Firewalls als Verkehrswächter

Eine Firewall ist ein Gerät oder eine Software, die kontrolliert, welcher Datenverkehr in ein Netzwerk hinein- oder aus ihm herausgelangen darf, und dabei als Sicherheitsinstanz fungiert. Sie prüft Pakete anhand eines Satzes von Regeln und lässt sie entsprechend zu oder blockiert sie. Firewalls sind ein zentraler Bestandteil der Netzwerkverteidigung. Sie befinden sich an Grenzen, etwa an der Verbindung zwischen Ihrem internen Netzwerk und dem Internet, und halten unerwünschten Datenverkehr fern.

Eine Firewall setzt ein Regelwerk (auch Zugriffskontrollliste genannt) durch. Jede Regel legt anhand von Kriterien wie Quell- und Ziel-IP-Adresse, Portnummer und Protokoll fest, ob Datenverkehr zugelassen oder verweigert wird. Die Firewall prüft den Datenverkehr in der Reihenfolge der Regeln und führt die Aktion der ersten passenden Regel aus. So können Administratoren genau festlegen, welche Kommunikation erlaubt ist.

Ein grundlegendes Firewall-Prinzip ist das implizite Verweigern: Alles, was nicht ausdrücklich erlaubt wurde, wird standardmäßig blockiert. Wenn also keine Regel eine bestimmte Art von Datenverkehr zulässt, verweigert die Firewall ihn. Diese Standardhaltung ist wesentlich sicherer, als alles zu erlauben und nur Ausnahmen zu blockieren. Wird eine Regel vergessen, schlägt die Kommunikation dadurch geschlossen (sicher) statt offen (ungeschützt) fehl.

Die einfachsten Firewalls führen eine zustandslose Paketfilterung durch: Sie beurteilen jedes Paket für sich anhand von Headerfeldern wie IP-Adresse und Port, ohne sich an früheren Datenverkehr zu erinnern. Zustandslose Filterung ist schnell, aber eingeschränkt, da sie nicht erkennen kann, ob ein Paket zu einer bestehenden, legitimen Verbindung gehört oder ein unaufgeforderter Eindringversuch ist.

Leistungsfähigere Firewalls verwenden eine zustandsbehaftete Prüfung und verfolgen den Zustand aktiver Verbindungen in einer Tabelle. Wenn Ihr Computer eine Verbindung aufbaut, merkt sich die Firewall diese und lässt passende Antworten automatisch zu. Unaufgeforderten eingehenden Datenverkehr, der nicht zu einer bekannten Sitzung gehört, blockiert sie dagegen. Zustandsbehaftete Firewalls sind heute Standard, weil sie intelligenter und sicherer als zustandslose Firewalls sind.

Eine Firewall der nächsten Generation (NGFW) geht noch weiter und prüft den Datenverkehr auf der Anwendungsebene. Sie kann bestimmte Anwendungen erkennen, nach Benutzern filtern, Malware blockieren und Funktionen zur Angriffsvermeidung enthalten. NGFWs sehen nicht nur Ports und IP-Adressen, sondern auch, um welche Art von Datenverkehr es sich tatsächlich handelt. Dadurch ist eine detaillierte Steuerung möglich, etwa das Erlauben des Websurfens bei gleichzeitiger Blockierung einer riskanten App auf demselben Port.

Firewalls werden an zwei Stellen eingesetzt:

• Netzwerk-Firewall – schützt ein gesamtes Netzwerk an dessen Grenze, häufig als dediziertes Gerät.
• Host-Firewall – Software auf einem einzelnen Gerät, beispielsweise die in Windows oder Linux integrierte Firewall.

Die Verwendung beider Varianten bietet mehrschichtigen Schutz: Die Netzwerk-Firewall sichert den Netzwerkperimeter, während Host-Firewalls jedes Gerät einzeln schützen.

Firewalls werden an Vertrauensgrenzen platziert – besonders wichtig ist die Grenze zwischen dem internen Netzwerk und dem Internet. Ein häufig verwendetes Design nutzt eine DMZ (Demilitarisierte Zone), ein Puffer-Netzwerk für öffentlich zugängliche Server wie Web- oder Mailserver, das durch Firewall-Regeln vom internen LAN getrennt ist. Selbst wenn ein öffentlicher Server kompromittiert wird, bleibt das interne Netzwerk durch eine weitere Schutzschicht gesichert.

Firewalls übernehmen viele Sicherheitsaufgaben:

• Blockieren unaufgeforderter eingehender Verbindungen aus dem Internet.
• Einschränken des ausgehenden Datenverkehrs auf genehmigte Dienste.
• Segmentieren interner Zonen voneinander.
• Protokollieren des Datenverkehrs zur Überwachung und Reaktion auf Sicherheitsvorfälle.

Zusammen machen diese Aufgaben die Firewall zu einem zentralen Element bei der Durchsetzung der Sicherheitsrichtlinien einer Organisation.

Firewalls werden häufig mit Erkennungssystemen kombiniert. Ein IDS (Intrusion Detection System) überwacht den Datenverkehr und meldet verdächtige Aktivitäten, blockiert sie jedoch nicht. Ein IPS (Intrusion Prevention System) ist inline geschaltet und kann erkannte Bedrohungen aktiv blockieren. Eine Firewall setzt Regeln zum Zulassen und Verweigern durch, während IDS/IPS innerhalb des erlaubten Datenverkehrs nach Angriffsmustern suchen. Moderne NGFWs verfügen häufig über IPS-Funktionen und verbinden dadurch Zugangskontrolle mit dem Blockieren von Bedrohungen.

Für die Prüfung sollten Sie wissen, dass eine Firewall Datenverkehr anhand von IP-Adresse, Port und Protokoll nach Regeln zulässt oder verweigert, dem Prinzip des impliziten Verweigerns folgt und zustandslos oder zustandsbehaftet arbeiten kann. NGFWs ergänzen die Anwendungsanalyse. Verstehen Sie außerdem den Unterschied zwischen Netzwerk- und Host-Firewalls sowie die Funktion einer DMZ für öffentliche Server. Die Firewall ist die Sicherheitsinstanz, die festlegt, welcher Datenverkehr eine Netzwerkgrenze überschreiten darf.

Sie haben gelernt, dass eine Firewall Datenverkehr anhand eines Regelwerks nach IP-Adresse, Port und Protokoll zulässt oder verweigert. Das Prinzip des impliziten Verweigerns blockiert alles, was nicht erlaubt wurde. Zustandslose Filter beurteilen jedes Paket einzeln; zustandsbehaftete Firewalls verfolgen Verbindungen und lassen legitime Antworten zu, weshalb sie heute Standard sind. NGFWs ergänzen die Analyse auf Anwendungsebene und die Angriffsvermeidung. Firewalls gibt es als Netzwerkgeräte oder Host-Software. Sie befinden sich an Vertrauensgrenzen und verwenden eine DMZ, um öffentliche Server zu isolieren.