Sinn oder Unsinn ?

[thbrueck]

Es gibt kontroverse Diskussionen über die Sinnhaftigkeit von sog. Personal Firewalls und hier schließt sich die nächste an. Eigens dafür habe ich eine etwas eigenwillige Abhandlung über das Thema verfasst, die als Grundlage für die Diskussion dienen soll:

http://www.oberthal-online.de/pfw.html

Ursprünglich hatte ich annähernd eine Kopieform dieser Abhandlung innerhalb dieser Beitragsfolge hinterlegt, aber aufgrund dass dieser Thread bereits zweimal "gelöscht" wurde, habe ich keine Lust mehr, alles wieder sozusagen doppelt zu schreiben. Derzeit ist es völlig unklar, wie gerade dieser Thread zum 2. Mal komplett verschwunden ist und man könnte mutmaßen, dass dieser Forenserver nicht sicher gegen unbefugten Zugriff ist. Ebenso könnte auch die Forensoftware fehlerhaft sein, was genau so gut ein Grund wäre, auf diese Weise den Datenverlust zu vermeiden.
Da es aber ausschließlich immer diesen brisanten Thread über Sinnhaftigkeit von Personal Firewalls betroffen hat, scheint die entsprechende Lobby (Pro Personal Firewall) die deutlichen Gegenargumente auf recht unseriöse Weise unterbinden zu wollen. Wie dem auch sei, der Link sollte völlig genügen und erspart mir, die Arbeit doppelt zu machen. Aber um mitdiskutieren zu können, möchte ich jeden bitten, zunächst wirklich die Abhandlung komplett durchzulesen...

In diesem Sinn,
TB

[thbrueck]

Hab mir das durchgelesen und sehr interessant gefunden.
Dennoch bin ich der Meinung, dass eine vorkonfigurierte Firewall immer noch besser ist als keine.

[thbrueck]

...daß die vielen Argumente und praxisbezogenen Beispiele dich nicht überzeugen konnten, kosh !

Hier mal noch ein Beispiel: Protokollauszug einer Comodo- Firewall


Protokollbereich
Datum/Zeit :2007-08-03 19:03:58
Schwere :Hoch
Melder :Netzwerk-Monitor
Beschreibung: DDOS-Angriff (ICMP Flood)
Dauer: 27 Sekunden
Anzahl von Paketen: 1164
Anzahl von Angreifern: 4 Angreifer(n): 211.19.26.88, 61.235.144.122, 201.67.7.211, 211.19.26.52
Die Firewall hat zum NOTFALL-Modus gewechselt


Zunächst einmal sollte man wissen, womit man es überhaupt zu tun hat, wenn da z.B. steht: DDOS-Angriff (ICMP Flood)

Ich hoffe, jeder Anwender einer PFW kann seine Protokollangaben auswerten !
Hierbei erzählt die PFW, dass ein sog. Distributed Denial of Service stattgefunden hätte. Ein solcher gezielter Blockadeangriff versucht mit einer Vielzahl von Anfragen ein bestimmtes Ziel lahm zu legen. Webserver im Internet sind meist Ziel von Angriffen dieser Art. Im simpelsten Fall kann dies durch "Anpingen" geschehen. Dass man hierbei eine Vielzahl von angreifenden (anpingenden) Rechnern benötigt, liegt auf der Hand, da das Protokol ICMP (Internet Control Message Protokol) nicht gerade viele Datenpakete gleichzeitig versenden kann, um die Bandbreite von Webservern ernsthaft zu gefährden. Es kann sich aber genauso gut um lapidare Anfragen wie Destination Unreachable , Echo Request oder Traceroute handeln. Dies bei 4 "Angreifern" als DDoS Attacke zu bezeichnen, halte ich für lächerlich...
Übrigens handelt es sich bei den angegebenen IP- Adressen um:

