Problematik Firewall

[Capt.Korbus]

So, ab jetzt lass ich mich von einer Firewall beim surfen schützen. Und bevor hier einer anfängt über die Pf von Kerio zu meckern, das steht hier ned zur Diskussion. Mir gehts hier um praktische Tipps wie ich die Pf optimieren kann, damit sie mich auch langfristig schützt. Leider hab ich die englische Version, mit der Möglichkeit tschechisch oder holländisch als Sprache zu wählen. h34r: So, und nu her mit den Tipps.

[Mouse]

Niemand wird über Kerio meckern, wenn du sie pfleglich handhabst wird sie dich vor allem beschützen was da draussen rumrennt.
Sie ist zwar nicht die einfachste Firewall, aber dennoch eine der hartnäckigsten wenn es um Abblocken von unerwünschten Angriffen von aussen und Verbindungen von innen geht.
Welche Version hast du denn?
Die neue 4er mit Programm überwachung?
Naja das vorgehen ist ähnlich.
Wenn Kerio neu installiert ist, erscheint sie erstmal sehr nervig bei jedem Pups den man macht. Das ist aber auch gut so, denn man muss sie erst mal "trainieren", d.h. ihr sagen wie sie in Zukunft mit diesem oder jenem Event umgehen soll.
Das sieht meistens so aus das ein Fensterchen aufpoppt das dir erzählt was gerade passiert.
Du musst genau hinschauen und lesen was sie dir meldet und wann sie dir etwas meldet.
Ein kleines Beispiel:
Du öffnest deinen Browser und willst zum Forum, sie meldet das "Browser.exe" eine Verbindung öffnen möchte, und zwar auf "Port 80" zu "spacepub.net", jetzt hast du ein paar Optionen du kannst auf "Permit" klicken, was diese Verbindung einmalig erlaubt oder "Deny" das gegenteil halt. Wenn du jedoch ein Häckchen bei "create Rule" machst so erstellt das Programm automatisch eine Regel die "Browser.exe" bei "permit" automatisch das nächste mal Verbindungen zu Port 80 erlaubt oder verbietet, jeh nachdem. Das ist noch relativ unspektakulär.
Witzig wird es wenn du z.B. grade am zocken bist oder sowas und plötzlich taucht "sldjbng.exe" wird auf "Port 27374" angesprochen von "217.456.08.15" angesprochen. Diesen Port kannste dann getrost gleich ma dichtmachen, ist erstens merkwürdig weil du kannst dich nicht erinnern ein Programm namens sldjbng.exe installiert zu haben, ausserdem ist der Port komisch. Nebenbei ist das der Standard Port für den allseits beliebten Sub Seven Trojaner.

Soviel zur Standard vorgehensweise. Es geht natürlich auch noch tiefer in die Materie, aber schreib einfach wenndste ne Frage hast, schwupp de wupp versuch ichs zu beantworten.

[Nager]

Schöne Erklärung Mouse.

Die Regeln kannst du in der pf nachträglich einsehen und editieren, als Faustregel sollte gelten: Jeder Zugriff aufs Netz, den du nicht selbst wissentlich durchgeführt hast, sollte erstmal verboten werden. Wenn dadurch Komplikationen entstehen, kann man das im Admin Panel wieder rückgängig machen.

[Capt.Korbus]

Jopp, hab die 4er Version installiert, die 2er hätt ich auch noch gehabt, aber die ist doof. Was mir bisher aufgefallen ist das die pf sich ständig wegen irgendwas meldet, vor allem beim surfen. Da ist jedoch das Problem das ich keine Ahnung habe was ich erlauben sollte und was net, weil alles so'n Fachchinesisch ist. Woher soll ich denn wissen was ein generic host dingens macht, oder welche Ports verdächtig sind? Da gibts doch bestimmt Seiten dafür. Dazu kommen eben noch die zahlreichen Einstellungsmöglichkeiten, und alles in Englisch. Soll ich so'ne low priority intrusions durchlassen? Welche Webinhalte(na hier Javascripts und so) sollten abgeblockt werden? Da gibts doch bestimmt Seiten wo ich mich mal ein bisschen einlesen kann?

