Windows Firewall achter NAT nodig?

[Verwijderd]

Is jou livebox een router?

Dan heb je die firewall ook niet eens nodig die je gebruikt in Windows. Zowiezo zijn firewalls vanaf een PC behoorlijk overbodig als je achter een router zit die standaard alles dichtheeft.

[Verwijderd]

Er zijn ook routers die doodleuk standaard wagenwijd openstaan. Daarbij is een beetje extra veiligheid nooit verkeerd. Al was het maar om te monitoren of er wat raars gebeurd.

[Verwijderd]

Verwijderd schreef op vrijdag 18 januari 2008 @ 06:32:
Er zijn ook routers die doodleuk standaard wagenwijd openstaan. Daarbij is een beetje extra veiligheid nooit verkeerd. Al was het maar om te monitoren of er wat raars gebeurd.

Klopt wel , maar die test kan je vrij makkelijk doen. Genoeg over te vinden. Vindt het zelf maar hopeloos irritant een stukje softwarematige firewall achter een router die dichtstaat. Een beetje kenner weet welke poorten er openmoeten en welke juist niet. Features zoals uPnP kan je opzich uitzetten als je het niet helemaal zeker weet. Er zijn tegenwoordig ook Trojans die met uPnP overwegkunnen, en dan ben je goed zuur

[Verwijderd]

Ik vind het fijn. Soms heb ik software die contact wil leggen naar buiten, wat ik helemaal niet wil. En wat ook nergens voor nodig is. Drivers die doodleuk zonder enig overleg met de hoofdserver gaan staan babbelen. Dat soort dingen.

[Verwijderd]

De een vindt het wel fijn.. de ander niet. Ik gruwel daarom ook van paketten van Norton of Mcafee, met allerlei toeters en bellen die gaan miepen zodra er iets verbinding maakt. Nee dank je. Het is ook een frustratie opzich zo'n pakket, en vaak wordt het zelfs omzeild ook nog door 3rd party / trojans en dergelijk.

Liever een goede router met firewall functie + een op de achtergrond functionerende virusscanner, dan een softwarematige firewall alleen. Die moet je na herinstallatie ook weer configureren steeds, wat met een router niet is. Eenmaal de juiste poorten geforward en je hoeft nooit meer wat te doen eraan.

[Verwijderd]

Ik vind dat pas onzin. Norton is zeker zo slecht niet als veel mensen roepen. Het ligt er ook aan welke versie je draait. En dat omzeilen is imo schromelijk overdreven.

En ik wil juist dat ik beslis wat verbinding maakt en niemand anders. Het is normaal dat je een firewall in het begin af moet richten. Wil je die moeite niet doen dan moet je imo geen pc kopen.

Verder heb ik een router die gewoon dichtstaat behalve wat en wanneer en op welke poort enz wat ik wil.

Controle. Goede zaak. Maar ieder z'n ding.

[ Voor 6% gewijzigd door Verwijderd op 18-01-2008 07:33 ]

[Verwijderd]

Norton is zeker zo slecht niet als veel mensen roepen.

Dat klopt.

Het ligt er ook aan welke versie je draait.

En hier heb je het probleem. De standaard pakketten voor thuispc's komen met zoveel meuk en integratie in het OS / Systeem zelf dat het bijna gewoon snoeivervelend wordt. Al die methodes die in zulke paketten gestopt worden (zoals het vragen om toestemming voor een verandering in het register) zijn naar mijn weten overbodig. Maak er gewoon een stealth Antivir/Firewall combo van en waarschuw alleen wanneer dat echt nodig is.

Tuurlijk kan je dat uitzetten, maar heb je wel eens gekeken hoe diep dat zit in zulke programma's? Een avg computer-leek die snapt daar niks van, en raakt op ten duur gefrustreerd.

Desalniettemin hoort een virusscanner / firewall gewoon zijn werk te doen, en zo min mogelijk lastig te vallen, zo min mogelijk om input van de user te vragen. Ik werk zelf al bijna m'n hele leven met pc's en ik heb ondertussen wel geleerd wat wel kan en niet kan. Het is ook lastig, want je moet immers als firewall/antivir-schrijver iets aanbieden wat de rest doet overstijgen, ook wel meerwaarde.

Maar goed om dan even terug te komen op het hele onderwerp weer. Als een programma toegang naar buiten wil om wat voor een reden dan ook, dan moet hier idd een melding voor zijn, maar geen melding waarbij toeters en bellen bij komen kijken. Windows XP firewall is niet echt een optie. De melding staat er wel, maar het programma kan gewoon toegang verkrijgen.

Als je weet welke programma's en / of games draait achter een router, dan is een software-matige firewall zowiezo zinloos Teminste dat is mijn mening/ervaring, en wat de rest ermee doet is moet men zelf weten. Ook al staat er een trojan op je PC die verbindingen open probeert te zetten, zonder dat deze openstaan in de router of uPnP uit is, gebeurt er niets.

[Borromini]

Verwijderd schreef op vrijdag 18 januari 2008 @ 06:31:
Is jou livebox een router?

