Firewalls: Paketfilterung im Vergleich zur nächsten Generation

Eine Firewall ist ein Netzwerk-Sicherheitsgerät (als Hardware oder Software), das ein- und ausgehenden Datenverkehr anhand vordefinierter Regeln überwacht und kontrolliert. Firewalls befinden sich zwischen vertrauenswürdigen internen Netzwerken und nicht vertrauenswürdigen externen Netzwerken und fungieren als Torwächter. Sie sind eine grundlegende Sicherheitsmaßnahme am Netzwerkrand. Moderne Angriffe, die verschlüsselte Kanäle oder laterale Bewegungen innerhalb vertrauenswürdiger Zonen nutzen, zeigen jedoch, warum Firewalls allein nicht ausreichen und mit weiteren Verteidigungsschichten kombiniert werden müssen.

Firewalls mit Paketfilterung (auch zustandslose Firewalls genannt) untersuchen jedes Paket isoliert anhand von Header-Feldern: Quell-IP-Adresse, Ziel-IP-Adresse, Quellport, Zielport und Protokoll. Sie wenden einfache Erlauben-/Verweigern-Regeln an, die als ACLs (Access Control Lists) bezeichnet werden. Da sie jedes Paket unabhängig untersuchen, können sie nicht feststellen, ob ein Paket zu einer bestehenden Sitzung gehört. Dadurch sind sie anfällig für Angriffe, bei denen erwartete Header-Werte gefälscht oder Schwachstellen mit mehreren Paketen ausgenutzt werden.

Firewalls mit Stateful Inspection führen eine Zustandstabelle, in der aktive Verbindungen verfolgt werden. Wenn ein Paket eintrifft, prüft die Firewall, ob es zu einer bereits aufgebauten Sitzung gehört. Dadurch kann Antwortdatenverkehr automatisch passieren, ohne dass dafür explizite Regeln erforderlich sind. Stateful Firewalls sind deutlich sicherer als Paketfilter, da sie Pakete erkennen können, die nicht zu einer gültigen Sitzung gehören – etwa nicht angeforderte ACK-Pakete, wie sie bei verdeckten Scans verwendet werden – und Regeln auf Verbindungsebene durchsetzen können.

Next-Generation Firewalls (NGFW) erweitern die zustandsbehaftete Überwachung um Deep Packet Inspection und Anwendungserkennung. Eine NGFW kann mithilfe von Protokollanalyse und maschinellem Lernen die Anwendung identifizieren, die den Datenverkehr erzeugt – nicht nur den verwendeten Port. Zu den wichtigsten NGFW-Funktionen gehören Anwendungskontrolle (Dropbox unabhängig vom Port blockieren), Integration von Benutzeridentitäten (Regeln, die an AD-Gruppen gebunden sind), ein integriertes IPS und eine SSL/TLS-Inspektion. Zu den Anbietern gehören Palo Alto Networks, Fortinet, Check Point und Cisco Firepower.

Firewall-Regeln werden in Reihenfolge von oben nach unten ausgewertet – die erste passende Regel gewinnt. Daher müssen spezifischere Regeln vor allgemeineren Regeln stehen. Eine implizite Regel deny all am Ende blockiert sämtlichen Datenverkehr, der nicht ausdrücklich erlaubt wurde. Häufige Fehler sind eine allgemeine Erlaubnisregel vor einer spezifischen Verweigerungsregel, Shadowing (eine Regel wird nie angewendet, weil eine vorherige Regel immer zuerst greift) und das Vergessen, Antwortdatenverkehr oder ICMP-Fehlermeldungen zu erlauben, von denen Anwendungen abhängen.

Eine WAF (Web Application Firewall) arbeitet auf Schicht 7 und wurde speziell entwickelt, um Webanwendungen vor Angriffen wie SQL-Injection, XSS und CSRF zu schützen. Im Gegensatz zu NGFWs, die Netzwerkdatenverkehr allgemein schützen, versteht eine WAF die Semantik von HTTP und HTTPS und untersucht URLs, Header, Cookies und Request-Bodies. WAFs können im Erkennungsmodus (protokollieren, aber nicht blockieren) oder im Präventionsmodus (bösartige Anfragen blockieren) betrieben werden. AWS WAF, Cloudflare und Imperva sind verbreitete kommerzielle Lösungen.

