Der Einsatz von Firewalls zum Schutz ihrer Netzwerke ist heute unabdingbar. Nachfolgend ein Blick auf klassische Firewalls, die heute zum Schutz von Netzwerken oder Server eingesetzt werden. Sie liefern einen Grundschutz, der sich auf die Verbindungen bezieht. Übertragene Inhalte werden von ihnen meist nicht tiefergehend untersucht.
Neben der hier beschriebenen strengen Klassifizierung klassischer Firewalls gibt es häufig Mischformen, bei denen unterschiedliche Prinzipien kombiniert zur Erhöhung der Sicherheit eingesetzt werden.
Paketfilter
(Statische) Paketfilter sind heute meist auf Routern implementiert. Sie filtern nach den IP-Adressen, dem IP-Protokoll und, soweit TCP oder UDP zum Einsatz kommen, auch nach den Ports. Hierdurch besteht grundsätzlich die Option, spezielle Ports für Applikationen freizuschalten. Sofern die Filterung TCP betrifft, ist heute zusätzlich eine Filterung nach den TCP-Flags innerhalb eines Paketes möglich.
Vorteil solcher Lösungen ist, dass sie von der Kostenseite her günstig sind. Die Filter, meist ACL (Access Control List) genannt, müssen lediglich konfiguriert werden. Performance ist für solche Filter nur in den seltensten Fällen ein Problem, da Router für die Weiterleitung von Paketen optimiert sind. Die gute Transparenz von Paketfiltern setzt weder auf der Seite der Benutzer, noch auf Seiten der Server irgendeine spezielle Konfiguration oder gar Zusatzprogramme voraus.
Trotzdem haben diese Lösungen auch Nachteile. Router können prinzipbedingt keine Daten der Applikationsschicht untersuchen. Insofern bieten sie hier keinen Schutz. Eine Kontrolle, ob eine (vermeintlich) bestehende Verbindung wirklich korrekt aufgebaut worden ist, findet nicht statt. Ebenso sind, zum Teil stark abhängig von der Konfiguration, auf der Netzwerk- und Transportebene unterschiedliche Angriffe möglich — durch die der Filtermechanismus teilweise zu umgehen ist. Sofern komplexere Protokolle wie z.B. FTP oder VoIP zum Einsatz kommen, müssen die Filter teilweise sehr weit geöffnet werden, so dass hier kaum noch ein Schutz für die internen Systeme vorhanden ist.
Fazit:
Ergänzend zu einer “richtigen” Firewall ist der Einsatz von statischen Paketfiltern ebenso sinnvoll wie im Intranet, wo die Unterschiede des Vertrauens nicht so gravierend sind, wie gegenüber dem Internet.
Stateful Inspection
Oft wird diese Art der Filterung auch als “dynamische Paketfilterung” bezeichnet. Die Filterung der Daten findet im Kernel statt und das wesentliche Merkmal ist, dass dynamische Tabellen geführt werden. Diese werden auch als “State Tables” bezeichnet. In diesen Tabellen werden Informationen über den Zustand von bestehenden und erwarteten Verbindungen (z.B. FTP-DATA) gespeichert. Im Gegensatz zu einfachen Paketfiltern wird zur Entscheidung, ob ein Paket durchgelassen wird, nicht nur das Paket für sich allein betrachtet, sondern die Verbindung als Ganzes mit ihrer Vorgeschichte.
Vorteil dieser Lösung ist die eigentlich vollständige Kontrolle über die einzelnen Verbindungen, wobei inzwischen diese Art der Filterung teilweise auch für UDP oder ICMP möglich ist. Da die Filterung bereits im Kernel geschieht, ist auch hier kaum ein Verlust bei der Performance zu erwarten. Bei den meisten Herstellern werden die für Paketfilter typischen Angriffe bereits im Vorfeld vereitelt. Zusätzlich sind Firewalls mit diesem Filtermechanismus ebenso wie statische Paketfilter für den Benutzer vollständig transparent konfigurierbar.
Die möglichen Nachteile der (reinen) Stateful Inspection sind einerseits die Komplexität dieser Lösung, andererseits die fehlende vollständige Kontrolle der Daten der Applikationsschicht, sofern dieser Mechanismus nicht durch weitere Optionen ergänzt wird. Außerdem ist, wie bei Paketfiltern auch, der “Unsicherheitsfaktor Mensch”, der sämtliche Verbindungen erlauben kann, zu berücksichtigen.
Fazit:
In Kombination mit weiteren Filtermechanismen kann die Stateful Inspection durchaus sicher eingerichtet werden. Sie bieten einerseits die Vorteile von Paketfiltern und zusätzlich eine vollständige Kontrolle über die einzelnen Verbindungen.
Circuit Level Gateways
Diese Firewalls arbeiten in Schicht 6 des ISO/OSI-Schichtenmodells und werden auch “user defined Proxy” oder “Generic Service Passer” genannt. Sie können die Daten der Applikationsebene nicht interpretieren und arbeiten beim Abruf der Daten von Servern als Stellvertreter für die Benutzer.
