Heeft een firewall nut?

[JohnB]

Ik ben gaan twijfelen over het nut van een firewall,
daar een echte dos-attack toch door de firewall heen gaat.

[Arnout]

Zoek ff op 'firewall' via de search

[backupdevice]

ja

[bolke]

Samen met een firewall kan je ook nog intrusion detectie en virusscanners installeren.

Hiermee kan je dat soort aanvallen afvangen. Helaas niet allemaal.

[Jordi]

Op woensdag 19 december 2001 13:27 schreef Winnetou het volgende:
daar een echte dos-attack toch door de firewall heen gaat.

Nee, een DoS attack gaat (mits goed geconfigd) niet door een firewall heen. Je verbinding kan echter wel plat liggen, simpelweg omdat je COMPLETE netwerkpijp volgepropt wordt met de meest onzinnige data die er is... file op het netwerk en die hoeveelheid onzin is zo groot, dat het 'normale' netwerkverkeer er niet meer doorkan. Heeft _niks_ met jouw firewall te maken hoor
Firewalls hebben wel degelijk nut.

[Wildfire]

Waarom zou een DoS-attack door een firewall heengaan? Dat gebeurt niet hoor, de firewall blockt het. Maar ja, omdat 'ie zoveel requests krijgt is je PC alsnog zwaar belast.

Een firewall is niet alleen voor DoSjes bedoeld. Beveiliging tegen trojans en bugs in Windows is toch ook erg handig. Plus niemand kan zien dat je on-line bent omdat een goede firewall op alle poorten 'stealth' is...

[Arie]

Op woensdag 19 december 2001 15:46 schreef Brian Dickens het volgende:
Waarom zou een DoS-attack door een firewall heengaan? Dat gebeurt niet hoor, de firewall blockt het. Maar ja, omdat 'ie zoveel requests krijgt is je PC alsnog zwaar belast.

Een (D)DoS legt je verbinding plat en heeft verder niets met het Operating System en dergelijke te maken. Een personal firewall houdt een (D)DoS dan ook niet tegen aangezien het 'normaal' Internet verkeer is, alleen in een grote hoeveelheid. Het vult zeg maar je 'lijn'. Je computer blijft gewoon functioneren, alleen de 'lijn' gaat plat. Het maakt dus niet uit of je een personal firewall geïnstalleerd hebt of niet. Je bewering klopt dus niet helemaal.

Een firewall is niet alleen voor DoSjes bedoeld. Beveiliging tegen trojans en bugs in Windows is toch ook erg handig. Plus niemand kan zien dat je on-line bent omdat een goede firewall op alle poorten 'stealth' is...

Beveiliging tegen trojans is nonsense. Als jij een backdoor trojan hebt geïnstalleerd dan zijn alle requests van buitenaf daar naar toe valide, dus worden deze doorgelaten. Er zijn ook bijvoorbeeld trojans die willen verbinden naar buiten toe, dit kan door sommige personal firewalls worden opgevangen zoals ZoneAlarm. Dit is echter niet nodig als je in eerste instantie zo slim bent geweest geen trojan te installeren. Onthoud dat je alleen een trojan kan krijgen door dom gedrag van jouw eigen kant.

Een firewall beschermt ook niet tegen bugs in bijvoorbeeld Microsoft Windows. Ik vraag me af hoe jij daar aan komt. Alleen het goed patchen van je machine helpt. Ook het goed configureren van je machine is belangrijk, alleen patchen helpt dus weer niet.

Een personal firewall zorgt er niet voor dat je machine 'onzichtbaar' is. Je IP adres is nog steeds te pingen aangezien dit normaal Internet verkeer is. Wel zet een (personal) firewall poorten dicht, maar ook in de software zitten af en toe fouten wat dus weer je systeem vulnerable maakt; het blijft dus een kwestie van updaten. En welk nut heeft het een poort dicht te zetten waar toch geen service achter draait?

Een personal firewall zoals bijvoorbeeld ZoneAlarm heeft alleen nut als je 'normaal' Internet verkeer wilt kunnen zien in bepaalde gevallen en als je wilt weten welke applicaties willen connecten met 'de buiten wereld'. Let wel dat jij er altijd voor kiest of je software met spyware installeerd. Een personal firewall zoals ZoneAlarm is dus alleen dan raadzaam.

