Firewall - Versionsgeschichte

EagleEye: /* Horizontale Sichtweise */

2008-01-20T15:58:26Z

Horizontale Sichtweise

← Nächstältere Version		Version vom 20. Januar 2008, 15:58 Uhr
Zeile 46:		Zeile 46:
	* Paketfilter können groß, komplex und unübersichtlich werden, auch das Testen dieser ist nur schwer möglich		* Paketfilter können groß, komplex und unübersichtlich werden, auch das Testen dieser ist nur schwer möglich
	* Fällt der Router aus ist das Netzwerk abgeschnitten, bzw. ist der Router überwunden ist das Netzwerk nicht mehr geschützt		* Fällt der Router aus ist das Netzwerk abgeschnitten, bzw. ist der Router überwunden ist das Netzwerk nicht mehr geschützt
	[[Bild:screening-router.png\|~~450px~~\|thumb\|Screening Router]]		[[Bild:screening-router.png\|350px\|thumb\|Screening Router]]


Zeile 52:		Zeile 52:
	Das Dual-homed Gateway System ist eine bessere Lösung als der screening Router. Hier besitzt der Router zwei [[Netzwerkkarte]]n, für jedes Netzwerk eine, somit ist keine direkte Verbindung möglich. Die Clients bauen ihre Verbindung zum öffentlichen Netzwerk über Proxies auf dem Gateway auf. Somit ist eine vollständige Kontrolle des Verkehrs möglich. Zusätzlich kann für die öffentliche Seite ein Paketfilter für weitere Sicherheit sorgen.		Das Dual-homed Gateway System ist eine bessere Lösung als der screening Router. Hier besitzt der Router zwei [[Netzwerkkarte]]n, für jedes Netzwerk eine, somit ist keine direkte Verbindung möglich. Die Clients bauen ihre Verbindung zum öffentlichen Netzwerk über Proxies auf dem Gateway auf. Somit ist eine vollständige Kontrolle des Verkehrs möglich. Zusätzlich kann für die öffentliche Seite ein Paketfilter für weitere Sicherheit sorgen.
	Ein Nachteil der Architektur, ist die schlechte Skalierbarkeit		Ein Nachteil der Architektur, ist die schlechte Skalierbarkeit
	[[Bild:dualhomed-gateway.png\|~~450px~~\|thumb\|Dualhomed-Gateway]]		[[Bild:dualhomed-gateway.png\|350px\|thumb\|Dualhomed-Gateway]]

	===Tri-homed Gateway===		===Tri-homed Gateway===
Zeile 58:		Zeile 58:

	Ein Tri-homed Gateway ist flexibler und sicherer als ein Dual-homed Gateway, jedoch werden die Nachteile wie die Performence, Skalierbarkeit und die Verwendung der einen Schnittstellenkomponente, nicht behoben.		Ein Tri-homed Gateway ist flexibler und sicherer als ein Dual-homed Gateway, jedoch werden die Nachteile wie die Performence, Skalierbarkeit und die Verwendung der einen Schnittstellenkomponente, nicht behoben.
	[[Bild:trihomed-gateway.png\|~~450px~~\|thumb\|Tri-homed-Gateway]]		[[Bild:trihomed-gateway.png\|350px\|thumb\|Tri-homed-Gateway]]


Zeile 64:		Zeile 64:
	Diese Architektur verbindet denn screening Router mit deinem Application Gateway. Dabei bildet der screening Router die physikalische Grenze zwischen dem öffentlichen und den internen Netzwerk. Die Kommunikation von außen wird gewöhnlich nur zum Application Gateway, ''Bastion Host'' erlaubt. Außerdem läuft die Kommunikation der Clients über den Application Server, dabei wird die Kommunikation vom Router direkt zum Application Server weiter geleitet.		Diese Architektur verbindet denn screening Router mit deinem Application Gateway. Dabei bildet der screening Router die physikalische Grenze zwischen dem öffentlichen und den internen Netzwerk. Die Kommunikation von außen wird gewöhnlich nur zum Application Gateway, ''Bastion Host'' erlaubt. Außerdem läuft die Kommunikation der Clients über den Application Server, dabei wird die Kommunikation vom Router direkt zum Application Server weiter geleitet.
	Diese Konfiguration ist aufwändiger als eine reine screening Router Lösung, jedoch lässt sich der interne Verkehr besser kontrollieren.		Diese Konfiguration ist aufwändiger als eine reine screening Router Lösung, jedoch lässt sich der interne Verkehr besser kontrollieren.
	[[Bild:Screened-Host.png\|~~450px~~\|thumb\|Screened-Host]]		[[Bild:Screened-Host.png\|350px\|thumb\|Screened-Host]]


