Software-Firewall wirklich nötig?

[Marko]

Hallo zusammen,

Brauch ich eigentlich eine Firewall?
Im moment benutze ich ZoneAlarm unter WinXP. Zu dieser Firewall gehört auch das Programm vsmon.exe, das leider oft bis zu 70% CPU-Auslastung verursacht. Beim rumgoogeln hab ich dann gelesen, dass eine Firewall eigentlich gar nicht nötig ist, wenn man sonst vorsichtig handelt.

Da ich mich als ziemlich gewissenhaft einschätze, weil ich schon seit Jahren surfe, und ZoneAlarm noch so einige Tücken mitbringt, wollte ich es auch deinstallieren.

Nur eines hält mich davon ab:
'147840 Intrusions have been blocked'
'5145 of those have been high-rated'

Ist es wirklich so schlimm? Hätten mir die high-rated Angriffe wirklich was anhaben können?

Ich hab noch einen Router, der (soweit ich weiss) alle Server auf meinem PC blockt, es sei denn ich hab den Port freigeben. Wobei ich mir hier nicht mal sicher bin. ICQ-Filetransfer o.Ä. muss ich freigeben, von mir selbst geschriebene kleine Programme können auch so von aussen erreicht werden.

Was meint ihr? Deinstallieren/stehen lassen?

Vielen Dank & Gruss,

Marko

Ps. Sorry für das etwas langgeratene Posting.

[Johannes Zeller]

Hallo Marko,

Brauch ich eigentlich eine Firewall?

Das hängt davon ab. ;-) Was jedoch nicht viel bringt ist eine Personal Firewall, die auf dem gleichen Rechner läuft, den sie schützen soll. Sobald der Rechner jedoch infiziert ist, ist es kein großes Problem für einen Schädling, die Firewall zu umgehen. Eine sinnvolle Konfiguration, wobei nur die Ports geöffnet werden, die auch offen sein müssen, ist genauso wirksam. Außerdem hast du dann keine Gefahren von Sicherheitslücken in ZoneAlarm zu befürchten.

Nur eines hält mich davon ab:
'147840 Intrusions have been blocked'
'5145 of those have been high-rated'

Ist es wirklich so schlimm? Hätten mir die high-rated Angriffe wirklich was anhaben können?

Nun, das hängt davon ab, was ZoneAlarm als »Intrusion« und als »high-rated« definiert. Ich würde jedoch erstmal davon ausgehen, dass diese hohen Zahlen dazu dienen sollen, den User von der scheinbaren Wichtigkeit einer Personal Firewall zu überzeugen.

Ich hab noch einen Router, der (soweit ich weiss) alle Server auf meinem PC blockt, es sei denn ich hab den Port freigeben. Wobei ich mir hier nicht mal sicher bin. ICQ-Filetransfer o.Ä. muss ich freigeben, von mir selbst geschriebene kleine Programme können auch so von aussen erreicht werden.

Wenn du eine funktionierende Firewall auf dem Router hast, ist eine Personal Firewall wirklich nicht nötig. Kümmer dich also besser darum, den Router sinnvoll zu konfigurieren.

Schöne Grüße,

Johannes

[Der Martin]

Hallo Johannes,

bis zu einem gewissen Punkt - un nur bis dahin - stimme ich dir zu.

Wenn du eine funktionierende Firewall auf dem Router hast, ist eine Personal Firewall wirklich nicht nötig. Kümmer dich also besser darum, den Router sinnvoll zu konfigurieren.

So weit, so gut.
Ich sehe es allerdings so, dass eine Personal oder Desktop Firewall keine _Alternative_, sondern eine gute _Ergänzung_ zu einer "richtigen" Firewall ist.
Denn ich sehe den Hauptzweck einer Desktop Firewall darin, dass sie den Datenverkehr "von innen" überwacht, d.h. mir meldet, welche Programme da eine Verbindung ins Internet wollen und wohin, oder dass sie den Verkehr für ausgewählte Applikationen oder Ports oder Protokolle oder Host-Adressen ganz unterbindet.
Gerade dafür ist ZoneAlarm aber IMHO ganz schlecht geeignet. Es ist sehr umständlich und nur oberflächlich zu konfigurieren. Mir haben immer gerade die "interessanten" Optionen gefehlt, wie etwa Zugangsregelungen anhand Protokoll oder Port.