Dan heb je die firewall ook niet eens nodig die je gebruikt in Windows. Zowiezo zijn firewalls vanaf een PC behoorlijk overbodig als je achter een router zit die standaard alles dichtheeft.

De meeste routers zijn heel coulant met uitgaand verkeer. Spyware, botnets, etc.... Die kunnen allemaal vrolijk hun ding doen.

Verwijderd schreef op vrijdag 18 januari 2008 @ 06:40:
[...]

Vindt het zelf maar hopeloos irritant een stukje softwarematige firewall achter een router die dichtstaat.

Uiteindelijk is een router ook niet meer dan een dedicated setup voor netwerkverkeer... System on chip, met wat software erop (veel routers draaien embedded Linux, en wat draait daarop? Iptables, een software firewall ). De fabrikant plempt er dan een interface bovenop die je meestal wat inkomend verkeer laat forwarden, maar uitgaand verkeer zien ze vaak over het hoofd.

Een firewall met een makkelijke GUI is voor de meeste eindgebruikers net iets makkelijker; je hebt ook meer controle over het verkeer op je eigen pc dan op je router (tenzij je met je router overweg kan kan ik me niet voorstellen dat je ooit al de logs van dat ding gelezen hebt, als de firewall al logt).

[ Voor 53% gewijzigd door Borromini op 18-01-2008 08:43 ]

[DeMoN]

Verwijderd schreef op vrijdag 18 januari 2008 @ 07:26:
Ik vind dat pas onzin. Norton is zeker zo slecht niet als veel mensen roepen.

Stop.
Bedoel je hier niet Symantec AV i.p.v. Norton? Anyway, alle producten van Symantec brengen sowieso schaarser updates uit dan andere AV-vendors.

[Verwijderd]

DeMoN schreef op zaterdag 19 januari 2008 @ 01:11:
[...]


Stop.
Bedoel je hier niet Symantec AV i.p.v. Norton? Anyway, alle producten van Symantec brengen sowieso schaarser updates uit dan andere AV-vendors.

Nee. Symantec Corporate software is een stuk vriendelijker dan de nieuwste Norton pakketen. Maar Norton, nog van voor de overname, of iig van voor de rebranding, is ook OK. Ik gebruik NIS2002 en daar heb ik geen gezeik mee.

[F_J_K]

offtopic:
Verplaatst vanuit iexplorer zomaar op 'blocked'?, daarom is de topicstart wat abrupt.
En ja, ik moest even nadenken over een titel

[ Voor 17% gewijzigd door F_J_K op 19-01-2008 12:18 ]

[Verwijderd]

Oeh .. een eigen plekje

[Mr_gadget]

Een software matige firewall doet toch wel wat meer dan poorten dichtgooien? En sowieso moet je een aantal poorten wel hebben openstaan en die zijn kwetsbaar.

[Verwijderd]

Is dit nu een discussie over Firewalls?

Gezellig...

[DeMoN]

Ik ben trouwens van mening dat bij de gemiddelde computergebruiker softwarematige firewall sowieso useless zijn.
De mensen downloaden een P2P-programma, starten hem op en krijgen een melding over dat er een bepaalde .exe op een bepaalde poort een connectie wil gaan leggen op een bepaald IP-adres.
Weten zij veel, die drukken toch wel op 'Accept'.
In het begin krijg je dit soort vragen gewoon vaak van je firewall omdat hij nog moet leren van jouw acties, op een gegeven moment gaan de mensen dan bij alles op 'Accept' drukken omdat zij weer leren dat als ze dat niet doen hun programma niet helemaal werkt.

Mijn oma bijv. zit ook op internet, daar heb ik gewoon een router geplaatst met NAT-mogelijkheden, ook al zit er maar een PC in het 'netwerk'. Ik weet gewoon dat e-mailen al moeilijk zat voor ze is en ze een softwarematige firewall al helemaal niet gaan snappen.
Bij deze heb ik dan toch de grootste gevaren getackeld, of er moet een trojan of iets binnenkomen die gericht van binnenuit een connectie naar een vooraf vastgestelde server legt, daar doe je dan niks aan aangezien het verkeer wat dan terugkomt als 'trusted' verkeer wordt gezien door de router en hij gewoon het verkeer op die poort toestaat.

[ Voor 33% gewijzigd door DeMoN op 21-01-2008 00:17 ]

[Techneut]

En met die laatste zin sla je precies de spijker op de kop en zijn we het cirkeltje rond bij het startonderwerp. Deze beperking geldt trouwens ook voor de Windows firewall.
Dus een afzonderlijke softwarematige firewall is wel terdege een nuttige toevoeging. Bovendien is niet iedereen even alert op bedreigingen. Als ik een mail krijg met alleen al een idiote tekst als onderwerp, open ik hem niet eens, maar gaat hij meteen naar de eeuwige jachtvelden. Maar je zal ze de kost geven die zeggen "hé, toch eens even kijken" en dan tot overmaat van ramp ook nog op alle links die er in staan klikken. Vooral als daar allerlei fraais in het vooruitzicht wordt gesteld.

