Eine öffentliche Adresse wie 203.0.113.10 zieht Verbindungsversuche an, unabhängig davon, ob ein kleines Büro einen Dienst öffentlich zugänglich machen wollte oder nicht. Ohne Firewall-Richtlinie benötigt ein Angreifer aus dem Internet lediglich die Adresse und einen offenen Pfad, um exponierte Dienste zu erreichen, nach Schwachstellen in der Konfiguration zu suchen oder Datenverkehr an interne Netzwerke zu senden. Eine Firewall ist die Grenzinstanz, die jeden Verbindungsversuch mit definierten Regeln abgleicht und den Datenverkehr entweder zulässt oder blockiert. In unserem Lab ist die erste Sicherheitsentscheidung einfach: Nur die öffentliche Web-Verbindung für den Dienst Web unter 192.168.40.10 wird zugelassen, während jeglicher sonstige, nicht angeforderte Internet-Datenverkehr abgelehnt wird. Betrachten wir nun die Netzwerke, die durch diese Entscheidung geschützt werden sollen:
Dieses Diagramm legt die Adressen und Rollen für alle nachfolgenden Regeltabellen fest. Die Firewall verwendet die Endung .1 in jedem internen Netzwerk, während 203.0.113.10 ihre zum Internet gerichtete Adresse ist. PC1 gehört zum Benutzernetzwerk, Guest1 zu einem isolierten Gastnetzwerk, und AdminPC ist die einzige Arbeitsstation, die zur Verwaltung der Firewall berechtigt ist. Der Webserver befindet sich in der DMZ – einem separaten Netzwerk für Dienste, die begrenzten Internetverkehr empfangen müssen, ohne Internet-Clients einen Zugang zum Servernetzwerk zu gewähren.
Ein Angreifer, der die WAN-Schnittstelle erreicht, darf niemals Zugriff auf File (unter 192.168.20.20) oder auf den Verzeichnis- und DNS-Server (unter 192.168.20.10) erhalten. Die Trennung dieser Systeme in VLANs schafft zwar Grenzen, doch VLANs allein entscheiden nicht darüber, welche Pakete diese Grenzen überschreiten dürfen. Diese Entscheidung trifft die Firewall anhand expliziter Regeln für den Verkehr zwischen den Netzwerken.
Regel zur Netzwerktrennung Ein Netzwerksegment schützt ein System nur dann, wenn die Firewall Datenverkehr unterbindet, für den kein geschäftlicher Zweck vorliegt.
Die fünf im Lab wiederkehrenden Datenströme ermöglichen uns konkrete Tests für jeden Firewall-Typ und Regelsatz. Guest1 benötigt für den Zugriff auf das Internet eine DNS-Auflösung; ein Gastgerät hat jedoch keinen geschäftlichen Grund, eine Windows-Dateifreigabeverbindung zu File über den TCP-Port 445 aufzubauen. PC1 hingegen benötigt diese Dateifreigabeverbindung möglicherweise. Der Zugriff aus dem Internet auf den DMZ-Webserver über TCP-Port 443 ist zulässig, während nur AdminPC auf die Firewall-Verwaltungsseite über TCP-Port 443 zugreifen können sollte.
Eine paketfilternde Firewall trifft Entscheidungen auf der Grundlage von Feldern, die in einem einzelnen Paket sichtbar sind – dazu gehören Quelladresse, Zieladresse, Protokoll und Port. Eine Regel kann beispielsweise den UDP-Port 53 für den Verkehr von Guest1 zu 8.8.8.8 erlauben oder den TCP-Port 445 für den Verkehr vom Gastnetzwerk zum Servernetzwerk blockieren. Paketfilterung ist schnell und nützlich, doch ein einzelnes Paket gibt keinen Aufschluss darüber, ob es zu einer bereits zuvor aufgebauten, legitimen Verbindung gehört.
Eine Stateful Firewall protokolliert aktive Verbindungen in einer Zustandstabelle (State Table). Wenn PC1 eine zulässige Dateifreigabeverbindung zu File initiiert, lässt die Stateful Firewall die Antwortpakete zu, da diese der protokollierten Verbindung zugeordnet werden können. Ein unaufgefordert aus dem Internet eintreffendes Paket weist keinen passenden Status auf; daher kann die Firewall es abweisen, sofern keine Regel die neue Verbindung ausdrücklich gestattet. Dieses Verhalten verhindert eine pauschale und gefährliche Regel, die jeglichen Datenverkehr aus beliebiger Richtung zulassen würde, sofern dieser wie eine Antwort auf eine Anfrage wirkt.
Eine anwendungsorientierte Firewall (Application-Aware Firewall) kann Informationen analysieren, die über reine Port- und Adressdaten hinausgehen, wie etwa HTTP-Anfragen oder DNS-Abfragen. Firewalls der nächsten Generation (Next-Generation Firewalls) kombinieren üblicherweise die zustandsorientierte Überprüfung (Stateful Inspection) mit der Analyse auf Anwendungsebene und der Bedrohungserkennung. Eine tiefgehende Analyse ersetzt jedoch keine klaren Netzwerkgrenzen. Die Firewall muss zunächst festlegen, dass das Internet den Web-Bereich über HTTPS kontaktieren darf; die Analyse hilft anschließend dabei, Datenverkehr zu identifizieren, der der bestimmungsgemäßen Nutzung dieses zulässigen Pfads widerspricht.
Welcher der fünf Datenströme darf eine Grenze passieren, und welcher muss an der Firewall gestoppt werden? Die folgende Tabelle führt die erwartete Entscheidung sowie die Gründe für eine mögliche Abweisung auf: