Firewall Regelwerk

Die erste Sache ist, Zugang zu den Regeln und Vorschriften zu haben. Dabei wird unterschieden zwischen Vor-Ort-Analysen, bei denen die Arbeit an der Firewall oder der Management-Schnittstelle der Firewall durchgeführt wird. Eine Offlineanalyse, bei der das Regelwerk isoliert und von der Produktivumgebung unabhÃ?ngig betrachtet wird. Sie können den Peer Review starten, indem Sie an der Firewall sitzen.

Einige Firewallsysteme verfügen über eine Export- oder Backup-Funktion, mit der das Regelwerk ausgelesen werden kann. In der folgenden Übersicht sind einige namhafte Firewallsysteme und deren Exportfunktionen für rulset und config zusammengefasst. Ist das Regelwerk mit Hilfe von Export- oder Backup-Funktionen einmal entpackt, muss es in ein Ausgabeformat konvertiert werden, mit dem die Auswertung bestmöglich vorangebracht werden kann.

Dazu ist das Parsen der entsprechenden Datei notwendig. In dem Artikel Firewall Rule-Parsing am Beispiel von SonicWALL haben wir Ihnen aufgezeigt, wie ein solches Parsen mit einer SonicWALL auszusehen hat. Wie die folgende Übersicht verdeutlicht, können Sie zwischen unterschiedlichen Typen der entsprechenden Artikel unterscheiden. Die Zielsetzung des Parsens besteht in der Regel darin, die individuellen Regelungen und ihre Eigenschaften zu erkennen und auf sie gezielt zuzugreifen.

In der Regel wird das Regelwerk, das komplizierte Beziehungen und Schachtelungen haben kann, in eine tabellarische Darstellung überführt. Die Mindestinformation eines Firewall-Regelwerks ist: Allerdings verfügen viele unserer Lösungen über noch mehr Eigenschaften, die einer Firewall-Regel oder individuellen Gegenständen zugeordnet werden können. Im Folgenden wird ein normiertes Firewall-Regelwerk gezeigt, bei dem die Zahl der eingeführten Regelwerke und die zu berücksichtigenden Eigenschaften auf ein Mindestmaß beschränkt sind.

Ist das Regelwerk reformiert und normalisiert, kann die tatsächliche Auswertung durchgeführt werden. JEGLICHE Regeln: Der Regelsatz beinhaltet den Attributwert ANY, der als Wirdcard interpretiert wird und den Zugang für alle ermöglicht. Zweiwege-Regeln: Zweiseitig:: In einem Regelsatz wird eine große Kongruenz von Quell- und Zielkonflikt gefunden.

Die DROP ALL -Regel fehlt: Einige Firewall-Produkte verlangen ausdrücklich eine DROP ALL -Regel, die den verbleibenden unberechtigten Datenverkehr verhindert. Das ist kein direkter Defekt innerhalb des Firewall-Setups. Gegenstände verschiedener Kategorien und Kategorien werden in einer Gruppe oder in einem Merkmal zusammengefaßt. Überlagerte Objekte: Dabei werden unterschiedliche Gegenstände verwendet, die sich zum Teil überlagern.

Gekapselte Objekte: Die Verkapselung von Sachgruppen in andere Sachgruppen beeinträchtigt die Klarheit und Rückverfolgbarkeit des Regelwerkes sehr. Nicht aktive Objekte: In einem Regelwerk werden solche Gegenstände geführt, die nirgendwo als Attribute auftauchen. Provisorische Regeln: Es werden solche angewendet, die als provisorische Regel konzipiert und aufgesetzt wurden. Bisweilen haben diese Vorschriften einfach nicht den Übergang zu festen Vorschriften vollzogen - oder sie sind bereits vergessen.

Testregeln: Wie bei temporären Spielregeln können verlängerte und vernachlässigte Testregeln ein Problem sein. Überflüssige Regeln: Überflüssige Vorschriften, die keinen Gebrauch machen, bergen sowohl organisatorische als auch technische Gefahren. Das kann z.B. der Fall sein, wenn die alte Regelung noch für Anlagen gilt, die vor langer Zeit deaktiviert oder verschoben wurden.

Keine Anmerkungen/Beschreibung: Aufgrund von fehlenden Kommentaren oder Bezeichnungen ist das Funktionieren einer Vorschrift oder ihres fachlichen, organisationalen oder auch des rechtlichen Hintergrunds nicht verständlich. Abgesehen von der Betriebsreibung wird dadurch auch die komplette Auswertung schwieriger. Hierbei werden Regelungen benutzt, die die Protokollierung nicht auslösen. Sperrregeln nicht verfügbar: Die Firewall selbst bietet keinen Schutz vor Angriffen, die ihre Unversehrtheit durch direkte Zugriffe gefährden könnten.