[Mouse]

Joa gibt es, nennt sich www.google.de
ernsthaft wenn du nicht weißt was es ist gib es bei google ein und du bekommst den totalen AHA Effekt weil du dann sagen kannst,
hey ho let's go, das is gut und das is weniger gut.
Deswegen solltest du versuchen Kerio Stöckchen bringen zu trainieren, also für gute einiges die Create Rule Option in erwägung ziehen.
Nach und nach werden die Anfragen immer weniger und nach einiger Zeit kannst du sicher sein das dein System sicher ist.
Google ist im Internet sozusagen ein Allheilmittel. Auch wenn es mittlerweile einige Probleme gibt mit Googlerankingspam von diversen Verkaufsveranstaltern,
aber das ist ein anderes Thema.
Könnte man unter einem Thread "Googlen - aber richtig" anführen.

[Nager]

Ich habe jetzt doch einmal das Update von der liebgewonnenen 2er Version der Kerio Personal Firewall auf die aktuelle 4.0.13 durchgeführt - und bin begeistert. Was im ersten Moment etwas schwieriger zu handeln aussieht, entpuppt sich im Nachhinein als gut und logisch strukturierte Menu-Führung.

Gute Strukturierung tut auch Not, denn die Kerio PF hat viel dazugelernt. Sofort aufgefallen ist mir die stark verbesserte Übersicht über die aktiven Verbindungen, die jetzt den jeweiligen Programmen zugeordnet und einklappbar sind (so dass der Esel nicht mehr die ganze Anzeige mit seinen bis zu über 100 gleichzeitigen Verbindungen zumüllt und alle anderen daneben untergehen).

Das Log-System, das Ereignisse und Alarme in 4 verschiedenen Kategorien aufzeichnet (Network, System, Intrusion, Web) und verschiedene Angriffsklassen und Prioritätslevel kennt, ist ausgezeichnet und übersichtlich.

Die grösste Neuerung ist sicher das Webfiltering. Zu meiner nicht geringen Überaschung fing die Kerio PF sofort nach Installation damit an, beim Surfen mit Opera Ads, 3rd-party-cookies und http-referrer zu blocken - und zwar konsequent. Anstelle lustiger Werbebanner sehe ich dann nur noch "Ad blocked by KPF". Gefällt mir. Die Bannerblockerei habe ich inzwischen aber etwas eingeschränkt, denn das übereifrige tool hat auch alle Signatur-Bildchen, die irgendwo das Wort "Banner" oder "Ad" im Namen hatten abgewiesen.

Nicht zuletzt überzeugt die Kerio mit ihren alten Stärken - den detailliert einstellbaren Regeln dafür, welches Programm auf welchem port raus- oder reinverbinden darf, der Schlankheit und Speicherschonung, ausführlichen und nicht übertrieben panischen Alarmmeldungen (nicht wie ZoneAlarm, was zumindest früher bei jedem harmlosen Portscan einen ANGRIFF gemeldet hat) und einer guten Bedienbarkeit in übersichtlichen und nicht auf bunt getrimmten Menus.

Wer mit den ausführlichen Alarmmeldungen noch etwas überfordert ist, kann sich auf der Kerio-Homepage auch ein kleines Manual zur PF runterladen.

Die Kerio PF 4.x sei hiermit wärmstens empfohlen.

Tip zum Schluss: Wer darauf Wert legt, möglichst wenig Spuren im Web zu hinterlassen und http-referer deaktiviert hat, sollte für spacepub.net eine Ausnahmeregel erstellen - sonst zählt der Space-Hits-Counter nicht mit, weil er geblockt wird.