211.19.16.69 | usr069.g016.nabic.jp
61.235.144.122 | bj141-130-98.bjtelecom.net
201.67.7.211 | bsaco700.dsl.brasiltelecom.net.br
211.19.16.69 | usr069.g016.nabic.jp

also 2 japanische Clients, ein brasilianischer und ein chinesischer Client, die vermutlich Teil eines Botnet's sind. Es könnte sich um einen mißglückten Testlauf gehandelt haben, was aber bei einem Client als Ziel völlig unsinnig ist, zumal die IP des Clients ganz bestimmt dynamisch ist und beim nächsten Disconnect sich ändern würde.
Also die Aussage der (P) Firewall ist sehr anmaßend und irreführend und bisweilen auch lächerlich und stellt eine Situation dar, die schlimm aussieht, aber völlig harmlos ist...

Andererseits bestünde aber noch die Möglichkeit, dass auch dieser Rechner infiziert wäre und das Botnet eine Kontaktaufnahme versucht hätte. Zumindest in diesem Falle hätte die PFW verhindert, dass der Client erfolgreich am DDoS Angriff mitgewirkt hätte. Ob das nun eine beruhigende Feststellung ist, sei dahingestellt...

Alles in allem konnte die PFW aber letztlich nicht verhindern, dass eine Schadsoftware auf den PC gelangen konnte, wenn diese auch nicht voll zur Entfaltung kommen konnte. Oder die PFW meldet ganz schlicht und ergreifend Müll und es war Zufall, dass diese vier Clients mal "Guten Tag" sagen wollten, weil man gerade zufällig mit irgendeinem Programm weitere Kontakte gesucht hat. Typischerweise könnte das ein Filesharingtool so iniziieren, ein Chat- Room oder ein Forum wäre auch denkbar. Man könnte jetzt lustig darauf los spekulieren, eines ist aber offenkundig geworden: Die PFW hat versagt, wenn auch nicht in jeder Hinsicht.

(Spekulation) Nehme ich an, die Sache ist durch Filesharing entstanden, so könnte ich auch sagen, dass die Unterlassung von Filesharing diese Situation gar nicht hätte entstehen lassen. Somit wäre die Meldung der PFW auch nicht generiert worden und die PFW wäre ohnehin dann arbeitslos. Wozu braucht man dann eine PFW, wenn man sowieso ein entsprechendes Onlineverhalten vertritt ?

Mit anderen Worten: Eine Personalfirewall wird dann für einen User interessant, wenn er sich auf Abwege begibt, die nicht in ein akzeptabeles Sicherheitskonzept passen.

[thbrueck]

Nun, das stimmt ja alles und ich will auch gar nicht so spezifisch sein.
Im speziellen und im Detail sind deine Ausführungen richtig und ich widerspreche dir in keinster Weise. Dennoch ist es aber auch ein Fakt geworden, dass sich ab 2004 mit Erscheinen des ServicePacks 2 für Windows XP diverse Probleme nie mehr so rasant verbreitet haben. Das führe ich auf die integrierte überarbeitete Firewall von Windows zurück.
Dass damit noch immer Lücken offen sind ist mir durchaus bewusst, doch ist auch damit einiger Schadsoftware Einhalt geboten worden.
Das lässt für mich den Eindruck erscheinen, dass die Windowsfirewall mehr ist als ein bloser Portfilter. Jedoch sei auch gesagt, dass in Vista die Firewall weit besser geworden ist.
Und meinst du nicht, dass eine vorkonfigurierte Firewall einen besseren Schutz bietet als überhaupt keine? Von falscher Konfiguration will ich jetzt mal nicht sprechen, da im Normalfall der Normalanwender da nichts reinpfuscht oder verändert.