Zeile 71:		Zeile 71:
	Diese Firewallart zeichnet sich durch eine hohe Performance, Sicherheit und Flexibilität aus. Jedoch auch ein hoher Konfigurationsaufwand, werden verschiedene Firewallsysteme verwendet steigt die Sicherheit aber auch der Konfigurationsaufwand.		Diese Firewallart zeichnet sich durch eine hohe Performance, Sicherheit und Flexibilität aus. Jedoch auch ein hoher Konfigurationsaufwand, werden verschiedene Firewallsysteme verwendet steigt die Sicherheit aber auch der Konfigurationsaufwand.

	[[Bild:Screened-Subnet.png\|~~450px~~\|thumb\|Screened Subnet/Kaskadierende Firewall-Architektur]]		[[Bild:Screened-Subnet.png\|350px\|thumb\|Screened Subnet/Kaskadierende Firewall-Architektur]]

	[[Kategorie:Sicherheit]]		[[Kategorie:Sicherheit]]
	[[Kategorie:Netzwerk]]		[[Kategorie:Netzwerk]]

EagleEye: /* Tri-homed Gateway */

2008-01-20T15:53:05Z

Tri-homed Gateway

@@ Zeile 55: / Zeile 55: @@
 ===Tri-homed Gateway===
-Der Tre-homed Gateway ist eine Erweiterung des Dual-homed Gateway, dieser besitzt drei Netzwerkkarten. Die dritte Karte wird für die Verbindung zur [[DMZ]] verwendet. In der DMZ könnten unteranderm [[Mail-Server]], [[Fileserver]] oder ähnliches sein.
+Der Tre-homed Gateway ist eine Erweiterung des Dual-homed Gateway, dieser besitzt drei Netzwerkkarten. Die dritte Karte wird für die Verbindung zur [[DMZ]] verwendet. In der DMZ könnten unteranderm [[Mail-Server]], [[Fileserver]] oder ähnliches sein. Durch die Auslagerung der Dienste in die DMZ wird die Sicherheit erhöht. Wird einer dieser Dienste kompromitiert ist es dadruch nicht möglich in das interne Netzwerk vorzudringen.
-[[Bild:trihomed-gateway.png|450px|thumb|Trihomed-Gateway]]

EagleEye: /* Horizontale Sichtweise */

2008-01-20T10:05:45Z

Horizontale Sichtweise

← Nächstältere Version		Version vom 20. Januar 2008, 10:05 Uhr
Zeile 52:		Zeile 52:
	Das Dual-homed Gateway System ist eine bessere Lösung als der screening Router. Hier besitzt der Router zwei [[Netzwerkkarte]]n, für jedes Netzwerk eine, somit ist keine direkte Verbindung möglich. Die Clients bauen ihre Verbindung zum öffentlichen Netzwerk über Proxies auf dem Gateway auf. Somit ist eine vollständige Kontrolle des Verkehrs möglich. Zusätzlich kann für die öffentliche Seite ein Paketfilter für weitere Sicherheit sorgen.		Das Dual-homed Gateway System ist eine bessere Lösung als der screening Router. Hier besitzt der Router zwei [[Netzwerkkarte]]n, für jedes Netzwerk eine, somit ist keine direkte Verbindung möglich. Die Clients bauen ihre Verbindung zum öffentlichen Netzwerk über Proxies auf dem Gateway auf. Somit ist eine vollständige Kontrolle des Verkehrs möglich. Zusätzlich kann für die öffentliche Seite ein Paketfilter für weitere Sicherheit sorgen.
	Ein Nachteil der Architektur, ist die schlechte Skalierbarkeit		Ein Nachteil der Architektur, ist die schlechte Skalierbarkeit
			[[Bild:dualhomed-gateway.png\|450px\|thumb\|Dualhomed-Gateway]]

	===Tri-homed Gateway===		===Tri-homed Gateway===
	Der Tre-homed Gateway ist eine Erweiterung des Dual-homed Gateway, dieser besitzt drei Netzwerkkarten. Die dritte Karte wird für die Verbindung zur [[DMZ]] verwendet. In der DMZ könnten unteranderm [[Mail-Server]], [[Fileserver]] oder ähnliches sein.		Der Tre-homed Gateway ist eine Erweiterung des Dual-homed Gateway, dieser besitzt drei Netzwerkkarten. Die dritte Karte wird für die Verbindung zur [[DMZ]] verwendet. In der DMZ könnten unteranderm [[Mail-Server]], [[Fileserver]] oder ähnliches sein.
			[[Bild:trihomed-gateway.png\|450px\|thumb\|Trihomed-Gateway]]

EagleEye: /* Tri-homed Gateway */

2008-01-18T14:12:16Z

Tri-homed Gateway

← Nächstältere Version		Version vom 18. Januar 2008, 14:12 Uhr
Zeile 54:		Zeile 54:

	===Tri-homed Gateway===		===Tri-homed Gateway===
			Der Tre-homed Gateway ist eine Erweiterung des Dual-homed Gateway, dieser besitzt drei Netzwerkkarten. Die dritte Karte wird für die Verbindung zur [[DMZ]] verwendet. In der DMZ könnten unteranderm [[Mail-Server]], [[Fileserver]] oder ähnliches sein.

EagleEye am 18. Januar 2008 um 14:00 Uhr

2008-01-18T14:00:27Z

← Nächstältere Version		Version vom 18. Januar 2008, 14:00 Uhr
Zeile 46:		Zeile 46:
	* Paketfilter können groß, komplex und unübersichtlich werden, auch das Testen dieser ist nur schwer möglich		* Paketfilter können groß, komplex und unübersichtlich werden, auch das Testen dieser ist nur schwer möglich
	* Fällt der Router aus ist das Netzwerk abgeschnitten, bzw. ist der Router überwunden ist das Netzwerk nicht mehr geschützt		* Fällt der Router aus ist das Netzwerk abgeschnitten, bzw. ist der Router überwunden ist das Netzwerk nicht mehr geschützt
	[[Bild:screening-router.png]]		[[Bild:screening-router.png\|450px\|thumb\|Screening Router]]


			===Dual-homed Gateway===
			Das Dual-homed Gateway System ist eine bessere Lösung als der screening Router. Hier besitzt der Router zwei [[Netzwerkkarte]]n, für jedes Netzwerk eine, somit ist keine direkte Verbindung möglich. Die Clients bauen ihre Verbindung zum öffentlichen Netzwerk über Proxies auf dem Gateway auf. Somit ist eine vollständige Kontrolle des Verkehrs möglich. Zusätzlich kann für die öffentliche Seite ein Paketfilter für weitere Sicherheit sorgen.
			Ein Nachteil der Architektur, ist die schlechte Skalierbarkeit

			===Tri-homed Gateway===

EagleEye: /* Transparent Proxy */

2008-01-18T13:06:35Z

Transparent Proxy

← Nächstältere Version		Version vom 18. Januar 2008, 13:06 Uhr
Zeile 28:		Zeile 28:
	Im Gegensatz zu benutzerorienterten Application Level Proxies, die jeweils eine eigene Benutzerauthentifikation erfordern, kann ein Authentification Proxy benutzt werden um eine einmalige Authentifizierung des Benutzers für verschiedene Dienste-Proxies zu ermöglichen. Dieser führt gleichzeitig eine entsprechende Autorisation, der vom User benutzbaren Dienste-Proxies durch.		Im Gegensatz zu benutzerorienterten Application Level Proxies, die jeweils eine eigene Benutzerauthentifikation erfordern, kann ein Authentification Proxy benutzt werden um eine einmalige Authentifizierung des Benutzers für verschiedene Dienste-Proxies zu ermöglichen. Dieser führt gleichzeitig eine entsprechende Autorisation, der vom User benutzbaren Dienste-Proxies durch.