[Last_Gunslinger]

Ich denke für mich ist es an der Zeut auch so nen Firedings zu benutzen.
Aber reicht von Kerio auch die Free-Variante?
Da steht ja das man erst 30 Tage den vollen Schutz hat und wenn man sich dann nicht registriert wird daraus eine abgespeckte Version?
Die haben zwar hier ne Vergleichstabelle, aber ich raffs nicht.
Nen Teil versteh ich ja z.B das die Free keine Pop-Ups blockt, kann ich auch gut drauf verzichten. Aber was sagt mir z.B: Runs as internet gateway?
Und "Control of Private information send to the internet" hört sich ja doch erstrebenswert an oder kann ich darauf verzichten? Was für private Information schützt die denn?

Also bin ich mit der Free auch ausreichend geschützt oder nicht?

[Haplo]

@Last_Gunslinger

Mit der free bist du ausreichend geschützt, keine Sorge.

"Runs as Internet Gateway" bedeutet:
Du hast einen Rechner mit 2 Netzwerkkarten (oder mehr). An der einen Netzwerkkarte hängt das DSL-Modem (Internet) und an der anderen z.B. ein Hub oder Switch an den weitere Rechner angeschlossen sind. Auf dem Rechner mit den 2 Netzwerkkarten läuft die Kerio PF und verbindet die anderen Rechner im Netzwerk mit dem Internet (es leitet z.B. die http-Anfragen weiter). Es wirkt also wie ein Tor (Gateway) zum Internet.

Edit:
Control of private information sent to the Internet bedeutet:
Kerio PF kann das (unbeabsichtigte) senden von z.B. Kreditkartennummern, e-mail Adressen, Telephonnummern oder Sozialversicherungsnummern verhindern.

[Ghettomaster]

Btw. hier gibts nenn interesanten Artikel zum Thema "Warum keine Personall Firewall?": http://jenner.rz.tu-ilmenau.de/~trae...m.htm#Firewall

CU
Ghettomaster

[Nager]

Ghettomaster: Interessant - weil herrlich lächerlich. Das sticht selbst mir als jemandem, der absolut kein Krösus in Netzwerkdingen ist, ins Auge.

Man mache sich nur einmal das Vergnügen, den Artikel ganz durchzulesen. Als taugliche Schutzmassnahmen werden einem da alternativ zur verpönten PF tatsächlich kryptische Netzwerktools (leet&#33- am besten noch ausschliesslich per Kommandozeile bedienbar (extra-leet mit Bonus&#33 - unter die Nase gehalten. Und das in einem Dokument, was ausdrücklich den Anspruch erhebt, (Vorsicht, beim Weiterlesen bitte nichts essen/trinken - Spuckgefahr) "auch dem weniger versierten Computernutzer den Einstieg in das Gebiet der Computer- und Datensicherheit zu ermoeglichen". Das ist nichts als blanker Hohn. Nichtmal das. Und als ob das allein nicht schon lächerlich genug wäre, wird dem gleichen weniger versierten Nutzer allen Ernstes weiterhin empfohlen, sich - statt sein System einfach an den Zugangspunkten abzusichern - "per Buqtrack und co. über aktuelle Sicherheitslücken ihrer Software auf dem Laufenden zu halten". Das ist zwar der totale Overkill für jemanden, der einfach nur mit seiner Software in Ruhe arbeiten will - oder für jemanden, der mit dem ganzen Technikkauderwelsch in 50-Seitigen Proof-of-Concept-Exploits mit detaillierter Code-Anleitung zur Ausnützung der aktuellsten IE-Sicherheitslücke (oder zu Pepsi-Sicherheitslecks ) *etwas* überfordert ist, aber dafür ist es halt leet. Halleluja.

Und wer l33t ist, braucht keine Personal Firewall. Eine Personal Firewall hat sowieso nicht das Recht, sich Firewall nennen zu dürfen.
Eine echte Firewall ist grundsätzlich ein auf einem Extrarechner dediziert laufendes Profi-Programm mit kryptisch zu bedienenden Menus im flimmernden 80-Zeilen-Ascii-Charme (stilecht nur über 12"-Schwarzweissmonitor, Baujahr 1987 zu bedienen), in denen kein Eintrag ohne unverständliche Fachterminologie auskommt, die auch in den 3000 Seiten starken Man Pages nicht erklärt wird - dafür aber ausführlich, dass Klickibunti Personal Firewalls grundsätzlich was für Lamer sind. Und nur das.

