Moin!
kann dann trotz guter, professioneller Firewall Informationen nach draussen dringen?
Ja, immer.
Wenn keinerlei Kommunikation nach draußen dringen darf, schneid das Netzwerkkabel durch.
Wie kommunziereren denn Spyware-Programme? Über das htpp-Protokoll?
Beispielsweise. Oder per DNS-Tunnel. Oder, oder, oder... Notfalls wird sozusagen "im Morsecode" über die Verfügbarkeit von Websites oder Webseiten Information übermittelt. 404 -> 0-Bit, 200 -> 1-Bit.
Muss man die Clients(!) so gut konfigurieren / abschotten, dass sicher nichts nach draussen kommt oder kann eine Firewall diesen Sicherheitspart übernehmen.
Das Problem ist: Du mußt im Prinzip jede Kommunikation ganz genau unter die Lupe nehmen und jede Abweichung vom definierten Soll verbieten. Dazu gehört also unter anderem die pessimistische Einstellung: "Alles ist verboten, solange es nicht erlaubt ist." Also zunächst mal keinerlei Kommunikation.
Die Mitarbeiter wollen natürlich surfen. Also: Wohin wollen die surfen. Diese Seiten explizit freischalten im Proxy (natürlich nur, wenn man denen vertraut), alles andere ist geblockt. Natürlich logisch, dass der Inhalt der übermittelten Dateien geprüft wird und nur genehmigte Arten wie HTML, CSS, GIF, JPG, PNG, JS durchgelassen werden.
Bei Mails gilt natürlich dasselbe. Der Mailserver checkt, welche Mails wohin gehen sollen, und natürlich, was in eingehenden Mails so drinsteht.
DNS ist ein wichtiges Thema. Damit kann man wunderbar tunneln. Hat die c't mal ausprobiert: Eine kostenfreie Rufnummer mit Zugang zu einem begrenzten Netz (nur der Anbieterserver war erreichbar) lieferte aber echte DNS-Ergebnisse. Also wurde flugs eine Gegenstelle im Internet errichtet, welche Webseiten in DNS-Pakete verpackt. Hat wunderbar funktioniert, war sogar einigermaßen schnell.
Nur wenn du wirklich jeden Datentransfer unters Mikroskop legst, kannst du sicher sein, dass nichts ungewollt nach draußen gelangt. Aber das ist mega-aufwendig und äußerst unkomfortabel für die Anwender.
Nach draussen ins WWW sollen die Clients Zugang haben. Also, dass die Firewall alles abblockt macht keinen Sinn.
Das ist genau das Problem. Deshalb: Sorge im internen Netz für vertrauenswürdige Clients. Wenn du den Clients nicht vertrauen kannst, also sozusagen außerhalb _und_ innerhalb der Firewall "wildes Internet" ist, dann kann man die Firewall auch gleich ganz weglassen.
Allerdings: So ganz ultimativ vertrauen kann man den Clients natürlich nicht, regelmäßige Kontrolle und ggf. mehr als eine Firewall bieten sich an. Beispielsweise könnte man die internen Server in ein eigenes Netz stecken und nochmal abschotten mit restriktiveren Regeln (auf den Servern muß niemand surfen).
- Sven Rautenberg
--
"Beim Stuff für's Web gibts kein Material, was sonst das Zeugs ist, aus dem die Sachen sind."
(fastix®, 13. Oktober 2003, 02:26 Uhr -> </archiv/2003/10/60137/#m338340>)