Kortom, ik kan me de denkwijze van TS best wel voorstellen. Waarschijnlijk is hij/zij juist wel heel ervaren en alert, waardoor veel risico's bij hem of haar niet spelen, maar het is m.i. toch een beetje te kort door de bocht.

[Verwijderd]

DeMoN heeft ook gelijk. Bij de meeste mensen bij wie ik kom thuis, denkt men ook niet eens na over welk programma ze nu toegang geven. Een voorbeeld was dat ik daar kwam en dat ik erachter zat, en zo'n firewall melding kwam over een programma SVHOST.EXE, nu snapt elke ervaren Windows NT'er en hoger, dat de enige service die zo'n naam heeft SVCHOST.EXE, en niet SVHOST.exe. Na een simpele zoektoch gaat het dan ook om een Trojan, en men klinkt domweg op allow telkens.

De beste firewall zou dan ook zijn een router die standaard alle inkomende poorten al dichtheeft. Het eerste voordeel hiervan is dat geen enkele service, PC, Trojan, of wat dan ook een inkomende connectie maken mag. Dit sluit al uit dat er een overname gedaan worden kan, of gebruikt kan worden in een botnet. Zet daarbij uPnP uit, en je bent bijna zo goed als 'safe'.

Het enige dat wel gebeuren kan is keyloggers die via HTTP/80 het e.a submitten eens in de zoveeltijd, maar daar komt een virusscanner weer bij kijken.

Over die mails. Het blijft me verbazen hoe mensen toch domweg een email openen waarbij instaat in engels gebrabbel over een speciaal document dat geopend worden moet met een wachtwoord, en die staat in de email zijnde. De meeste virusscanner kunnen al niet meer kijken door een .zip file waar een wachtwoord opstaat, en als men deze opent en het .exe uitvoert, dan is het al te laat. Vaak worden de bootrecords, of iig meest belangrijke bestanden aangetast en het systeem start dan ook niet meer op. Ik vraag me dan ook serieus af wat de lol hiervan is om iemand z'n pc plat te gooien.

Ik werk al vanaf m'n 12de met computer, en in de loop d'r jaren ben ik idd stapsgewijs wijzer geworden over dingen & zaken. Ik draai nu al een paar weken zonder virusscanner icm Windows 2000. Ik weet wat ik doe, en dat kan prima. Ik hang ook niet rond op ongure site en mijn mailserver zorgt ervoor dat mail met stomme bijlages al vanaf de server geweerd worden. Ter behoud check ik deze mail nog vaak eens per webbased mail, en download ze dan zodra deze 'safe' zijn naar m'n eigen PC. Irritante werkwijze zou je zeggen, maar als je jezelf dit eenmaal hebt aangeleerd is dit nog geen 5 minuten werk per dag.

[Techneut]

Verwijderd schreef op maandag 21 januari 2008 @ 11:55:
..... Ik vraag me dan ook serieus af wat de lol hiervan is om iemand z'n pc plat te gooien.......

Heel simpel, de zelfde categorie die het "leuk" vindt om bushaltes in elkaar te rammen.

... Ik draai nu al een paar weken zonder virusscanner icm Windows 2000. Ik weet wat ik doe, en dat kan prima. Ik hang ook niet rond op ongure site en mijn mailserver zorgt ervoor dat mail met stomme bijlages al vanaf de server geweerd worden.....

Is mijn beleid ook. De mails met bepaalde debiele onderwerpen kom ik niet eens te zien, en ik heb ook letterlijk nooit een virus of andere ongein. Toch kies ik er voor om altijd mijn "veiligheidsriemen" om te doen, ook al is de kans om besmet te worden uiterst gering of zo goed als nihil. Tenslotte kan iets volstrekt legaals wat je toegestuurd krijgt toch iets vervelends bevatten. Jij en ik zijn dan weliswaar op van alles bedacht, wederom helaas geldt dit niet voor iedereen.

Niettemin kan ik met DeMoN en jou en heel eind mee gaan, geen systeem is helemaal foolproof, en tegen bepaalde naïviteit is echt geen kruid gewassen. En dan kan ik me voorstellen dat je als je volstrekte leken helpt met installeren, dit met zo weinig mogelijk toeters en bellen doet. Hooguit geef je ze een aantal goede waarschuwingen mee.

[Verwijderd]

Verwijderd schreef op maandag 21 januari 2008 @ 11:55:

Ik draai nu al een paar weken zonder virusscanner icm Windows 2000. Ik weet wat ik doe, en dat kan prima. Ik hang ook niet rond op ongure site en mijn mailserver zorgt ervoor dat mail met stomme bijlages al vanaf de server geweerd worden. Ter behoud check ik deze mail nog vaak eens per webbased mail, en download ze dan zodra deze 'safe' zijn naar m'n eigen PC. Irritante werkwijze zou je zeggen, maar als je jezelf dit eenmaal hebt aangeleerd is dit nog geen 5 minuten werk per dag.

