Internet Router - optimal abschotten

[Genesis-a]

Hallo

ich bin vor kurzem zu GMX gewechselt und habe jetzt einen Siemens Gigaset SE515 dsl Router (Modem/Router/WLAN).

So also jetzt möchte ich den so weit wie möglich mal absichern. Das was der Router unter Firewall versteht ist nix anderes als ein IP Packet Filter & Content Filter.

Die wichtigsten Dienste sind :

Webbrower,Mail, ICQ, IRC.

Aja und noch einige Spiele.

Jetzt möchte ich gern von euch wissen, welche Ports ich alle sperren kann (am besten Berreiche, da das leichter zum eintippen ist).

Kann ich zb. alle Ports bis auf 21 (FTP) 80 (HTTP) und die Ports für ICQ/IRC sprerren ? Ich hab zwar schon ne Liste die alle Dienste und dazugehörigen Ports anzeigt, bloß weis ich ned, ob ich mir da ned zuviel (weg-)sperre: LINK . Ich hab auch irgendwo schon Listen gesehen in der die Ports der häuftigsten Trojane gelistet sind, ist eine Sperrung dieser Ports auch empfehlenswert ? Und ich kann natürlich auch noch die Richtung angeben ein-/ausgehend. Ich denke es ist sinnvoll die Ports auf beiden Richtungen zu sperren ?!

Gut soweit das eine.

Und das andere, das Teil kann URLs sperren, jetzt such ich also eine Liste auf der die Bekanntersten Webseiten aufgelistet sind (Porno/Dialer/Crime/...). Es langen die wichtigsten, da die alle einzeln eingetragen werden müssen *gruml*.

Ich danke im vorraus,

Genesis

[taschentoast]

Hallo,

bietest du irgendwelche Dienste auf dem Router an, die aus dem Internet erreichbar sein sollen?

Wenn nein, brauchst du die entsprechenden Ports auch nicht sperren, da dein Paketfilter (iptables?) hoffentlich richtig konfiguriert ist und per default erstmal alles REJECTed.

Danach überlegst du dir welche Portweiterleitungen du brauchst, gibst du diese Port-Bereiche im Paketfilter frei und richtest die Weiterleitung ein.

Als nächstes überprüfst du noch, ob bei den Programmen die du verwendest und die von außen erreichbar sind, Sicherheitslücken bekannt sind und hälst zuletzt ebendiese Programme ständig aktuell.

*bingo* Du hast die ersten Schritte zu einem, mit normalen Aufwand, sicheren System getan.

Als jetzt als kleines Zuckerl:

Ausgehende Verbindungen sperren ist herzlich sinnlos.

Begründung: Programme, die nach Hause telefonieren verwendet man nicht.

Trojanische Pferde fängt man sich durch eigene Schuld ein.

Ausgehender Verkehr läßt sich nicht verhindern, siehe DNS-Tunneling.

Das war die kleine Beratungsstunde mit

taschentoast

[cujo]

Ausgehende Verbindungen sperren ist herzlich sinnlos.

Begründung: Programme, die nach Hause telefonieren verwendet man nicht.

Trojanische Pferde fängt man sich durch eigene Schuld ein.

Cool Wenn man das dann noch bei allen Applikationen vorher wüsste...

Gruß, cujo

[taschentoast]

Cool Wenn man das dann noch bei allen Applikationen vorher wüsste...

Selber informieren macht schlau

Für sowas hats im Internet Security-Listen, Diskussionsforen, Newsgroups und ähnliches. Und, nicht zu vergessen: Open-Source Software.

Natürlich, da kann jede Menge Aufwand warten, aber Sicherheit (und das war ja vom Thread-Starter gefordert) war noch nie billig oder nicht aufwendig.

schönen Gruß

taschentoast

[nic_power]

Hallo,

Ausgehende Verbindungen sperren ist herzlich sinnlos.

Begründung: Programme, die nach Hause telefonieren verwendet man nicht.

Abgesehen von der bereits angesprochenen Problematik, dass man meist nicht weiss, ob ein Programm nach Hause telefoniert oder nicht (und diese Information bisweilen gar nicht oder nur mit viel Aufwand zu bekommen ist), ist die Begründung in Zusammenhang mit einem Router etwas seltsam.

Die meisten Programme verwenden http, um eine Verbindung ins Internet aufzubauen. D.h. Du müsstest auf dem Router _alle_ ausgehenden http-Verbindungen sperren, da der Router nicht erkennen kann, von welcher Anwendung die Verbindung aufgebaut wird. Wer darüber informiert sein möchte, welche Anwendungen ungefragt nach Hause telefonieren und einen Router verwendet, sollte zusätzlich eine Personal Firewall auf dem Endsystem installiert haben.

Nic

[nic_power]

Hallo,

Nein. Eine PF kann den User nicht wirklich schützen. Software die Daten raussenden _will_ sendet diese auch. Wie taschentoast richtig schrieb, hilft nur eben diese nicht zu installieren.

Servus

Gonfucius

Diese Diskussion wurde nun schon diverse male geführt. Tu mir den Gefallen und wärme nicht zum xten mal die nicht zielführende und damit sinnlose Diskussion zur Thematik "Sinn und Unsinn von Personal Firewalls" auf (dazu gibt es bereits jede Menge Threads, die Du über die Board-Suche leicht finden kannst).

Nic

PS:

Und vermeide in Zukunft die Verwendung von Abkürzungen als Antwort auf Beiträge (NACK, ACK, etc).

[Ragdalfius]

[...]

Darf ich fragen warum?

Servus

Gonfucius

Weil sie zu Verwirrungen bei Leuten führen können, die nicht alle Abkürzungen kennen...