehr zum Arbeiten - vielleicht sollte man das KtUB-Attack (keep the user busy) nennen.
IIRC gibt's tatsächlich ein paar Programme (senseless but nasty), die dieses Verhalten von PFs ausnutzen.
mfg, Thomas
P.S.: Wieso kribbelt's mich bloß gerade in den Fingern, mal eben ein Script für Random-Pings zu stricken ;D
JIM
Full Member
Re: Firewall gesucht
Freitag, 9. Dezember 2005, 12:21
oh mann, und was mach ich ( internet-user, ahnungsloser ZA-user ) jetzt? ???
ich betreibe ja einen router (siemens gigaset SE 515 DSL ). aber die protokolle da drin, sind für mich genauso "bohmte"
dörfer, wie wohl für 80 mill. andere bundesbürger.
soll ich die ZA jetzt deinstallieren? was anderes draufpacken, oder ganz ohne? ???
ich betreibe ja einen router (siemens gigaset SE 515 DSL ). aber die protokolle da drin, sind für mich genauso "bohmte"
dörfer, wie wohl für 80 mill. andere bundesbürger. soll ich die ZA jetzt deinstallieren? was anderes draufpacken, oder ganz ohne? ???
Thomas_Haindl
God
Re: Firewall gesucht
Freitag, 9. Dezember 2005, 17:13
oh mann, und was mach ich ( internet-user, ahnungsloser ZA-user ) jetzt? ???
Sooooooo schrecklich kompliziert ist eine (einfache) Firewall-Konfiguration garnicht.
Für den Hausgebrauch reichen eine handvoll Protokolle:
Jeder Dienst bekommt eine Regel, wo drinnen steht wer was wohin schicken darf (allow).
Alles was in keine Regel passt, wird verworfen (deny).
Für -lan- setzt Du die Adresse Deines Netzwerkes ein - also z.B. 192.168.1.*
Bei -provider- kommen die Server-Adressen des Providers hinein - das kann man mit (Kommandozeile) "nslookup name_des_servers" nachsehen.
Je nach Router/Firewall ist das Erstellen der Regeln mehr oder weniger komfortabel - bei vielen muß man nur noch ein Häkchen neben das gewünschte Protokoll setzen.
mfg, Thomas
Thomas_Haindl
God
Re: Firewall gesucht
Sonntag, 11. Dezember 2005, 15:16
Nun bin ich gespannt ;D
Ein (nicht segmentiertes) LAN mit aktivem NTDS bekommst Du garnicht dicht - ganz egal was Du anstellst.
PFs (auch die Windows-eigene) bringen hier häufig mehr Schaden als Nutzen 1).
Groben Unfug kann man mit L3-Switchen unterbinden - aber das ist auch nur ein Teil der Lösung.
Hier ist eine fachkundige Planung dringend notwendig.
Das Netz muß in (trusted) Teilbereiche getrennt werden und der zulässige Verkehr zwischen den Segmenten muß genauestens spezifiziert (und kontrolliert) werden.
Ich weiß nicht wie groß/komplex Euer Netz ist, aber ein ausreichend dimensionierter ISA mit einer Handvoll Netzwerkkarten könnte schonmal einiges verbessern.
mfg, Thomas
1) Alle NetBios-Ports stehen sperrangelweit offen (das müssen sie auch), aber alle zentralen Updates (RIS, VirenScanner, WSUS, usw.) werden zuverlässig verhindert.
Dieses Szenario wird immer wieder gerne installiert
Edit: Wenn man vom Wohnheim bis ins Institut mit RDP zugreifen kann, sollte der Admin mal seine Berufswahl überdenken.
BTW: Viele Windows-Unarten sind bereits per GPO abstellbar. Hint: Deny-Regeln (NTFS) haben Vorrang vor Allow-Regeln - das gilt auch für lokale Admins.