Absicherung von Netzwerkübergängen

Absicherung von Netzwerkübergängen von Bernhard Schneck, Geschäftsführer GeNUA mbH Firewalls sollen den Datenaustausch zwischen IT-Netzen mit unterschiedlichen Sicherheitsniveaus kontrollieren. Dazu bieten Firewalls - je nach eingesetztem Typ - unterschiedliche Schutzfunktionen, von der Einschränkung unbenötigter Kommunikationswege bis zur Inhaltskontrolle der übertragenen Daten. Firewall-Typen: Es existieren verschiedene Typen von Firewall-Systemen, die sich vom grundsätzlichen Ansatz und damit auch in der Implementierung sehr voneinander unterscheiden. Aufgrund ihrer spezifischen Arbeitsweise können diese Firewall-Typen unterschiedliche Schutzfunktionen realisieren.1 • Paketfiler Paketfilter-Firewalls arbeiten auf der Netzwerk- und Transportschicht-Ebene des ISO/OSI- Netzwerkmodells. Sie können Pakete aufgrund von IP-Adresse, Protokolltyp, Port-Nummer und gegebenenfalls IP/TCP-Flags filtern. Statische Regeln legen für eine Kombination dieser Kenngrößen fest, ob ein IP-Paket weitergeleitet wird oder nicht. Paketfilter-Firewalls dienen in erster Linie der Festlegung akzeptierter Kommunikationswege, eine inhaltliche Kontrolle der übertragenen Daten ist damit nicht möglich. • Stateful Paketfilter Stateful Paketfilter-Firewalls führen zusätzlich Tabellen über den Status von Verbindungen und erlauben damit eine intelligentere Filterung von Paketen als normale Paketfilter. Abhängig vom Verbindungsstatus können sie dynamisch weitere Kommunikationswege öffnen, um z.B. Antwortpakete zu akzeptieren. Sie bieten damit zusätzliche Sicherheit, da viele Ports für von außen kommende IP-Pakete nicht permanent offen sein müssen. Eine Inhaltskontrolle ist aber auch mit diesem Firewall-Typ nicht möglich. • Application Level Gateway Application Level Gateways (auch Proxy-Firewalls genannt) überprüfen die übertragenen Daten zusätzlich inhaltlich auf den ISO/OSI-Ebenen 4 bis 7 (Transport- bis Anwendungsschicht). Dabei werden grundsätzlich keine Datenpakete weitergeleitet, sondern erst nach der Inhaltskontrolle wird eine neue Verbindung zum Ziel aufgebaut. Diese Schutzart wird mittlerweile immer wichtiger, weil Angreifer grundsätzlich akzeptierte und benötigte Protokolle wie WWW-Zugriff und E-Mail-Austausch für ihre Zwecke missbrauchen. Solch ein Missbrauch lässt sich nur durch die Analyse des Dateninhaltes erkennen und verhindern. Application Level Gateways erkennen und blockieren deshalb Protokollverletzungen und Schadinhalte wie Viren, Würmer, Trojaner u.ä. Konfigurationsgesteuert filtern sie Daten anhand von Protokollelementen (z.B. kein FTP PUT), MIME-Types, Dateiart, Uniform Resource Locator (URL) und aktiven Inhalten (wie Java, JavaScript, ActiveX). Häufig werden auch effektive Massnahmen zur Spam-Abwehr integriert. Application Level Gateways integrieren daher eine hohe Zahl von Schutzfunktionen auf einer zentralen Plattform. Mehrstufigkeit Es ist grundsätzlich ratsam, an Übergängen zwischen Netzen mit deutlich unterschiedlichen Gefährdungspotentialen nicht einem einzelnen Firewall-System zu vertrauen, sondern stets mindestens zwei Firewall-Systeme hintereinander zu schalten. Dieser Grad an Absicherung wird beispielsweise an Übergangen zu Netzen mit hohem Schutzbedarf (mit Daten wie z.B. Personalbeurteilungen oder medizinischen Ergebnissen) benötigt. Wieso ist die Mehrstufigkeit eines Firewall-Systems wichtig? 1 Bitte beachten Sie, dass die in der folgenden Aufzählung verwendeten Bezeichnungen der Firewall-Typen nicht standardisiert oder geschützt sind. Marketingbroschüren gehen mit diesen Begriffen mitunter sehr freizügig um. Die verlässlichste Information über die Eigenschaften eines bestimmten Firewall-Produktes bietet ein Zertifikat. Sie bietet auch dann noch einen Schutz, wenn eine Komponente von einem Angreifer übernommen und effektiv ausgeschaltet wird. Die zweite Firewall verhindert dann als weitere Verteidigungslinie, dass das interne Netz offengelegt wird. Wichtig ist, dass die zweite Firewall nicht eine identische Kopie des ersten Systems ist, sondern dass sich die verwendete Firewall-Technik von der ersten unterscheidet. So können nicht beide Firewall-Systeme durch denselben Angriff ausgeschaltet werden. Als besonders sicher gilt eine dreistufige Firewall in der Kombination Paketfilter – Application Level Gateway – Paketfilter (PAP-Modell). Durch die symmetrische Anordnung wird