Lees ook even al mijn eerdere postings omtrent personal firewalls. Verwar ook a.u.b. niet de termen 'personal firewall' en 'firewall'; met firewall bedoelen we een dedicated machine.

[Verwijderd]

Op woensdag 19 december 2001 15:45 schreef Jotti het volgende:

[..]

Nee, een DoS attack gaat (mits goed geconfigd) niet door een firewall heen. Je verbinding kan echter wel plat liggen, simpelweg omdat je COMPLETE netwerkpijp volgepropt wordt met de meest onzinnige data die er is... file op het netwerk en die hoeveelheid onzin is zo groot, dat het 'normale' netwerkverkeer er niet meer doorkan. Heeft _niks_ met jouw firewall te maken hoor
Firewalls hebben wel degelijk nut.

uh een DoS attack kan wel degelijk door je firewall gaan. als je een DoS attack doet met valid request (bijv opvragen default.htm bij webserver). dit kan echter geen kwaad, behalve dat je zoals je al aangeeft het netwerkverkeer er niet meer doorkan en/of je server de request niet meer aankan en overzijn nek gaat (ff rebooten/service stoppen ofzo en hij doet het weer)...

ik dacht zelfs dat een DoS attack per definitie request zijn die door een firewall gaan (omdat je dat toestaat!!!).
het gevaar zit dus alleen in de hoeveelheid requests!!! (bijv 100000 pc's tegelijk elke 5 secs een request laten doen)

voor DoS heeft een firewall dan geen effect, maar zonder firewall kunnen de niet-valid request (hackers, virussen e.d.) er ook door en dat wil je niet!!!

[Verwijderd]

Op woensdag 19 december 2001 16:27 schreef Arie het volgende:

Een firewall beschermt ook niet tegen bugs in bijvoorbeeld Microsoft Windows. Ik vraag me af hoe jij daar aan komt. Alleen het goed patchen van je machine helpt. Ook het goed configureren van je machine is belangrijk, alleen patchen helpt dus weer niet.

hmmm jawel
maar dan alleen als er bijv een bug is in iis en je zet de port 80 vanaf www dicht... hiermee blijft de bug bestaan, maar kan niet meer exploited worden door een of andere hacker.

in hoeverre dit kan met een personal firewall, zal iemand moeten zeggen die dat gebruikt...

[Wildfire]

Op woensdag 19 december 2001 16:27 schreef Arie het volgende:

[..]

Beveiliging tegen trojans is nonsense. Als jij een backdoor trojan hebt geïnstalleerd dan zijn alle requests van buitenaf daar naar toe valide, dus worden deze doorgelaten.

Tenzij je dus een goede personal firewall hebt zoals ZoneAlarm die applicatie-gebaseerd werkt. Zolang de trojan geen expliciete toegang heeft om het Internet op te mogen gebeurt het ook niet.

Dit is echter niet nodig als je in eerste instantie zo slim bent geweest geen trojan te installeren.

Zelfs bij de meest oplettende persoon is het nog altijd mogelijk dat er een keer iets doorslipt. Niemand is immers feilloos.

Een firewall beschermt ook niet tegen bugs in bijvoorbeeld Microsoft Windows.

Ik had me beter moeten uitdrukken. Ik bedoelde eigenlijk meer de 'useless features', zoals het standaard opengooien van je PC voor heel de wereld (bestands- en printerdeling). Dit kun je wel zelf uitzetten, maar een goede personal firewall blokkeert standaard die poortjes.

Een personal firewall zorgt er niet voor dat je machine 'onzichtbaar' is. Je IP adres is nog steeds te pingen aangezien dit normaal Internet verkeer is.

Klopt niet. Ping me maar (IP is 212.204.152.163), je zult niet zien dat ik on-line ben. Ik bedoelde dus niet dat het IP-adres niet zichtbaar zou zijn, dat is natuurlijk altijd zichtbaar. Maar je kunt me pingen wat je wilt, je zult geen enkele reactie krijgen vanaf mijn IP.

En welk nut heeft het een poort dicht te zetten waar toch geen service achter draait?

Zodat niemand kan zien dat er überhaupt een PC aanstaat. Met een goede personal firewall wordt er helemaal geen reactie gegeven en is het net alsof de betreffende PC niet aanstaat. Terwijl zonder personal firewall sommige poorten een melding zullen geven dat ze dicht zijn, waardoor de ander weet dat de PC aanstaat. Daarnaast zorgt de zogeheten 'stealth' ervoor dat poortscanners er erg lang over doen om je IP te scannen omdat er geen replies terugkomen waardoor de poortscanner gedwongen wordt om de maximale reply-tijd af te wachten. Da's lekker irri voor die lamers...