Da der Großteil des Datenverkehrs inzwischen mit HTTPS verschlüsselt wird, können sich Bedrohungen in TLS-Sitzungen verbergen. Eine SSL/TLS-Inspektion (auch SSL-Interception oder Entschlüsselung genannt) ermöglicht es NGFWs, als Man-in-the-Middle-Proxy zu fungieren: Die Firewall beendet die TLS-Verbindung des Clients, untersucht den Klartext und verschlüsselt ihn für das Ziel erneut. Dadurch werden Malware-Scans und DLP innerhalb verschlüsselter Tunnel ermöglicht. Das Zertifikat der Firewall muss von den Clients als vertrauenswürdig eingestuft werden und wird normalerweise per Gruppenrichtlinie an Unternehmensgeräte verteilt.

Firewalls sind am wirksamsten, wenn sie an Vertrauensgrenzen platziert werden. Ein gängiger Aufbau sieht eine Perimeter-Firewall zwischen Internet und DMZ sowie eine interne Firewall zwischen DMZ und internem Netzwerk vor. Dadurch entsteht ein abgeschirmtes Subnetz, in dem öffentlich zugängliche Server (Web, Mail) isoliert sind. Werden diese kompromittiert, kann der Angreifer nicht direkt auf interne Systeme zugreifen. In modernen Architekturen werden Firewalls außerdem zwischen internen Segmenten eingesetzt, um laterale Bewegungen einzuschränken.

Ein IDS (Intrusion Detection System) überwacht den Datenverkehr und erzeugt Warnungen, wenn es verdächtige Muster erkennt, blockiert den Datenverkehr jedoch nicht. Ein IPS (Intrusion Prevention System) ist inline geschaltet und kann bösartige Pakete aktiv verwerfen oder Verbindungen in Echtzeit zurücksetzen. Die meisten modernen NGFWs verfügen über ein integriertes IPS. Zu den Erkennungsmethoden gehören signaturbasierte Verfahren (Abgleich mit bekannten Angriffsmustern) und anomaliebasierte Verfahren (Erkennung von Abweichungen von einer erlernten Baseline).

Eine UTM-Appliance (Unified Threat Management) vereint mehrere Sicherheitsfunktionen in einem einzigen Gerät: Firewall, IPS, Antivirus, VPN, Webfilterung und manchmal E-Mail-Sicherheit. UTMs sind in kleinen und mittleren Unternehmen beliebt, weil sie die Verwaltung vereinfachen und Kosten senken. Der Nachteil besteht darin, dass ein einzelnes Gerät einen Single Point of Failure darstellt und möglicherweise nicht die Leistung oder Funktionstiefe speziell entwickelter Lösungen bietet. Im Unternehmensumfeld wurde der Begriff UTM weitgehend durch NGFW abgelöst.

In der Security+-Prüfung wird getestet, ob Sie für ein bestimmtes Szenario den passenden Firewall-Typ auswählen können. Paketfilterung ist schnell, aber zustandslos und lässt sich leicht umgehen. Stateful Inspection verfolgt Sitzungen und bildet die Grundlage moderner Netzwerke. NGFW ergänzt Anwendungserkennung, Benutzeridentitäten und ein integriertes IPS und ist damit die richtige Wahl für Unternehmensperimeter. WAFs schützen speziell Webanwendungen auf HTTP-Schicht 7. Stimmen Sie die Sicherheitskontrolle immer auf die Bedrohung ab: Eine WAF verhindert keinen Portscan, und ein Paketfilter verhindert keine SQL-Injection.

Testen Sie Ihr Verständnis der CompTIA-Security+-Konzepte (SY0-701) aus dieser Lektion.

In dieser Lektion haben Sie gelernt: Firewalls mit Paketfilterung sind zustandslos und bewerten jedes Paket ausschließlich anhand seiner Header-Felder. Stateful Firewalls verfolgen Verbindungszustände, um Antwortdatenverkehr zuzulassen und anomale Pakete zu erkennen. Next-Generation Firewalls ergänzen Anwendungserkennung, Benutzeridentitäten und ein integriertes IPS für eine umfassendere Prüfung. Als Nächstes befassen wir uns mit Netzwerksegmentierung und VLANs.