Inhaltsverzeichnis
Werbung
5.6 Firewall
Aktivieren Sie die Option PING-Weiterleitung ignorieren, um die Übertragung von
Ping-Paketen über die HorstBox Standard zu unterbinden.
Verwenden Sie die Option PING aus dem Internet zum Gateway ignorieren, um keine
Ping-Pakete aus dem Internet zur HorstBoxdurchzulassen.
Abbildung 5.14.: Firewall-Optionen: Schutz vor DoS-Attacken
DoS-Attacken
Ein typisches Beispiel einer DoS-Attacke ist ICMP-Flooding, was aber eine große Bandbreite erfordert.
Außerdem lassen sich solche sinnlosen Pakete relativ leicht auf vorgelagerten Systemen ausfiltern.
Ein anderer Weg ist SYN-Flooding. Hier wird nicht versucht die Bandbreite auszulasten, sondern
die Systemressourcen des Servers selbst zu blockieren. Dabei werden die sogenannten SYN-Pakete
an den TCP-Port des Dienstes geschickt, z.B. auf Port 80 des Web-Servers. Der Server registriert
den Synchronisierungswunsch des Clients, legt einen Eintrag in seinen Tabellen dafür an und
bestätigt die Anfrage mit einem eigenen Synchronisierungspaket (SYN/ACK). Bei einem normalen
Verbindungsaufbau bestätigt der Client das SYN/ACK-Paket ebenfalls mit einem ACK-Paket.
Dadurch wird der sogenannte Drei-Weg-Handshake einer TCP-Verbindung komplett.
Bei SYN-Flooding läßt der Angreifer die Verbindung halboffen, da er das SYN/ACK-Paket nicht
beantwortet. Der Server wartet jetzt ein wenig und schickt dann in der Annahme, dass das SYN/ACK-
Paket verloren gegangen ist, dass SYN/ACK-Paket noch einmal (Retransmission). Der Angreifer
antwortet darauf mit weiteren Verbindungsanfragen, die der Server wie oben beschrieben behandelt.
Alle SYN-Anfragen werden in einem Puffer zwischengespeichert. Läuft dieser Puffer voll, kann der
Server keine Anfragen mehr annehmen; der Dienst ist also nicht mehr erreichbar.
Bei ICMP Redirection wird eine Nachricht von einem Router an einen Host geschickt, dass Pakete
für ein bestimmtes Ziel besser über einen anderen Router verschickt werden sollen. Daraufhin ändert
der Host seine Routing-Tabelle und schickt alle weiteren Pakete über den anderen Router.
DoS-Attacken auf Anwendungen
Diese Einstellungen ermöglichen Ihnen die Abwehr von bekannten Angriffen auf bekannte
Programme bzw. Protokolle.
Geben Sie dazu die von den Programmen auf ihren Clients im internen Netzwerk benutzten
Ports an. Die Standardports sind voreingestellt.
Dos-Attacken auf Netzwerk-Funktionen
Diese Einstellungen ermöglichen Ihnen die Abwehr weiterer Angriffe:
Winnuke ist ein Angriff auf ältere Betriebssysteme der Firma Microsoft; er sollte mit
aktuellen Betriebssytemen nicht mehr möglich sein.
87
Quicklinks ausblenden:
Werbung
Inhaltsverzeichnis