[Arie]

Op woensdag 19 december 2001 16:42 schreef betweter het volgende:

[..]

hmmm jawel
maar dan alleen als er bijv een bug is in iis en je zet de port 80 vanaf www dicht... hiermee blijft de bug bestaan, maar kan niet meer exploited worden door een of andere hacker.

in hoeverre dit kan met een personal firewall, zal iemand moeten zeggen die dat gebruikt...

Dit is in mijn ogen geen slimme opmerking. Dit komt op hetzelfde neer als IIS tijdelijk stoppen en dit is geen echte oplossing. Waarom een personal firewall installeren als je de service ook kunt stop zetten? Daarbij komt ook nog dat ik persoonlijk geen personal firewall ken waarbij je specifiek één poort kunt dicht zetten. En zoals ik al aangaf, ook als dit wel mogelijk is, dan is het geen reden om een personal firewall te installeren.

[Wildfire]

Oh, ik kan in ZoneAlarm Pro elke willekeurige TCP of UDP poort dichtgooien hoor. Geen probleem.

[Arie]

Op woensdag 19 december 2001 16:45 schreef Brian Dickens het volgende:

[..]

Tenzij je dus een goede personal firewall hebt zoals ZoneAlarm die applicatie-gebaseerd werkt. Zolang de trojan geen expliciete toegang heeft om het Internet op te mogen gebeurt het ook niet.

Een backdoor trojan zoals ik aangaf functioneert als een service aan accepteerd alleen connecties. Een personal firewall laat deze connecties door als het normaal Internet verkeer is. Dan is er nog mijn tweede punt wat ik hieronder quote:

Er zijn ook bijvoorbeeld trojans die willen verbinden naar buiten toe, dit kan door sommige personal firewalls worden opgevangen zoals ZoneAlarm. Dit is echter niet nodig als je in eerste instantie zo slim bent geweest geen trojan te installeren. Onthoud dat je alleen een trojan kan krijgen door dom gedrag van jouw eigen kant.

In dit geval zou een personal firewall wel nut hebben, maar is dan dus bedoeld voor mensen die niet opletten wat ze doen, m.a.w. domme mensen.

Ik had me beter moeten uitdrukken. Ik bedoelde eigenlijk meer de 'useless features', zoals het standaard opengooien van je PC voor heel de wereld (bestands- en printerdeling). Dit kun je wel zelf uitzetten, maar een goede personal firewall blokkeert standaard die poortjes.

Noem mij een personal firewall welke deze valide requests blokkeren. Dit is toegestaan verkeer, dus dit wordt niet geblokkeert. Zet thuis een netwerk op en maak gebruik van File and Printer Sharing en je zult zien dat dit wordt doorgelaten.

Klopt niet. Ping me maar (IP is 212.204.152.163), je zult niet zien dat ik on-line ben. Ik bedoelde dus niet dat het IP-adres niet zichtbaar zou zijn, dat is natuurlijk altijd zichtbaar. Maar je kunt me pingen wat je wilt, je zult geen enkele reactie krijgen vanaf mijn IP.

Dit moet ik nakijken. Ik weet wel dat je een (D)DoS kunt uitvoeren op elke machine online, dit betekend dat het doorkomt ondanks dat je poorten als 'stealth' staan aangegeven. Dit zou in mijn ogen betekenen dat zo'n machine dan ook te pingen is aangezien dat ook valide verkeer is.

Zodat niemand kan zien dat er überhaupt een PC aanstaat. Met een goede personal firewall wordt er helemaal geen reactie gegeven en is het net alsof de betreffende PC niet aanstaat. Terwijl zonder personal firewall sommige poorten een melding zullen geven dat ze dicht zijn, waardoor de ander weet dat de PC aanstaat. Daarnaast zorgt de zogeheten 'stealth' ervoor dat poortscanners er erg lang over doen om je IP te scannen omdat er geen replies terugkomen waardoor de poortscanner gedwongen wordt om de maximale reply-tijd af te wachten. Da's lekker irri voor die lamers...

