Bevor es in diesem Kurs um ein konkretes Produkt geht, lohnt sich ein Blick auf die Gattung. Diese Lektion ist bewusst produktfrei. Sie erklärt, was eine Next-Generation-Firewall grundsätzlich tut, unabhängig davon, von welchem Hersteller sie stammt.

Paketfilter gegen Stateful Inspection

Ein einfacher Paketfilter prüft jedes Paket für sich. Er schaut auf Absender, Empfänger und Port und entscheidet dann anhand fester Regeln, ob das Paket durchgelassen wird. Jedes Paket wird dabei einzeln bewertet, ohne Gedächtnis für das, was vorher passiert ist.

Eine zustandsbehaftete Firewall, auf Englisch Stateful Inspection, geht einen Schritt weiter. Sie merkt sich, welche Verbindungen gerade erlaubt und aktiv sind. Dieses Gedächtnis heißt Zustand. Baut ein interner Rechner eine Verbindung nach draußen auf, merkt sich die Firewall diesen Zustand. Die Antwortpakete von draußen werden dann automatisch durchgelassen, weil sie zu einer bereits erlaubten Verbindung gehören. Ohne diesen Zustand müsste für jede Antwort eine eigene Regel existieren.

IDS und IPS: Erkennung und Abwehr

Ein Intrusion Detection System, kurz IDS, beobachtet den Datenverkehr und meldet auffällige Muster. Es erkennt einen Angriff, greift aber selbst nicht ein. Ein Intrusion Prevention System, kurz IPS, geht weiter und blockiert den erkannten Angriff aktiv. Der Unterschied ist also Erkennung gegen Abwehr. Beide Systeme arbeiten mit Regelsätzen, die beschreiben, wie ein Angriff aussieht.

Deep Packet Inspection

Klassische Firewalls schauen nur auf die Kopfdaten eines Pakets: Absender, Empfänger, Port. Deep Packet Inspection, kurz DPI, schaut zusätzlich in den eigentlichen Inhalt des Pakets hinein. So lässt sich erkennen, welche Anwendung wirklich hinter einer Verbindung steckt, unabhängig vom verwendeten Port. Verschlüsselung erschwert diese Analyse erheblich. Ist der Inhalt eines Pakets verschlüsselt, kann DPI den Inhalt nicht mehr direkt lesen. Moderne Systeme behelfen sich dann mit Metadaten und mit gezielter Entschlüsselung, die eigene Grenzen und eigene Kosten hat.

Proxy und Reverse Proxy

Ein Proxy steht zwischen den eigenen Rechnern und dem Internet. Er nimmt Anfragen aus dem eigenen Netz entgegen, prüft sie und leitet sie im Namen des Nutzers weiter. Ein Reverse Proxy funktioniert umgekehrt. Er steht vor einem eigenen Dienst, etwa einem Webserver, und nimmt Anfragen von außen entgegen, bevor er sie an den eigentlichen Server im Inneren weiterreicht. So bleibt der eigentliche Server nach außen verborgen.

VPN als Kanal, nicht als Schutz

Ein Virtual Private Network, kurz VPN, verschlüsselt die Verbindung zwischen zwei Punkten. Es schafft einen sicheren Kanal durch ein unsicheres Netz wie das Internet. Ein VPN schützt aber nur den Transportweg. Was am Ende des Kanals passiert, entscheidet das Endgerät selbst. Ist ein Rechner am Ende des VPN-Tunnels bereits mit Schadsoftware infiziert, schützt das VPN davor nicht.

Merksatz: Ein Zustand merkt sich, dass ein Paket zu einer bereits erlaubten Verbindung gehört. Ohne diesen Zustand müsste jedes Paket einzeln geprüft werden.

Merksatz: Ein VPN schützt den Transport, nicht das Endgerät.

AIMdefense-Bezug

AIMdefense vereint alle diese Bausteine in einer Software: zustandsbehaftete Filterung, IDS und IPS, Deep Packet Inspection, Proxy und Reverse Proxy sowie VPN. Wie genau, zeigen die folgenden Lektionen dieses Kurses.