Personal Firewalls taugen nix

[Ragnarök]

@all,

liegt das Problem nicht hinter dem Bildschirm? Wenn ich überlege was für ein Stress das war meine Firewall (Sygate Pro) richtig zu konfigurieren ect., und das auch nur mit Support von einem Profi, der einem zeigt wie und welche Dienste abzuschalten sind, oder wie man richtig Ports zu konfigurieren hat. Dazu kommt der regelmäßige Aufwand alle Porgramme auf dem neuesten Stand zu halten, Updates zu fahren, Daten zu sichern.....

Einige sagen man braucht keine Firewall oder Virenscanner, nun, das kommt darauf an, was ist denn wenn man Onlinebanking macht oder für die Firma Zuhause arbeitet?

Nicht zu vergessen die Dummheit anderer DAUS, die einem jeden Scheiss per e-mail schicken mit irgendwelchen *.pps, *.doc oder *.exe files als Anhang. Mir läuft gerade in der Weihnachtszeit die Zornesröte in mein Gesicht, wenn ich sehe was für ein teilweise verseuchter Mist über Privat oder Firmenrechner versendet wird.

Fazit: Man kann den Jungs das Leben nur schwerer machen, wer will, und wer das nötige Wissen und die Werkzeuge hat kommt auch in ein System. Nur diese Jungs machen in der Regel einen Bogen um private Rechner. Wer cool darüber steht hat eh keine wichtigen Daten auf seinem Rechner, macht regelmäßig Backups oder hat eben wie ich einen Rechner offline und einen Online.

Dieser Thread ist sehr Lehrreich, und ich meine das jetzt nicht ironisch!!

Sanfte Grüße Sitown69

 

[Morgoth]

warum nur spyware? du hast selbst den phatbot erwähnt. dieser geht genau nach dem oben beschriebenen weg vor. sobald er sich eingenistet hat fängt er an daten zu sammeln und versucht sich auf eim irc server einzulogen um dort zu warten bis es neue befehele gibt. und mit dem ding kann man einen rechner wohl sehr gut fernsteuern .

Jetzt muss ich mal nachfragen, weil ich es wirklich nicht weiß. Wie kommt IRC mit NAT klar? Ist das möglich oder nur über Portforwarding?
Wenn es locker-leicht mit NAT klar kommt, hat man wirklich ein Problem. Trotzdem muss er sich erstmal einnisten, und das ist nicht ganz so einfach wenn man die gebetsmühlenartig wiederholten, einfachen Regeln befolgt.

Gruß
Morgoth

 

[Stormbilly]

Meinetwegen mag manch kritische Stimme an Hexenverbrennung oder Placebo-Effekt denken, aber ich bin immer größtenteils virenfrei durchgekommen - mit Virenscanner und Firewall. Udn ich würde auch wieterhin jedem empfehlen, eine FW zu installieren und zu betreiben.

Ja, ich würde es eigentlich auch jedem empfehlen der sich nicht auskennt.
Aber du sagst ja selbst, dass du "größtenteils virenfrei" geblieben bist. Mit FW und Virenscanner.
Ich bin absolut virenfrei geblieben ohne FW und Virenscanner. Glück sagst du? Verstand sag ich. Sicherheitspatches (nicht nur Windows) früh genug aufgespielt und keine E-Mailanhänge von dubiosen Quellen geöffnet, schon ist der Rechner sicher vor Viren.

 

[DaveStar]

Wenn ein Hacker so einen Trojaner bauen würde, dann müsste er dafür nicht in den Knast sondern in eine Psycho-Anstalt gehen, wo ihm seine Dummheit täglich mit einem Einlauf entfernt wird
Ich glaube aber, die Jungs sind clever genug, so etwas nicht auszuprobieren, man könnte nämlich an den falschen geraten.

Wieso 'würde'.
Das gibts doch alles schon längst, sollte nicht schwer sein sowas irgendwo runterzuladen.

Ausserdem seh ich nicht ganz, wieso das viel dümmer als ein 'normaler' Trojaner sein sollte. Wenn der Angegriffene ein wenig Know-How besitzt, dann ist es ihm in beiden Fällen genau gleich einfach möglich, die IP des Angreiffers herauszufinden, oder hab ich irgendwas übersehen?

