[sdeagle]

Hallo Miteinander,

jeder kennt das leidige Thema, die Firewall bzw. Schutz der geliebten PCs, aber welche ich die beste Möglichkeit Diesen zu schützen.

Ich beschäftige mich jetzt schon seit längeren mit Firewall, aber weiss einfach nicht welche ich nehmen soll. Einerseits denke ich, ein wenig Geld zu investieren lohnt sich, doch andererseits liest man wieder die Freeware-Firewalls reichen auch aus.

Jetzt möchte ich an dieser Stelle wissen, welche Erfahrungen Ihr gesammelt habt?

Vielen Dank für Eure Hilfe.

Gruss
Sascha

[Dante33]

Ich warte jetzt einfach mal bis da jemand bestimmtes kommt, der dir sagen wird:

1.) wurd schon oft besprochen
2.) Ist unnötig

Dieser jemand wird bestimmt auftauchen, und mein Herz dadurch erfreuen ^^

Also ich bin der Meinung ein anständig konfigurierter PC, selbst ein WinXP-Rechner braucht keine Firewall!

Siehe: Klickediklick

[Rika]

Geld investieren und Free ist doch beides sehr gut.
http://www.soekris.com/net4501.htm, http://www.linuxfromscratch.org/, http://www.kernel.org/, http://www.netfilter.org/

Wie du siehst bevorzuge ich iptables über OpenBSD-pf, weil schlanker, feiner und einfacher zu konfigurieren. Auch nehme ich lieber 'nen selfmade-x86er als irgendwelche Fertig-Lösungen mit Linux-Flash, wobei ich mich aber für MIPS-basierende Geräte mit OpenBSD doch schon etwas begeistern könnte.

Aber ich glaube das wurde schon besprochen. Denn eine korrekte Konfiguration und ein wenig TCP/IP-Stack-Hardening machen ein System meist unanfälliger als so manche Firewall, sodaß es IMHO damit eigentlich ausreichen sollte.

Dieser Beitrag wurde von Rika bearbeitet: 21. September 2004 - 20:13

[TOMBIEST]

Also ich nutze auch nur Freeware McAfee Personal Firewall reicht aus.

[Rika]

Wir reden hier aber von Firewalls und nicht falsch verstandenen hostbasierenden Paketfiltern der Marke "Griff ins Klo, crasht sogar bei 'nem SYN-Flood".

[TOMBIEST]

Naja ich glaube kaum das einer ein Netzwerk von Trojanerin. PC erstellen wird um meinen PC oder den eines anderen Heimanwender mit einer Syn Floodatacke zu bombardieren dazu sind nicht alle so wichtig wie Microsoft.

[The_Nightflyer]

Zitat (TOMBIEST: 22.09.2004, 00:30)

Naja ich glaube kaum das einer ein Netzwerk von Trojanerin. PC erstellen wird um meinen PC oder den eines anderen Heimanwender mit einer Syn Floodatacke zu bombardieren dazu sind nicht alle so wichtig wie Microsoft.

Wie soll man das verstehen?

[Rika]

Gar nicht. Er hat offenbar nicht verstanden daß ein SYN-Flood die Ressourcen des TCP/IP-Stacks und nicht die Bandbreite stresst. Auch hat er nicht verstanden daß SYN-Floods normalerweise eher RAM und Sockets blockieren, aber seine McAfee Personal Firewall allein nur an 100% CPU-Auslastung verreckt. Und daß in WinXP sogar standardmäßig die SYN-Trigger gesetzt sind und Windows ohne die McAfee Personal Firewall gar nicht erst anfällig wäre.

Dieser Beitrag wurde von Rika bearbeitet: 21. September 2004 - 23:40

[TOMBIEST]

Danke!
Dämme gegen die SYN-Flut
Syn-Flood-Attacken abwehren
Viele der im Umlauf befindlichen Trojanischen Pferde bieten Funktionen für koordinierte SYN-Flood-Angriffe gegen Server. Die damit infizierten Rechner bilden sogenannte Bot-Netze, die sich jederzeit gegen beliebige Server einsetzen lassen. Wer sich nicht von Skript-Kiddies kalt erwischen lassen will, sollte Vorkehrungen gegen diese Attacken treffen, bevor er zu deren Ziel wird.

Denial-of-Service-Angriffe auf Server zielen darauf ab, legitimen Nutzern den Zugriff auf einen Dienst zu verwehren. Im einfachsten Fall überflutet der Angreifer den Server mit sinnlosen Paketen, um seine Leitung zu überlasten. Ein typisches Beispiel dafür ist ICMP-Flooding. Doch zum einen erfordert das eine große Bandbreite, zum anderen lassen sich die Pakete vergleichsweise einfach schon auf vorgelagerten Systemen ausfiltern. Alternativ kann er versuchen, beispielsweise einen Web-Server so mit Anfragen zuzuschütten, dass normale Anwender nicht mehr zum Zug kommen. Doch auch dafür ist eine große Bandbreite erforderlich und ist die IP-Adresse des Angreifers einmal ermittelt, ist er auch schnell ausgesperrt.

Deshalb verlegen sich immer mehr Angreifer auf sogenannte Syn-Flood-Attacken, die nicht darauf abzielen, die Bandbreite auszulasten, sondern die Systemressourcen des Servers selbst blockieren. Dazu verschicken sie sogenannte SYN-Pakete an den TCP-Port des Dienstes, bei einem Web-Server also auf Port 80. Der Server registriert den Synchronisierungswunsch des Clients, legt einen Eintrag in seinen Tabellen dafür an und bestätigt die Anfrage mit einem eigenen Synchronisierungspaket (SYN/ACK). Bei einem normalen Verbindungsaufbau bestätigt der Client dieses ebenfalls mit einem ACK-Paket und komplettiert damit den sogenannten Drei-Weg-Handshake einer TCP-Verbindung.

Nicht so der SYN-Flood-Angreifer. Er lässt den Server mit seiner halboffenen Verbindung einfach hängen. Der wartet eine Zeitlang und wiederholt sein SYN/ACK-Paket, in der Annahme das erste sei verloren gegangen (Retransmission). Statt einer Antwort kommen jedoch nur weitere Verbindungsanfragen, die der Server ebenso behandelt. Er speichert all diese SYN-Anfragen in einem speziellen Puffer, der sogenannten Backlog-Queue. Ist diese voll, kann er auf diesem Port keine Verbindungen mehr annehmen und das Systen verwirft weitere SYN-Pakete -- der Dienst ist nicht mehr zu erreichen.

Bis der Server einen einmal angelegten Eintrag in der Backlog-Queue wieder löscht, weil er keine Antwort bekommt, können mehrere Minuten vergehen. Nach einem ersten Timeout, typischerweise nach 3 Sekunden, nimmt der Server an, sein SYN/ACK-Paket sei verloren gegangen und schickt es erneut auf die Reise. Dieser Vorgang wiederholt sich mit immer längeren Timeouts mehrfach (Linux: 5 Retransmissions). Auf einem Standard-Linux-System bietet die Backlog-Queue Platz für 256 solcher halboffenen Verbindungen. Der Angreifer hat also mehr als genug Zeit, diese mit seinen Einträgen zu füllen.


Durch die Wiederholungen dauert es oft mehrere Minuten bis der Server einen Eintrag in der Backlog-Queue wieder löscht



In den meisten Fällen verwendet der Angreifer gefälschte Absenderadressen für seine SYN-Anfragen. Damit bekommt er die Antwortpakete des Servers zwar nicht zu sehen, aber da er ohnehin nicht vorhat, ihren Erhalt zu bestätigen, stört ihn das nicht. Durch geschicktes Verteilen der Adressen kann er ein Filtern der Angriffspakete verhindern. Denn ein vorgeschalteter Router kann die gefälschten Pakete nicht von echten Verbindungswünschen unterscheiden.

Benutzt ein Rechner eine der für den Angriff genutzten Absenderadressen, erhält er vom angegriffenen Server plötzlich ein Bestätigungs-Paket (SYN/ACK), das er nicht angefordert hatte. Er reagiert auf das offensichtliche Missverständnis mit einer Aufforderung die Verbindung zu verwerfen (Reset, RST). Das führt dazu, dass der Server seinen Backlog-Eintrag löscht. Um das zu vermeiden, verwenden Syn-Flooder bevorzugt Adressen, die zum Zeitpunkt des Angriffs nicht belegt sind. So bekommt der Server keine Antwort auf sein SYN/ACK-Paket und wiederholt die volle Prozedur von Warten und erneutem Senden mehrfach, bevor er den Backlog-Eintrag freigibt.