[thbrueck]

Die Windows- Firewall stand für mich gar nicht zur Debatte. Sie ist Teil des Betriebssystems und darauf abgestimmt. Ob sie eingeschaltet ist oder nicht, drückt sich kaum in Performanceverlust aus, daher schadet eine aktive Windows- Firewall eigentlich nicht. Allerdings ist auch zu bemerken, dass sie ebenfalls wie eine Router- Firewall nur in eine Richtung (eingehend) arbeitet. Das hat aber auch den Vorteil, dass sie keine Konfigurationsprobleme im Standard hat. Sie unterliegt dennoch allen Schwächen der Firewalls generell, aber hat eben auch keine gravierenden Nachteile. Somit steht sie etwas außerhalb der Kritik an Personalfirewalls.
Insofern ist deine Auffassung durchaus nachvollziehbar...

[thbrueck]

Verstehe. Wie stehst du eigentlich zu IPTables bei Linux? Ist das für dich auch gleich unsicher?

[thbrueck]

Linux hat bereits ein wesentlich ausgereifteres Sicherheitskonzept als Windows. Das hat Microsoft erkannt und gibt jetzt bei Vista auch nicht direkt für alles und jeden unnachgefragt Adminrechte frei. Ein Schritt in die richtige Richtung.
Da Linux ein völlig anderes User- Klientel besitzt und eben dadurch eigentlich keine typischen "DAU's", ist das Interesse für potentielle Angreifer deutlich geringer. Hinzu kommt noch der Verbreitungsgrad als Client- Maschinen. Da haben die Microsoft Betriebsysteme die Nase ganz weit vorn, was aber auch wiederum potentielle Angreifer mehr anlockt. Diese Umstände sind ausschlaggebend dafür, das Viren- und Malware Autoren ihre Schadsoftware auf Windows ausrichten. Desweiteren sind ja die Sicherheitslecks dort auch noch größer und vor allem bekannter.

Dennoch haben auch Firewalls bei Linux ihre Berechtigung, da ja ein Großteil der Webserver im Internet auf Linux- Distributionen aufbauen. IP Tables ist ein Paketfilter im Kernel von Linux und am ehesten also mit der Windows- Firewall aus dieser Sicht zu vergleichen, wenn auch die Möglichkeiten weit darüber hinaus gehen.
Man darf aber jetzt nicht glauben, dass man beispielsweise IP Tables oder andere Linux- Firewalls als Personalfirewalls auf einem Webserver installiert. Dafür wird ein separater Linux- Rechner konfiguriert und dem eigentlichen Webserver physikalisch getrennt vorgeschaltet. Das kann man dann durchaus als Hardware- Firewall bezeichnen, da diese Maschine ausschließlich diese ein Aufgabe hat.
Eine FritzBox besitzt übrigenz auch ein Linux- Betriebssystem und wie man weiß auch eine Firewall. Wenn man so will aso ein kleiner Linux- Rechner...

Das es übrigens auch Antivirensoftware für Linux gibt, ist eigentlich etwas zu belächeln. Es gibt so gut wie keine ernsthaften Viren für Linux und gegen Windows- Viren ist ein Linux- Rechner ohnehin immun. Natürlich werden diese Viren dann trotzdem erkannt und beseitigt, denn man will ja nicht, dass Schadsoftware ungehindert weiter transportiert wird.

[thbrueck]

Hallo Thbrueck,

ich habe jetzt deine Beiträge und auch deine (sehr große) Abhandlung gelesen. Im Moment setze ich auf Windows XP den Avira Antivir (kostenlose Version) und die Sygate Personal Firewall (auch kostenlos, bin ja ein Schwabe) ein. Die Windows Firewall ist aus und ich gehe mit Modem ins Internet (also keine vorgelagerte Firewall in einem Router oder Ähnliches). Nach Lesen deiner Ausführungen (und darauf folgender weiterer Recherche) bin ich nun zu dem Schluss gekommen, die Firewall ins Nirwana zu schicken. Ich hatte zwar nie bewußt Ärger damit, aber konfiguriert habe ich sie überhaupt nicht, also schließe ich aus deinen Ausführungen, dass sie mir maximal Performance-Einbußen beschert, worauf ich nicht scharf bin.

