Was ist Firewall?
Mechanismus (Gerät oder Software), meist an einer Netzwerkgrenze platziert, der nur nach vorab festgelegten Regeln erlaubten Verkehr durchlässt und alles andere blockiert. Entschieden wird nach Quell- und Ziel-IP-Adresse, Portnummer, Protokoll, Verkehrsrichtung usw. Hauptaufgabe ist der Schutz eines internen Netzwerks vor unbefugten Verbindungen aus dem Internet.
Japanische Bezeichnung: ファイアウォール
„Firewall“ kommt in 6 Übungsfragen aus 4 Themen vor, z. B. Cyberangriffe und Abwehr in der Praxis, Grundlagen von Cloud und Containern, Grundlagen der Computernetzwerke.
Fachgebiet: Grundlagen der Informationssicherheit
Paketfilter und Stateful Inspection
Ein einfacher Paketfilter vergleicht den Header jedes Pakets von oben nach unten mit einer Regelliste und lässt das Paket gemäß der ersten passenden Regel durch oder verwirft es. Verkehr, auf den keine Regel passt, wird grundsätzlich verworfen (Default Deny). Stateful Inspection merkt sich den Zustand jeder Verbindung, einschließlich der Seite, die sie begonnen hat; Antwortverkehr zu intern begonnenen Verbindungen wird automatisch durchgelassen, unaufgefordert von außen kommender Verkehr verworfen. Produkte, die zusätzlich Anwendungen am Inhalt des Verkehrs erkennen oder Intrusion Prevention integrieren, heißen Next-Generation-Firewalls.
Platzierung und DMZ
Eine Firewall wird normalerweise dort platziert, wo das Internet auf das interne Netzwerk trifft. Server, die von außen erreichbar sein müssen, etwa Web- und Mailserver, kommen in eine separate Zone, die DMZ (demilitarisierte Zone). Vom Internet zur DMZ werden nur die nötigen Ports geöffnet, vom Internet ins interne Netzwerk wird nichts erlaubt, und Verkehr von der DMZ ins interne Netzwerk wird eingeschränkt. So breitet sich ein Schaden weniger leicht nach innen aus, selbst wenn ein öffentlicher Server übernommen wird. Neben Geräten an der Grenze gibt es hostbasierte Firewalls, die auf jedem PC und Server laufen.
Was eine Firewall allein nicht verhindert
Ist Port 443 für eine Website offen, gelangen in diesem Verkehr versteckte SQL-Injection oder Cross-Site-Scripting hindurch, sodass eine WAF nötig ist, die den Inhalt prüft. Eine Firewall kann auch kein internes Gerät aufhalten, das über einen E-Mail-Anhang oder Phishing infiziert wurde, und keinen Eindringling, der sich mit gültigen Zugangsdaten über das VPN anmeldet. Die Abwehr kombiniert daher Angriffserkennung und -abwehr (IDS/IPS), EDR zur Überwachung der Endgeräte und Zero Trust, das jeden Zugriff prüft.
Häufige Fragen
Was ist der Unterschied zwischen einer Firewall und einer WAF?
Eine Firewall entscheidet vor allem anhand von IP-Adressen und Portnummern, welcher Verkehr durchgelassen wird. Eine WAF (Web Application Firewall) prüft den Inhalt erlaubten Webverkehrs, die HTTP-Anfragen, und blockiert Angriffe wie SQL-Injection. Beide schützen verschiedene Schichten und werden daher gemeinsam eingesetzt.
Braucht man mit einer Firewall noch Virenschutz?
Ja. Eine Firewall lässt den erlaubten Verkehr durch und kann daher keine Malware aufhalten, die beim Surfen im Web oder per E-Mail kommt. Sie muss mit Malware-Schutz auf den Endgeräten oder EDR und mit Softwareupdates kombiniert werden.