Juist... weer iemand die DENKT zoveel verstand van pc's te hebben dat ie geen virusscanner hoeft te draaien nooit gehoord van aanvallen vanaf internet waarbij jij als gebruiker geen enkele actie hoeft te ondernemen om besmet te raken (zoek eens op google op remote code injection)?
Zeker als je nog met Windows 2000 werkt!

Waarschijnlijk is jouw pc er dus 1 van de vele honderdduizenden die ongemerkt iedere dag op mijn spamfilter inbeukt met tig ongevraagde mails, of die als onderdeel van een prachtig botnet de site van het witte huis probeert te defacen....

Bedankt

[ Voor 0% gewijzigd door Verwijderd op 21-01-2008 18:34 . Reden: Typowww ]

[leuk_he]

Verwijderd schreef op maandag 21 januari 2008 @ 18:33:
[...]
Juist... weer iemand die DENKT zoveel verstand van pc's te hebben dat ie geen virusscanner hoeft te draaien nooit gehoord van aanvallen vanaf internet waarbij jij als gebruiker geen enkele actie hoeft te ondernemen om besmet te raken (zoek eens op google op remote code injection)?
Zeker als je nog met Windows 2000 werkt!

Ook remote code injection heeft eerst een applicatie/poort nodig om te connecten. Als die gebruiker net als de topic starter een NAT heeft staan functioneert die al als een heel aardige firewall. Als ik google op "remote code injection" vind ik heel vell php/rpc/xml spul. ALs je een php server draait heeft een virusscanner maar HEEL beperkt nut, aangezien alleen generieke vriussen exploits worden afgetest door virusscanner, geen exploits op php applicaties enzo.

Echter windows 2000 heeft als nadeel dat het geen beveiliging patches meer krijgt. Als een windows 2000 bak direct op internet wordt aangesloten in een standaard config, dan geef ik die niet zo heel veel tijd totdat hij gehackt is.

Echter MEER firewalls maken de boel niet zomaar veiliger. Zeker neit als je meer personal firewalls gaat mixen en matchen.
-Sommige firewalls heeben ook weer nieuwe exploits.
-Firewalls mixen en matchen niet altijd goed. wat ook weer verkeerde configuratie tot gevolg kan hebben.
-"klik op Ok om toegang te krijgen". Als software teveel vragen stelt train je de gebruikers alleen maar om op OK te klikken. (UAC is een voorbeeld hiervan volgnes mij)

En als laatste zie ik professioneel nog al eens applicaties/netwerken down gaan omdat er opeens beveiligd moet worden. Dat is typisch zo'n geval van operatie gelukt, patiënt (applicatie) overleden.

[GH45T]

@Q-t, veilig een pc gebruiken zonder virusscanner kan wel. Doe ik zelf ook. Gewoon een kwestie van zo min mogelijk rechten toekennen die je toch niet nodig hebt, mogelijkheden van je browser om code uit te voeren zo ver mogelijk beperken en een browser gebruiken welke niet iedereen op zijn pc heeft staan.

Hoef je lism echt niet bij voorbaat voor te beschuldigen hoor.

Verder wil ik nog even toevoegen dat een router met NAT bij lange na geen firewall is, zeker zolang zaken als uPNP in staan geschakeld vind ik het nogal overdreven om je routertje een firewall te noemen.

[Verwijderd]

GH45T schreef op maandag 21 januari 2008 @ 18:51:
@Q-t, veilig een pc gebruiken zonder virusscanner kan wel.

Riiiiight, als je hem niet koppelt aan internet (direct of indirect) wel jah...
Luister, ik bedoel dat niet lullig, maar het is wel dégelijk een groot risico, en niet alleen voor hemzelf, maar ook voor ieder ander die aan zijn bak aan internet 'hangt'.

Je kunt nog zoveel "functionaliteit" van je browser uitschakelen, maar zodra jij een slim in elkaar gedraaide site opent (verder niets, alleen openen, er hoeft maar een plaatje ingeladen te worden en dat is zelfs op bijv. www.nu.nl enige tijd geleden nog gebeurd!) kun je de sjaak zijn v.w.b. remote code injection. Met IE, met Firefox en met iedere browser die je dan wilt gebruiken, want er is er geen enkele waterdicht (behalve Lynx misschien )

En daar ben je dus zonder virusscanner, achter een router, met een dichtgetimmerde Windows-bak volledig vatbaar voor.
En dát is het probleem wat ik probeer duidelijk te maken.

[ Voor 4% gewijzigd door Verwijderd op 21-01-2008 20:33 . Reden: Aanvulling ]

[GH45T]

Verwijderd schreef op maandag 21 januari 2008 @ 20:31:
[...]


Riiiiight, als je hem niet koppelt aan internet (direct of indirect) wel jah...
Luister, ik bedoel dat niet lullig, maar het is wel dégelijk een groot risico, en niet alleen voor hemzelf, maar ook voor ieder ander die aan zijn bak aan internet 'hangt'.