Jetzt aber meine Fragen: Was kann ich denn alles Sinnvolles machen, um mich zu schützen? Ich weiß, man kann vieles aus deinem Artikel herauslesen, aber ich würde mich über sehr konkrete kompakte Hinweise freuen.

Was ich bis jetzt mache:
- Zugang ins Internet nur mit Benutzer mit eingeschränkten Rechten (Problem: manche Microsoft-Updates oder Treiber-Updates zeigt er mir gar nicht an, da wartet er auf einen Admin)
- Avira Antivir
- kein Filesharing auf irgendwelchen Download-Plattformen
- Brain ist meistens aktiv, surfe auch nur auf Standard-Seiten (web.de, amazon.de, etc.)

Nun liest man aber zum Beispiel immer etwas über Spyware, Adware, Malware etc. und dass viele Virenscanner diese nicht erkennen. Kann ich da ein sinnvolles Zusatzprogramm nutzen?

Soll ich meine Windows-Firewall wieder einschalten?

Sygate hat mir immer gemeldet, wenn ein neu installiertes Programm sich automatisch ins Internet verbinden wollte und Updates holen wollte (was ich im Zweifel dann heroisch verboten habe). Wer übernimmt diese Aufgabe?

Wie kann ich sicherstellen, dass ich Sygate restlos deinstalliere und dass nicht noch irgend welcher Müll davon liegenbleibt?

Was kann ich brainmäßig alles tun, um mich vor Schadprogrammen zu schützen?

Wie sieht es eigentlich mit Firewalls in Routern und Ähnlichem aus? Ich plane eine Erweiterung der Bandbreite und nun schicken die Anbieter ja immer einen Router, Splitter und was weiß ich noch alles mit. Wie einfach oder schwierig sind diese Firewalls zu konfigurieren bzw. muss ich diese nachkonfigurieren? Muss ich dann die Windows Firewall wieder abschalten (falls ich sie überhaupt wieder einschalten soll)?

Gibt es Besonderheiten beim neuen Vista?

Über Antworten würde ich mich sehr freuen.


Vielen Dank im Voraus


Philoktet

[thbrueck]

Es freut mich, wenn meine Abhandlung überzeugend genug für dich war, dass du dein Sicherheitskonzept neu gestalten möchtest. Nicht jeder hat die gleiche Selbstkritik, obwohl du ja schon einiges in die richtige Richtung gesteuert hast. Da kann man nicht meckern !

manche Microsoft-Updates oder Treiber-Updates zeigt er mir gar nicht an, da wartet er auf einen Admin

Schon ein wenig nervig. Bei "Vista" wurde dies geändert, aber bei "XP" gibts ja auch immerhin den "schnellen Benutzerwechsel" oder "RunAs".

Nun liest man aber zum Beispiel immer etwas über Spyware, Adware, Malware etc. und dass viele Virenscanner diese nicht erkennen. Kann ich da ein sinnvolles Zusatzprogramm nutzen?

Ja - es gibt neben den gängigen Antivirenprogrammen auch noch sog. Antimalware- Tools (AdAware, Spybot Search & Destroy, HiJackThis, AVG Antispy u.v.m.) Während man es unterlassen sollte, Antivirenprogramme oder Personalfirewalls parallel einzusetzen, ist der mehrfache Einsatz dieser Tools unbedenklich. Allerdings sollte man nun nicht alle möglichen Antimalwaretools downloaden und installieren, da sich herausgestellt hat, dass unseriöse Anbieter diesen Umstand ausnutzen und eine Antimalwaresoftware anbieten, die aber eigentlich
Malware ist. Also vorsicht !

Alternativ dazu gibt es auch in diesem Bereich sog.
Online- Scanner, wobei ich persönlich etwas davor zurückschrecke, weil ich ja damit jemandem völlig fremdem erlaube, meinen kompletten Datenbestand zu durchleuchten. Wer kann hierbei die Garantie gegen, dass nicht auf diese Weise Daten eingesehen werden können ?

