Deutsch
Menü

Firewall vs. IDS vs. IPS vs. WAF: Prüfumfang, Blockieren oder Melden, Schutzziel

Alle vier wehren Angriffe ab, die über das Netzwerk kommen, unterscheiden sich aber darin, was sie prüfen und was sie bei einem Fund tun. Eine Firewall lässt nur den Verkehr durch, den ihre Regeln anhand von IP-Adressen, Portnummern und ähnlichen Feldern erlauben. Ein IDS (Intrusion Detection System) prüft den Verkehr bis in den Inhalt, findet, was nach einem Angriff aussieht, und alarmiert Administratoren, stoppt den Verkehr aber nicht. Ein IPS (Intrusion Prevention System) sitzt im Verkehrsweg und blockiert gefundene Angriffe sofort. Eine WAF (Web Application Firewall) prüft den Inhalt von HTTP-Anfragen und blockiert Angriffe auf Webanwendungen wie SQL-Injection. Keines deckt allein alles ab, daher werden sie gemeinsam eingesetzt.

MerkmalFirewallIDSIPSWAF
Was hauptsächlich geprüft wirdQuell- und Ziel-IP-Adressen, Portnummern und Verbindungszustand (Vermittlungs- und Transportschicht); manche Produkte erkennen auch AnwendungenPaket-Header bis Inhalt (Vermittlungsschicht bis Anwendungsschicht)Wie ein IDS Paket-Header bis InhaltInhalt von HTTP- und HTTPS-Anfragen und -Antworten (Anwendungsschicht)
Platzierung zum VerkehrswegIm Weg (inline)Meist außerhalb des Wegs; erhält eine Kopie des Verkehrs über einen Mirror-Port eines Switches oder ÄhnlichesIm Weg (inline)Im Weg vor dem Webserver, als Reverse Proxy oder Cloud-Dienst
Aktion bei ErkennungBlockiert Verkehr, den die Regeln nicht erlaubenLöst einen Alarm aus und protokolliert ihn; der Verkehr selbst wird nicht gestopptBlockiert den Verkehr oder trennt die VerbindungBlockiert als Angriff eingestufte Anfragen; ein Modus, der nur erkennt und protokolliert, ist ebenfalls verbreitet
ErkennungsmethodeErlaubnis- und Sperrregeln (Adressen, Ports, Verbindungszustand)Abgleich mit bekannten Angriffsmustern (Signaturen) und Anomalieerkennung, die nach Abweichungen vom normalen Verkehr suchtWie ein IDS Signaturen und AnomalieerkennungRegeln für Angriffsmuster wie SQL-Injection und Cross-Site-Scripting sowie Regeln, die erlaubte Eingaben festlegen
Was hauptsächlich geschützt wirdEin- und Ausgänge des Netzwerks; hält nicht erlaubten Verkehr draußenÜberwachung von Netzwerken und Servern; bemerkt Anzeichen von Angriffen oder EindringenServer und Endgeräte im Netzwerk gegen bekannte AngriffeWebanwendungen gegen Angriffe, die Schwachstellen der Anwendung ausnutzen
Folgen von FehlalarmenEin Regelfehler stoppt legitimen VerkehrViele Fehlalarme begraben echte Alarme und belasten das Personal, aber der Geschäftsverkehr wird nicht gestopptEin Fehlalarm blockiert direkt legitimen Verkehr, daher ist sorgfältiges Tuning nötigLegitime Eingaben, etwa Text mit Sonderzeichen, die als Angriff eingestuft werden, lassen Aktionen der Nutzer scheitern
Beispiel für die PlatzierungAn der Grenze zwischen internem Netz und Internet, zwischen Netzwerksegmenten sowie auf jedem Server oder EndgerätIm zu überwachenden Netzwerksegment (netzwerkbasiert) oder auf einem Server (hostbasiert)An der Grenze zum Internet, etwa direkt hinter der FirewallVor einem öffentlichen Webserver
GrenzenKann Angriffe über erlaubte Ports nicht stoppen, etwa solche, die Fehler in Webanwendungen ausnutzen; hat keine Funktion zur Verschlüsselung des VerkehrsErkennt nur und kann nicht stoppen; kann TLS-verschlüsselten Verkehr nur prüfen, wenn es dort platziert ist, wo entschlüsselt werden kannUnbekannte Angriffe ohne Signatur hängen von der Anomalieerkennung ab und werden leicht übersehen; kann verschlüsselte Inhalte nicht sehen; seine Kapazität kann zum Engpass für den Verkehr werdenSchützt keinen Verkehr außerhalb des Webs; behebt die Schwachstellen der Anwendung selbst nicht