Umso mehr freue ich mich, wenn ich im Posting von Alain (https://forum.selfhtml.org/?t=87609&m=521225) lese, dass sich auch andere außer mir für Outpost begeistern. Das verwende ich nämlich auch seit Jahren und kann (fast) nur Gutes darüber berichten.
Aber wie gesagt, nicht als alleinige Schutzmaßnahme!

Schöne Grüße aus Backnang,

Martin

[e7]

Hi,

Im moment benutze ich ZoneAlarm unter WinXP. Zu dieser Firewall gehört auch das Programm vsmon.exe, das leider oft bis zu 70% CPU-Auslastung verursacht.

Ich hatte auch mal ZoneAlarm unter Win2k, ZoneAlarm sollte ja angeblich die beste Firewall sein... Nachdem die regelmäßig 90 % der Rechenzeit verschluckt hat, hab ich sie runter und die Sygate Personal Firewall drauf - ist auch kostenlos, nur nicht so anspruchsvoll und wesentlich besser und einfacher konfigurierbar... Mein Tipp: Jetzt wechseln ;)

E7

[Raik]

Hallo, e7!

[...]
lies dazu Henryks posting incl. dem link.

freundl. Grüsse aus Berlin, Raik

[Henryk Plötz]

Moin,

Brauch ich eigentlich eine Firewall?

Ja. Aber nicht so. 'Firewall' ist ein Konzept, dessen Umsetzung und Wartung. Falls die Frage als "Brauche ich eigentlich eine 'Personal Firewall'" gemeint war: In kurz: Nein. In lang: http://www.ntsvcfg.de/linkblock.html

Da ich mich als ziemlich gewissenhaft einschätze, weil ich schon seit Jahren surfe, und ZoneAlarm noch so einige Tücken mitbringt, wollte ich es auch deinstallieren.

Viel Glück dabei. Das meine ich ehrlich. Grade dieses Stück Software hatte sich gerüchteweise in der Vergangenheit bei vielen Leuten als äusserst resistent gegenüber ordnungsgemäßen Entfernungsversuchen erwiesen.

[Alain]

hi,

Viel Glück dabei. Das meine ich ehrlich. Grade dieses Stück Software hatte sich gerüchteweise in der Vergangenheit bei vielen Leuten als äusserst resistent gegenüber ordnungsgemäßen Entfernungsversuchen erwiesen.

naja ordnungsgemäss deinstallieren hin oder her.
Wenn man den zonelabs nicht normal deinstallieren kann ,dann eben mit gewalt.Ich habe selbst den zonealarm gehabt und ihn total entfernt.
Das geht einerseits mit dem regcleaner sowohl auch durch manuelles absuchen der regedit von zonealarm dlls.Soweit ich denken kann besitzt zonealarm auch noch eine installlog da kann man auch nach den dlls suchen und wo sie damals installiert wurden.
Benötigt eben etwas zeit,jedoch weniger zeit als dass man das windows (jedenfalls bei mir) komplett neu installieren müsste.
Heute hab ich den Agnitum outpost firewall 1.0 http://www.agnitum.com/download/outpost1.html gratis und erst noch besser detailierter einstellbar für anwendungen sowie auch für emails,was z.B. mails mit anhang betrifft.In kombination mit einem gut konfigurierten firewall und dem aktuellen antivir agent braucht es schon viel,damit jemand,einem den PC zerschleisst mit seinen achso dollen virus.
Gruss
Alain
P.S.Mein PC läuft seit etwa 3 Jahren ohne grösseren zwischenfälle mit dem ein und demselben betriebssystem ohne jemals das windows neu installieren zu müssen.Und ich surfe viel im Internet.

[Raik]

Hallo, Alain!