Wat maakt het uit of iemand weet of je machine aanstaat? Een (D)DoS is nooit random, altijd gericht. Dit betekend dus al dat anderen jouw IP adres weten. Gaat het je niet om het voorkomen van een (D)DoS, maar om het voorkomen van bijvoorbeeld poortscans; dit kan zowiezo geen kwaad als je machine gepatched is en goed is geconfigureerd.

[Arie]

Op woensdag 19 december 2001 16:56 schreef Brian Dickens het volgende:
Oh, ik kan in ZoneAlarm Pro elke willekeurige TCP of UDP poort dichtgooien hoor. Geen probleem.

Je kunt ook de services stoppen die vulnerable zijn, dit is net zo effectief als het blocken van bepaalde poorten in het geval van IIS. Waarom geld voor niets uitgeven?

[Wildfire]

Heb ik iets gezegd over geld uitgeven?

[Verwijderd]

Op woensdag 19 december 2001 16:47 schreef Arie het volgende:

[..]

Dit is in mijn ogen geen slimme opmerking. Dit komt op hetzelfde neer als IIS tijdelijk stoppen en dit is geen echte oplossing. Waarom een personal firewall installeren als je de service ook kunt stop zetten? Daarbij komt ook nog dat ik persoonlijk geen personal firewall ken waarbij je specifiek één poort kunt dicht zetten. En zoals ik al aangaf, ook als dit wel mogelijk is, dan is het geen reden om een personal firewall te installeren.

zoals in mijn verhaal staat gaat het over een firewall (dedicated) en niet over een personal firewall...

het stoppen van een service is geen optie om dat zoals in het voorbeeld genoemde iis dan ook niet meer van intern te bereiken is (zoals in het voorbeeld alleen de bedoeling was)

dus het stoppen van iis lijkt me dus een domme opmerking

overigens is het installeren van een patch die het gat dicht de beste oplossing.

[Wildfire]

Arie:

Een backdoor trojan zoals ik aangaf functioneert als een service aan accepteerd alleen connecties. Een personal firewall laat deze connecties door als het normaal Internet verkeer is

Die betreffende Trojan zou toch echt data moeten versturen naar het Internet want anders is het nogal een nutteloze Trojan. Dit zal worden onderschept door mijn firewall omdat het een proces is dat 'ie nog niet kent. Aldus wordt communicatie alsnog geblokt.

[Verwijderd]

Op woensdag 19 december 2001 17:10 schreef Brian Dickens het volgende:
Arie:
[..]

Die betreffende Trojan zou toch echt data moeten versturen naar het Internet want anders is het nogal een nutteloze Trojan. Dit zal worden onderschept door mijn firewall omdat het een proces is dat 'ie nog niet kent. Aldus wordt communicatie alsnog geblokt.

en de "domme gebruikers" die net een of andere webpagina aanklikken denken dat het daardoor komt en klikken ok, laat maar door...

[Wildfire]

Arie, ben jij toevallig 131.155.193.xx?

Iemand is namelijk een poortscan aan het uitvoeren, na begonnen te zijn met een simpele ping...

[Verwijderd]

Op woensdag 19 december 2001 17:18 schreef Brian Dickens het volgende:
Arie, ben jij toevallig 131.155.193.xx?

Iemand is namelijk een poortscan aan het uitvoeren, na begonnen te zijn met een simpele ping...

hehe... d'r komen er nog wel meer vanavond lol

[Arie]

Op woensdag 19 december 2001 17:18 schreef Brian Dickens het volgende:
Arie, ben jij toevallig 131.155.193.xx?

Iemand is namelijk een poortscan aan het uitvoeren, na begonnen te zijn met een simpele ping...

Helaas, ik ben 213.xxx.xxx.xxx

[Arie]

Op woensdag 19 december 2001 17:07 schreef betweter het volgende:

[..]

zoals in mijn verhaal staat gaat het over een firewall (dedicated) en niet over een personal firewall...

Tot nu toe is er de hele tijd gesproken over personal firewalls. In het geval van een dedicated firewall, dit heeft wel nut.

het stoppen van een service is geen optie om dat zoals in het voorbeeld genoemde iis dan ook niet meer van intern te bereiken is (zoals in het voorbeeld alleen de bedoeling was)

dus het stoppen van iis lijkt me dus een domme opmerking

Dan zou IIS zowiezo geen connecties van buitenaf moeten accepteren. In dit voorbeeld is er dus sprake van een machine die voor zowel intern als extern gebruik is. Als het intern gebruik nog steeds gewenst is, dan kan het verkeer van buitenaf toegang ontzegd worden, daar heb je geen firewall voor nodig.

overigens is het installeren van een patch die het gat dicht de beste oplossing.

