Das können Next Generation Firewalls

Erweiterte Funktionen zur Angriffserkennung

Eingeschlossen in traditionelle Firwall-Konzepte sind ferner Funktionen zur Erkennung und Vermeidung gängiger Angriffsszenarien wie DNS- oder POP-Angriffen, Ping-of-Death, Portscan oder IP-Half-Scan. Durch DNS-Anwendungsfilter wird in der Regel der DNS-Datenverkehr zum internen Netzwerk überwacht und analysiert. Ferner können natürlich beliebig weitere eigene Filter definiert werden.

Bei Angriffen werden Alarme oder weitergehende Aktionen angestoßen. Ergänzt werden die Sicherheitsmaßnahmen um Vorkehrungen zur Vermeidung der gängigen und bekannten Angriffe. So kann etwa die Begrenzung der gleichzeitigen Verbindungen pro Sekunde oder Client verhindern, dass diese zu Kommunikations-Hosts missbraucht werden. Ist die maximal zulässige Anzahl von Verbindungen erreicht, werden alle neuen Client-Anforderungen von der Firewall abgelehnt.

Angriffe, die sich beispielsweise durch Buffer Overflows, Command Injection oder SQL-Injection ergeben, werden meist durch den HTTP-Proxy/Filter abgewehrt. Durch beliebige weitere HTTP-Filter wird der gesamte ein- und ausgehende HTTP-Verkehr überwacht. Ein anderes beliebtes Angriffsverfahren sind Buffer-Overruns - um sie abzuwehren, setzen die Hersteller meist auf die Begrenzung der Länge der URL-Requests.

Protokollierung der Aktivitäten schafft Sicherheit

Sicherheitssysteme wir Firewalls oder Intrusion Detection Systems (IDS) müssen ihre Arbeit rund um die Uhr und meist ohne permanente menschliche Kontrolle ausführen. Um dennoch Angriffe oder Unregelmäßigkeiten zu überwachen, erfolgt eine Protokollierung der Aktivitäten. Durch die nachgeschaltete oder begleitende Analyse des Netzverkehrs können so mögliche Angriffen oder Schwachstellen erkannt und hoffentlich verhindert werden.

Die Protokollierung der Firewall-Aktivitäten liefert weitere Informationen zum Datenverkehr und zu dessen Verursachern. Dazu gehören meist die IP- und Port-Adressen, die Namen von Rechnern oder Netzen, die Zugriffsregeln, die Anzahl der übertragenen Bytes und Ähnliches.