Die Zahlenwerte sind typische Größenordnungen und variieren je nach Prozessgeneration und Produkt.

Wann welche Variante?

Firewall
Die Grundmaßnahme, die in jedem Netzwerk zuerst platziert wird: nur den benötigten Verkehr erlauben und den Rest blockieren.
IDS
Wenn Anzeichen von Angriffen oder Eindringen bemerkt werden sollen, ohne zu riskieren, den Verkehr zu stoppen. Es liefert auch Aufzeichnungen für Untersuchungen.
IPS
Wenn bekannte Angriffe automatisch gestoppt werden sollen, ohne auf eine menschliche Entscheidung zu warten. Üblich ist, es zunächst im reinen Erkennungsmodus abzustimmen, bevor das Blockieren aktiviert wird, damit Fehlalarme den Geschäftsverkehr nicht stoppen.
WAF
Wenn eine Webanwendung veröffentlicht wird. Sie kann als Übergangslösung dienen, solange Korrekturen von Schwachstellen ausstehen, ersetzt aber nicht die Korrektur der Anwendung.

Häufige Fragen

Was ist der Hauptunterschied zwischen einem IDS und einem IPS?

Ob es die gefundenen Angriffe stoppt. Ein IDS prüft meist eine Kopie des Verkehrs und löst nur Alarme aus, ohne den Verkehr anzutasten. Ein IPS sitzt im Verkehrsweg und blockiert als Angriff eingestuften Verkehr sofort. Bei einem IPS blockieren Fehlalarme daher legitimen Verkehr, und es muss darauf geachtet werden, dass ein Ausfall des Geräts nicht den gesamten Verkehr stoppt. Viele Produkte können zwischen beiden Modi umschalten.

Brauche ich mit einer Firewall noch eine WAF?

Beide erfüllen unterschiedliche Aufgaben; wer eine Webanwendung veröffentlicht, setzt daher sinnvollerweise beide ein. Hat eine Firewall Verkehr zu Port 443 eines Webservers erst einmal erlaubt, unterscheidet sie nicht, ob der Inhalt legitime Anfragen oder Angriffe sind. Eine WAF prüft den Inhalt von HTTP-Anfragen und findet und blockiert Angriffsmuster wie SQL-Injection und Cross-Site-Scripting.

Kann ein IDS oder IPS verschlüsselten Verkehr prüfen?

Nicht ohne Weiteres. Um den Inhalt TLS-verschlüsselten Verkehrs zu prüfen, muss es hinter einem Gerät sitzen, das TLS terminiert (etwa einem Reverse Proxy oder einer WAF), oder das Gerät selbst muss den Verkehr zur Prüfung entschlüsseln. Ohne Entschlüsselung müssen Anomalien aus Zielen, Volumen und Zeitmustern des Verkehrs erkannt werden.

Was ist eine Next-Generation-Firewall (NGFW)?

Eine Bezeichnung für Firewalls, die in einem Gerät die klassischen Adress- und Portregeln mit Funktionen wie der Erkennung von Anwendungen anhand des Verkehrsinhalts und IPS-Funktionen kombinieren. Der Funktionsumfang unterscheidet sich je nach Produkt; daher sollte man prüfen, welche Schichten geprüft werden und was blockiert werden kann.

Verständnis prüfen

Welche Beschreibung der Grundfunktion einer Firewall (Paketfilter) ist richtig?

