Sicherheitslösungen für Netzwerke – Firewall-Systeme

Anbieter zum Thema

ALE Deutschland GmbH

Application Gateways

Application Gateways schließlich stellen die aufwendigste Form der Firewalls dar. Sie führen Kontrollen auf Anwendungsebene durch. Der Schutz besteht im Großen und Ganzen darin, dass üblicherweise ein äußerer Anwender nicht unmittelbar mit einer Anwendung verbunden wird, sondern mit einem vertrauenswürdigen Proxy.

Dieser nimmt die Anforderung des äußeren Anwenders auf, prüft dessen Berechtigung und veranlasst dann die gewünschte Funktionsausführung. Ein dabei entstehendes Ergebnis wird an den äußeren Anwender übergeben. Dies ist an sich keine Neuheit, sondern eine mögliche grundlegende Funktionsweise vertrauenswürdiger, sicherer, geschlossener Rechensysteme mit Pförtnern.

Ein Unterschied zu geschlossenen Systemen ist die Möglichkeit der verteilten Platzierung von Proxies und Diensten auf verschiedenen Rechensystemen. Ein Proxy hat vor allem die Aufgabe, Interna der nachgelagerten zu schützenden Einheiten wie IP- oder TCP-Adressen und weiterer Parameter auf diesen Ebenen zu verdecken. Ein Kunde z.B. »redet« nie mit dem betreffenden Server, sondern immer nur mit dem Proxy. Wenn er den Proxy angreift, kann er diesen vielleicht zerstören, sollte idealerweise aber niemals Information gewinnen, die ihn im anzugreifenden Netz weiterführt. Hilfsweise kann man natürlich auch zusätzliche Programme laufen lassen, die den Verkehr zwischen äußerem Kunden und Proxy überwachen und bei auffälligen Anomalien zusätzlich eingreifen.

Ein Application Level Gateway ist für die interne Organisation in den meisten Fällen zu aufwendig und zieht aufgrund seiner Struktur manchmal auch eine geringe Performance nach sich, die sich aus der Perspektive des Nutzers in höheren Antwortzeiten niederschlägt. Durch konventionelle TCP/IP-Angriffe ist es allerdings nicht so einfach aus der Fassung zu bringen. Es ist daher die von den heute bekannten Alternativen relativ sicherste für den Zugang auf einen internen Server aus dem unsicheren Internet.

Application Level Gateways bilden eine weitreichende Basis zur Implementierung zusätzlicher Sicherheitsmaßnahmen, z.B. im Rahmen von Verschlüsselung. Eine neue Generation von Application Level Gateways kontrolliert nicht nur statische Anfragen, sondern auch bestimmte Verhaltensmuster von Sessions, logischen Verbindungen zwischen (externen) Nutzern und internen Diensten. Hier können Status und Kontext einer Verbindung einfließen.

Alle Formen von Firewalls können unterschiedlich implementiert werden. Besonders gerne nimmt man einen so genannte Dual Bastion Host, der zwei Anschlüsse besitzt, eben zum unsicheren und zum sicheren Netz, und auch durch interne Baugruppentrennung und hohe Qualität des Betriebssystems und der speziellen Schutzanwendungen dafür sorgt, dass es keine unentdeckten Netzübergänge gibt. Der Ansatz des Dual Bastion Hosts ermöglicht eine besonders schnelle Anpassung an geänderte Randbedingungen, wie z.B. ein Update einer geknackten Sicherheitssoftware in eine Version, bei der das Sicherheitsproblem – zunächst – beseitigt wurde.

Fazit

Schutzmaßnahmen können nur im Rahmen der Umsetzung eines geschlossenen Sicherheitskonzeptes mit technischen und organisatorischen Maßnahmen erfolgreich durchgeführt werden. Die wichtigste zentrale Maßnahme ist der Aufbau einer Firewall-Zone mit Firewalls, Routern und geschützten Servern für den externen Zugriff sowie die Integration von zusätzlichen Sicherungsverfahren wie Authentisierung und Verschlüsselung.

Bei den relativ geringen Rechner-Preisen für PCs ist es nicht zu vertreten, wenn externe Benutzer und interne Benutzer auf der gleichen Server-Maschine arbeiten. Durch einen Umweg im Dateisystem kann sich nämlich ein externer Benutzer relativ leicht Zugang zu Bereichen auf dem Server verschaffen, die ihm eigentlich nicht zugänglich sein sollen. Diese Maßnahmen sollte man mit internen Schutzmaßnahmen kombinieren, wie Schutzmechanismen gegen Fehlfunktionen einer Firewall-Zone, Host-Security und Virenkontrolle.

Die Situation bei der Konstruktion von Sicherheitshilfsmitteln wird dadurch erschwert, dass nur wenige einen ganzheitlichen Sicherheitsansatz verfolgen. Totale Sicherheit in Netzen kann es nicht geben.

Intranets sind für sich gesehen sicherer als herkömmliche Unternehmensnetze, weil vielfältige Bedrohungen, die von den eigenen Mitarbeitern ausgehen und ein erhebliches Schadenspotential darstellen, nicht mehr vorkommen. Intranets sind auch sicher gegenüber Angriffen von Amateuren. Eine Sicherheit gegenüber professionellen Angreifern kann nach heutigem Kenntnisstand nur im heute allgemein üblichen Maße gewährleistet werden. Dies gilt in verschärfter Form besonders dann, wenn Intranets mit dem Internet verbunden werden. Die Sicherheitsprobleme sind insgesamt in den meisten Fällen nicht so schwerwiegend, dass das gesamte Konzept deshalb verworfen werden müsste. Konzeptgebundene, initiale Sicherheitsprobleme z.B. mit Java oder HTML sind mittlerweile erkannt und werden im interessierenden Zeitraum sicherlich beseitigt.

Alles in allem ist es wichtig, bei aller Aufmerksamkeit gegenüber Sicherheitsproblemen die möglichen Vorteile von Intranets hierdurch nicht zu verstellen.

(ID:2052465)