8.3. Firewalls

8.3.1. Prinzipielle Funktionsweise

Das Internet als weltumspannendes Netzwerk ist für verschiedenste Bereiche des menschlichen Lebens zu einem wichtigen Kommunikationsmedium geworden, dessen Bedeutung ständig zunimmt. Daher besteht bei vielen Unternehmen, Institutionen und Organisationen das Bedürfnis, von den Maschinen ihres internen, privaten Netzwerks (Intranet) aus auf externe Server zuzugreifen und auch selbst Server im eigenen Netz zu betreiben, die von außen genutzt werden können (z.B. WWW- und FTP-Server).

Aus dem Anschluß privater Netze an das Internet resultiert allerdings automatisch eine nicht zu unterschätzende potentielle Bedrohung der Sicherheit der eigenen Systeme sowie der auf ihnen verfügbaren, teilweise sehr sensiblen Daten. Sobald ein Rechner über das Internet erreichbar ist, kann er prinzipiell von überall her attackiert werden. So besteht die Gefahr, daß ein Angreifer mögliche Schwachstellen des betreffenden Systems findet und gezielt ausnutzt, um in diesen Rechner einzubrechen und ihn in verschiedener Weise zu mißbrauchen.

Zum Schutz vor diesen Bedrohungen verbindet man sehr häufig das interne und das externe Netz durch einen Firewall, dessen grundsätzliche Aufgabe darin besteht, nur die erwünschte, d.h. durch die lokale Sicherheitspolitik autorisierte Kommunikation zuzulassen und die unerwünschte Kommunikation zu unterbinden. Dadurch wird der Informationsfluß zwischen den Netzen gezielt begrenzt, wodurch sich das Risiko erfolgreicher Angriffe erheblich reduzieren, nicht aber vollständig beseitigen läßt.

Der Begriff Firewall ist ziemlich allgemein und wird von verschiedenen Autoren unterschiedlich verstanden. Allerdings gibt es einige typische Konzepte, die sehr häufig anzutreffen sind und die wir uns nachfolgend ansehen wollen, wobei die Terminologie nicht selten variiert. In dem Artikel Netzabsicherung durch Firewalls [http://www.cert.dfn.de/team/ue/fw/fire/] von Uwe Ellermann, heute Mitarbeiter des DFN-FWL (Firewall-Labor für Hochgeschwindigkeitsnetze), finden wir folgende Definition:

Ein Firewall ist eine Schwelle zwischen zwei Netzen, die überwunden werden muß, um Systeme im jeweils anderen Netz zu erreichen. Durch technische und administrative Maßnahmen wird dafür gesorgt, daß jede Kommunikation zwischen den beiden Netzen über den Firewall geführt werden muß. Auf dem Firewall sorgen Zugriffskontrolle und Audit dafür, daß das Prinzip der geringsten Berechtigung durchgesetzt wird und potentielle Angriffe schnellstmöglich erkannt werden.

Anmerkung: Das Prinzip der geringsten Berechtigung besagt, daß jeder nur genau diejenigen Privilegien haben sollte, die er zur Ausführung der ihm zugedachten Aufgabe auch wirklich benötigt.

Dem Einsatz von Firewalls kommt bei der Absicherung privater Netze in der Praxis eine relativ große Bedeutung zu. Entgegen der öfters anzutreffenden Meinung stellen sie allerdings kein Allheilmittel dar, das ohne weiteres Zutun alle Sicherheitsprobleme löst. Die folgenden Punkte sollen diese Aussage illustrieren:

Die Maschinen eines lokalen Netzes sowie die auf ihnen verfügbaren Daten sollten stets unabhängig vom Firewall geeignet gegen Einbrüche bzw. Mißbräuche gesichert werden, z.B. durch eine Verschlüsselung wichtiger Dateien, das Einspielen aktueller Sicherheits-Patches sowie den Einsatz von Wrappern, die den Zugriff auf Server steuern und protokollieren. Konkret den TCP Wrapper werden Sie später näher kennenlernen.

Für diese Maßnahmen gibt es zumindest die folgenden beiden Gründe: Zum einen ist jederzeit damit zu rechnen, daß es einem Eindringling gelingt, den Firewall zu überwinden, was ihm ermöglicht, die dahinter befindlichen Rechner direkt anzugreifen. Zum anderen schützen die rechnerbezogenen Vorkehrungen auch vor Angriffen aus dem internen Netz, die ein Firewall in der Regel nicht verhindern kann.

In diesem Zusammenhang sei daran erinnert, daß der sicherste Schutz eines Computers vor den Gefahren des Netzes in seiner Isolation besteht. Rechner mit besonders sensiblen Daten sollten deshalb nach Möglichkeit vollständig autark arbeiten, also überhaupt keinen Netzzugang haben. Sicherheits-Experte Steve Bellovin, Mitautor des Buches Firewalls and Internet Security, drückte das einmal so aus:

Remember that the best firewall is still a large air gap between the network and any of your computers, and that a pair of wire cutters remains the most effective network protection mechanism.

Der Betreiber eines Firewalls muß eine Sicherheitspolitik definieren, d.h. festlegen, welche Daten weiterzuleiten bzw. zu blockieren sind. Dafür gibt es zwei grundlegende Strategien, die man als freizügig bzw. restriktiv kennzeichnen könnte:

  1. Alles, was nicht explizit verboten ist, wird erlaubt.
  2. Alles, was nicht explizit erlaubt ist, wird verboten.

Vielfach verfolgt man die zweite, konservativere Strategie. Sie ist zwar für den Administrator aufwendiger, da er jeden gewünschten Dienst explizit freischalten muß, dafür schützt sie aber besser gegen neue Angriffe.

Zur Konstruktion von Firewalls dienen zwei Grundelemente, denen wir je einen eigenen Abschnitt widmen werden:

In einer konkreten Firewall-Architektur kann jedes von ihnen mehrfach vorkommen und eines auch vollkommen fehlen.

Literatur


© Heino Gutschmidt, 11.6.1997
Holger Trapp, 13.10.1998