  1. ASie verschlüsselt die Kommunikation, um das Abhören auf dem Weg zu verhindern
  2. BSie lässt nach Regeln, die auf Quell- und Ziel-IP-Adressen, Portnummern usw. beruhen, nur erlaubten Verkehr durch und blockiert den Rest
  3. CSie verteilt eingehende Pakete auf mehrere Server, um die Verarbeitungslast zu verteilen
Antwort und Erläuterung anzeigen

Antwort: B. Sie lässt nach Regeln, die auf Quell- und Ziel-IP-Adressen, Portnummern usw. beruhen, nur erlaubten Verkehr durch und blockiert den Rest

Eine Firewall wird etwa an der Grenze zwischen internem Netzwerk und Internet platziert und erlaubt oder verweigert Verkehr nach vorab festgelegten Regeln. Eine typische Einstellung lautet: „Von außen nur Verkehr zu Port 443 des öffentlichen Webservers erlauben und alle anderen eingehenden Verbindungen ablehnen.“ Die meisten heutigen Firewalls arbeiten mit Stateful Inspection, verfolgen also den Verbindungszustand und lassen die Antwortpakete von intern begonnenen Verbindungen automatisch durch. Sie verschlüsseln nicht und werden deshalb zum Schutz des Verkehrs mit TLS oder einem VPN kombiniert. Angriffe über einen erlaubten Port (etwa solche, die Schwachstellen von Webanwendungen ausnutzen) können sie ebenfalls nicht abwehren; daher kommen weitere Maßnahmen wie eine WAF hinzu.

In einer Webanwendung kann man sich ohne Kenntnis des Passworts anmelden, wenn man im Passwortfeld des Anmeldebildschirms eine Zeichenkette wie ' OR '1'='1 eingibt. Wie heißt dieser Angriff?

  1. ASQL-Injection
  2. BCross-Site-Scripting
  3. CDirectory Traversal
Antwort und Erläuterung anzeigen

Antwort: A. SQL-Injection

Eine SQL-Injection nutzt aus, dass eine Webanwendung Datenbankbefehle (SQL-Anweisungen) zusammensetzt, indem sie Nutzereingaben einfach als Zeichenketten anfügt. Wird zum Beispiel ' OR '1'='1 dort eingefügt, wo die Bedingung „das Passwort ist gleich 'Eingabe'“ gebildet wird, schließt das Anführungszeichen die Zeichenkette, und die stets wahre Bedingung „oder '1' ist gleich '1'“ wird angehängt. Dadurch ist die Bedingung ohne Passwort erfüllt, und die Anmeldung gelingt. Auf dieselbe Weise können auch Daten gestohlen, verändert oder gelöscht werden. Die grundlegende Gegenmaßnahme ist ein Mechanismus, der Eingaben nie als Teil des Befehls interpretiert: Prepared Statements mit Platzhaltern.

Eine Webanwendung für ein Forum hatte eine Schwachstelle, durch die Skripte in von Nutzern geposteten Texten in den Browsern anderer Besucher ausgeführt wurden. Welche Kombination aus Name dieser Schwachstelle und grundlegender Gegenmaßnahme ist richtig?

  1. ASQL-Injection. Das Passwort für die Verbindung zur Datenbank verlängern
  2. BCross-Site-Scripting (XSS). Bei der Ausgabe geposteter Texte als HTML Zeichen mit besonderer Bedeutung wie < und > maskieren
  3. CCross-Site-Scripting (XSS). Die Kommunikation zwischen Server und Browser mit HTTPS verschlüsseln
Antwort und Erläuterung anzeigen

Antwort: B. Cross-Site-Scripting (XSS). Bei der Ausgabe geposteter Texte als HTML Zeichen mit besonderer Bedeutung wie < und > maskieren