Heute hab ich den Agnitum outpost firewall 1.0 http://www.agnitum.com/download/outpost1.html gratis und erst noch besser detailierter einstellbar für anwendungen sowie auch für emails,was z.B. mails mit anhang betrifft.In kombination mit einem gut konfigurierten firewall und dem aktuellen antivir agent braucht es schon viel,damit jemand,einem den PC zerschleisst mit seinen achso dollen virus.

auch du solltest Henryks posting lesen und dem link folgen.
ich surfe seit monaten mit der gleichen installation _ohne_ firewall und mein virenscanner (kaspersky) langweilt sich.
dank http://www.ntsvcfg.de und deaktivierten aktiven inhalten im ie hab ich keine probleme mehr.

freundl. Grüsse aus Berlin, Raik

[Alain]

Hoy,

ich surfe seit monaten mit der gleichen installation _ohne_ firewall und mein virenscanner (kaspersky) langweilt sich.
dank http://www.ntsvcfg.de und deaktivierten aktiven inhalten im ie hab ich keine probleme mehr.

erstens hab ich kein win2000 und auch kein xp sowie kein NT sondern Win98,da gibts auch keinen internen firewall falls man das denn so nennen kann.
Zweitens sind meine aktiveX wie plugins-ausführen etc. im IE auf "eingabe aufforderung" gestellt,was bedeutet,dass ich bei gewissen webseiten erst mal
explizit bestätigen muss bevor da was im hintergrund amok läuft.
ABER,ich surf ja nicht mit dem IE(nur ganz selten) sondern mit dem alten NS4 oder Mozilla FireFox(den ich sehr schätze).
Von daher sehe ich positiv in die zukunft,was die attacken auf mein system (Win98) betrifft.Wobei ja dann immernoch ein anderer firewall dazwischensteht,nähmlich
der vom provider,obwohl der vermutlich nicht viel bringt,jedenfalls was die in letzter zeit immer heufigeren verseuchten emails angeht.Da hilft auch noch ein gut konfigurierter email filter,den
Netscape oder Mozilla bietet.Der agnitum-firewall benennt dann gewisse email anhänge direkt um z.B. von datei.vbs ins datei.vbs.safe mit einer warnmeldung,die aber sowieso dann alle bereits im Müll sind.
Ich würde jedenfalls nicht auf den firewall verzichten,schon desshalb nicht weil ich Lan benutzer und so gut wie immer online bin.
Gruss
Alain

[Henryk Plötz]

Moin,

erstens hab ich kein win2000 und auch kein xp sowie kein NT sondern Win98

Um so besser. Windows vor NT hatte noch keine Probleme mit komischen Diensten die sich an das Internetinterface gebunden haben und schwer wieder loszuwerden waren. Das einzige was du tun musst ist den Client und den Dienst für Microsoft-Netzwerke vom DFÜ-Interface zu entbinden (bzw. gar nicht erst installieren) - sowie aktuelle Updates einspielen - und schwupsdiwupps ist dein System nicht mehr von aussen angreifbar.

Auf deinem System macht ein 'Personal Firewall' _überhaup_ keinen Sinn. Wie oben beschrieben ist es kinderleicht das System gegen Angriffe von aussen zu sichern. Gegen Angriffe von innen _kann_ das System aber nicht gesichert werden, da es keine irgendwie gearteten Benutzerrechte gibt. _Jedes_ laufende Programm kann beliebig alle anderen Programme manipulieren oder sogar abschalten. Kannst du deinen 'Feierwall' abschalten? Ja? Na also, dann kann das eventuell ausgeführte Schadsoftware auch tun.

Bei NT-basierten Systemen hätte man wenigstens noch die Ausrede gehabt, dass wenn man selbst nicht als Admin unterwegs ist, die Software aber nur mit Adminrechten konfiguriert/abgeschaltet werden kann, eine von dir unwissentlich ausgeführte Schadsoftware erstmal irgendwie privilege escalation betreiben muß - was unter uns gesagt zumindest früher unter NT nicht wirklich schwer war - um etwas interessantes zu tun.

[molily]

Hallo,

erstens hab ich kein win2000 und auch kein xp sowie kein NT sondern Win98

Um so besser. Windows vor NT hatte noch keine Probleme mit komischen Diensten die sich an das Internetinterface gebunden haben und schwer wieder loszuwerden waren. Das einzige was du tun musst ist den Client und den Dienst für Microsoft-Netzwerke vom DFÜ-Interface zu entbinden (bzw. gar nicht erst installieren) - sowie aktuelle Updates einspielen - und schwupsdiwupps ist dein System nicht mehr von aussen angreifbar.