	====Transparent Proxy====		=====Transparent Proxy=====
	Bei einem transparenten Proxy bekommt der Benutzer von diesem nichts mit. Hier bei werden die Verbindungen, z.B. vom Gateway, direkt an den Proxy umgeleitet. So lassen sich die Proxies nicht umgehen und auch die Konfiguration der Clients entfällt.		Bei einem transparenten Proxy bekommt der Benutzer von diesem nichts mit. Hier bei werden die Verbindungen, z.B. vom Gateway, direkt an den Proxy umgeleitet. So lassen sich die Proxies nicht umgehen und auch die Konfiguration der Clients entfällt.

EagleEye: /* Authentication Proxy (Global Authentication */

2008-01-18T13:06:00Z

Authentication Proxy (Global Authentication

← Nächstältere Version		Version vom 18. Januar 2008, 13:06 Uhr
Zeile 25:		Zeile 25:
	Benutzerorientierte Application Level Proxies führen die Proxies eine Authentifikation mit dem Benutzer durch, welche nur für den speziellen Proxy dient. Verwendet der Benutzer einen anderen Dienst muss er sich dort neu authentifizieren.		Benutzerorientierte Application Level Proxies führen die Proxies eine Authentifikation mit dem Benutzer durch, welche nur für den speziellen Proxy dient. Verwendet der Benutzer einen anderen Dienst muss er sich dort neu authentifizieren.

	=====Authentication Proxy (Global Authentication=====		=====Authentication Proxy (Global Authentication)=====
	Im Gegensatz zu benutzerorienterten Application Level Proxies, die jeweils eine eigene Benutzerauthentifikation erfordern, kann ein Authentification Proxy benutzt werden um eine einmalige Authentifizierung des Benutzers für verschiedene Dienste-Proxies zu ermöglichen. Dieser führt gleichzeitig eine entsprechende Autorisation, der vom User benutzbaren Dienste-Proxies durch.		Im Gegensatz zu benutzerorienterten Application Level Proxies, die jeweils eine eigene Benutzerauthentifikation erfordern, kann ein Authentification Proxy benutzt werden um eine einmalige Authentifizierung des Benutzers für verschiedene Dienste-Proxies zu ermöglichen. Dieser führt gleichzeitig eine entsprechende Autorisation, der vom User benutzbaren Dienste-Proxies durch.

EagleEye: /* =Transparent Proxy */

2008-01-18T13:05:36Z

=Transparent Proxy

← Nächstältere Version		Version vom 18. Januar 2008, 13:05 Uhr
Zeile 28:		Zeile 28:
	Im Gegensatz zu benutzerorienterten Application Level Proxies, die jeweils eine eigene Benutzerauthentifikation erfordern, kann ein Authentification Proxy benutzt werden um eine einmalige Authentifizierung des Benutzers für verschiedene Dienste-Proxies zu ermöglichen. Dieser führt gleichzeitig eine entsprechende Autorisation, der vom User benutzbaren Dienste-Proxies durch.		Im Gegensatz zu benutzerorienterten Application Level Proxies, die jeweils eine eigene Benutzerauthentifikation erfordern, kann ein Authentification Proxy benutzt werden um eine einmalige Authentifizierung des Benutzers für verschiedene Dienste-Proxies zu ermöglichen. Dieser führt gleichzeitig eine entsprechende Autorisation, der vom User benutzbaren Dienste-Proxies durch.

	=====Transparent Proxy====		====Transparent Proxy====
	Bei einem transparenten Proxy bekommt der Benutzer von diesem nichts mit. Hier bei werden die Verbindungen, z.B. vom Gateway, direkt an den Proxy umgeleitet. So lassen sich die Proxies nicht umgehen und auch die Konfiguration der Clients entfällt.		Bei einem transparenten Proxy bekommt der Benutzer von diesem nichts mit. Hier bei werden die Verbindungen, z.B. vom Gateway, direkt an den Proxy umgeleitet. So lassen sich die Proxies nicht umgehen und auch die Konfiguration der Clients entfällt.

