Absicherung Internetzugang

[2doc]

Eine einigermassen sichere Absicherung bzgl. internet ist nur mit Hardwarefirewall auf extra zwischengeschaltetem
Rechner (Stichwort: IPCOP endian etc.) bzw. käuflicher Firewall (deutsche)möglich:
darauf Regeln einrichten:

1. Für alle verwendeten IP-Adressen bzw. Adressräume(meist grünes Netz genannt) WAN d.h.Internet (rotes Netz) sprerren
2. für die zwingend notwendigen Verbindungen die Adressen + entsprechende Ports für die entsprechenden PCs
bzw. Adressräume freigeben

lustig was dann alles zuerst mal nicht geht....... bis die entsprechenden Regeln erstellt sind
auch updates von kleinweich etc.
Antivirusprogramme....
Labordatenübertragung übers internet
..............
d.h jeder betroffene Hersteller muss dann Adressen ob URL oder IP-Adresse und beteiligte Ports herausrücken....

allg. Liste (z.B: TM, HZV etc.) könnte man vielleich hier pflegen...

[elvito]

Hallo,

Eine einigermassen sichere Absicherung bzgl. internet ist nur mit Hardwarefirewall auf extra zwischengeschaltetem
Rechner (Stichwort: IPCOP endian etc.) bzw. käuflicher Firewall (deutsche)möglich:

Naja muss nicht immer teuer gekauft sein. Wer sich einigermaßen auskennt bzw. bereit ist sich ein bisschen einzulesen kann mit iptables (Firewall) + squid (Proxy) auf einem vorgeschalteten Raspberry pi zum gleichen evtl sogar besseren Ergebnis kommen. Kostenpunkt ca. 30,-€ + Arbeitszeit Stromverbrauch <5W. Einmal eingerichtet, einfach Image von der SD Karte ziehen (am besten auf dem praxiseigenen NAS ablegen) und fertig. Geht die SD Karte kaputt, das Image auf ne neue SD zurückspielen, reinstecken, neu booten läuft. Geht der Raspberry kaputt, einfach nen neuen kaufen oder noch besser immer einen auf Halde haben, SD Karte umstecken anschließen und fertig.

darauf Regeln einrichten:

Da wäre bei iptables folgende deutsche Doku hilfreich --> http://64-bit.de/dokumentationen/netzwe ... WTO-3.html
Wenn man das Prinzip einmal verstanden hat, kann man sich sehr leicht die perfekte Firewall aufbauen. Grundsätzlich sollte man als erstes zunächst ALLES verbieten und dann selektiv Schritt für Schritt die benötigten Adressen mit Ports freischalten. Für Anfänger ist eine graphische Oberfläche zur Erstellung der benötigten Regeln für iptables meist leichter zugänglich. Da kann man z.b. dieses hier verwenden --> http://wiki.ubuntuusers.de/Firestarter . Wenn man in der Praxis einen eigenen Mailserver oder Webserver o.ä. betreibt empfiehlt sich das Einrichten einer sogenannten DMZ-Firewall (http://www.heise.de/netze/artikel/DMZ-s ... 21656.html). Das sollte man dann aber eher einen Fachmann/Fachfrau machen lassen, da dies doch sehr komplex ist. 99% der hier lesenden brauchen eine DMZ-Firewall aber wohl nicht.

d.h jeder betroffene Hersteller muss dann Adressen ob URL oder IP-Adresse und beteiligte Ports herausrücken....

Das sollte keine große Hürde darstellen sich die Informationen selbst zu besorgen. Das kann man mit einem Portscanner sehr leicht selbst herauszufinden. --> http://de.wikipedia.org/wiki/Nmap ich würde Zenmap als GUI unter Windows dafür empfehlen --> http://nmap.org/zenmap/

allg. Liste (z.B: TM, HZV etc.) könnte man vielleich hier pflegen...

Ich mach mal den Anfang

Hier das Ergebnis des Portscans von http://www.turbomed.de mit dem Befehl

Code: Alles auswählen

nmap -T4 -A -v www.turbomed.de

(ich habe Irrelevantes mal entfernt)

Code: Alles auswählen

Starting Nmap 6.40 ( http://nmap.org ) at 2015-02-19 12:31 Mitteleuropäische Zeit

NSE: Loaded 110 scripts for scanning.

NSE: Script Pre-scanning.

Initiating Ping Scan at 12:31

Scanning www.turbomed.de (80.70.184.135) [4 ports]

Completed Ping Scan at 12:31, 0.17s elapsed (1 total hosts)

Initiating Parallel DNS resolution of 1 host. at 12:31

Completed Parallel DNS resolution of 1 host. at 12:31, 0.01s elapsed

Initiating SYN Stealth Scan at 12:31

Scanning www.turbomed.de (80.70.184.135) [1000 ports]

Discovered open port 80/tcp on 80.70.184.135

Increasing send delay for 80.70.184.135 from 0 to 5 due to 11 out of 16 dropped probes since last increase.