Wo finde ich brauchbare Informationen darüber, welche Sicherheitsrisiken diese Dienste bei aktivierten Freigaben überhaupt darstellen? Ein Test mit einem SMB-Client hatte AFAIR nur ergeben, dass der Rechnername sowie die Namen der freigegebenen Verzeichnisse ausgelesen werden können. Zugriff auf die Dateien darin war trotz nicht gesetzten Passworts nicht möglich (ich hatte mich auch gewundert).

Mathias

[Henryk Plötz]

Moin,

Wo finde ich brauchbare Informationen darüber, welche Sicherheitsrisiken diese Dienste bei aktivierten Freigaben überhaupt darstellen? Ein Test mit einem SMB-Client hatte AFAIR nur ergeben, dass der Rechnername sowie die Namen der freigegebenen Verzeichnisse ausgelesen werden können. Zugriff auf die Dateien darin war trotz nicht gesetzten Passworts nicht möglich (ich hatte mich auch gewundert).

Naja, man kann halt auf freigegebene Ressourcen zugreifen. Üblicherweise also zum Beispiel haufenweise Blätter durch den Drucker jagen, den Festplatteninhalt (oder zumindest Teile davon) lesen oder sogar beschreiben (nicht nur ein Wurm benutzt sowas zur Weiterverbreitung).

Vor allem aber hat man das Problem das man mit allen Diensten hat: Es können Sicherheitslücken in dem Serverprogramm bekannt werden. Wenn man einen Server betreibt muß also immer ein Admin da sein der ihn überwacht, die Logs liest sowie sich über Updates/Advisories beim Hersteller auf dem Laufenden hält um ggbf. die nötigen Maßnahmen ergreifen zu können.

Was das von dir beobachtete Verhalten angeht: Windows XP erlaubt keinen Fernzugriff auf Accounts für die kein Passwort gesetzt ist. (Naja, meistens zumindest. Da gibt es noch diese 'Einfache Dateifreigabe' die irgendwie etwas undurchsichtig und vor allem nicht einfach ist.) Alternativ: Einige komische Internetprovider werfen nach Gutdünken Pakete weg, vor allem im Zusammenhang mit der Windows-Dateifreigabe.

Was ich jetzt auf die Schnelle gefunden habe: http://www.cve.mitre.org/cgi-bin/cvekey.cgi?keyword=windows+file+sharing http://www.heise.de/newsticker/meldung/12454 (das gleich in Deutsch) http://www.heise.de/newsticker/meldung/11914 (was man damit machen kann) http://www.heise.de/newsticker/meldung/40024 (mal was anderes)

[Alain]

hi,

Naja, man kann halt auf freigegebene Ressourcen zugreifen. Üblicherweise also zum Beispiel haufenweise Blätter durch den Drucker jagen, den Festplatteninhalt (oder zumindest Teile davon) lesen oder sogar beschreiben (nicht nur ein Wurm benutzt sowas zur Weiterverbreitung).

Die drucker sowie dateifreigabe(sowieso) ist bei mir deaktiviert,aber nochmal das mit dem DFü ,meinst Du den client für microsoft netzwerke?
Wenn ich den entferne,dann hat mein video grafik programm von Ati probleme mit starten und anderen perfomance einbussen.
Ich wüsste aber jetzt nicht wofür die grafiksoftware einen client benötigt.Könnte eventuell auch am directX 9 liegen,welches angeblich spam software besitzt.
Das mit dem abschalten der firewall von innen her,weiss ich ja auch,aber erst muss mal so ein programm reinfinden und einige prüfungen durchgehen z.B. vom AntiVir,der auch schon
fake progies aufgespürt hat,bis es auf meine festplatte darf.
Der AntiVir hat auch schon bei webseiten angegeben und empfohlen gewisse dateien im cache zu löschen.
Der firewall fragt ja auch immer ob dieses oder jenes programm raus darf bzw. welche rechte man einem programm geben soll.
Sonst hätt ich da noch einen internen firewall wie syssafe,der den benutzer von windows oder einem PC rechte verteilt und nur
den progies zugriff erlaubt welche vom admin freigegeben wurden.Bei den anderen progies wird ein passwort verlangt.
Ich hielt es aber nicht für nötig bislang dieses programm einzusetzten,da ich ja der einzige an meinem PC bin und von aussen her befürchte ich kaum was.
Ich behaubte nochmals,mit einer gut konfigurierter firewall und einem akuellen AntiVir programm mit einem agent im hintergrund,kann fast nichts schief gehen.
Sonst gäbs da noch ne alternative,den stecker raus und erst gar nicht einschalten :-)
Gruss
Alain

