Externe Firewall Sicherheitskonzept

Hardware Firewall: Die stabile Firewall-Lösung - 1&1

Es ist sogar neuen Computernutzern bekannt und integraler Teil jedes Sicherheitskonzeptes, aber was ist eine Firewall? Die Firewall ist ein Verteidigungssystem, das einen einzigen Rechner oder ein ganzes Computernetzwerk vor unerwünschtem Zugriff von außerhalb schütz. Es gibt natürlich noch ein wenig mehr, um die Merkmale dieser sinnvollen Sicherheitssysteme zu erläutern und zu deuten.

Ein Firewall-System beruht beispielsweise immer auf einer Software-Komponente, deren Einbauort anzeigt, ob es sich um eine persönliche Firewall oder eine externe Firewall handelt. 2. Nachfolgend werden die Unterschiede zwischen den beiden Firewall-Typen und den von den Backup-Systemen zum Schutze von Rechnersystemen verwendeten Vorgehensweisen erläutert. Die beiden Firewall-Optionen zeichnen sich vor allem durch die verwendeten Bausteine aus:

Die Desktop-Firewall ist eine rein softwarebasierte Lösung, die auf dem zu sichernden Rechner läuft und den Verkehr zwischen dem Rechner und dem Netzwerk aufzeichnet. Eine externe Firewall ist dagegen eine Verbindung von Soft- und Hardware-Komponenten, die sich zwischen unterschiedlichen Computernetzwerken befinden und den Informationsverkehr zwischen diesen Netzwerken überwachen - aus diesem Grunde wird sie auch als Netzwerk- oder Hardware-Firewall bezeichnet.

Eine externe Firewall ist ein Einzelgerät, das dank der integrierten Netzwerk-Schnittstellen unterschiedliche Netzwerke vernetzt. Ein Firewall-Programm und in einigen Ausnahmefällen ein Betriebsystem sind auf diesem Endgerät vorhanden, so dass es den gesamten Verkehr steuern kann. Äußere Brandmauern sind viel komplizierter als persönliche Brandmauern. Dies macht es einerseits erheblich teurer, andererseits aber auch zu einer stabilen Security-Lösung.

Eine ähnliche Attacke auf eine Netzwerk-Firewall dagegen verursacht einen vollständigen Absturz des Gerätes und sperrt den ein- und abgehenden Verkehr bis zum nächsten Start. Die gesteigerte Sicherheit ist der Grund, warum Hardware-Firewalls die bevorzugte Problemlösung in Datenzentren sind, aber auch mehr als nur für Rechnersysteme mit hohem Schutzbedarf.

Nicht selten ist es aus diesem Grunde nicht ungewöhnlich, dass sensibler Informationsverkehr, z.B. von Kreditinstituten oder Unternehmensnetzwerken - mit oder ohne Serverbetrieb - auch durch professionelle externe Firewall-Systeme überwacht wird. Persönliche Brandmauern sind für den Privatgebrauch auf dem Heim-PC geradezu ideal, da sie preiswert und blitzschnell zu installieren sind und in der Regel von ungeübten Anwendern einfach zu konfigurieren sind.

Grundsätzlich kann eine Hardware-Firewall durch die Installation einer entsprechenden Firewall-Software auf einem passenden Endgerät und die Härtung des Betriebssystems aufgebaut werden, d.h. sie ist praktisch unangreifbar für externe Angriffe. Die letztgenannte Aufgabe wird durch die ausschließliche Nutzung der für das Betriebsystem erforderlichen Hilfsprogramme erfüllt. Es ist jedoch viel einfacher, eine Firewall-Appliance, ein komplettes, kombiniertes Hardwaresystem, ein gehärtetes Betriebssytem und eine eigens entwickelte Firewallsoftware zu verwenden.

Bridging Firewall: Zwei physikalisch voneinander unabhängige Netzwerksegmente sind auf der Layer-2-Ebene des OSI-Modells untereinander vernetzt, was die Firewall praktisch unbemerkt und unanfechtbar macht. Damit IP-Adressen und Ports gefiltert werden können, kann die Bridging-Firewall im Unterschied zur herkömmlichen Brücke auch auf übergeordnete Protokollebene zurückgreifen. Routing-Firewall: Routing-Firewalls sind die am weitesten verbreitete Art von Hardware-Firewall, die in praktisch allen Heimgeräten, wie DSL-Routern, zum Tragen kommt.

Verglichen mit der Bridging-Firewall funktioniert dieser Ansatz auf der Switching-Schicht (Schicht 3 oder höher) und filtern IP-Adressen und Ports auf direktem Weg, ist aber auch für jedermann im Netzwerk einsehbar und leicht angreifbar. Pseudo-Firewall: Die Pseudo-Firewall fungiert als Pseudo-Proxy zwischen dem Quell- und dem Zieldatenbank-Netzwerk. Weil Provisionsfirewalls auf der Anwendungsschicht (Layer 7) betrieben werden, können sie viel gezieltere Security-Entscheidungen fällen als Routing und Bridging von Firewalls.

Basierend auf einem von Hand eingerichteten Regelsatz bestimmt die Firewall, welche Nutzdatenpakete weitergereicht werden sollen und welche nicht. Es funktioniert auf den OSI-Layern 3 und 4, d.h. den Switching- und Transport-Layern, wo es die Packete auf Merkmale hin prüft, die es aus dem entsprechenden Protokoll-Header bezieht. Dabei sind z.B. genaue IP-Adressen oder Ports möglich, die im Regelsatz entweder als zulässig oder als geblockt aufgezeichnet werden.

Mit Hilfe der oben genannten Brücke oder sogar mit einem Schalter, der eine Brückenerweiterung ist, kann die Paketfiltration auch auf der Backup-Schicht, der zweiten Stufe des OSI-Modells, erfolgen. Dabei werden die Nutzdatenpakete nicht nach den IP-Adressen, sondern nach den MAC-Adressen, die für die Hardwareadressierung herangezogen werden, gefiltert.

Darüber hinaus können Brandmauern auch mit Stateful-Packet-Inspektions-(SPI)-Methoden nach der Verlängerung herausfiltern. Die Paketfiltration, die in der Regel auf die Schichten 3 und 4 beschränkt ist, umfasst zu diesem Zwecke auch die Anwendungsschicht (Schicht 7) und die dort aufgezeichneten Benutzerdaten. In der SPI-Technologie ist es im Unterschied zu einer Proxy-Firewall, die auch Zugang zu dieser Stufe hat, nicht möglich, diese Informationen zu modifizieren.

Bei Serverbetreibern kommt dem Aspekt der Unbedenklichkeit eine zentrale Bedeutung zu. Abgesehen von den klassichen Massnahmen wie Security-Software, Backups, Kennwortschutz und Chiffrierung gibt es auch einige hilfreiche Werkzeuge und Rahmenbedingungen, die Ihnen im Umgang mit Eindringlingen behilflich sein können. Trojaner und Computer-Viren werden von fast allen PC-Nutzern befürchtet. Insbesondere bei der Verwaltung sensibler Unternehmensdaten oder der Einrichtung eines Servers ist die Datensicherheit oberstes Gebot.

Zur Abwehr bösartiger Malware sollten Sie daher ein umfangreiches Sicherheitskonzept in Ihre Pläne einbinden.