Discovered open port 22/tcp on 80.70.184.135

Discovered open port 21/tcp on 80.70.184.135

Discovered open port 25/tcp on 80.70.184.135

Completed SYN Stealth Scan at 12:31, 10.27s elapsed (1000 total ports)

Initiating Service scan at 12:31

Scanning 4 services on www.turbomed.de (80.70.184.135)

Completed Service scan at 12:31, 6.38s elapsed (4 services on 1 host)

Initiating OS detection (try #1) against www.turbomed.de (80.70.184.135)

Retrying OS detection (try #2) against www.turbomed.de (80.70.184.135)

Initiating Traceroute at 12:31

Completed Traceroute at 12:31, 0.04s elapsed

Initiating Parallel DNS resolution of 11 hosts. at 12:31

Completed Parallel DNS resolution of 11 hosts. at 12:31, 6.55s elapsed

NSE: Script scanning 80.70.184.135.

Initiating NSE at 12:31

Completed NSE at 12:31, 7.98s elapsed

Nmap scan report for www.turbomed.de (80.70.184.135)

Host is up (0.030s latency).

rDNS record for 80.70.184.135: host-80-70-184-135.vegasystems.de

Not shown: 993 closed ports

PORT    STATE    SERVICE      VERSION

21/tcp  open     ftp          Pure-FTPd

22/tcp  open     ssh          OpenSSH 5.3p1 Debian 3ubuntu7.1 (Ubuntu Linux; protocol 2.0)

| ssh-hostkey: 1024 82:d2:16:d3:06:02:a9:35:80:25:af:9c:ac:68:ac:d9 (DSA)

|_2048 ad:8e:91:d3:fd:63:ba:c7:0c:5d:a9:83:7b:25:b9:c7 (RSA)

25/tcp  open     smtp         Postfix smtpd

|_smtp-commands: www, PIPELINING, SIZE 10240000, VRFY, ETRN, STARTTLS, ENHANCEDSTATUSCODES, 8BITMIME, DSN, 

| ssl-cert: Subject: commonName=ubuntu

| Issuer: commonName=ubuntu

| Public Key type: rsa

| Public Key bits: 1024

| Not valid before: 2010-05-07T10:22:01+00:00

| Not valid after:  2020-05-04T10:22:01+00:00

| MD5:   7e08 c287 b65e 38c0 8402 f4af 6033 6063

|_SHA-1: 5eb1 369a 33bc 3324 da8d fe94 c22b 4d33 903f bf57

|_ssl-date: 2015-02-19T11:31:37+00:00; 0s from local time.

80/tcp  open     http         Apache httpd 2.2.14 ((Ubuntu))

|_http-favicon: Unknown favicon MD5: 802B373099CCD977E7BFAC9B37175F6E

|_http-methods: No Allow or Public header in OPTIONS response (status code 200)

|_http-title: TURBOMED - Startseite

135/tcp filtered msrpc

139/tcp filtered netbios-ssn

445/tcp filtered microsoft-ds

Aggressive OS guesses: Netgear DG834G WAP or Western Digital WD TV media player (92%), Linux 2.6.32 (91%), AXIS 210A or 211 Network Camera (Linux 2.6) (91%), Check Point VPN-1 UTM appliance (91%), Infoblox Trinzic network control appliance (91%), Linux 3.1 (91%), Linux 3.2 (91%), HP P2000 G3 NAS device (91%), Linux 2.6.32 - 2.6.35 (90%), Linux 3.7 - 3.9 (89%)

No exact OS matches for host (test conditions non-ideal).

Uptime guess: 118.871 days (since Thu Oct 23 16:37:32 2014)

Network Distance: 11 hops

TCP Sequence Prediction: Difficulty=251 (Good luck!)

IP ID Sequence Generation: All zeros

Service Info: Host:  www; OS: Linux; CPE: cpe:/o:linux:linux_kernel



TRACEROUTE (using port 1723/tcp)
....

Daran sieht man, dass die Seite http://www.turbomed.de seit dem letzten Reboot vor 118 Tagen unter der IP Adresse 80.70.184.135 (dürfte fix sein) auf einem Apache Webserver läuft, dass pureFTPd als ftp Daemon verwendet wird, dass postfix als MTA verwendet wird und dass das dafür verwendete OS Ubuntu ist. CGM hostet ihre eigene Seite nicht mal selbst sondern bedient sich dafür dieses Dienstleisters --> http://www.vegasystems.de/index.html Als für uns relevante Dienste werden nur http (Port 80) und ftp (Port 22) benötigt.

Man muss also in der Firewall die Adressen

Code: Alles auswählen

80.70.184.135:80
80.70.184.135:22

durchwinken um auf die TM Seite (http Port 80) und die Downloads (ftp Port 22) zugreifen zu können.

schönen Gruß
elvito

p.s. Nur nebenbei, was mir dabei grade auffällt... der von CGM verwendetet Webserver (Apache 2.2.14) ist nicht aktuell (2.4.12 wäre die aktuelle Version). Es sind für die 2.2.14er Version ein paar Exploits (Sicherheitslücken) bekannt, wovon mindestens einer zum Erlangen von höheren Rechten geeignet wäre --> http://www.cvedetails.com/vulnerability ... .2.14.html Das würde mir persönlich zu denken geben! Aber ist ja auch nicht mein börsennotiertes Unternehmen...

p.p.s. Der von mir (einmalig) durchgeführte Portscan wird nach aktueller Rechstsprechung (http://www.gesetze-im-internet.de/stgb/__202c.html) nicht als Angriff bewertet. Nur höchstvorsorglich, falls irgendein mitlesender Justiziar von CGM grade einen hochroten Kopf kriegen sollte

[nmndoc]

Eine einigermassen sichere Absicherung bzgl. internet ist nur mit Hardwarefirewall auf extra zwischengeschaltetem
Rechner (Stichwort: IPCOP endian etc.) bzw. käuflicher Firewall (deutsche)möglich:
darauf Regeln einrichten:

1. Für alle verwendeten IP-Adressen bzw. Adressräume(meist grünes Netz genannt) WAN d.h.Internet (rotes Netz) sprerren
2. für die zwingend notwendigen Verbindungen die Adressen + entsprechende Ports für die entsprechenden PCs
bzw. Adressräume freigeben

lustig was dann alles zuerst mal nicht geht....... bis die entsprechenden Regeln erstellt sind
auch updates von kleinweich etc.
Antivirusprogramme....
Labordatenübertragung übers internet
..............
d.h jeder betroffene Hersteller muss dann Adressen ob URL oder IP-Adresse und beteiligte Ports herausrücken....

allg. Liste (z.B: TM, HZV etc.) könnte man vielleich hier pflegen...

naja - ganz so schlimm ist es i.d. Regel nicht. Ich weiß ja meist, welche Anwendungen wichtig sind und welche davon ins Internet müssen. z.B. beim Laborabruf dachte sicher niemand dass die Daten vom Himmel fallen.
i.d. Regel werde ich auch nichts explizit sperren müssen, sondern nur die gewünschten Dinge erlauben. Wenn ein Zugriff nicht klappt (zB Labor) sehe ich im Log der Firewall ja, wohin der Zugriff geplant war und kann ihn ggf freigeben. Modernere Firewalls unterstützen auch DNS-Objekte, so dass ich zB den Aufruf von www.Turbomed.de freigeben kann, ohne die IP(s) zu kennen. Praktisch bei Anbietern die Ihren Content zB wegen Lastverteilung über einschlägige Netzwerke und damit wechselnde IPs ausliefern. Ebenfalls eine gute Option ist es, den Zugriff statt (ausschließlich) auf Client-IP-Ebene zu regeln, dies aus Basis des aktiven Benutzers zu machen. (also z.B. User "praxis" darf nur zu bestimmten Zielen, User "admin" darf auf alles).

Hallo,
p.p.s. Der von mir (einmalig) durchgeführte Portscan wird nach aktueller Rechstsprechung (http://www.gesetze-im-internet.de/stgb/__202c.html) nicht als Angriff bewertet. Nur höchstvorsorglich, falls irgendein mitlesender Justiziar von CGM grade einen hochroten Kopf kriegen sollte

Sicher? Vorsorglich würde ich mal lieber davon ausgehen, dass Ihnen die die o.g. Ergebnisse ein enrfernter Bekannter erzählt hat, der sie von einem Fremden, der ... gehört hat...