[molily]

Hallo,

Naja, man kann halt auf freigegebene Ressourcen zugreifen. Üblicherweise also zum Beispiel haufenweise Blätter durch den Drucker jagen, den Festplatteninhalt (oder zumindest Teile davon) lesen oder sogar beschreiben (nicht nur ein Wurm benutzt sowas zur Weiterverbreitung).

Was das von dir beobachtete Verhalten angeht: Windows XP erlaubt keinen Fernzugriff auf Accounts für die kein Passwort gesetzt ist.

Es handelte sich um Windows 98 (erste, ursprüngliche »Edition«). Das muss ich wohl noch einmal testen, aber ich habe sowieso seit langem keinen Rechner mehr, der direkt ans Internet angeschlossen ist.

Alternativ: Einige komische Internetprovider werfen nach Gutdünken Pakete weg, vor allem im Zusammenhang mit der Windows-Dateifreigabe.

Ich denke nicht, dass das der Fall gewesen war, denn dann wäre es vermutlich nicht möglich gewesen, den Rechnernamen auszulesen.

Mathias

[Christoph Schnauß]

hallo Henryk,

Grade dieses Stück Software hatte sich gerüchteweise in der Vergangenheit bei vielen Leuten als äusserst resistent gegenüber ordnungsgemäßen Entfernungsversuchen erwiesen.

Wieso denn? Einmal "format C:" und Zonealarm is wech ... ganz ordnungsgemäß

SCNR

Christoph S.

[e7]

Hi,

Dein Link http://www.ntsvcfg.de/linkblock.html führte mich zu http://home.arcor.de/nhb/pf-umgehen.html, ich zitiere:

Wenn man bei der Erzeugung einer .exe-Datei in die Versions-Informationen als Company "Microsoft Corporation" schreibt, stuft die Norton Personal Firewall alle Verbindungsversuche dieses Programms als "Low Risk" ein ("Trusted Company"). <<

Warum darf M$ uneingeschränkt auf's Internet zugreifen??? Das zeigt mal wieder die hohe Qualität der Software, die uns diverse Firmen andrehen wollen...

E7

[Klaus]

hallo,

auch ich benutze Zonealarm, allerdings unter win98se in einem lan.
was mir an dem programm gefällt, ist dass es mir sagt, wenn ein anderes programm auf das netz zugreifen will. außerdem bietet es die möglichkeit, im netz unsichtbar zu sein (stealth mode) - je weniger infos ich über mich verbreite umso besser (paranoia: datensammler).

wahrscheinlich macht es nicht viel aus, aber ich bin da auch kein experte. vielleicht hat noch jemand lust, zu den von mir angeführten argumenten etwas zu schreiben. ich hab ja auch schon festgestellt, dass mein system von Zonealarm ganz schon in anspruch genommen wird. vielleicht schmeiß ich es einfach runter. da ich aber in einem lan bin, will ich auch dort nicht alle informationen über meinen rechner preis geben.

kann jemand dazu noch etwas sagen?

danke

Klaus

[Henryk Plötz]

Moin,

auch ich benutze Zonealarm, allerdings unter win98se in einem lan.
was mir an dem programm gefällt, ist dass es mir sagt, wenn ein anderes programm auf das netz zugreifen will.

Nein, das kann es nicht. Unter Windows 98 hat jedes Programm die vollständige Kontrolle über dein System. Wenn ein Programm also wirklich unbemerkt auf das Netz zugreifen wollte könnte es sich einfach selbst als Ausnahme in Zonealarm eintragen. Und sogar automatisch wieder entfernen wenn du dessen Einstellungen aufrufst damit es nicht bemerkt wird. Oder es schaltet Zonealarm ab, natürlich unbemerkt. Notfalls ersetzt es das Trayicon. Oder es bringt einfach seinen eigenen TCP/IP-Stack mit. Oder es greift unterhalb von Zonealarm auf den bestehenden Stack zu. Oder es schleust Code in andere Programme ein die du in Zonealarm als vertrauenswürdig definiert hast. Etc. pp.

außerdem bietet es die möglichkeit, im netz unsichtbar zu sein (stealth mode)

Nein, so etwas wie 'Stealth' gibt es nicht, jedenfalls nicht so wie Zonealarm das versucht. Bei einer normalen Verbindungsaufnahme antwortet der Rechner zu dem die Verbindung versucht wird immer mit wahlweise einem SYN/ACK-Paket um die Verbindung zu bestätigen oder einem RST-Paket (bzw. einer ICMP-Fehlermeldung) um die Verbindung abzulehnen.

