IS - IT-Sicherheit
IS - IT-Sicherheit
IS - IT-Sicherheit
-
- 1 / 196
-
Lernkarten
Was sind Packet-Filtering Firewalls?
Sie arbeiten auf dem Netzwerk Layer und verwenden Regeln, die entscheiden, ob ein Paket weitergeleitet wird oder nicht.
Sie splitten end-to-end Kommunikation nicht auf. Sie inspizieren nur den Header des Netzwerk und Transport Layer Protokolls und, sehr limitiert, die Applikationsdaten.
Was sind die Vor- und Nachteile einer Packet-Filterin Firewall?
Vorteile:
- Sehr schnell, da sie nur Layer 3 und 4 Protokolle prüfen müssen
Nachteile:
- Kontrollieren nur "wer mit wem reden darf", aber nicht den Inhalt des Austausches.
Was sind Application Layer Firewalls?
Arbeiten auf dem Application Layer.
Meist splitten sie end-to-end Kommunikation auf. Sie inspizieren Application Layer Daten gemäss den Regeln und - wenn die Daten legitim sind - geben sie an Client oder Server weiter.
Was sind die Vor- und Nachteile von Application Layer Firewalls?
Vorteile:
- Erlauben einen tieferen Einblick in alle Daten, die ausgetauscht werden.
Nachteile:
- Relativ langsam
- Limitiert bei verschlüsselten Daten
- Können meist nicht viele verschiedene Application Layer Protokolle handhaben, da sie für eine Art Applikation optimiert sind.
Was ist die DMZ?
Demilitarized Zone.
Die DMZ ist ein Netzwerkbereich (ein Subnetzwerk), das zwischen dem internen und dem externen Netzwerk sitzt..
Verbindungen vom internen und externen Netzwerk zur DMZ sind erlaubt, während die DMZ sich nur auf das externe Netzwerk verbinden darf.
Was ist eine WAF?
Web Application Firewall
Was macht eine WAF?
Sie schützt den Zugriff auf einen Webserver. Es muss erzwungen werden, dass man nur via der WAF auf den Webserver zugreifen kann.
Requests und Replies werden ebenfalls via der WAF gesendet, wo sie analysiert werden können.
Was ist der Unterschied zwischen Proxy und Reversed Proxy?
Proxy: Ein System, das von Clients verwendet wird, um auf viele andere Server zuzugreifen.
Reverse Proxy: Schützt vor dem Zugriff auf einen bestimmten Server.
Wann ist ein Proxy eine Proxy Firewall?
Wenn es die Fähigkeit hat zu filtern (z.B. Vor dem Zugriff auf bestimmten Inhalt von Web Servern im Internet schützen)
Was ist netfilter?
Ein Mechanismus, der es erlaubt auf die Pakete im Netzwerk Stack zuzugreifen, um sie zu analysieren, zu modifizieren, zu extrahieren und sie zu löschen.
Was sind iptables?
Ein Set von Tabellen innerhalb des Kernels, die Regeln enthalten, die auf Pakete angewendet werden.
Was enhält jede Tabelle?
Unterschiedliche Ketten (Chains)
Es gibt 5 vordefinierte Chains im Kernel. Welche?
- Prerouting
- Postrouting
- Forward
- Input
- Output
Was definieren Ketten?
Zu welchem Moment die Regeln angewendet werden
Wie werden die Regeln in den Chains überprüft? In welcher Reihenfolge?
In der Reihenfolge, in der sie in die Chain eingefügt wurden.
Woraus besteht eine Rule in einer Chain?
Aus einem Paketkriterium und einer Action
Was passiert, wenn eine Rule matched?
Die Action wird ausgeführt. Die restlichen Regeln werden ignoriert.
Was geschieht, wenn keine Rule matched?
Am Ende jeder Chain steht eine Policy, die entscheidet was geschieht, wenn keine Regel passt.
Welche Optionen hat die Policy einer Chain, wenn keine Regel past?
- Setze die Policy auf ACCEPT und definiere welche Packete gelöscht werden sollen (Blacklisting)
- Setze die Policy auf DROP und definiere, welche Pakete akzeptiert werden sollen (Whitelisting)
Was sind Stateless Firewalls?