EagleEye am 18. Januar 2008 um 13:05 Uhr

2008-01-18T13:05:16Z

← Nächstältere Version		Version vom 18. Januar 2008, 13:05 Uhr
Zeile 1:		Zeile 1:
	Eine Firewall ist ein Schutzsystem, für die Kontrolle der Zugriffe zwischen zwei oder mehreren [[~~Netzwerken~~]]. Diese Zugriffe können überprüft, blockiert oder bearbeitet werden. Je nach Art der Firewall kann die Kontrolle der Daten in unterschiedlicher Intensität und Detaillierung geprüft werden und welche Kommunikationsarten/-aspekte zugelassen sind.		Eine Firewall ist ein Schutzsystem, für die Kontrolle der Zugriffe zwischen zwei oder mehreren [[Netzwerk]]en. Diese Zugriffe können überprüft, blockiert oder bearbeitet werden. Je nach Art der Firewall kann die Kontrolle der Daten in unterschiedlicher Intensität und Detaillierung geprüft werden und welche Kommunikationsarten/-aspekte zugelassen sind.
	Firewallsysteme werden oft in zwei Systembereiche unterteilt, einmal ist es die vertikale Sichtweise, bei der die [[OSI-Modell \| OSI Schichten]] betrachtet werden und die horizontale Sichtweise, bei der die Anbindung der Firewall an andere Systeme betrachtet wird.		Firewallsysteme werden oft in zwei Systembereiche unterteilt, einmal ist es die vertikale Sichtweise, bei der die [[OSI-Modell \| OSI Schichten]] betrachtet werden und die horizontale Sichtweise, bei der die Anbindung der Firewall an andere Systeme betrachtet wird.


			==Vertikale Sichtweise==
			Bei der vertikalen Sichtweise werden die Firewalls anhand der [[OSI-Modell \| OSI-Schichten]] unterschieden.

			===Paketfilter===
			Paketfilter analysieren Pakete der OSI-Schicht 2 bis 4 und verarbeiten sie anhand von Regeln (Policy). Dabei kann ein Paket akzeptiert (Accept), verweigert (Reject) oder verworfen (Drop) werden. Mit den Paketfiltern lassen sich einfache Firewalls schreiben, die Quell- und Zieladresse, Ports und das Protokoll betrachten und so den Zugriff regeln.

			===Zustandsorientierter Paketfiler===
			Die zustandsorientierten Paketfilter, '''statefull inspection''' stellen eine Erweiterung der einfachen Paketfilter da. Diese beachten zusätzlich den Zustand der Verbindung, ob die Verbindung schon besteht, ob sie gerade aufgebaut wird usw.. Ein bekannter Vertreter der Sorte sind die [[IPTables]] aus dem [[Unix]] Bereich.

			===Applicationgateway/Proxy===
			Ein Applicationgateway arbeitet auf den höheren Ebenen des OSI-Modells. Im Gegensatz zu dem Paketfiltern analsysiert er nicht nur die Pakete sondern auch die verwendeten Dienste. So nimmt er die Daten entgegen und leitet sie zu dem Zieldienst weiter, wofür jedoch eine eigene Verbindung aufgebaut wird.
			Diese Art der Kommunikation auch als Proxy bezeichnet. Da hier keine direkte Verbindung zwischen zwei Netzwerken hergestellt werden kann. Um die Sicherheit zusätzlich zu erhöhen kann für die Verwendung des Proxys eine Authentifizierung der Benutzer verlangt werden.Bei der Realisierung von Proxies kann zwischen Application-Level-Proxies und Circuit-Level-Proxies unterschieden werden.

			====Application Level Proxies====
			Ein Application Level Proxy arbeitet nur mit einem Protokoll, d.h. er ist genau für eine spezielle Anwendung geschrieben. Daher können sie eine besonders genaue Analyse durchführen. Diese Proxies können nach verschiedenen Prinzipien funktionieren, welchen folgend vorgestellt werden.

			=====Store-And-Forward-Prinzip=====
			Bei dem Store-And-Forward-Prinzip wird die komplette Kommunikation mit dem Client durchgeführt und anschließend erst an das Ziel durchgeführt. So findet keine Ende-Zu-Ende Verbindung statt. Dieses Prinzip ist beispielsweise bei [[SMTP]]-Proxys üblich.

			=====Benutzerorientierte Application Level Proxies=====
			Benutzerorientierte Application Level Proxies führen die Proxies eine Authentifikation mit dem Benutzer durch, welche nur für den speziellen Proxy dient. Verwendet der Benutzer einen anderen Dienst muss er sich dort neu authentifizieren.