Unterschiedliche Mechanismen teilen dem Gateway mit, von welchem Server Daten geholt werden sollen. Hier gibt es die “modified procedure”, bei der sich ein Benutzer direkt mit der Firewall verbindet und ihm das gewünschte Ziel mitteilt. Diese Information wird beim “modified client” über ein separates Protokoll (z.B. socks) übermittelt. Der heutige Standard ist das “transparent IP masquerading”, bei dem Anfragen des Benutzers mit Hilfe eines veränderten TCP/IP Stacks automatisch abgefangen und eine Verbindung aufgebaut wird.
Die Vorteile dieser Lösung sind, dass sämtliche Angriffe auf der Netzwerk- und Transportebene, die bei Paketfiltern theoretisch möglich sind, nicht erfolgen können, weil die Firewall selbst eine Verbindung zum Zielsystem aufbaut. Es ergeben sich aufgrund der Untersuchung in Schicht 6 auch erweiterte Möglichkeiten für das Logging und Accounting.
Nachteilig kann sich auswirken, dass die übertragenen Daten selbst nicht überprüft werden können. Die fehlende Transparenz mit ihrer umständlichen Bedienung klassischer Circuit Level Gateways kann Benutzern diese Art der Firewall verleiden und eine gute Hotline erfordern. Zudem ist die Performance dieser Firewalls meist nicht so hoch wie bei Paketfiltern oder der Stateful Inspection.
Fazit:
In Kombination mit Application Level Gateways stellen moderne Firewalls dieser Art eine gute Ergänzung für die Nutzung “exotischer” Dienste dar.
Application Level Gateways
Ab und zu sind auch heute noch Stimmen sind zu hören, dass diese Firewalls “state of the art” sind. Sie wirken als Proxys, so dass der Benutzer keine direkte Verbindung zum Zielsystem hat. Da sie in Schicht 7 des ISO/OSI-Schichtenmodells arbeiten, besteht zusätzlich eine volle Kontrolle über die tatsächlich innerhalb des Protokolls übertragenen Daten.
Vorteilig ist diese Lösung, wenn für das genutzte Protokoll ein spezieller Proxy zur Verfügung steht, so dass wirklich eine volle Kontrolle vorhanden ist. Eine direkte Verbindung zwischen Client und Server besteht nicht, so dass einige der für Paketfilter genannten Nachteile kaum gelten können. Zusätzlich besteht die Option, bei HTTP beispielsweise aktive Inhalte herausfiltern zu können. Benutzer sind direkt über das Protokoll zu authentisieren, so dass auch hier ein guter Schutz zu konfigurieren ist.
Außerdem gibt es speziell für sensible Anwendungen im E‑Business inzwischen Application Level Gateways, die einen Angriff über die Applikationsebene fast unmöglich machen, da auch Session-IDs und Cookies sehr genau überprüft werden.
Die Nachteile eines Application Level Gateways sind unter anderem, dass für wirklich jedes zu filternde Protokoll ein Proxy vorhanden sein muss. Sofern von Standards abweichende Protokolle gefiltert werden sollen, muss hier auf Circuit Level Gateways ausgewichen werden. Da es sich bei den Proxys um Applikationen handelt, bieten sie eine geringere Leistungsfähigkeit in Bezug auf Datendurchsatz als Paketfilter oder Stateful Inspection. Ein Schutz der unteren Schichten findet bei reinen Application Level Gateways nicht statt.
Fazit:
Für den Schutz vor Angriffen auf der Applikationsebene bieten diese Firewalls oft sehr gute Möglichkeiten. Kombiniert mit Circuit Level Gateways lassen sich einige potenzielle Nachteile dieser Firewalls kompensieren, wobei aber die Leistungsfähigkeit in Bezug auf Performance nicht immer optimal ist.
Ausprägungen von Firewalls
Kommerzielle Firewalls
Bei kommerziellen Firewalls werden die oben genannten Optionen zur Filterung meist kombiniert. Hierbei wird zwischen reinen Softwarelösungen für bereits installierte Systeme, einer Kombination von Betriebssystem und Firewall und sog. Appliances unterschieden. Letztere sind Komplettlösungen inkl. Hardware eines Herstellers. Nicht zuletzt aufgrund eines dedizierten Ansprechpartners gilt diese Lösung heute meist als Standard.
“Halbkommerzielle” Firewalls
Hier findet sich heute eine Kombination frei verfügbarer Sicherheitsmechanismen (z.B. für Linux oder FreeBSD), die mit einer kommerziellen Benutzeroberfläche und möglicherweise noch weiteren kommerziellen Produkten wie z.B. einem AntiVirus-Server gekoppelt sind. Diese Option ist bei Unternehmen heute immer weniger zu finden.
Frei verfügbare Firewalls
Diese Firewalls stehen entweder nur für den privaten Gebrauch oder als “Bausatz” zur Verfügung. Der Administrator kann selbst seine Firewall bauen, indem er die richtigen und frei verfügbaren Werkzeuge installiert, konfiguriert, testet und aktuell hält. Hiermit lassen sich zwar Verbindungen kontrollieren, aber spätestens wenn ein Unternehmen nicht nur eine einzige Firewall hat und auch Logs ausgewertet werden müssen, kommt diese Möglichkeit nicht mehr in Frage.