Firewall Systeme

Einsatzmöglichkeiten und Einschränkungen von Firewall-Systemen

Für den Aufbau von Firewall-Lösungen gibt es eine Reihe von Komponenten: In den vergangenen Jahren hat sich jedoch herausgestellt, dass viele Unternehmen zwar Firewallkomponenten einsetzen, aber keine Angaben über die Zuverlässigkeit und Zuverlässigkeit ihrer Firewall-Lösung machen können. Doch da dieser entscheidende Wechsel vom zu sichernden Netzwerk zum Netzwerk ein großes Sicherheitsrisiko ist, ist eine Stellungnahme zu den Chancen und Einschränkungen in Bezug auf Security und Zuverlässigkeit von Firewallsystemen für die Risikoeinschätzung der Organisation von grundlegender Wichtigkeit für die Verantwortungsträger.

100%ige Betriebssicherheit kann in der Realität nicht erreicht werden - auch nicht mit komplexen, gut konzipierten und betreibbaren Firewall-Systemen. Nachfolgend wird ein Leitbild dargestellt, mit dessen Unterstützung die Chancen und Risiken in Bezug auf sicherheitstechnische und vertrauenswürdige Firewallsysteme ermittelt und eingestuft werden können. Die definierten Firewall-Elemente können Paketfilter, Stateful Inspection, Applikations-Gateway, Proxys und anpassungsfähige Proxys darstellen (siehe auch Abb.1).

Elemente des Kommunikationssystems und die Umsetzung der in den Regeln und Vorschriften niedergelegten Sicherheitsrichtlinien. In dem Analyse-Modul werden die Daten der Kommunikations-Daten des Protokollelements (xi) gemäß den Fähigkeiten des aktivierten Firewall-Elementes auswertet. Zustandsinformationen ( "Verbindungsaufbau", "Übertragungszustand" oder "Verbindungsabbruch") der Verbindung können im Analyse-Modul mit Zustandsmaschinen aufgezeichnet werden. Die Analyse-Ergebnisse werden im Entscheidungs-Modul bewertet und mit den in den Regelwerken definierten sicherheitspolitischen Vorgaben abgeglichen.

Der Regelkatalog ist die fachliche Implementierung der Sicherheitsrichtlinien und wird mit einem Sicherheitsmanagementsystem realisiert. Sämtliche Angaben (Regeln: Keys, Zugriffslisten, Eigenschaften, etc.) über Nutzer, Authentifizierungsverfahren, Kommunikationsanbindungen, etc. sind im Regelsatz enthalten. Diese sind erforderlich, um eine Entscheidungsfindung für oder gegen die Übermittlung des Protokollelements (xi) über das Aktiv-Firewall-Element und den Umgang mit Sicherheitsereignissen (ei) zu treffen.

Nachfolgend wird das Kommunikations-Modell mit integrierter Firewall festgelegt. Die Firewall soll den Empfänger (Rm) vor Attacken auf seine Netzwerkwerte absichern. Dabei wird davon ausgegangen, dass die Rechte mit einem Sicherheitsmanagementsystem - entsprechend der zuvor definierten Sicherheitsrichtlinie - in das Firewall-System eingegeben wurden, um die zulässigen Protokoll-Elemente {xi,....

Wenn das Firewall-System und die Kommunikations-Protokolle und -Dienste auf der Empfangsseite fehlerfrei implementiert sind, sind nur zulässige Handlungen {a1, .... bei} am Empfänger (Rn). Das Kommunikations-Modell mit integrierter Firewall muss eine beliebige Anzahl von Sendern und Empfängern berücksichtigen (siehe auch Abb.2).

Unter Berücksichtigung der eventuellen Einflußfaktoren auf die Wahl und Ausführung der Maßnahmen beim Empfänger sind zu definieren, mit deren Unterstützung eine Stellungnahme über die Möglich- keiten und Begrenzungen im Sinn der Unbedenklichkeit und Glaubwürdigkeit des Kommunikations-Modells mit eingebautem Firewallsystem abgegeben werden kann. Anmerkung: Neben einem Empfänger sind in der Regel viele weitere Empfänger auf der Empfangsseite verbunden, die vom Firewall-System unterschieden werden müssen.