Soll ich meine Windows-Firewall wieder einschalten?

Schadet eigentlich nicht, weil diese ja Teil des Betriebssystems ist und fast keine Resourcen verbraucht...ist aber beim Einsatz einer DSL- Router Firewall nicht notwendig.

Sygate hat mir immer gemeldet, wenn ein neu installiertes Programm sich automatisch ins Internet verbinden wollte und Updates holen wollte (was ich im Zweifel dann heroisch verboten habe). Wer übernimmt diese Aufgabe?

Das ist ein Grenzfall und ergibt sich aus dem Sicherheitskonzept selbst. Jegliche Software incl. des Betriebssystems erfordert Updates. Wird beispielsweise das BS aufgrund von Sicherheitslücken "gepatcht", zieht dies nach sich, dass auf dem System laufende Software u.U. ebenfalls ein Update erfahren muss, weil man den neuen Bedingungen gerecht werden will und muss. Grob gesagt besteht hier eine Symbiose zwischen den installierten Programmen und dem Betriebssystem, die auch den stetigen Änderungen gerecht werden muss. Somit sind Updates eine Notwendigkeit, vergleichbar mit Vorsorgeuntersuchungen oder Inspektionen bei Autos oder Maschinen usw. Man muss dabei den zuständigen Experten (Ärzte, Ingenieueren, Mechanikern usw.) das volle Vertrauen schenken. Im Falle des Computers und der darauf installierten Software muss man folglich den Softwareherstellern vertrauen. Das macht man ja eigentlich schon beim Kauf des Computers samt Betriebssystem. Es wäre natürlich zu begrüßen, wenn Updateanforderungen der verschiedenen Programme auch dem Benutzer gemeldet werden, sodass dieser noch wenigstens bescheid weiß, was abläuft, doch leider hat die bekannte Bequemlichkeit der meisten User dazu geführt, dass immer mehr Updates automatisch und unsichtbar ablaufen. Je mehr Software sich auf der "Kiste" befindet, desto höher ist natürlich auch die Updatemenge- und häufigkeit. Würde nun jeder User darauf bestehen, dass die gekaufte Software diese Updates deutlich ankündigt und kenntlich macht, könnte das Argument, dass man ja eine Firewall benötigt, um gerade eben dieses zu überprüfen (überwachen) völlig entfallen. Im Grunde ist also dieses Problem der Bequemlichkeit und dem fehlenden Verantwortungsbewußtsein des Anwenders anzulasten, denn als zahlender Kunde hat man gegenüber dem Anbieter eigentlich schon gewisse Druckmittel in der Hand. Was sonst in allen Bereichen bis ins Detail vereinbart wird, scheint bei Software absolut untergeordnet zu sein. Wer schon mal als Bauherr sein Eigenheim verwirklicht hat oder einen 50. Geburtstag mit einem phänomenalen Büffet ausgerichtet hat, versteht, wovon ich spreche. Wieso akzeptiert der Anwender bei Software aus eigener Sicht offensichtliche Mängel und versucht diese durch Einsatz einer zusätzlichen Software (Personalfirewall) auszubügeln ? Ist das nicht irrational ? Wenn der Partyservice nicht die abgesprochene Fleischplatte bringt, hat das sicher Konsequnzen. Wenn die Baufirma beim neuen Wunscheigenheim ein Dachfenster nicht eingebaut hat, was vereinbart war, drohen ebenfalls Konsequenzen. Ist der Anwender mit seiner Software nicht zufrieden, weil die Updates unkontrolliert ablaufen, besorgt der User sich eine Personalfirewall, um dies auf seine Weise zu regulieren...
Ich hoffe, du verstehst, was ich damit sagen will. Darüberhinaus wäre es dann absurd, wenn die nun eingesetzte PFW selbst wiederum Updates o.ä. durchführt, ohne dass der User davon was bemerkt. Worin besteht nun die Logik ?