Jemand mit dem Leetness-Quotienten des Autors sitzt selbstredend den ganzen Tag über höchstpersönlich am Rechner und überwacht jeden Zugriff, jede Übertragung, lässt die einkommenden Datenpakete in Reihe antreten und abzählen. Und falls den immer wachen Augen des Netzwerkgurus doch mal eine Attacke durch den Lappen geht und das System in der Folge kompromittiert ist, "muss in diesem Fall das System neu aufgesetzt werden!". Herr, lass Hirn regnen...

Übrigens, nur einmal ein kleines Beispiel aus jüngster Zeit: Auch ein noch so aufmerksames Abschnüffeln der ankommenden Daten hätte nicht verhindern können, dass ein XP/2K-Rechner W32.Blaster zum Opfer gefallen wäre (Scheunentor-Sicherheitslücke im RPC-Dienst eines ungepatchten Systemes). Jede noch so simpel gestrickte PF (ja, sogar die XP-eigene) hätte jeden Zugriff auf den verwundbaren Ports einfach abgeblockt und eine ultimativ nötige Neuinstallation des Systems (*prust*) unnötig gemacht.

Eine Abschlussweisheit noch zum Schluss (Zitat) die in ihrer Tiefe und Aussagekraft am besten stellvertretend für die restlichen ausgeklügelten Argumente speziell gegen PFs in ihrer ganzen Pracht unkommentiert stehenbleibt:

"Der einzig effektive Weg, sich gegen boesartige Software zu schuetzen, ist, sie nicht zu installieren."

Noch Fragen?

P.S.: Für den zusätzlichen Lacher: http://www.fefe.de/pffaq/

[Ghettomaster]

Naja, was ich damit sagen wollte ist das eine Aplication Firewall unnötig ist. Ist das System sauber brauch man eh keine, ist das System bereits kompromitiert bringt sie nichts mehr.
Am effektivsten ist immer noch eine kleine IPChains die lediglich Zugriffe von außen blockt. Am besten in Form eines kleinen Zigarrenschachtelgroßen Routers mit integrierter Firewall (HPD, IDS, SPI etc.) gibts für das gleiche Geld wie die registrierte Kerio und bringt im Endeffekt mehr.

CU
Ghettomaster

[Nager]

Totschlagargumente.

Wenn das System kompromittiert ist, nützt die PF nichts mehr.

Wieso das? Nur weil eine andere Software die Firewall abschiessen *kann*? (Dass das relativ einfach möglich ist, bedeutet bei weitem nicht automatisch, dass jeder Schädling das auch tut&#33 Ich glaube nicht, dass es auch nur einen einzigen Trojaner im Umlauf gibt, der gezielt die Kerio PF ausknipst - es gibt einfach zu viele PFs in zu vielen Versionen - und selbst wenn, als wacher Benutzer sehe ich spätestens dann, dass etwas mit meinem System nicht stimmt während ich sonst von dem Trojaner womöglich nichts mitbekomme und ihn unbemerkt seine Arbeit erledigen und gelegentlich nach Hause telefonieren lasse!

Und es ist ja nicht nur die reine Sicherheit allein, ich habe einfach gern die Kontrolle darüber, welche Programme "nach Hause telefonieren" dürfen. Im Falle bestimmter Mediaplayer und Installationsprogramme etc. mache ich da schonmal die Schranken dicht. Hier gehts jetzt mal nur um die "Application Control". Dass eine moderne Desktop Firewall mehr (und wichtigere) Features mitbringt, sollte dir klar sein - siehe auch weiter oben mein Geschwafel über die Kerio.

Ich persönlich habe einen Router mit Firewall - trotzdem hat meine Kerio immer noch mehr als genug zu tun.