Zonealarm schmeisst die Pakete aber weg, antwortet also gar nicht. Das kann genau zwei Ursachen haben:
  1. Das Paket ist unterwegs verlorengegangen; davon muß der Absender in jedem Fall ausgehen, also wiederholt er seinen Versuch, zum Beispiel 4 mal im Abstand von jeweils 30 Sekunden oder
  2. Es läuft auf dem Zielrechner (naja, oder irgendwo auf dem Weg dahin) eine Software wie Zonealarm die Pakete wegwirft.

Der erste Punkt führt bei normalen Verbindungsversuchen zu großen Verzögerungen und überflüssigen Zusatzversuchen (die _ausschließlich_ dir schaden[1]), nach ein paar Versuchen ist aber klar, dass der zweite Punkt gelten muß. Mit anderen Worten: Durch das Programm erzählst du anderen Rechnern zwei Sachen:
  a) dein Rechner ist da und
  b) er verwirft Pakete, hat also sowas wie Zonealarm installiert, und das geht ziemlich oft mit einem relativ ahnungslosen Besitzer einher.

Ersteres kannst du nur schwer verhindern (wie, dazu komme ich gleich) und letzteres möchtest du doch wohl bestimmt nicht aller Welt verklickern.

Wenn du wirklich unsichtbar sein wolltest, müsstest du ICMP-Unreachable-Meldungen mit der gefälschten Absenderaddresse deines nächsten Upstream-Routers verschicken. Das kann soweit ich weiss keines der heute eingesetzten Programme, und selbst wenn wären vermutlich weder jener Router noch dein Provider davon sonderlich begeistert. (Lies: Das verstößt tendentiell gegen die AGB und kann zur Kündigung des Zugangs führen.)

[1] Das immer wieder gern gebrachte 'Argument' dass Portscanner damit auch ausgebremst würden hat längst keine Gültigkeit mehr. Übliche Portscanner können einfach alle Verbindungsversuche gleichzeitig starten und die Wartezeit verkürzen.

[Klaus]

hallo Henryk,

danke für die erhellenden worte. einfacher gesagt, ich kann Zonealarm runterschmeißen, hab ich dich da richtig verstanden?

viele Grüße
Klaus

[Henryk Plötz]

Moin,

danke für die erhellenden worte. einfacher gesagt, ich kann Zonealarm runterschmeißen, hab ich dich da richtig verstanden?

Ja, du musst halt nur dafür sorgen dass kein Dienst am Internetinterface lauscht. Das ist der Standardzustand, es sei denn du hast den Client oder den Dienst für Microsoftnetzwerke installiert (auch bekannt als Datei- und Druckerfreigabe). Dann musst du einmal in der Systemsteuerung ins Netzwerk gehen und die Bindung dieser beiden an den DFÜ-Adapter (bzw. an was auch immer bei dir direkt mit dem Internet verbunden ist) lösen.

Bei den meisten Leuten müssen die Kästchen so gesetzt sein: (Bei quasi allen anderen schadet es zumindest nicht)

Überprüfen kannst du das mit http://www.linux-sec.net/Audit/nmap.test.gwif.html. Das korrekte Ergebnis würde lauten: "All .... Ports scanned on ... are: closed."

Du musst dich natürlich anständig verhalten: Nicht einfach so auf alles klicken was nicht bei drei auf dem Baum ist, keine unbekannte Software ausführen, etc. Das musstest du mit Zonealarm auch, nur hat es dir da was anderes vorgegaukelt. (Stichwort Risikokompensation)

[Klaus]

he, das ist ja eine richtige beratung gewesen.

1000 Dank!

Klaus