[elvito]

Hallo,

naja - ganz so schlimm ist es i.d. Regel nicht. Ich weiß ja meist, welche Anwendungen wichtig sind und welche davon ins Internet müssen. z.B. beim Laborabruf dachte sicher niemand dass die Daten vom Himmel fallen.
i.d. Regel werde ich auch nichts explizit sperren müssen, sondern nur die gewünschten Dinge erlauben. Wenn ein Zugriff nicht klappt (zB Labor) sehe ich im Log der Firewall ja, wohin der Zugriff geplant war und kann ihn ggf freigeben. Modernere Firewalls unterstützen auch DNS-Objekte, so dass ich zB den Aufruf von http://www.Turbomed.de freigeben kann, ohne die IP(s) zu kennen. Praktisch bei Anbietern die Ihren Content zB wegen Lastverteilung über einschlägige Netzwerke und damit wechselnde IPs ausliefern. Ebenfalls eine gute Option ist es, den Zugriff statt (ausschließlich) auf Client-IP-Ebene zu regeln, dies aus Basis des aktiven Benutzers zu machen. (also z.B. User "praxis" darf nur zu bestimmten Zielen, User "admin" darf auf alles).

man kann iptables natürlich auch den DNS Namen in einer Regel übergeben. Die erwähnten Hardwarefirewalls werden intern vermutlich auch allesamt iptables mit einer netten GUI aussenrum einsetzen. Das ist zur Zeit (bzw. seit Jahren), um es mit einem aktuellen Unwort zu umschreiben, "alternativlos".

Hallo,
p.p.s. Der von mir (einmalig) durchgeführte Portscan wird nach aktueller Rechstsprechung (http://www.gesetze-im-internet.de/stgb/__202c.html) nicht als Angriff bewertet. Nur höchstvorsorglich, falls irgendein mitlesender Justiziar von CGM grade einen hochroten Kopf kriegen sollte

Sicher? Vorsorglich würde ich mal lieber davon ausgehen, dass Ihnen die die o.g. Ergebnisse ein enrfernter Bekannter erzählt hat, der sie von einem Fremden, der ... gehört hat...

Ziemlich sicher Falls nein, werde ich hier natürlich genüßlich vom Verhandlungsverlauf und meiner anschließenden mehrjährigen Haftstrafe berichten. Ich bin jedoch diesbezüglich nicht nur guter Dinge, sondern auch gut (Rechtschutz) versichert.

schönen Gruß
elvito

[elvito]

Hallo,

ich habe grade gesehen, dass mir ein Fehler unterlaufen ist. Der Standardport für ftp ist natürlich 21 und nicht 22 (was der Standardport für ssh wäre).

Also muss die Freigabe in der Firewall logischwerweise:

Code: Alles auswählen

80.70.184.135:21

bzw. und/oder:

Code: Alles auswählen

ftp.turbomed.de

heißen.

schönen Gruß
elvito

[Macros]

Moin,

ich denke gerade über einen Raspberry als neue Firewall nach, finde aber momentan irgendwie nicht die Zeit dazu ...

Aber denoch, hier als Tip:
http://ipfire.com

[50jahrespaeter]

Hallo,

nicht eher http://www.ipfire.org/?

[elvito]

Hallo,

Hallo,

nicht eher http://www.ipfire.org/?

coole Sache kannte ich noch gar nicht. Das werde ich heute gleich mal in einer VM testen. In dem Zusammenhang muss ich meine Empfehlung bzgl. des Raspberry Pi wohl doch etwas einschränken --> http://www.heise.de/ct/hotline/IPFire-a ... 57444.html . Es geht wohl grundsätzlich, hat aber für eine Produktivumgebung zu sehr Bastelcharakter.

schlauer wäre vermutlich eher sowas --> http://www.amazon.de/Gigabyte-GB-BXCE-2 ... words=brix mit einer zusätzlichen Netzwerkkarte über usb z.B. --> http://www.amazon.de/CSL-Ethernet-Netzw ... tzwerk+usb um eine Lösung mit o.g. Software zu realisieren.

Alternativ kann man das Image auch virtuell auf dem Server mit zusätzlichen Netzwerkkarten (exklusiv der VM zugewiesen) laufen lassen.

Damit dürfte man immer noch günstiger fahren als mit einer "Hardwarefirewall". Die small Office Lösungen z.B. von Netgear --> http://www.amazon.de/Netgear-FVS318N-10 ... ar+prosafe sind zwar am stressfreisten (Einrichtung) und relativ billig, jedoch kommt der schwache Prozessor bei "stateful inspection" der IP Pakete (SPI) in Verbindung mit einer Internetleitung schneller als 25-50mbit (je nach Auslastung) und mehr als 5 angeschlossenen Geräten schnell an seine Grenzen. Der Effekt sind verlorene Pakete und ein geradezu obszöner Overhead im Netzwerkverkehr. Diese Fehlersuche hat mich einmal fast in den Wahnsinn getrieben. Vernünftige Profilösungen für small office fangen erst bei ca. 1000,-€ an (wobei ich jetzt auch nicht so der Hardwarekenner bin).

schönen Gruß
elvito

[Macros]

Hallo,

nicht eher http://www.ipfire.org/?

Doch ...
Kommt davon, wenn man aus dem Kopf weg schreibt.