Firewall im Router: Ist Ports schliessen sinnvoll?

[bowman]

Moin,

mir stellt sich folgende Frage: Wie kann ich verhindern, dass ein (potentielles) Schadprogramm (z.B. ein Trojaner) auf einem meiner Rechner im lokalen Netzwerk nach "draussen telefoniert"? Reicht dazu eine im Router eingebaute Firewall aus? Ich vermute, sie reicht nicht, da im Prinzip ja jeder Trojaner (die es für den Mac ja hoffentlich noch nicht gibt, ich weiss) einen unauffälligen Port (z.B. 80) zur eigenen Kommunikation nutzen könnte. Macht da das Schliessen eines Ports nach draussen überhaupt Sinn? Naiverweise würde ich am Router alle outbound-Ports schliessen die ich nicht brauche, aber angesichts o.g. Überlegungen ist das doch im Prinzip ziemlich nutzlos, oder? Gedankenfehler meinerseits? Fragen über Fragen...

Cheers,
Sigmar

 

[norbi]

ja, nutzlos, gibt ja keine Trojaner für'n Mac (auch seit der heutigen Pseudo-Meldung nicht).

No.

 

[bowman]

ja, nutzlos, gibt ja keine Trojaner für'n Mac (auch seit der heutigen Pseudo-Meldung nicht).

No.

...was macht Dich so sicher daß das so bleibt? Davon abgesehen stellt sich meine Frage auch, wenn man ein gemischtes Netzwerk betreibt.

Cheers,
Sigmar

 

[norbi]

Im Prinzip ganz einfach: wenn Du ins Netz willst, mußt Du die dafür nötigen Ports offen halten, z. B. 25+110 für E-Mail, 80 für Webserver usw.
Alle anderen kannst Du Dicht machen.
Wenn Du einen anderen Dienst benutzen willst, mußt Du den/die dafür nötigen Port(s) halt wieder aufmachen - und dann wieder dicht machen - ...

No.

 

[WoSoft]

standardmäßig arbeitet eine Firewall wie eine Reihe von Ventilen, je Port eines. Von außen sind alle Ports zu, von innen gehen alle Ports automatisch auf.
Natürlich muss eine Firewall auch die Antworten herein lassen. Dazu checkt sie aber ob die Antwort zur Anforderung passt.

 

[maba_de]

eine Hardware (DSL-Router-)Firewall wird niemals nach aussen gehende Verbindungen (auf welchen Port auch immer) unterbinden. Dazu sind die überhaupt nicht ausgelegt.
Hardware Firewalls, die das können, kosten ein Paar Euronen mehr .
Wenn Du eine Kommunikation auf bestimmten Ports unterbinden möchtest, must Du schon eine Software Firewall installieren.

 

[bowman]

eine Hardware (DSL-Router-)Firewall wird niemals nach aussen gehende Verbindungen (auf welchen Port auch immer) unterbinden. Dazu sind die überhaupt nicht ausgelegt.
Hardware Firewalls, die das können, kosten ein Paar Euronen mehr .

...hmmm, ich habe so einen (Netgear FWG114P), der war gar nicht so teuer und kann ausser Portfilterung (in- und outbound getrennt) noch ein paar nette Sachen mehr, z.B. VPN-Server spielen etc.

Wenn Du eine Kommunikation auf bestimmten Ports unterbinden möchtest, must Du schon eine Software Firewall installieren.

Wie gesagt, am Router könne ich gezieltPorts für den rausgehenden Verkehr dicht machen, aber was bringts, wenn ein Schadprogramm einfach einen Port benutzt, über den sinnvollerweise "raustelefoniert" werden darf (wie eben z.B. http über Port 80, pop3 über Port 110 usw.)?

Kann es sein daß man in solchen Fällen auf Software wie "little Snitch" angewiesen ist, die auf jedem einzelnen Rechner kontrolliert, welches *Programm* welchen Port benutzt? (m.W. ist das bei "normalen" Software-Firewalls auf Unix-Systemen unüblich, bin mir aber nicht sicher. Die beim Mac mitgelieferte Firewall kanns soweit ich weiss nicht...)

Cheers,
Sigmar

 

[bowman]

standardmäßig arbeitet eine Firewall wie eine Reihe von Ventilen, je Port eines. Von außen sind alle Ports zu, von innen gehen alle Ports automatisch auf.
Natürlich muss eine Firewall auch die Antworten herein lassen. Dazu checkt sie aber ob die Antwort zur Anforderung passt.

...und wenn die Anwort von einem Trojaner angefortert wurde, der auf diese Art gerade einen Port für sich nutzt, der eigentlich für was ganz anderes gedacht war?!

Meine Vermutung ist ganz einfach folgende: Ports unterhalb von 1024 sind Systemports, jede Software die die benutzten will muß (so meine Vermutung) mit Administrator-Rechten installiert worden sein (Richtig bis hierin?) und man kann bei der Installation entsprechend vorsicht walten lassen. Was ist aber mit der Kommunikation auf Ports oberhalb von 1024? Kann ich in meinem Home-Verzeichnis ohne Admin-Rechte Software installieren, die darüber kommuniziert (Bsp: IP-Telefonie, Netzwerkspiele etc)? Falls ja, hätten es Trojaner ziemlich einfach, die die an der Firewall freigegebenen Ports anderer Programme benutzen...

...unbequeme Vorstellung. Ich will eigentlich nur wissen, ob dies so prinzipiell möglich ist und ob es stimmt, daß eine Firewall am Router bei diesem Szenario grundsätzlich nichts hilft. ???

Cheers,
Sigmar