Wie kann ich sicherstellen, dass ich Sygate restlos deinstalliere und dass nicht noch irgend welcher Müll davon liegenbleibt?

Die Hoffnung stirbt zuletzt. Bei Symantec Produkten würde ich behaupten, dass dies unmöglich sei, bei Sygate weiß ich es einfach nicht. Irgendwelche überflüssigen Registry Einträge bleiben nach jeder Software- Deinstallation zurück...

Was kann ich brainmäßig alles tun, um mich vor Schadprogrammen zu schützen?

Du tust schon weitaus mehr, wie der Großteil der Internetnutzer überhaupt. Du hast dich belesen und fragst nach. Dies bringt dich immer ein Stück weiter. Der Lernprozess wird nie enden, so ist es auch bei mir selbst. So spreche ich auch niemandem ab, eine PFW einzusetzen, wenn er sich der daraus resultierenden Folgen bewußt ist. Im Gegenteil, eine richtig und sauber konfigurierte PFW kann das persönliche Sicherheitskonzept sinnvoll ergänzen, jedoch zeigt die Realität, dass dies eben nicht der Fall ist. Leider glauben (zu) viele, dass sie damit den perfekten Rundumschutz erhalten und in diesem Irrglauben sehr nachlässig mit "Brain" werden. Das bestätigen unzählige Beiträge in den einschlägigen Security- Foren nachhaltig.

Wie einfach oder schwierig sind diese Firewalls zu konfigurieren bzw. muss ich diese nachkonfigurieren? Muss ich dann die Windows Firewall wieder abschalten

Grundsätzlich sind diese Firewalls vorkonfiguriert und man muss bei Bedarf entsprechende Ports "freischalten". Das bedeutet eigentlich, dass man einen Port von außen nach innen "forwarded", also auf den internen PC weiterleitet. Dies geschieht übrigens nur in eine Richtung, von außen nach innen. Möchte man z.B. remote von außen auf einen PC hinter dem Router zugreifen, benötigt man eine Portweiterleitung auf den entsprechenden Client. Je nach Verwendung welcher Software ist ein bestimmter Port vordefiniert. Typisch vordefinierte Ports sind z.B. 80, 25, 21, 1723 (HTTP, SMTP, FTP, PPTP) Typischerweise muss Port 80 auf den PC durchgeschaltet werden, der als Webserver konfiguriert werden soll usw.
Ich behaupte nicht, dass es einfach wäre, aber auch kein Hexenwerk. Wer einen Videorecorder programmieren kann, sollte nach entsprechender Beschäftigung mit der Materie auch einen Port forwarden können.
Die Windows- Firewall benötigt man bei Einsatz einer Router- Firewall eigentlich nicht mehr.

Gibt es Besonderheiten beim neuen Vista?

Wie bereits angesprochen, hat sich das Sicherheitskonzept deutlich an Linux angelehnt. Um weitere Schlüße ziehen zu können, ist das Betriebssystem noch zu kurz in Umlauf. Leider ist
Vista sehr resourcenhungrig...

Greetz!
TB

[thbrueck]

Jetzt habe ich noch eine konkrete Frage. Bei Firewalls reden wir ja immer davon, dass wir nicht wollen, dass jemand von aussen in mein System eindringt.
Aber was mach ich denn, um zu verhindern, dass ein Programm nachhause telefoniert? Ich will z.B. das ja auch unterbinden, und das kann ich mit meinen derzeitigen Kenntnissen ja nur mir einer Softwarefirewall.
Zum Beispiel will Winamp oft ins Internet, obwohl ich alle Details abgedreht habe, die sich mit dem Internet verbinden. Ich will zum Beispiel auch nicht, dass sich Winamp mit einem Audiostream im Internet verbindet. Wie kann ich denn sowas sonst verhindern?

BTW: Ich hab jetzt meine alten Netgear Router mit Firewall (NAT) gegen einen D-Link mit moderner Firewall (SPI/NAT) getauscht. Das sollte doch auch schon eine Menge bringen.