In der folgenden Übersicht werden die Standard-Sicherheitsdienste eines Firewall-Systems beschrieben. Sie listet für jeden Service auf, welche Daten vom Firewall-System kontrolliert werden, welche Definitionen und Massnahmen ergriffen werden, was kontrolliert wird und welchen Einfluß dies auf die Zuverlässigkeit und Zuverlässigkeit von Firewallsystemen hat. Zugriffskontrolle auf NetzwerkebeneWelche Computersysteme (Sender, Empfänger) können über das Firewallsystem untereinander kommuniziert werden?

Zugriffskontrolle auf BenutzerebeneWelche Anwender dürfen die Verbindung über das Firewall-System herstellen? Zugriffskontrolle auf DatenebeneKönnen die Zugangsdaten eines bestimmten Nutzers über das Firewall-System übermittelt werden? RechtemanagementBestimmen Sie, mit welchen Profilen und Services und zu welchen Zeitpunkten über das Firewall-System kommuniziert werden darf. Interne Netzwerkstruktur ausblendenDie zu schützende Netzwerkstruktur sollte vor dem ungesicherten Netzwerk versteckt werden.

Dabei darf nicht ersichtlich sein, ob sich im Netzwerk zehn, 100, 1000 oder 10000 Computersysteme befinden, die geschützt werden sollen. Ein Gespräch über das mögliche Verhalten des gezeigten Kommunikations-Modells mit integrierten Firewall-Systemen ergibt die folgenden Ergebnisse: Umsetzungsqualität und Manipulationsschutz eines Firewall-Systems sind von größter Wichtigkeit, um für die entsprechende Anwendung messbaren Nutzen bieten zu können.

Die Effektivität von Firewall-Systemen ist auch hier von enormer Bedeutung: So wäre beispielsweise eine verdeckte Falltür ein großes Sicherheitsrisiko für den Anwender von Firewall-Systemen, zumal er sie nicht kannte. Jede Person, jeder Computer, der über die Firewall kommuniziert, birgt ein gewisses Echo. Ist nichts zugelassen, kann über das Netzwerk kein Schaden entstehen.

Mithilfe eines Firewall-Systems sollen die Möglichkeiten der externen Verständigung ausgeschöpft werden, aber der dadurch entstehende eventuelle Schadensbegrenzungseffekt soll gering gehalten werden. Wenn es einem Täter nach erfolgter Authentifizierung gelingen sollte, die Verbindung als Freerider zu führen, ist dies ein idealer Attacken. Bei falscher Sicherheitsrichtlinie können die Sicherheitskräfte des Firewall-Systems nicht wirksam arbeiten.

Mit einer ordnungsgemäßen Sicherheitsstrategie sollte nur das zugelassen werden, was wirklich erforderlich ist, um die Aufgabe zu erfüllen und die Ziele des Konzerns zu erreichen. Auch die regelmässige Überarbeitung der Security Policy ist von Bedeutung. Über die Aufzeichnung sicherheitsrelevanter Vorgänge können Attacken auf das Kommunikations-Modell mit integrierter Firewall erfasst werden. Bei einem Firewall-System können theoretische Kenntnisse und Praxiserfahrungen die Ursachen von Fehlern verhindern.

Es gibt also einen neuen, ungewohnten, aber auch ungewollten und unberechenbaren Raum, den wir mit einem Firewall-System nicht kontrollieren können, weil es nur auf bereits bekannte Geschehnisse anspricht. Es gibt eine Begrenzung für Firewall-Systeme. Eine Firewall ist der gemeinsame Vertrauenspunkt für den Wechsel zwischen verschiedenen Netzwerken.