Je kunt nog zoveel "functionaliteit" van je browser uitschakelen, maar zodra jij een slim in elkaar gedraaide site opent (verder niets, alleen openen, er hoeft maar een plaatje ingeladen te worden en dat is zelfs op bijv. www.nu.nl enige tijd geleden nog gebeurd!) kun je de sjaak zijn v.w.b. remote code injection. Met IE, met Firefox en met iedere browser die je dan wilt gebruiken, want er is er geen enkele waterdicht (behalve Lynx misschien )

En daar ben je dus zonder virusscanner, achter een router, met een dichtgetimmerde Windows-bak volledig vatbaar voor.
En dát is het probleem wat ik probeer duidelijk te maken.

Een volledig beveiligde bak mét virusscanner zal altijd veiliger zijn dan een volledig beveiligde bak zonder virusscanner.

Maar het is gewoon onzin om te stellen dat zaken als remote code injection per definitie niet werken op een systeem met virusscanner en per definitie wel werken op een systeem zonder virusscanner, laat staan dat een systeem zonder virusscanner ongewild e-mail gaat versturen. In mijn situatie komt die mail niet eens de deur uit.

Als je als enige op een pc werkt en weet wat je doet kun je prima zonder viruscanner werken. Stukken beter zelfs dan de gemiddelde gebruiker met virusscanner.

[Bor]

Verwijderd schreef op vrijdag 18 januari 2008 @ 06:31:
Is jou livebox een router?

Dan heb je die firewall ook niet eens nodig die je gebruikt in Windows. Zowiezo zijn firewalls vanaf een PC behoorlijk overbodig als je achter een router zit die standaard alles dichtheeft.

Een stelling die maar al te vaak voorbij komt en die in alle gevallen eigenlijk word veroorzaakt door een gebrek aan kennis of een misvatting van veiligheid. De meeste soho routers met "firewall" in de features bieden niets meer dan een simpele NAT router, eventueel aangevuld met een simpel packetfilter op netwerkniveau. Veel doen niets meer dan dat, zelfs stateful inspection is niet aanwezig. Een packetfilter is uit veiligheidsoogpunt echt basis en eigenlijk niet meer toereikend gezien de huidige stand van de techniek. Hier komt bij dat de meeste soho routers default geen enkele controle uitoefenen op uitgaand verkeer. De router kan bovendien maar controle uitvoeren tot op de netwerk en / of transport laag van het osi model. Een host based firewall kan dit tot op het hoogste niveau, namelijk de applicatie layer.

Deze discussie is overigens al vaker gevoerd, zowel hier op GoT als op de frontpage. Hetzelfde geldt voor de discussie rond het wel of niet draaien van een virusscanner Zie bv:

meuk: Comodo Firewall Pro 3.0
\[24/7] Heb ik nou echt een firewall nodig?

maar ook:

Wel of niet een virusscanner gebruiken?
Personal firewalls: discussietopic
[Virusscanners] Discussietopic deel 3
Heb je dergelijke topics al doorgelezen?

Ik draai nu al een paar weken zonder virusscanner icm Windows 2000. Ik weet wat ik doe, en dat kan prima.

Jij hebt lang niet altijd in de gaten wat wel of niet veilig is en kunt nooit handmatig de mate van controle bieden die een active on access scanner kan bieden. Laatst weer een voorval:
Virus op nieuw aangeschafte mp3 speler

Een virus op een medium waarvan je zou verwachten dat deze clean is. Het aantal besmette retail media groeit nog steeds. Onlangs zelfs een bericht over harddisks die met virus en al uit de fabriek komen rollen.

In een eerdere discussie kwam ik trouwens deze interessante post tegen (de discussie ging over NAT door een linksys vs een dedicated firewall):

Can't stress this strongly enough, A ROUTER IS NOT A FIREWALL. That said,
if they have no critical data, can handle a reasonable amount of
downtime for rebuilding their network if they're hacked, and have no money,
then maybe its not worth it, otherwise I strongly recommend putting in a
firewall. Here are a few points as to why this is better:

1) A router is designed with the idea of assisting communication, while a
firewall is designed with the idea of limiting it.

2) Firewalls can do stateful packet inspection

3) As you mentioned, firewalls have more granular control, allowing you to
control traffic both ways for example.

4) Many cheap routers have "backdoors" or "administrative passwords" which
allow the company techs to get in regardless of what you've set since, these
can often be found on warez sites.

5) The default settings on linksys routers (which can come up after a power
loss for example) are not secure.

6) Linksys routers have no logging capability.

7) NAT is no protection unless you have a method of dropping source routed
packets.

Een andere interessante posts over hetzelfde onderwerp;

This is an inaccurate statement and a faulty analogy that may well
contribute to confusing dramatically different technological concepts. The
difference between the two concepts is entirely functionally based.

Network Address Translation (NAT) comes in many flavors. But the heart of
the concept is that it's a method for mapping one IP address to another, be
it statically or dynamically. The most common variety has come to be the
overloaded version where multiple non-routable/unregistered IP addresses are
mapped to one publicly addressable/registered IP address. The reason this
is so popular is because of the relatively limited size of the registered IP
address range in IPv4 (this will hardly be a problem once IPv6 is adopted)
and thus the fact that most of us who pay for connections for our home don't
want to shell out for multiple static IP's from our ISP's as it gets
expensive because they're a somewhat scarce resource.

For a comprehensive but accessible overview of NAT, see:
http://computer.howstuffworks.com/nat.htm

Note, however, that the overloaded version is not the only implementation of
NAT. There is even a specification for static, 1:1 mappings between a set
of unregistered IP's (i.e. 192.168.1.1) and a set of registered IP's. All
traffic reaching the NAT box for a specific registered IP will be mapped to
the associated private IP address.

A firewall is commonly a piece of software or hardware that sits between two
network segments and is designed to prevent some network traffic from being
passed through it based on a specifically stated policy (paraphrased from
the wikipedia article on firewalls). Note, in the case of a software
firewall on an individual computer, the distinction between network segments
is logical only and not physical, but suffice to say that the firewall
software essentially sits between the OS's tcp/ip stack and the network
interface.

So, the difference between the NAT and Firewalls should be clear. NAT
systems are intended to map sets of IP addresses and Firewalls are intended
to actively inspect traffic and drop or allow traffic based on a
specifically formulated policy.

Using a dynamic/overloaded NAT implementation to allow a small network of
machines with non-routable addresses to access the internet via a single
routable IP address can make attacks from the outside more difficult as it
does break the concept of end to end connectivity that many network
protocols rely on, but it's not now, nor ever was it intended to be a
security measure. Depending on the implementation details and a NAT system
may still allow external access to the machines it sits in front of (this is
especially true in the case of static 1:1 mappings, but it may happen even
with the popular dynamic/overloaded implementations) Essentially, the
popular versions of NAT embody the concept of security through obscurity.
That concept has proven time and time again to be unreliable.

Now, that having been said, many of the cheap NAT boxes out there include
simple firewall implementations, but very few people actually make use of
those "advanced" settings in practice. My point, however, is and has been
that NAT and Firewalls are complimentary technological concepts but they are
intended for dramatically different purposes and neither is truly reliable
or effective at doing what the other does. -- To adapt the analogy I railed
against, you could call your NAT implementation coffee and the Firewall
cream. You might well use either separately, and they work well together
but you'd be mistaken to confuse the two.

[ Voor 61% gewijzigd door Bor op 21-01-2008 21:17 ]

[DeMoN]

Zo had ik een keer zonder virusscanner op mijn eigen PC een spambot zitten die in kernelmode draaide. Ik zag het nergens aan en dus ook net aan een 'netstat'. Alleen na syslog aanzetten op mijn router en die laten loggen naar de syslog daemon van mijn debian server zag ik hoe _gigantisch_ ik opeens stond te spammen. McAfee Enterprise geïnstalleerd, maar die vond gewoon niks. En ja, dit was de nieuwste versie.
Dus gevaarlijk is het zeker wel
Wel eens vaker gezien dit (spyware die bijv. ook in veilige modus gewoon actief blijft) dus ik wist waar ik moest zoeken, daarnaast is het mateloos interessant als je gaat kijken met tools zoals softICE wat je allemaal wel niet kunt op kernelniveau. Rootkits zijn soms echt kunstwerkjes, ook al is het iets wat eigenlijk niet zou moeten bestaan.

[Verwijderd]

Verwijderd schreef op maandag 21 januari 2008 @ 18:33:
[...]


Juist... weer iemand die DENKT zoveel verstand van pc's te hebben dat ie geen virusscanner hoeft te draaien nooit gehoord van aanvallen vanaf internet waarbij jij als gebruiker geen enkele actie hoeft te ondernemen om besmet te raken (zoek eens op google op remote code injection)?
Zeker als je nog met Windows 2000 werkt!

Waarschijnlijk is jouw pc er dus 1 van de vele honderdduizenden die ongemerkt iedere dag op mijn spamfilter inbeukt met tig ongevraagde mails, of die als onderdeel van een prachtig botnet de site van het witte huis probeert te defacen....

Bedankt

Ja schop eens een boom om ofzo? Mijn pc is helemaal niet geinjecteerd met een Trojan of een Backdoor virus, wat volgens jou onderdeel maakt van een botnet. Mehoella

Ik ben zelf werkzaam geweest als systeembeheerder, ik beveilig een gros standaard PC's binnen de familiekringen om en zelf snap ik dondersgoed als beste wat wel en niet kan op een PC. Ongure websites waarbij dit soort meuk geinstalleerd wordt, kom ik niet eens op. Op Tweakers en een paar andere handjevol websites zul je mij nergens anders ook treffen. Ik weet precies wat een remote code injection is, en als nog, dan zou je zoiets moeten merken net zoals dat met die .jpg exploit is / gaat waardoor je code kan executen, en zo'n leuke XP popup rechtsonderin die je verteld dat je spyware hebt.

Ik heb ruim 5 jaar met een redelijk sterk antivirusprogramma gewerkt, genaamd Trend micro. De enige keren dat ik een virus had was wanneer ik opzettelijk uit verveling crack.zip's ging openen voor de lol.

En dan nog, als je router voor verkeer vanaf buitenaf dichtstaat, dan heb je er niets aan. Kan je nog wel 100'en trojans installeren, maar letterlijk een overtake van je PC kan je wel schudden.

Problemen gebeuren vaak nog zelfs achter PC's waar compleet geen Router/Firewall zit. Denk aan Kabel/ADSL modems die gewoon kaal achter een PC worden geinstalleerd. Die lopen vaak voor 90% al meer risico dan een PC achter een router.

_{en om even de proef op de som te nemen heb ik op netstat een hoopje verbindingen staan die voor HTTP & MSN wijzen.}

[Bor]

Verwijderd schreef op maandag 21 januari 2008 @ 22:19:
[...]
Ja schop eens een boom om ofzo? Mijn pc is helemaal niet geinjecteerd met een Trojan of een Backdoor virus, wat volgens jou onderdeel maakt van een botnet. Mehoella

En hoe weet je dat? Meten is weten immers en daarvoor is een scanner nodig.

Ongure websites waarbij dit soort meuk geinstalleerd wordt, kom ik niet eens op. Op Tweakers en een paar andere handjevol websites zul je mij nergens anders ook treffen.

De tijd dat het goed in de gaten houden van welke websites je wel en niet bezoekt genoeg was is helaas voorbij. Denk bv aan geinfecteerde ad servers, het eerder aangehaalde voorbeeld van nieuw gekochte geinfecteerde media etc.

En dan nog, als je router voor verkeer vanaf buitenaf dichtstaat, dan heb je er niets aan. Kan je nog wel 100'en trojans installeren, maar letterlijk een overtake van je PC kan je wel schudden.

Ook dat klopt niet meer geheel gezien een eenmaal geïnfecteerde pc prima een connectie naar buiten open kan zetten. En ja, ook dit kan er voor zorgen dat men "buiten" de pc kan overnemen. Je gaat er voor het gemak aan voorbij dat een remote connectie niet altijd vanaf de remote kant geïnitieerd hoeft te worden? Bovendien geldt wederom dat de meeste routers niets anders doen dan NAT.

en om even de proef op de som te nemen heb ik op netstat een hoopje verbindingen staan die voor HTTP & MSN wijzen.

En wat als eventuele malware meelift op bv http connectie? Merk je dat dan ook nog aan de hand van netstat (zonder dus applicatie level controle)?

Bovendien: van een goed uitgevoerd remote code injection hoef jij als gebruiker helemaal niets te merken.

[ Voor 18% gewijzigd door Bor op 21-01-2008 22:29 ]

[Verwijderd]

Ik wil jou best wel eens mijn IP geven alsmede een installatie van een Trojan, en dan ben ik benieuwd in hoeverre jij deze draaiende machine over kan nemen, of gebruiken kan in een botnet of spambak.

Jij kan onmogelijk vanaf buitenaf een connectie naar een PC binnenin het netwerk bouwen, zeker als er meerdere aanwezig zijn. Hoe kan jij nou weten op welk intern IP alleen al bijv (als je de hostname op zou vragen wel wellicht op de fysieke PC) 1 van mijn PC's draait?

Aangezien ik van de week toch een thuisserver plaatsen wil ik dit weddenschap best met je aangaan wanneer ik klaar ermee ben

[Bor]

Daarin heb ik helemaal geen interesse hoor. Dat gaat mij te veel tijd kosten en bovendien beschik ik niet over bruikbare malware etc. En bovendien: als het nu niet lukt wil het natuurlijk niet zeggen dat het een slimmer iemand op een ander tijdstip niet lukt. Wederom: meten is weten. Zekerheid heb je op dit vlak helaas nooit voor 100%. Het komt gewoon neer op een goede analyse van de risico's. Wanneer jij bepaalde risico's accepteert en geen overlast veroorzaakt voor anderen is er niets aan de hand toch?

Wees je in ieder geval wel bewust van de gevaren die bepaalde beslissingen met zich mee brengen. Bij bv anti virus maatregelen zijn deze gevaren al veel minder duidelijk en voor de hand liggend gezien er niet echt een "veilige zone" is te definiëren tegenwoordig.

Wat betreft die firewall tests die je eerder linkte: je begrijpt dat dat puur poortscans zijn wat niet echt een complete firewall test is gezien ze alleen maar op poortjes kloppen om te kijken of ze dicht staan? Dit in de meeste gevallen ook alleen op TCP basis. De meeste scans laten UDP liggen.

Liever een goede router met firewall functie + een op de achtergrond functionerende virusscanner, dan een softwarematige firewall alleen. Die moet je na herinstallatie ook weer configureren steeds, wat met een router niet is. Eenmaal de juiste poorten geforward en je hoeft nooit meer wat te doen eraan.

Tja, na een complete reset van een router zul je deze ook weer opnieuw moeten configgen. Ik neem toch aan dat je backups maakt? Vrijwel elke personal firewall bied de mogelijkheid de configuratie op te slaan. Helaas bied de standaard Windows Firewall dat niet echter ook de Windows Firewall is niet meer dan een dom packet filter die alleen de inkomende connecties checked (in XP).