[The_Nightflyer]

Super!
Heise

Zitat

Viele der im Umlauf befindlichen Trojanischen Pferde bieten Funktionen für koordinierte SYN-Flood-Angriffe gegen Server. Die damit infizierten Rechner bilden sogenannte Bot-Netze, die sich jederzeit gegen beliebige Server einsetzen lassen. Wer sich nicht von Skript-Kiddies kalt erwischen lassen will, sollte Vorkehrungen gegen diese Attacken treffen, bevor er zu deren Ziel wird........

Hast du es auch verstanden?

Dieser Beitrag wurde von The_Nightflyer bearbeitet: 21. September 2004 - 23:49

[TOMBIEST]

Ja nicht jeder Heimanwender stellt ein Server ins Netz.

[TOMBIEST]

Wenn man eine eifache Firewall auf dem Rechner hat sollte man von solchen Trojanern geschützt bleiben von denen solche Attacken ausgehen.

[Rika]

@TOMBIEST:

1. Muss das sein? Statt hier allen Müll voll durchzuquotet hätte es ein kitzekleiner Link auf die Quelle auch getan.
2. Du verwechselt nachwievor SYN-Flooding und Flooding en generale. Bandbreiten-Flooden kann man mit allem möglichen, natürlich auch mit SYN-Paketen. Das hat aber nix mit 'nem SYN-Flood zu tun.
3. Das hat nix mit Servern zu tun, sondern mit dem TCP/IP-Stack. Auch ein unschuldiger Client kann gesynfloodet werden. Und gerade bei Windows und BSD-Systemen braucht es dazu nicht mal einen Dienst.
4. Begreifst du es denn nicht? Deine "Firewall" macht dich doch gerade erst anfällig für ein DoS durch SYN-Flooding, weil sie so kaputt designt ist. Windows selbst implementiert zwar keine SYN-Cookies, wohl aber diverse Trigger-Mechanismen und Spezialmodi im TCP/IP-Stack, die seit WinXP sogar standardmäßig aktiviert sind - und ist damit nicht wirklich anfällig und kann sehr gut mit SYN-Floods umgehen. Mit der PFW hingegen gibt's Tod durch 100% CPU-Last. Sonst noch Fragen? Die fieseren Dinge habe ich ja mal noch außen vorgelassen...
5. Und nun erkläre mit mal was eine Firewall oder ein hostbasierender Paketfilter oder auch nur irgendeine beliebige lokale Maßnahme gegen Bandbreiten-Flooding bewirken soll.

Dieser Beitrag wurde von Rika bearbeitet: 22. September 2004 - 00:39

[Frank3000]

Hihihi, dem User habt Ihr bestimmt weitergeholfen. Die Anfrage hätte er sich schenken können. Wenn ich das richtig verstanden habe wollte er wissen welche Software- Firewall denn nun den besten Schutz bietet, zuverlässig läuft und auch relativ einfach zu bedienen ist, also einfach zu empfehlen ist. Mir fällt da spontan Zone Alarm oder McAfee ein. Auch wenn eine Software Firewall längst nicht so schützt wie eine Hardware Firewall, ist das mehr an Schutz im Vergleich zu einem Rechner komplett ohne Firewall nicht zu verachten. Und mal ganz ehrlich, bei aller Theorie ich habe in den letzten 5 Jahren noch nie einen Absturz wegen 100% CPU Auslastung gehabt. Höchstens ein Programm hat sich aufgehangen, aber unabhängig vom Internet. Also scheint die Gefahr solcher Angriffe mit der eine Softwarefirewall nicht klar kommt ja nicht sooo groß zu sein.

[Ich]

Toll.. dann installiert man sich Mc-Affe und wird dadurch erst angreifbar... diese Schutzfunktion animiert mich auch dazu sowas zu machen... Die Meldungen auf Heise security reichen mir schon aus um generell sagen zu können, dass Software Firewall mehr Sicherheitslücken aufreißen als sie schließen. Die Dinger sollte man _maximal_ als zusätzliche Option hinter einem Router einsetzen, um evtl den Traffic zu überwachen, oder _mal_ zu gucken ob was nach draußen telefonieren will... Aber als Schutz sind die Dinger in jedem Sinne absolut ungeeignet. Was die angebliche Fachpresse als Schutz ankündigt finde ich immer wieder absolut lachhaft, wenn ich bedenke, dass ein einziges Sicherheitsloch in einer Firewall selber zum Auslöser eines Angriffes werden könnte...

Hardware Router für 30 Euro sollte der Privatanwender zu seinem eigenen Schutz investieren, denn das know How für die richtige Konfiguration einer Firewall und ihrer Funktionsweise haben selbst in diesem IT Forum nichtmal 1% der User.