Weiterempfehlen Leserbrief
23.10.2005

Funktionsweise und Fachsprache der Firewall erklärt

DMZ, NAT & Co - so arbeitet eine Firewall

Sascha Hottes

NAT: Der Übersetzer hilft

Wenn die Firewall in Form eines separaten Geräts oder Routers zwischen Computer und Internet steht, kann sie außerdem eine Adressänderung vornehmen. Dabei merkt sich die Firewall die Absenderadresse des anfragenden Computers im LAN und tauscht sie in der Paketbeschrifung, genannt Header, gegen die eigene Adresse aus. Trifft die Antwort bei der Firewall ein, tauscht sie den Adressaten aus, und das Paket findet seinen Weg zum ursprünglichen Absender.

Dank der Übersetzung der Netzwerkadresse, im Englischen Network-Address-Translation oder kurz NAT genannt, ist der einzelne Computer nach außen hin unsichtbar; die gesendete Anfrage scheint vom Router zu kommen. Schafft ein Eindringling es trotzdem, einen Computer im LAN zum Senden zu bringen, indem er etwa sämtliche offene Ports ausspäht, kann auch NAT nichts mehr tun. Die Kombination von NAT und stateful inspection kann das Ausspähen der Ports jedoch wesentlich erschweren.

Grenzen der Network-Address-Translation

Manche Programme sind wenig an Sicherheit interessiert und verbergen die Absender-IP irgendwo im Paketinhalt. Die NAT-Firewall kann das nicht erkennen, da sie nur den IP-Header liest. Die zweite Schwierigkeit: Um IP-Adressen von Paketen zu ändern, muss die NAT-Firwall die Pakete auch lesen können. Das ist nicht der Fall, wenn diese bereits durch IPSec, SSL oder VPN verschlüsselt sind. Nur wenn die NAT-Firewall die Pakete selbst verschlüsselt - wie etwa bei VPN der Fall - kann Sie die IP-Adressen zusätzlich verstecken.

Auspacken - Neuschreiben - Weiterschicken

Die bisher geschilderten Firewall-Funktionen sind ausschließlich in der Lage, den Paket-Header zu inspizieren. Hat ein Angreifer seine IP-Pakete aber ausreichend gut getarnt, gelangt der schadhafte Inhalt trotzdem auf den Computer des Opfers. Wäre es nicht schön, wenn die Firewall schadhaften Programmcode erkennen und gar nicht erst passieren ließe?

Firewalls, die über einen Proxy verfügen, können auch das. Die Anfragen des Computers im LAN gehen in diesem Fall nur an die Firewall, diese strickt das Paket komplett neu, als ob sie es selbst geschrieben hätte. Umgekehrt verhält sie sich genauso: Eingehende Pakete werden aufgelöst und neu verfasst, was die Firewall für nicht legitimen Programmcode hält, schmeißt sie raus.

Dazu ist der Firewall-Proxy fähig, weil er über Kenntnisse der gängigsten Netzwerk-Protokolle wie HTTP und FTP verfügt. Dementsprechend weiß er, mit welche Zeilen dem Computer schaden können. Manche Firewalls außerdem in der Lage, auch Javascript oder ActiveX abzuweisen. Darüber hinaus erkennen sie, welchen Dateityp ein Nutzer runterlädt - den kann die Firewall dann ebenfalls blocken, soll zum Beispiel keine .exe- oder .mp3-Datei auf den Rechner gelangen.

Druckversion | Kommentare

« zurück 1 | 2 | 3 | 4 | 5 weiter »

Mehr über: Software, Sicherheit, Tutorial, Firewall, Windows-Optimierung, Sicher im Internet

Desktop-Firewalls: Warum jeder eine haben sollte
Trotz Lücken unheimlich nützlich
Conficker.A: Microsoft warnt vor Windows-Wurm
Sicherheitslücke in Windows-Systemen bereitet große Sorgen
Sicherheitswarnung für Acrobat-Benutzer
Neue Trojaner-Schwemme nutzt Schwachstellen aus

Diesen Artikel verlinken

Dieser Artikel steht unter einer Creative Commons-Lizenz.

Top Software

Freeware Toplisten

Best Of Freeware: Top Freeware für den Alltag

Gute Software muss nicht teuer sein. Netzwelt zeigt Ihnen die besten Freeware Programme Ihrer Zunft, alle kostenlos.

Best Of: Büro und Sicherheit

Best Of: Grafik und Multimedia

Best Of: Betriebssysteme

Top Vollversionen

Software im Portrait

Es gibt Programme, da führt kein Weg dran vorbei, auch für die netzwelt nicht. Wir widmen diesen Evergreens und Essentials ganze Specials, die jede noch so kleine Funktion unter die Lupe nehmen.

Anleitungen

Sie haben ein Problem, wissen aber weder mit welchem Programm Sie es lösen können noch wie Sie es später anwenden. Netzwelt klärt Sie in mehr als 100 Anleitungen auf.