Cross-Site-Scripting (XSS) ist eine Schwachstelle, bei der eine Webanwendung Nutzereingaben unverändert in HTML ausgibt, sodass ein in der Eingabe enthaltenes Skript als Teil der Seite im Browser der Besucher läuft. Da das Skript als Seite dieser Website läuft, kann es die Sitzungsinformationen der Besucher (Cookies) stehlen oder gefälschte Eingabefelder anzeigen. Die grundlegende Gegenmaßnahme ist, Zeichen mit besonderer Bedeutung wie <, >, & und Anführungszeichen je nach Ausgabekontext zu maskieren (etwa < in &lt; umzuwandeln), damit sie als gewöhnliche Zeichen angezeigt werden. Ergänzend kann man Cookies mit dem Attribut HttpOnly versehen, damit Skripte sie nicht lesen können, und mit einer Content Security Policy einschränken, welche Skripte ausgeführt werden dürfen. HTTPS schützt den Übertragungsweg und kann nicht verhindern, dass ein in eine legitime Seite eingebettetes Skript ausgeführt wird.

  1. Welche Aussage beschreibt einen Zero-Day-Angriff richtig?
  2. Welche Aussage beschreibt einen DDoS-Angriff richtig?
  3. Welche Aussage über einen Reverse Proxy ist richtig?

Übungsfragen zu Grundlagen der Informationssicherheit

Wichtige Begriffe erklärt

Portnummer
Zahl von 0 bis 65535, mit der TCP und UDP unterscheiden, für welche Anwendung auf einem Endgerät die Daten bestimmt sind. Die Ports 0–1023, etwa 80 für HTTP, 443 für HTTPS und 53 für DNS, heißen Well-known Ports.
OSI-Referenzmodell
Modell, das die Kommunikationsfunktionen in sieben Schichten gliedert: Bitübertragungsschicht, Sicherungsschicht, Vermittlungsschicht, Transportschicht, Sitzungsschicht, Darstellungsschicht und Anwendungsschicht. Es dient als gemeinsame Sprache, um die Aufgaben der einzelnen Schichten getrennt zu betrachten.
SQL-Injection
Angriff, der ausnutzt, dass eine Webanwendung SQL-Anweisungen durch einfaches Anfügen von Nutzereingaben zusammensetzt, um mit der Eingabe die Bedeutung des Befehls zu ändern und die Datenbank unbefugt zu manipulieren. Prepared Statements mit Platzhaltern sind die grundlegende Gegenmaßnahme.
Cross-Site-Scripting (XSS)
Schwachstelle, bei der eine Webanwendung Nutzereingaben unverändert in HTML ausgibt, sodass ein in der Eingabe enthaltenes Skript im Browser der Besucher als Seite dieser Website ausgeführt wird. Die grundlegende Gegenmaßnahme ist, Zeichen mit besonderer Bedeutung bei der Ausgabe zu maskieren.
Reverse Proxy
Server, der vor Webservern steht, Anfragen der Nutzer stellvertretend für die Server entgegennimmt und an einen oder mehrere dahinterliegende Server weiterleitet. Er übernimmt Aufgaben wie die zentrale Verarbeitung der HTTPS-Verschlüsselung (TLS-Terminierung), das Zwischenspeichern und Zurückgeben häufig genutzter Antworten, das Verteilen der Last auf mehrere Server und das Verbergen des Aufbaus der dahinterliegenden Server. Von einem Forward Proxy, der auf der Seite der Nutzer steht und sich für sie mit externen Websites verbindet, unterscheidet er sich durch seinen Platz und durch das, was er schützt.
TLS (Transport Layer Security)
Protokoll, das die Kommunikation verschlüsselt, Manipulationen erkennt und Server mithilfe von Zertifikaten authentifiziert. HTTPS ist durch TLS geschütztes HTTP.
Zero-Day-Angriff
Angriff, der eine Schwachstelle einer Software im Zeitraum nach ihrer Entdeckung, aber vor der Bereitstellung einer Korrektur (Patch) ausnutzt. Da Patches ihn nicht verhindern können, wird der Schaden mit mehreren Verteidigungsschichten begrenzt.

Verwandte Vergleiche