(Un-)Sinn einer HW-Firewall

Moin,

Die Computerbude, von der mein Vater sein System (Ein Desktop, ein Notebook, ein Switch und zwei Lankabel) im Geschäft hat, wollen ihm momentan eine Firewall andrehen (Natürlich nach Möglichkeiten mit dickem Extraservicevertrag)
Nun habe ich ihm gesagt, er solle vorerst einmal abwarten, sein Router (Zyxel irgendwas, im ADSL-Abo inklusive) schütze ihn bereits vor dem Meisten. Eine Software-Firewall ist auch noch auf den Systemen.
Heute Morgen hat mich also einer dieser Techniker angerufen und mich versucht zu überzeugen, dass dies doch Sinnvoll sei. Konkret konnte er mir aber keine Gefahren nennen (ausser dass immer Portscans im Internet aktiv seien, aber das spielt ja mit einem Router auch keine Rolle mehr, solange sie nicht geforwardet sind)
Nun Frage ich mich, was denn eigentlich der grosse Vorteil einer Firewall ist, wenn es nicht darum geht, den Benutzern im LAN gewisse Aktivitäten im Netz zu verbieten, und auch keine zum Web offenen Server im Netz stehen.
Wollen die Jungs einfach Kohle machen mit der momentanen Verunsicherung aller DAUs oder ist gibt es tatsächlich konkrete Sicherheitsrisiken ohne Firewall?

Der Techi hat's auch probiert mit "Ich habe gemeint sie sind Informatiker!"

Aber KONKRETE Gefahrenquellen, die nicht durch ein Router (Resp. dessen NAT) bereits eliminiert werden konnte er mir nicht nennen.

Naja... Aber in Shops sind die Geräte meist getrennt nach "Router" und "Firewall/Router" von dem her ist es keine Firewall. Aber Zeugs wie URL-Filtering kann ich mir eh schenken.

Aber wenn er doch keine Argumente hat

Er hat mir aber erzählt, sie hätten eine ganze Abteilung, die sich mit der Problematik beschäftige, darum habe ich ihn dann gebeten, sie mögen mir doch etwas Infomaterial zukommen lassen. Mal schauen was rauskommt.

Aber dieser Laden hat mich eh schon ein paar Mal zum Kopfkratzen gebracht.
Als sie den Computer eingerichtet haben waren sie nicht fähig, auf Bitte hin die Auflösung herunterzustellen.
Ausserdem haben sie zur damaligen Analogverbindung keine Firewall installiert. Als ich dies dann gemacht habe, als ich da war hat der nächstbeste Techi, der im Haus war das Ding wieder deinstalliert
Wen wunderts also, dass dann plötzlich einmal der gute alte Blaster dem Netz einen Besuch abgestattet hat, für dessen exekution sie locker auch noch 300 Mäuse eingesteckt haben...
Nur so am Rande...

Klar, aber ein böses IP-Päckchen kommt an den Router, der merkt, dass er ja keinen Plan hat, welchen der beiden PC's im Netz er nun mit dem bösen Päckchen überraschen will und schickt es in die ewigen Jagdgründe.

Firewalls sind jeweils angeschrieben mit IDS (Intrusion Detection System), SPI (Stateful Pacet Inspection) u.Ä.
Hab zwar einige Erklärungen dazu gelesen, aber ob das ohne öffentlich verfügbare Services im Netz überhaupt Sinn macht habe ich nicht begriffen.

/edit: oops, da ging mir doch noch eine Frage durch die Lappen. Die Firma heisst VitoData und ist der grösste Anbieter für Praxisverwaltungssoftware in der Schweiz. Haben auch Kunden wie den Spital Winterthur unter Vertrag.

Hab mich mal ein bisschen schlau gemacht.

http://www.mitp.de/imperia/md/content/vmi/1304/3.pdf

Zitat

Wie Firewalls können Intrusion Detection Systems softwarebasierend
sein oder aus einer Kombination von Hard- und Software-Komponenten
(in Form von vorinstallierten und vorkonfigurierten Standalone-Systemen) bestehen.
Häufig wird die IDS-Software auf denselben Systemen oder Servern ausgeführt,
auf denen Firewalls, Proxies oder andere Peripherie-Services arbeiten. Ein
IDS, das nicht auf denselben Systemen oder Servern abläuft, auf denen eine Firewall
oder andere Dienste installiert sind, wird solche Systeme genauestens und
sorgfältig überwachen.

Alles anzeigen

Sieht so aus, als ob so ein System erst Sinn macht, wenn hier ein dauerhaft verfügbarer Server im System steht . Und ich vermute, dass so etwas nur vor dedizierten Angriffen schützen soll, und nicht vor Würmern etc.

Hash-Werte erstellt übrigens bereits Kerio und fragt nach, wenn eine geänderte .exe auf das Netz zugreifen will.

Ich werde die Lösung hier posten, wenn ich noch genauere Infos erhalte. Alles was ich weiss ist, dass sie dann zwei Mal pro Jahr vorbeigekommen wären um alles zu überprüfen.

/edit:
Noch ein intressanter Quote

Zitat

IDSs, die Netzwerk-Backbones
überwachen und nach Angriffssignaturen suchen, werden als netzwerk-basierende
IDSs (NIDSs) bezeichnet, während jene, die auf Hosts operieren und das
Betriebs- und Dateisystem auf Anzeichen von Einbrüchen überwachen und verteidigen,
als host-basierende IDSs (HIDSs) bezeichnet werden. Gruppen von IDSs, die
als Remote-Sensoren fungieren und einer zentralen Management-Station Bericht
erstatten, werden als distributed (verteilte) IDSs (DIDSs) bezeichnet.

Alles anzeigen

Im Router wird demzufolge wohl ein NIDS hocken.

Scheisse. Ich meinte natürlich nicht im Router, sondern in der damit angeschriebenen Firewall.

Dazu passend:
(Zusammenfassung: ein pseudo-IDS in der Firewall ist hauptsächlich da, damits im Katalog steht :gap)

Zitat

1.4.3 Dient denn Ihre Firewall nicht als IDS?
Nein! Nachdem diese Aussage mit Nachdruck erfolgte, sollten Sie Firewall-Administratoren,
die diesbezüglich anders denken, nicht verspotten. Zugegebenermaßen
kann eine Firewall zur Erkennung bestimmter Intrusion-Typen wie beispielsweise
einen Versuch, auf den Port 27374 des Trojanischen Backdoors SubSeven
zuzugreifen, erkennen. Darüber hinaus kann eine Firewall so konfiguriert werden,
dass sie bei jedem Einbruchsversuch in Ihr Netzwerk einen Alarm generiert. Im
strengsten Sinne wäre dies eine IDS-Funktion. Die Technologie einer Firewall
beschränkt sich jedoch auf das Erkennen von Dingen, die in das Netzwerk eingehen
bzw. dieses verlassen. Sie können nicht erwarten, dass sie in der Lage ist, die
internen Inhalte jedes einzelnen Pakets zu analysieren. Selbst eine Proxy-Firewall
ist nicht dazu angelegt, die Inhalte jedes Pakets zu untersuchen; die Funktion
würde die CPU sehr stark belasten. Nichtsdestotrotz sollte eine Firewall aber integraler
Teil einer wirkungsvollen Abwehr sein, die als Hauptfunktion die Rolle eines
Torwächters (Gatekeeper) übernimmt.

Alles anzeigen

Ist IPCop nicht eine Firewall?