Firewall
Eine Firewall kontrolliert den Datenverkehr an der Grenze zwischen zwei Netzen oder an einem einzelnen Rechner. Sie prüft jede Verbindung gegen ein Regelwerk und lässt sie durch oder verwirft sie. Der Name stammt aus dem Bauwesen: Eine Brandmauer verhindert, dass ein Feuer von einem Gebäudeteil auf den nächsten übergreift.
Die typische Grundregel lautet: Alles, was nicht ausdrücklich erlaubt ist, ist verboten. Eine Firewall am Internetanschluss lässt deshalb Verbindungen von innen nach außen zu, Verbindungen von außen nach innen aber nur zu ausdrücklich freigegebenen Diensten.
Wie eine Firewall entscheidet
Die Bauarten unterscheiden sich darin, wie viel sie von einer Verbindung sehen:
| Bauart | Prüft | Kann | Kann nicht |
|---|---|---|---|
| Paketfilter | jedes Paket einzeln: Adressen, Ports, Protokoll | einfache Sperren, sehr schnell | erkennen, ob ein Paket zu einer erlaubten Verbindung gehört |
| Stateful Packet Inspection | zusätzlich den Zustand jeder Verbindung | Antworten auf eigene Anfragen automatisch durchlassen | Inhalte bewerten |
| Application Layer Gateway, Proxy | den Inhalt bestimmter Protokolle, etwa HTTP | Befehle und Dateien filtern | ohne Entschlüsselung in verschlüsselten Verkehr sehen |
| Next Generation Firewall (NGFW) | Anwendungen unabhängig vom Port, Benutzer, Inhalte | Anwendungen erkennen und steuern, Angriffe erkennen, oft mit TLS-Entschlüsselung | ersetzen, was Endgeräte selbst schützen müssen |
Heutige Firewalls arbeiten mindestens stateful. Der Begriff Next Generation Firewall bezeichnet Geräte, die zusätzlich Anwendungen erkennen und Funktionen eines Intrusion-Prevention-Systems enthalten. Fasst ein Gerät Firewall, VPN, Virenscanner und Webfilter zusammen, heißt es auch UTM (Unified Threat Management).
Eine Regel
Eine Firewallregel besteht aus wenigen Feldern:
| Feld | Beispiel |
|---|---|
| Quelle | internes Netz 10.0.0.0/8 |
| Ziel | Webserver 192.0.2.10 |
| Dienst | TCP 443 |
| Aktion | erlauben |
| Protokollierung | ja |
Die Regeln werden von oben nach unten geprüft, die erste passende gilt. Am Ende steht eine Regel, die alles Übrige sperrt. Regelwerke wachsen mit den Jahren; Regeln, die niemand mehr braucht, aber niemand zu löschen wagt, sind eine der häufigsten Schwachstellen.
Hardware-Firewall und Software-Firewall
Hardware-Firewall. Ein eigenes Gerät zwischen zwei Netzen, etwa zwischen Internetanschluss und Firmennetz. Auch der Router zu Hause enthält eine einfache Firewall. Der Vorteil: Sie schützt alle Geräte dahinter, unabhängig von deren Betriebssystem, und lässt sich nicht von einem befallenen Rechner abschalten.
Software-Firewall. Läuft auf dem zu schützenden Rechner selbst, oft Personal Firewall oder Host-Firewall genannt. Sie kann zusätzlich steuern, welches Programm Verbindungen aufbauen darf. Sie schützt aber nur dieses eine Gerät.
Die Begriffe sind unscharf: Auch eine Hardware-Firewall ist Software auf einem Rechner, nur auf eigener Hardware. Es gibt sie zudem als virtuelle Maschine für Rechenzentren und Clouds. Sinnvoll ist meist beides: eine Firewall an der Netzgrenze und eine auf jedem Server.
Wo Firewalls stehen
Perimeter. Zwischen Internet und eigenem Netz. Die klassische Position.
DMZ. Ein Netzbereich für Dienste, die aus dem Internet erreichbar sein müssen, etwa Web- und Mailserver. Er liegt zwischen zwei Firewalls oder an einem eigenen Anschluss der Firewall. Wird ein Server dort übernommen, steht der Angreifer noch nicht im internen Netz.
Intern. Zwischen Netzbereichen im eigenen Haus, etwa zwischen Büro, Produktion und Servern. Diese Segmentierung begrenzt, wie weit sich ein Angreifer oder eine Schadsoftware ausbreiten kann.
Grenzen
Eine Firewall schützt nur vor Verkehr, der über sie läuft und den sie als schädlich erkennen kann. Sie hilft nicht gegen:
- Angriffe über erlaubte Verbindungen, etwa eine präparierte Webseite oder einen Anhang per Mail
- Verbindungen, die an ihr vorbeiführen, etwa über ein Mobilfunkmodem
- Täter, die schon im internen Netz sind
- Zugangsdaten, die per Phishing erbeutet wurden
Das Konzept Zero Trust zieht daraus die Konsequenz, keinem Netzbereich pauschal zu vertrauen, sondern jeden Zugriff einzeln zu prüfen.
Im Rechenzentrum
Im Rechenzentrum stehen Firewalls meist als redundantes Paar, damit der Ausfall eines Geräts den Betrieb nicht unterbricht. Zwischen den Netzbereichen der Kunden oder Anwendungen trennen oft virtuelle Firewalls, die in der Virtualisierungsschicht laufen. Für Colocation-Kunden ist die eigene Firewall im Rack die Grenze zwischen ihrem Netz und der Anbindung des Betreibers.