De proef op de som: de link naar de firewalls die je eerder hebt gepost geeft op de eerste pagina ook de volgende test: http://www.grc.com/lt/leaktest.htm

Heb je die al eens gedraaid? Ik heb zelf de proef op de som genomen en een NAT router achter een laptop geplaatst met alle poorten dicht (stealth). Het resultaat van de leaktest is failed (dwz de leaktest is passed). En dit is nog maar een heel erg simpele leaktest. Zie o.a. http://www.firewallleaktester.com/ voor meer tests.

[ Voor 52% gewijzigd door Bor op 21-01-2008 22:47 ]

[Verwijderd]

Tja, na een complete reset van een router zul je deze ook weer opnieuw moeten configgen.

Zelden dat ik mijn router reset. Ik maak ook gebruik van een modem/router combo waarbij de routerfunctie uitgeschakeld is en naar een eigen router doorlinked In die router staan weer m'n persoonlijke instellingen alsmede de juist geforwarde ports voor applicaties/services en dergelijk.

Leaktest geeft overigens 'passed' weer. Dat komt mede doordat ik nu achter een Eminent modem hang met wel de firewall aan maar verder geen rules gedefineerd. Als ik van de week hier klaar ben zal dat ongetwijfeld wel anders zijn

[Bor]

Verwijderd schreef op dinsdag 22 januari 2008 @ 01:00:
[...]


Zelden dat ik mijn router reset.

Ik neem aan dat je Windows ook maar zelden reset (opnieuw installeert dus).

Leaktest geeft overigens 'passed' weer. Dat komt mede doordat ik nu achter een Eminent modem hang met wel de firewall aan maar verder geen rules gedefineerd. Als ik van de week hier klaar ben zal dat ongetwijfeld wel anders zijn

Heb je de andere leaktests ook gedraaid? Achteraf bijstellen is natuurlijk niet de bedoeling. Dan kun je het beter op de uiteindelijke config draaien.

[Techneut]

leuk_he schreef op maandag 21 januari 2008 @ 18:49:
[...]
.....
Echter MEER firewalls maken de boel niet zomaar veiliger.........

Is ook volstrekt zinloos, ze kunnen elkaar zelfs tegenwerken en het wordt daarom absoluut afgeraden. Als je een software-firewall installeert en start, schakelt hij doorgaans automatisch de Windows firewall uit. Software-firewall en die in een router achter elkaar (ze zitten in feite ook achter elkaar en niet naast elkaar) is geen enkel probleem, het heeft geen enkele zin om de laatste uit te schakelen.

Edit:
Voor de aardigheid even die leaktest geprobeerd.
De Firewall vraagt zoals dat van hem mag worden verwacht of Leaktest toegang mag hebben. Eerste keer op "Ja" gedrukt waarna hij doodleuk zegt dat het hem lukt om mijn systeem binnen te dringen.
Tweede keer op "Nee", waarna hij me feliciteerde met het niet lukken van een poging zonder toestemming binnen te komen.
Kortom, alleen binnenkomen door aan te kloppen. Precies zoals het hoort, leuke test.

[ Voor 26% gewijzigd door Techneut op 22-01-2008 10:43 ]

[leuk_he]

Techneut schreef op dinsdag 22 januari 2008 @ 10:21:
[...]
Is ook volstrekt zinloos, ze kunnen elkaar zelfs tegenwerken en het wordt daarom absoluut afgeraden. Als je een software-firewall installeert en start, schakelt hij doorgaans automatisch de Windows firewall uit. Software-firewall en die in een router achter elkaar (ze zitten in feite ook achter elkaar en niet naast elkaar) is geen enkel probleem, het heeft geen enkele zin om de laatste uit te schakelen.

Technisch gezien kunnen meerder firewalls goed ACHTER elkaar draaien. Echter je krijgt dan te maken met 2 andere effecten:
-Je hebt een probleem en je zet een firewall te ver open, om vervolgens te ontdekken dat je probleem in de andre firewall zit. --> Instel problemen liggen op de loer. Dit hoeft uiteraard niet.
-Je zet een firewall te dicht waardoor een applicatie niet werkt. Vanuit beveiliging oogpunt is dit geen probleem (tenzij je je virus update zojuist geblockt hebt). Maar vanuit beschikbaarheid van je systeem is dit minder gewenst.

Een NAT is niet per definitie een goede firewall, maar een personal firewall die op dezelfde pc draait als de applicatie, die ook nog eens onder admin rechten draait (95% van alle XP configs) is wellicht nog een minder goed idee.

[Bor]

Techneut schreef op dinsdag 22 januari 2008 @ 10:21:
[...]
Kortom, alleen binnenkomen door aan te kloppen. Precies zoals het hoort, leuke test.

Let wel een heel erg basale test. Check de 2e link voor meer geavanceerde leaktests.

[Techneut]

Ben ik me van bewust. In het verleden reeds uitgebreid beproefd met andere test-software.