Das wäre möglich, wenn sich der Portfilter auf eben der infizierten Maschine befindet. Dann könnte der Trojaner tatsächlich einen Dienst auf Port 80 starten.
Moderne PFs erkennen so etwas aber, wenn ich hier mal Siberian.Husky zitieren darf.
Gibt es aber noch eine Hardware-Firewall im Weg, nutzt das auch nichts, außer es hat der Nutzer in seiner unendlichen Dummheit tatsächlich den Port 80 auf diese Maschine gemappt, weil er ja meint, für http brauche er den.

Wie gesagt, ich kenn mich da im Detail nicht aus. Ich weiss jedoch, dass es Trojaner gibt, die mit diesen Methoden Hardware sowie Software Firewalls austricksen.
(Natürlich vorausgesetzt, der User klickt die Message weg, in der ihm die SoftwareFirewall vermeldet, dass sich sein Browser verändert hat. Aber ich würde sagen das tun die meisten, denn den neu zu installieren haben die wenigsten Lust )

 

[Siberian..Husky]

Jetzt muss ich mal nachfragen, weil ich es wirklich nicht weiß. Wie kommt IRC mit NAT klar? Ist das möglich oder nur über Portforwarding?
Wenn es locker-leicht mit NAT klar kommt, hat man wirklich ein Problem. Trotzdem muss er sich erstmal einnisten, und das ist nicht ganz so einfach wenn man die gebetsmühlenartig wiederholten, einfachen Regeln befolgt.

Gruß
Morgoth

irc kommt wunderbar mit nat klar. läuft alles über tcp und da der client zum server connected und nicht andersrum muss man auch keine ports forwarden.

 

[HotShot]

irc kommt wunderbar mit nat klar. läuft alles über tcp und da der client zum server connected und nicht andersrum muss man auch keine ports forwarden.

Wenn die Ports 6660-6669 für ausgehende Verbindungen offen sind. Es sei denn, es läuft speziell für den Trojaner irgendwo ein Server, der andere Ports verwendet. Das wiederum würde sich leichter verfolgen lassen, wäre also dumm. Bei einem Public Server (euIRC usw.) ist es schlechter zu verfolgen.

Bei meinem Router war der Standard Port nicht offen. Wenn ich also keinen IRC Client benutzen würde, könnte der Trojaner auf den IRC Standard Ports (auch auch sonstigen) nicht nach draußen.

 

[Morgoth]

Wenn die Ports 6660-6669 für ausgehende Verbindungen offen sind

Das sind sie ja prinzipiell, ich denke Du meinst das ein Portforwarding in beide Richtungen stattfinden muss.
Wenn ich also die IRC-Ports am Hardware-Router nicht durchgeschaltet habe, kann mir so ein IRC-Bot die Füße küssen.

Gruß
Morgoth

 

[Siberian..Husky]

Das sind sie ja prinzipiell, ich denke Du meinst das ein Portforwarding in beide Richtungen stattfinden muss.
Wenn ich also die IRC-Ports am Hardware-Router nicht durchgeschaltet habe, kann mir so ein IRC-Bot die Füße küssen.

Gruß
Morgoth

nein das is falsch. so ein irc bot funktioniert genauso wie ein irc client (ist um grunde ja auch nix anderes als ein irc client mit noch kram dabei ). und damit ein irc client funktioniert müssen keine ports geöffnet werden, genausowenig wie man es bei onlinegames tun muss. alle ausgehenden verbindungen sind ohne firewall auch durch nat absolut kein problem. irc ist dabei nur ein beispiel. alles was auf tcp basiert und eben vom client aus connectet funktioniert durch nat wunderbar - denn genau dafür ist es ja gemacht.

 

[Morgoth]

Einer von Euch beiden, HotShot oder Siberian, lügt dann aber. Ihr widersprecht Euch.

Ich weiß es nicht, weil ich mich nie mit IRC beschäftigt habe. Ich weiß nur, dass ich auf meinem fli4l die Ports hätte durchschalten müssen. Ob das jetzt nur für den Servereinsatz gedacht war oder auch für die Clients, kann ich nicht mehr sagen.

alles was auf tcp basiert und eben vom client aus connectet funktioniert durch nat wunderbar

Und eben genau das ist falsch. FTP in seiner ursprünglichen Variante funktioniert definitv nicht über NAT. Dafür wurde erst der passive Modus bzw. ein FTP-Proxy entwickelt.
Sollte also das IRC-Protokoll ähnlich wie FTP arbeiten, wäre NAT ein großes Problem. Scheinbar ist das aber nicht so.