Das heißt, der Weg ins innere Netzwerk erfolgt über das Firewall-System, das als Türsteher auftritt. Die Implementierung von Sicherungsmechanismen in einem Zentral-Firewallsystem ist viel effektiver als die Implementierung von Sicherungsmechanismen auf jedem individuellen Computersystem im zu sichernden Netzwerk. Effekt: Die Sicherheitsrichtlinien eines Unternehmens können mit der Unterstützung eines Firewall-Systems einfach umgesetzt werden.

So werden beispielsweise die über ein Firewall-System möglichen Services und Protokollierungen an zentraler Stelle für alle Anwender festgelegt und geprüft. Sicherheits-Infrastruktur: Die kryptografische (starke) Authentifizierung von Nutzern kann nur auf einem Firewall-System und nicht auf jedem individuellen Computersystem im zu sichernden Netzwerk implementiert werden, so dass die Nutzer identifizier- und authentifiziert werden können.

Security: Aufgrund der reduzierten Funktionalitäten eines Firewall-Systems gibt es weniger Anlaufstellen für Angriffe aus dem ungesicherten Netzwerk. Die Bemühungen um Sicherheitsmaßnahmen konzentrieren sich auf das Firewall-System. Damit wird sichergestellt, dass die Computersysteme des zu sichernden Netzwerks nicht mehr von einem Computersystem aus dem ungesicherten Netzwerk (z.B. Internet) attackiert werden können, sondern dass Computersysteme von außen durch das Firewall-System blockiert werden können.

Computersysteme können nicht mehr zum Angriffsziel von Gegnern aus dem ungesicherten Netzwerk werden, wenn sie fehlerhaft eingerichtet oder eingerichtet sind. Sämtliche Sicherheitsmaßnahmen sind im Firewall-System gebündelt. Verifizierbarkeit: Durch den eindeutigen Wechsel (Common Point of Trust) zwischen zwei Netzwerken ist eine unkomplizierte und lückenlose Protokollierung möglich, da die komplette Datenkommunikation über das Firewallsystem abläuft.

Bei den Firewall-Systemen der Sicherheitskräfte für die Verständigung im Intra- und Intra- und Internet handelt es sich um sehr aufwändige Sicherheitstechnik. Allerdings können auch komplizierte Firewall-Systeme keine 100%ige Absicherung garantieren. Nachfolgend sind einige Punkte aufgeführt, die bei der Verwendung von Firewallsystemen zu berücksichtigen sind: Backdoors: Ein Firewall-System sichert exakt die über es stattfindenden Verbindungen.

Bei Kommunikationsübergängen hinter dem Firewallsystem (Backdoors) hat das Alarmsystem keine Sicherheitseffekte mehr. Es ist daher unbedingt erforderlich, dass keine weitere Verknüpfung zwischen dem ungesicherten und dem zu sichernden Netzwerk zustande kommt, damit das Konzept des "common point of trust" umgesetzt werden kann. Interner Angriff: Ein Firewallsystem stellt Sicherheitsservices zur Verfügung, um das ungesicherte Netzwerk abzuschotten oder die Übertragung zwischen dem ungesicherten Netzwerk und dem zu sichernden Netzwerk zu steuern.

Die Firewall selbst schützt kaum vor inneren Einflüssen. Die grundlegenden Sicherheitsfunktionen eines Firewall-Systems lassen sich nicht abwehren, da die Vielschichtigkeit der Applikationen, z.B. WWW-Server, dafür zu groß ist. Korrekte Sicherheitsrichtlinien und korrekte Implementierung der Sicherheitsrichtlinien: Ein Firewall-System kann nur die eingerichteten Sicherheitsdienstleistungen bereitstellen.

Es ist daher besonders wichtig, dass eine Security Policy erstellt wird, die zeigt, welche Mittel (Computersysteme, Kommunikationsmittel, Dateien, etc.) einen großen Schutz bedarf im zu schützendem Netzverbund haben und wie sie zu schützen sind. Es ist auch notwendig zu definieren, wie die Sicherungsmechanismen zur Erhaltung des gesicherten Betriebes eines Firewall-Systems regelmäßig geprüft werden.