das Herz des Firewall- Systems, das Application Level Gateway, von beiden Seiten durch je einen Paketfilter geschützt. Gestärkt werden kann diese Anordnung durch Verwendung unterschiedlicher Paketfilter- Varianten. Diese Lösung wird vom Bundesamt für Sicherheit in der Informationstechnik (BSI) empfohlen. Weitere Informationen finden Abbildung 1: 3-stufiges Sie unter http://www.bsi.de. Firewall-System Zertifizierung Durch das vielseitige und umfangreiche Angebot ist die technische Funktionsweise der einzelnen Firewall-Systeme für den Anwender sehr schwer durchschaubar. Eine Firewall ist ein sicherheitskritischer und wichtiger Bestandteil eines Netzes, auf deren fehlerfreie Funktion sich der Benutzer verlassen muss. Bei einer Zertifizierung nach Common Criteria oder ITSEC prüft eine offizielle Zertifizierungsstelle, in Deutschalnd z.B. das Bundesamt für Sicherheit in der Informationstechnik (BSI), ob die vom Hersteller behaupteten Sicherheitsfunktionen in dem Firewall-System korrekt umgesetzt sind. Zertifikate nach Common Criteria EAL4 bzw. ITSEC E3 (oder höher) schließen dabei die Prüfung auf Quelltextebene mit ein. Dabei ist zu beachten: Der Zertifizierungs-Level beschreibt ausschließlich, wie sorgfältig die Funktionen einer Firewall von unabhängigen Experten untersucht wurden. Diese so genannte Prüftiefe sagt jedoch nichts über die eigentliche Sicherheitsleistung des Systems aus. Die Schutzniveau einer Firewall ist in den Security Targets detailliert dokumentiert, die vom Hersteller bei der Zertifizierungsstelle eingereicht werden müssen. Die Security Targets der zertifizierten Sicherheitslösungen werden veröffentlicht und können beim BSI eingesehen werden unter: www.bsi.de/zertifiz/zert/report.htm Weitere Qualitätsmerkmale • Hochverfügbarkeit Das Firewall-System sollte zu einer hochverfügbaren Lösung ausgebaut werden können. • Skalierbarkeit Durch die Bildung eines Clusters sollte der Datendurchsatz beliebig erweitert werden können. • Wartbarkeit Die Software muss einfach auf dem aktuellen Stand gehalten werden können. Außerdem sollte es möglich sein, die korrekte Funktion des Systems mit einfachen, integrierten Methoden zu überwachen und zu protokollieren. • Anpassbarkeit Das System muss flexibel an geänderte Anforderungen angepasst werden können. • Selbstschutzfunktionen Das Firewall-System muss sich selbst gegen unbefugte Änderungen schützen. Einsatzbeispiele: • Server-Firewall Ein interner Server soll in der Regel nur einige wenige Dienste anbieten, deren Verfügbarkeit aber von großer Bedeutung ist. Der Zugang auf den Server sollte deshalb auf diejenigen Protokollports, die für diese Dienste notwendig sind, und auf den relevanten Clientenkreis beschränkt werden. Diese Zugriffsbeschränkung lässt sich durch den Einsatz eines Stateful Paketfilters realisieren. • Zonenbildung Viele Netzwerke sind zwar über eine komplexe Firewall an das Internet oder an Netze mit niedrigerem Sicherheitsniveau angebunden, das interne LAN besteht aber aus einer flachen hierarchischen Struktur, die keine weiteren Sicherheitsübergänge enthält. Somit haben die internen Benutzer oft viele Zugriffsrechte, die dem Grunde nach nicht benötigt werden. Daher breiten sich eingeschleuste Viren und Würmer sehr leicht auf das gesamte Netz aus. Um die Sicherheit auch im internen Netz erheblich zu erhöhen, sollte es in logisch getrennte Segmente unterteilt werden, an deren Übergängen Stateful Paketfilter- Firewalls den Datenfluss kontrollieren. • Anbindung von Außenstellen Diese Anbindung kann ebenfalls mit einem Stateful Paketfilter realisiert werden. • Zonen/Systeme mit hohem Schutzbedarf In Bereichen mit hohen Sicherheitsanforderungen, wie beispielsweise im Personal- oder Entwicklungsbereich, ist der Einsatz einer mehrstufigen Firewall mit Application Level Gateway nahezu unumgänglich. • Bereiche mit stark unterschiedlichen Sicherheitsniveaus Dazu zählen beispielsweise folgende Übergänge: o Übergänge zum Internet o Übergänge zu Lieferantennetzen o Übergänge vom WAN zu extrem sensiblen Bereichen Solche Stellen laufen Gefahr, häufig und intensiv angegriffen zu werden. Um die Sicherheit im internen Netz zu garantieren, muss hier eine mehrstufige Firewall eingesetzt werden, am besten in P-A-P-Struktur. Abbildung 2: Beispielszenario (Zonenbildung, Bereiche mit unterschiedlichen Sicherheitniveaus, Zonen mit hohem Schutzbedarf, Server-Firewall)