Dabei wird jedes IP-Paket isoliert von allen anderen behandelt. Die Firewall verfolgt die fortwährende Kommunikation nicht nach.
Dafür müssen Regeln immer in beide Richtungen konfiguriert werden.
Welche zusätzlichen Limiten haben Stateless Firewalls?
- Firewalls sind offener als nötig. Replies von allen Servern sind erlaubt, ohne vorherigen Request von einem Client
- Limitierter Support für komplexe Protokolle
Was sind Stateful Packet Filtering Firewalls?
Hierbei prüft die Firewall nicht nur individuelle Pakete, sondern verfolgt auch die Kommunkationsbeziehungen (Sessions) und unterhält Statusinformationen.
Typische Statusinformationen sind:
- Protokoll
- Source / Destination IP Adressen
- Ports
- Session Dauer
- Protokoll Phase (TCP)
Was sind die Vorteile von Stateful Firewalls?
- Einfacher zu konfigurieren, da weniger Regeln nötig
- Return Traffic wird nur on demand erlaubt
- Erlaubt es komplexe Protokolle, wie FTP, zu unterstützen
Stateful Packet Filtering Firewall mit netfilter / iptables:
welche 4 Stadien kann ein Paket haben und was heissen sie?
- NEW: Ein Paket, dass eine neue Session erstellt
- ESTABLISHED: Ein Paket, das zu einer existierenden Session gehört
- RELATED: Ein Paket, das mit einer bestehenden Session verwandt ist
- INVALID: Ein Paket, das keine neue Session erstellt und auch zu keiner existierenden Session gehört
Was heisst NAT?
Network Address Translation?
Was macht NAT?
NAT heisst, dass die Source oder Zieladresse eines Pakets neu geschrieben wird, während es durch den NAT-enabled Router einer Firewall "fliesst"
Was erlaubt source port address translation (source NAT)?
Mit mehreren Hosts auf das Internet zuzugreifen, während man nur 1 public IP Adresse hat
Wie funktioniert Source NAT?
Die NAT Box stellt Internetzugriff zur Verfügung. Das interne Netzwerk verwendet private IP Adressen. Wenn ein Paket an einen Host im Internet gesendet wird, ersetzt die NAT Box die Source IP Adresse und Port mit ihrer eigenen public external IP Adresse und einem eigenen Port.
Die NAT Box unterhält eine interne State-Tabelle, um die zurückkommenden Pakete zu übersetzen.
Was sind die Vor- und Nachteile einer Firewall?
Vorteile:
- Blockieren ungewollten Traffic, bevor er in die eigene Umgebung eintritt
- Kontrolliert Zugriff von und auf das Internet an zentralisierten Punkten (das ist viel einfacher als es bei jedem Host zu kontrollieren)
- Können die interne Netzwerkstruktur verstecken
Nachteile:
- Schützen nur solange der Angreifer nicht im eignen Netzwerk ist.
- Packet-Filterin Firewalls schützen nicht vor Angriffen auf den Application Layer
Was ist Port-Scanning?
Eine Technik, um festzustellen, welche Services auf einem Host laufen.
Wie heissen die Tools, die für Port Scanning verwendet werden?
Port Scanners
Was tun Port Scanners:?
- Prüfen ob der Host verfügbar ist mit PING
- Eine TCP Verbindung zu den Ports aufbauen
- Wenn eine Verbindung aufgebaut werden kann heisst das, dass der Service verfügbar ist.
- Wenn der Server mit einem TCP RST antwortet ist der Service nicht verfügbar.
Beim Port Scanning kann ein Port 3 Stadien haben:
- open
- closed
- filtered
Was heissen diese?
- Open: Service ist verfügbar
- Closed: Service ist nicht verfügbar
- Filtered: Ein Hinderniss (wahrscheinlich eine Firewall) blockiert den Port
Wie heisst der beliebteste Port Scanner?
nmap
Gibt es auch UDP Scans?
Ja, die sind aber nicht so verlässlich.
Was heisst es wenn eine Firewall folgendes tut: Silently Dropping Packets ?
Wenn eine Firewall ein Paket dropped, sollte sie den Sender des Paketes nie mit einer ICMP Nachricht informieren. Das macht das Port Scanning schwieriger.