Iets wat ik altijd heb gezegt en altijd zal blijven zeggen.

[Arie]

Op woensdag 19 december 2001 17:10 schreef Brian Dickens het volgende:
Arie:
[..]

Die betreffende Trojan zou toch echt data moeten versturen naar het Internet want anders is het nogal een nutteloze Trojan. Dit zal worden onderschept door mijn firewall omdat het een proces is dat 'ie nog niet kent. Aldus wordt communicatie alsnog geblokt.

Dit is een 'slapende' trojan. Deze genereerd geen verkeer, alleen als de trojan wordt aangesproken vanaf bijvoorbeeld het Internet wat valide verkeer is en dus wordt doorgelaten door je personal firewall. Communicatie wordt dus niet geblokkeerd.

[Wildfire]

ZoneAlarm laat alleen maar het verkeer door wat bedoeld is voor toegestane applicaties. Al het andere verkeer wordt geblokkeerd.

Communicatie is altijd van een applicatie of naar een applicatie (of service). Deze moeten in de applicatie-lijst van ZoneAlarm staan en indien niet, geeft ZoneAlarm een waarschuwing en kan ik het laten blokkeren.

[Verwijderd]

Ik zou zeker een firewall nemen. Ik heb zo'n 3 jaar zonder gedraait, Windows ging vaaak onderuit met 'BSOD's...' Nu heb ik een firewall, alleen nog de BSOD's die standaard in Windows zitten! (Zit namelijk in de code, Random('crash')).

[deadinspace]

Op woensdag 19 december 2001 16:59 schreef Arie het volgende:
Dit moet ik nakijken. Ik weet wel dat je een (D)DoS kunt uitvoeren op elke machine online, dit betekend dat het doorkomt ondanks dat je poorten als 'stealth' staan aangegeven. Dit zou in mijn ogen betekenen dat zo'n machine dan ook te pingen is aangezien dat ook valide verkeer is.

Je kunt hem ook pingen, alleen als hij in zijn firewall incoming ICMP echo request of outgoing ICMP echo reply blockt, krijg je nooit antwoord op je pings.

DoS staat voor Denial Of Service.
Dit houdt in dat je het normale werken van een machine verstoort door een bepaalde resource helemaal uit te putten.

Dit kun je doen met 'normaal' netwerkverkeer, bijvoorbeeld heel veel ingewikkelde DNS-lookups op een domain server. Een domain server heeft waarschijnlijk een dikke internet connectie, dus je kan veel requests doen en die computer raakt dan waarschijnlijk door zijn CPU power (of eventueel RAM) heen.
Je kunt ook proberen de internet connectie van een computer vol te douwen, en dat kan met allerlei verkeer... In principe kun je er alles voor gebruiken (http/ftp/DNS requests, whatever), maar meestal worden hiervoor pingfloods of enorme bergen random spul gebruikt, omdat deze weinig CPU-power kosten om te genereren.

Als iemand 10 mbit aan pings jouw kant opstuurt (en je hebt bijvoorbeeld chello met 1.5mbit down), dan zit je verbinding goed vol. Een firewall helpt je hier niet tegen. Een firewall kan je pings wel mooi negeren, maar voordat je firewall ze kan droppen moeten ze wel eerst over je internet connectie komen. Omdat al die 10 mbit over je 1.5 mbit verbinding wil, blijft daar *erg* weinig plaats over voor andere dingen (als surfen bijv), dus je hebt dan praktisch geen internet meer.

[deadinspace]

Op woensdag 19 december 2001 19:30 schreef jasperonline het volgende:
...alleen nog de BSOD's die standaard in Windows zitten! (Zit namelijk in de code, Random('crash')).

code:

int mouse_click_event( int something_important_is_loaded )
{
      if( random( 10 ) && something_important_is_loaded )
      {
            generate_bluescreen( random_app(), random_error() );
      }
}

Was het toch ?

[Verwijderd]

Op woensdag 19 december 2001 19:35 schreef deadinspace het volgende:

[..]

code:

int mouse_click_event( int something_important_is_loaded )
{
      if( random( 10 ) && something_important_is_loaded )
      {
            generate_bluescreen( random_app(), random_error() );
      }
}

Was het toch ?

Owh ja... vergeten