Tarnkappenregeln nicht verfügbar: Die Firewall nutzt keine Mechanismus, um ihre Anwesenheit zu verbergen. DROP: Die für die Sperrung der Kommunikation verwendeten Richtlinien verwenden DENY und geben daher Auskunft über die Einschränkung. Dann wird es möglich, die entsprechenden Schwachstellen im vorhandenen Regelwerk zu markieren und zu dokumentieren. Ungünstige Eigenschaften werden farbig hervorgehoben, um das jeweilige Restrisiko anzuzeigen (niedrig, mittel, hoch).

Wir unterhalten im Zuge diverser Entwicklungsprojekte ein speziell für die computergestützte Implementierung von Firewall-Regelprüfungen erarbeitetes Rahmenwerk. Das folgende Film stellt den Importvorgang und die Auswertung eines umfangreichen Regelwerkes dar. Anhand der bisher geschilderten Überlegungen werden die Spielregeln und ihre Eigenschaften auf mögliche Schwachstellen hin durchleuchtet. Zahlreiche Firewall-Systeme verfügen über weltweite oder Zusatzfunktionen, die über das zentrale Regelwerk hinausgehen.

Insbesondere Applikationsgateways verwenden systemweit gültige Voreinstellungen für die entsprechenden Proxys. Auch diese müssen bei einer umfassenden Firewallanalyse berücksichtigt werden. Die Vorgehensweise ähnelt der der zugrunde liegenden Firewall-Regelanalyse. Auf diese Weise werden die individuellen Einstellwerte ermittelt und deren aktuelle Messwerte ermittelt. Nur eine ungenaue Herleitung oder ein konkretes Experiment kann dann die Funktion der individuellen Einstellung bestimmen.

Nach der Optimierung des Regelwerks durch Entfernen, Ersetzen oder Verbessern von unsicheren Vorgaben kann das vorhandene Regelwerk ausgewertet werden. Statt Schwachstellen wird jedoch CVSS eingesetzt, um die in der Firewall-Umgebung dargestellten Kommunikationsverhältnisse zu bewerten. Zugriffsvektor (AV), Zugriffskomplexität (AC) und Authentifizierung (Au) werden als erste Eigenschaften für die Basisbewertung herangezogen.

Das nächste Attribut sind Confidentiality Impact (CI), Integrity Impact (II) und Availability Impact (AI). Nach CVSSv2 ermöglichen diese sechs Eigenschaften je drei verschiedene Einteilungen. Aus dieser Auflistung können, ohne auf die Gründe für die Zuordnung der entsprechenden Kommunikationsmaßnahmen einzugehen, die entscheidenden Zusammenhänge identifiziert werden. Dies sind jedoch in der Regel keine Maßnahmen mehr, die in der Firewall-Umgebung angewendet werden können.

JEGLICHE Regeln, zeitweilige Regeln oder deaktivierte Protokollierung können immer wieder gefunden werden. Beispielsweise haben wir bereits Regeln erlebt, in denen konsequent auf das Protokollieren von Daten und Dienstleistungen mit JEDEN Regeln oder auf das Protokollieren komplett verzichtet wird. Wir haben im Zuge einer Statistikauswertung auch die Ursachen für die unsicheren Firewall-Regelsätze herausgefunden.

Durch die Durchsetzung des Vieraugenprinzips können diese Irrtümer in der Praxis in der Regel umgangen werden. Selbst wenn gelegentlich die Stimme zu hören ist, dass Firewallsysteme ihre Zeit gehabt haben, spielen Firewalls seit vielen Jahren eine wichtige Funktion im Umfeld der heutigen Information Security. Heutige Netze und Netzwerkanwendungen haben eine bestimmte Vielschichtigkeit, die auch innerhalb der Firewall berücksichtigt werden muss.

Weil Kompliziertheit immer das Fehlerrisiko birgt, ist es besonders kritisch, dass Firewalls mit äußerster Vorsicht durchgeführt werden. Damit Schwachstellen in einer Firewall-Installation so früh wie möglich erkannt werden, kann eine Überprüfung der Firewall-Regeln vorgenommen werden. Zuerst wird der Firewall-Regelsatz entpackt. Hieraus werden die individuellen Regelwerke, ihre Eigenschaften und Beziehungen herausgearbeitet und normiert.

Damit ist es möglich, sowohl Einzelobjekte als auch ganze Regelwerke auf ihre Richtigkeit hin zu überprüfen. Ungewisse und hässliche Spielregeln können auf diese Weise verfeinert werden. Der restliche Regelwerk kann dann evaluiert werden, um risikobehaftete Kommunikationswege zu identifizieren. Durch flankierende Maßnahmen können diese dann außerhalb der Firewall abgesichert werden - oft ist ein größerer Arbeitsaufwand zu bewältigen.

Seine Arbeitsschwerpunkte sind Routing, Firewalling und Logeinschub.