Zum Beispiel bei der Entwicklung der Sicherheitspolitik: Von wem werden die Kommunikations-Profile definiert, von wem werden die Kommunikations-Profile oder die individuellen Services den Benutzern zugeordnet, von wem die Verwaltung und damit auch die Implementierung der Filter-Regeln? Was wird im Firewall-System gespeichert, wer untersucht wann die Logdaten, was passiert, wenn ein Anschlag entdeckt wird?

Ein Arbeitsplatz kann über das ungesicherte Netzwerk - gesteuert durch das Firewall-System - auf den zu sichernden Rechner im Netzwerk Zugriff haben. Hierzu muss sich der Anwender zunächst mit dem Firewall-System identifizieren und authentifizieren. Damit wird ein möglicher Angriffsort verborgen: Ein Angriff aus dem ungesicherten Netzwerk kann die vorhandene Benutzerverbindung aus dem ungesicherten Netzwerk herausnehmen und so die selben Aktionsschritte ausführen wie der Autor.

Diese Gefahr kann nur durch eine Verschlüsselung der Datenkommunikation zwischen der Arbeitsstation und dem Firewall-System vermieden werden. Da er sich aber nicht kryptografisch präsentieren kann - er hat keinen Zugang zum Geheimschlüssel - ist er nicht in der Lage, die IP-Pakete so zu verarbeiten, dass sie vom Paketfilter mit Chiffrierungsfunktion korrekt wiederhergestellt werden.

Wichtigster Beweggrund für den Gebrauch einer Firewall ist daher, das Risiko von Schwachstellen zu reduzieren, wenn die eigenen Wertvorstellungen geschützt werden müssen. Ist das zu sichernde Netzwerk nicht schutzbedürftig, darf kein Firewall-System verwendet werden. Bei Schutzbedürfnissen muss jedoch die Anwendung beachtet und ein geeignetes Firewall-Konzept gewählt werden.

In der folgenden Übersicht sehen Sie, wie das Firewall-Element bzw. die Verbindung der aktiven Firewall-Elemente je nach den Schutzanforderungen und der Anwendung eingesetzt werden sollte. Wenn ein hohes Maß an Schutz erforderlich ist, ist für die Verständigung mit einem ungesicherten Netzwerk außerhalb des eigenen Verantwortungsbereichs immer ein Dual-Homed Applikationsgateway im Firewallkonzept erforderlich. Je nach Schutzgrad des zu sichernden Netzwerks in Bezug auf das unsichere Netzwerk kann entweder nur ein Dual-Homed Applikations-Gateway oder in Verbindung mit einem Paketfilter oder ein abgeschirmtes Subnetz eingesetzt werden.

Befindet sich das ungesicherte Netzwerk in Ihrem eigenen Verantwortungsbereich, wie z.B. dem des Intranets, ist es ausreichend, je nach Schutzgrad nur Paketfilter oder Kombination mit Single-Homed Applikationsgateways zu nutzen. Weil die Auseinandersetzung mit Firewall-Systemen zeigt, dass es nicht möglich ist, 100%ige Datensicherheit zu erzielen, ist es ratsam, die Berücksichtigung eines Firewall-Systems auf den Fokus der "Unsicherheit" zu fokussieren.

Ungewissheiten sind all jene Staaten, die zu rechtswidrigen oder ungewollten Zuständen in einem IT-System geführt haben. Regelmäßige Prüfungen und Überarbeitungen des IT-Sicherheitssystems und sicherheitspolitische Prüfungen sind ebenfalls von Bedeutung. Siehe auch das Buch: Firewall-Systeme; Neuauflage und Erweiterung 2000; Norbert Pohlmann; MITP-Verlag Verlag GbR, ISBN 3-8266-4075-6; 79,00 DEM © SecuMedia-Verlags-Gmbh, D-55205 Ingelheim,