Fichas
IT-Sicherheit2 - VL3.4
Fichas del conjunto (14)
- 1Einschränkungen des Datenflussesverhindert unerwünschten Informationsfluss zwischen bestimmten Zonen
Allg. Use Cases: Schutz am Netzwerkrand...
Use Cases IoT: Heim- vs Gastnetz...
Typ. Abwehrmechanismen: Netzwerk-Segmentierung, Firewalls...
Typ. Angriffe: Lateral Movement, Spear-Phishing, USB-Sticks... - 2FirewallNetzwerksicherheitsgerät, das den ein- und ausgehenden Netzwerkverkehr überwacht und auf der Grundlage eines definierten Satzes von Sicherheitsregeln entscheidet, ob bestimmter Verkehr zugelassen oder blockiert werden soll
ermöglichen Netzwerksegmentierung
schützen Netzwerke (Perimeter-Firewall) oder einzelne Computer (Personal) - 3Firewall - MotivationKonzentration von Sicherheitskontrollen an einer einzigen Stelle (effizient)
leichtere Durchsetzung und Implementierung von Sicherheitsrichtlinien
Nutzung/Missbrauch kann protokolliert werden
sie können Systemzugriffe verhindern oder erlauben, DoS-Angriffe blockieren
sie können nicht vor Insidern schützen (bereits hinter Firewall), vor Zugriff über autorisierte Kanäle, andere Firewalls schützen - 4Firewall - Technologienzustandslose Paketfilter (Überwachungsrouter oder dedizierte Appliance)
zustandsbasierte Paketfilter (s.o.)
Anwendungs-Gateways (auch Proxyfilter) (Dual-Homed-/Bastion-Host oder Appliance) - 5Zustandslose PaketfilterFirewall betrachtet jedes Paket für sich basierend auf Quell-, Ziel-IP, TCP/UDP Quell-, Zielportnummern, ICMP-Nachrichtentyp, TCP SYN-, ACK-Bits
Problem: lässt auch Pakete zu, die "keinen Sinn machen" - 6Interfaces & RichtungenFirewall-Regeln gelten für jeweils ein Interface und eine Richtung
- 7Access Control List (ACL)Liste von Regeln, die von oben nach unten auf eingehende Pakete angewandt wird, bis eine Regel mit erfülltem Kriterium gefunden wurde
- 8ACL - Strategiendefault deny: nur solche Dienste werden erlaubt, die sicher bereitgestellt werden können und für die Bedarf besteht, alle anderen werden abgelehnt (oft automatisch angewandt)
default permit: alle Dienste zulassen, außer solche, die als gefährlich/gefährdet eingestuft werden (unsicherer, dafür weniger Aufwand als default deny) - 9Zustandsbasierte Paketfilterbehält Zustand jeder TCP-Verbindung
liest Verbindungsaufbau und -abbau mit
Sinnhaftigkeit der Paket wird geprüft
Timeout für inaktive Verbindungen
Erweiterung der ACL um Notwendigkeit des Prüfens der Zustandstabelle - 10Anwendungs-Gateway (Proxy-Filter)Filterung basierend auf Nutzlast von TCP- oder UDP-Segmenten
oft implementiert als Dual-Homed-Host (zwei Netzwerkschnittstellen, stellt zwei Verbindungen her (Client - Proxy ,
Proxy - Zielhost)
jedes Protokoll der Anwendungsschicht benötigt zusätzlich ein spezifisches Anwendungs-Gateway (also nicht nur UDP/TCP, sondern auch HTTP, DNS...)
mehrere Gateways auf einem physischen Host möglich - 11Bastion HostServer oder Proxy, die mit einem nicht vertrauenswürdigen Netzwerk (z.B. Internet) kommunizieren brauchen besonderen Schutz
- 12Demilitarisierte Zone (DMZ)Netzwerk durch Firewall von anderen Netzwerken isoliert
eine Firewall: dead-end-network
mehrere Firewalls: Transit-Netzwerk - 13Screened Subnet ArchitectureDMZ als Transit-Netzwerk wegen Bastion-Host (ständiges Ziel für Angriffe, daher eigene Zone, auch um bei Kompromittierung andere Knoten im gleichen Netzwerk zu schützen)
- 14Moderne FirewallSegmentiert Netzwerk in verschiedene physische oder logische DMZs
komplexe Regelsätze statt ACL
zustandsbasiert
Filterung auf verschiedenen OSI-Schichten
zusätzliche Funktionalität integrierbar (VPN, Antivirus, IDS...)
Información
- Descripción
- El usuario ha eliminado su información de asignaturas Fichas sobre IT-Sicherheit2 - VL3.4, creado por Usuario eliminado el 10/07/2024.
- Creado por
- Usuario eliminado · jul 2024
- Actualizado
- 10 jul 2024
- Visitas
- 17
- Historial
-
- Creado por B erry · 10 jul 2024
- Copiado por B erry · 10 jul 2024
- Valoración