			=====Authentication Proxy (Global Authentication=====
			Im Gegensatz zu benutzerorienterten Application Level Proxies, die jeweils eine eigene Benutzerauthentifikation erfordern, kann ein Authentification Proxy benutzt werden um eine einmalige Authentifizierung des Benutzers für verschiedene Dienste-Proxies zu ermöglichen. Dieser führt gleichzeitig eine entsprechende Autorisation, der vom User benutzbaren Dienste-Proxies durch.

			=====Transparent Proxy====
			Bei einem transparenten Proxy bekommt der Benutzer von diesem nichts mit. Hier bei werden die Verbindungen, z.B. vom Gateway, direkt an den Proxy umgeleitet. So lassen sich die Proxies nicht umgehen und auch die Konfiguration der Clients entfällt.

			====Circuit Level Proxies====
			Circuit Level Proxies sind generische Proxies und können so eine Vielzahl von Diensten bedienen. Dabei werden externe Dienste auf interne umgeleitet, wobei nur der Verbindungsaufbau kontrolliert wird. Diese Art wird oft auch als Port-Relay bezeichnet.

			===Adaptive Proxy===
			Hier werden die verschiedenen Typen zu zwei Phasen kombiniert. Die erste Phase wird als Application Gateway betrieben und in der zweiten wird als Paketfilter verwendet.

			==Horizontale Sichtweise==
			Bei der horizontalen Sichtweise wird die Kombination von Hard- und Softwarefirewalls in Verbindung mit der Netzwerkstruktur betrachtet.

			===Screening Router (Packet Filtering)===
			Der screening [[Router]] stellt die einfachste Struktur da, hier wird eine einfach Firewall mit Paketfilter und Routingfähigkeiten verwendet. Die Kommunikation aus dem lokalen Netzwerk kann auf einige Protokolltypen begrenzt statt finden, wogegen die Verbindungen aus dem öffentlichen Netz meistens blockiert werden.
			Die Sicherheit des lokalen Netzes hängt maßgeblich von den Policies auf de Router ab. Aufgrund der Einfachheit besitzt diese Technik auch Nachteile:
			* Minimale Loggingfunktionen, eine Überwachnung auf Kompromitierung kann nur schwer statt finden
			* Paketfilter können groß, komplex und unübersichtlich werden, auch das Testen dieser ist nur schwer möglich
			* Fällt der Router aus ist das Netzwerk abgeschnitten, bzw. ist der Router überwunden ist das Netzwerk nicht mehr geschützt
			[[Bild:screening-router.png]]

EagleEye am 16. Januar 2008 um 21:57 Uhr

2008-01-16T21:57:52Z

← Nächstältere Version		Version vom 16. Januar 2008, 21:57 Uhr
Zeile 1:		Zeile 1:
	Eine Firewall ist ein Schutzsystem, für die Kontrolle der Zugriffe zwischen zwei oder mehreren [[Netzwerken]]. Diese Zugriffe können überprüft, blockiert oder bearbeitet werden. Je nach Art der Firewall kann die Kontrolle der Daten in unterschiedlicher Intensität und Detaillierung geprüft werden und welche Kommunikationsarten/-aspekte zugelassen sind.		Eine Firewall ist ein Schutzsystem, für die Kontrolle der Zugriffe zwischen zwei oder mehreren [[Netzwerken]]. Diese Zugriffe können überprüft, blockiert oder bearbeitet werden. Je nach Art der Firewall kann die Kontrolle der Daten in unterschiedlicher Intensität und Detaillierung geprüft werden und welche Kommunikationsarten/-aspekte zugelassen sind.
	Firewallsysteme werden oft in zwei Systembereiche unterteilt, einmal ist es die vertikale Sichtweise, bei der die [[OSI-Modell \| OSI Schichten]] betrachtet werden und die horizontale Sichtweise, bei der die Anbindung der Firewall an andere Systeme betrachtet wird.x		Firewallsysteme werden oft in zwei Systembereiche unterteilt, einmal ist es die vertikale Sichtweise, bei der die [[OSI-Modell \| OSI Schichten]] betrachtet werden und die horizontale Sichtweise, bei der die Anbindung der Firewall an andere Systeme betrachtet wird.