Re: Sicherheitskonzept vs. Firewall

schweiger1984@xxxxxx schrieb:

Das Prinzip der Paketfilterung ist einfach. Applikationen auf
Computern kommunizieren über so genannte Ports miteinander.

Nein und ja. Das Konzept des Ports ist abstrakter, als es bei TCP oder
UDP oftmals von vielen verstanden wird. Nimmt man den Begriff "Port"
von TCP und UDP losgelöst, dann hast du (beinahe) Recht.

Applikationen kommunizieren über Netzwerke mittels Paketen, die auf
Grundlage von Protokollen, also Vereinbarungen über Aussehen der
Datenpakete und Ablauf der Kommunikation, erstellt werden. Viel mehr
kann man gar nicht sagen.

Ein Port ist ein Dienstzugangspunkt, adressiert also auf einer
bestimmten Schicht einen Dienst, wobei ein Dienst keine Applikation
aus Anwendersicht sein muss, sondern abstrakt als ein System
angesehen werden muss, was die Nutzdaten, die zusätzlich zu den
Protokolldaten verschickt wurden, verarbeiten kann.

Eine Applikation kann natürlich mit einer entfernten Applikation reden
und dazu muss eine eindeutige Adressierung möglich sein. Der Port
einer Anwendung muss aber nicht auf Schicht 4 des
OSI-Schichtenmodells liegen, darüber könnte beispielsweise noch HTTP
und SOAP liegen.

Zurück zu deinem Satz: Mit einem Port im Protokoll UDP oder TCP kann
man einen Dienst auf einer bestimmten Schicht eindeutig adressieren
und weil diese Adressierung möglich ist, kann man Daten an einen
Dienst schicken.

Man kommuniziert aber nicht über Ports, das wäre so, als würde man
sagen, dass Menschen mittels Namen miteinander kommunizieren oder
dass Menschen über Telefonnummern mit anderen reden.

Ein bessere Formulierung wäre daher, dass Kommunikation von
Anwendungen über Internet mittels Datenpaketen stattfindet. Um
Anwendungen adressieren zu können, gibt es in den Protokollen UDP und
TCP, die in der Regel zur Kommunikation von Anwendungen über Netze
benutzt werden, Ports.

Für einen TCP-/UDP-Port kann sich eine Anwendung auf einem Computer
bei seinem Betriebssystem registrieren und erhält dann alle Daten,
die an diesen Port geschickt werden (oder besser diesen Port
adressieren), was nichts anderes heißt, dass an einer bestimmten
Stelle im empfangenen Datenpaket die Portnummer drin stehen muss, für
die sich die Anwendung beim Betriebssystem registriert hat.

Möchte
man nicht, dass bestimmte Applikationen die Möglichkeit haben,
Informationen aus dem Netzwerk zu bekommen bzw. Informationen in das
Netzwerk zu schicken, schiebt man den Ports, die von den betroffenen
Applikationen zur Kommunikation genutzt werden, einen Riegel vor.

Nein, richtiger wäre, dass man Kommunikation filtern muss. Dabei
werden bei Paketfiltern Pakete gefiltert, weil Internet ein
paketbasiertes Netz ist.

Gefiltert wird auf den Protokolldaten der Schichten 3 und 4 OSI und
auf Zustände.

Ein Paketfilter ist aber nur *eine* Möglichkeit eine Firewall zu
implementieren. Eine Firewall ist ein Konzept zur Trennung von
Netzen, also könnte auch ein HTTP-Proxy eine Firewall-Implementierung
sein.

Um eine Firewall sinnvoll implementieren zu können, muss man die
Gesamtheit der über diesen Netzübergang abzuwickelnden Kommunikation
erfassen und verstehen - nicht nur hinsichtlich der Funktion, sondern
auch hinsichtlich der Sicherheitsrisiken.

Wer ohne Protokollkenntnisse Paketfilter aufsetzt, hinterlässt in der
Regel entweder einen kaputten Netzübergang oder aber reißt riesen
Löcher auf, wobei das "oder" logisch zu verstehen ist.

mfg
Oli

--
Man darf ruhig intelligent sein, man muss sich nur zu helfen wissen.
.

Relevant Pages

  • Re: Firewall Einstellung
    ... > wenn ich bei aktivierter Windows Firewall versuche, ... Client öffnet einen beliebigen Port ... Schickt an den Zielport des Kommunikationspartners/Dienstes ein Paket ... Daher kann das Öffnen des Ports 111 wenig helfen, denn die Kommunikation ...
    (microsoft.public.de.german.windowsxp.networking)
  • Re: Samsung SGH-700 Kabel UART 3,3V <-> 5V Pegelkonvertierung
    ... die Chinesen geben solche Dinge nicht so gerne preis;-) ... OK, Kein Stress ist ... Dongel abziehen und erst nach erneutem Einstecken kann man mit dem Port ... Also immer brav die Kommunikation beenden und dann erst den ...
    (de.sci.electronics)
  • Remotezugriff auf unsere Maschinen
    ... unser Maschinenlieferant hat nun die Möglichkeit per Fernzugriff auf ... Firewall muss für die Kommunikation mit dem zentralen ... Port in der Firewall: ...
    (microsoft.public.de.german.isaserver)
  • Re: SQL 2005 Netzwerkzugriff: Port 1433, 1434 reichen nicht
    ... die dynamische Port verwendet. ... Was konkret müsste ich denn bei den Protokollen für die ... Dort sehe ich IP1, IP2 und IPAll. ... worauf die Instanz lauscht. ...
    (microsoft.public.de.sqlserver)
  • Re: Das schier unerschoepfliche Thema: VISTA
    ... Nimmste halt die hier: ... darf, egal welchen Port es dafür verwenden will, welchem ich nicht die ... Kommunikation erlaubt habe und zwar sowohl durch mich als Anwender ...
    (de.talk.tagesgeschehen)