Trotzdem muss man sich so einen Bot erstmal einfangen, und da gehört schon eine Menge Dusseligkeit zu.

Gruß
Morgoth

 

[HotShot]

Hier liegt wohl ein Missverständnis vor.

Für ausgehende Verbindungen ins IRC braucht man kein Port Forwarding. Das braucht man nur, wenn man Anfragen auf eingehenden Ports an eine bestimmte Adresse im LAN leiten möchte, also dann, wenn man im IRC per DCC Dateien empfangen möchte. mIRC (als Client) braucht also nur die Ports 6660-6669 um rauszukommen, den Rest erledigt NAT.

Was ich meinte, war, dass ich bei meinem Router (Billion Bipac 7500G) in der Firewall eine ausgehende (und auch eingehende) Verbindung auf diesen Ports explizit erlauben muss, sonst tut sich da gar nichts. Wenn ich also kein mIRC benutzen würde (was ich aber tue), wären die Ports von Haus aus auch abgehend dicht. Ein Trojaner, der sich dann ins IRC einloggen will, hätte keine Chance, wie du schon bemerkt hast. Ist eben eine Eigenart der Firewall meines Routers, die ich beschrieben habe. Das muss woanders nicht so sein.

Bilder sagen mehr als Worte

 

[Siberian..Husky]

Einer von Euch beiden, HotShot oder Siberian, lügt dann aber. Ihr widersprecht Euch.

Ich weiß es nicht, weil ich mich nie mit IRC beschäftigt habe. Ich weiß nur, dass ich auf meinem fli4l die Ports hätte durchschalten müssen. Ob das jetzt nur für den Servereinsatz gedacht war oder auch für die Clients, kann ich nicht mehr sagen.



Und eben genau das ist falsch. FTP in seiner ursprünglichen Variante funktioniert definitv nicht über NAT. Dafür wurde erst der passive Modus bzw. ein FTP-Proxy entwickelt.
Sollte also das IRC-Protokoll ähnlich wie FTP arbeiten, wäre NAT ein großes Problem. Scheinbar ist das aber nicht so.

nein, genau das ist richtig . und trotzdem hast du recht. der unterschied liegt hier aber bei ftp. der ftp server nutzt eine tcp verbindung zum komunizieren. über diesen werden die ftp befehle und antworten gesendet. sobald man dateien übertragen will öffnet der ftp server dafür allerdings jeweils eine neue verbindung über die dann der transfer stattfindet. das problem dabei ist das der sendekanal wiegesagt vom server geöffnet wird. beim passiv ftp wird soweit ich weiß der kanal vom client geöffnet, oder aber der komunikationskanal benutzt - da bin ich mir nicht so sicher. daher auch der name, der server bleibt passiv, öffnet also nicht selbstständig irgendwelche verbindungen.

das ist aber eine eigenart des ftp protokolls und hat mit tcp daher recht wenig zu tun, und schon garnicht kann man damit auf andere protokolle schließen die auf tcp basieren.

wiegesagt ist nat genau für tcp verbindungen erfunden worden. den diese lassen sich ganz einfach dynmaisch schalten. sobald der client eine verbindung aufbaut sieht das der router, da er ja das packet dazu weiterleitet. alle packete die nun von aussen für diese verbindung reinkommen können also an den absender des ersten packetes weitergeleitet werden, da die verbindung ja nicht weitergereicht werden kann und somit diese packete alle zum selben ende führen müssen. sobald der client die verbindung schließt sieht das der router ebenso und entfernt den entsprechenden eintrag aus der routingtabelle. solange also der client eine tcp verbindung zum server erstellt macht nat überhaubtkeine probleme. und genau das ist der fall bei irc. die ports die du da freischalten kannst sind nur für den server gedacht,

 

[Freaky01]

und es gibt sie doch die 100% firewall
http://forum.xp-portal.de/related.php?link=http://home.pages.at/heaven/absolut.htm

ansonsten nutze ich auch eine sw firewall um zu sehen welche programme raus gehen und im router ist auch eine hw firewall.
100% schutz gibt es nicht, aber was soll man auf so privat rechnern schon holen ?
und wenn da was zu holen sein sollte ( bankdaten usw. ) dann ist das ein fall von selbst schuld