Vorsorge ist besser

Firewall-Meldungen analysiert

Nur die Firewall-Meldungen analysiert FWLogwatch [13]. Das Programm kann von seiner Homepage als RPM-Paket heruntergeladen werden, einige Distributionen liefern es von Haus aus mit.

FWLogwatch kennt drei verschiedene Modi (Zusammenfassung, Bericht und Echtzeitantwort), die der Anwender in der Konfigurationsdatei auswählt. Der Zusammenfassungsmodus erzeugt aus mehreren tausend Firewall-Protokolleinträgen in wenigen Sekunden eine Übersicht. So erhält der Anwender einen Überblick über die Situation seiner Firewall in den letzten Stunden und darüber, welche IP-Adressen die Firewall-Regeln am häufigsten verletzen.

Im Berichtsmodus generiert FWLogwatch für jeden Angriff automatisch eine E-Mail, die das Tool an den Administrator des "angreifenden" Rechners sendet, um ihn über das Unwesen zu informieren, das von seinem Computer bzw. seinem Netzwerk ausgeht. Häufig ist er selbst für den Angriff nicht verantwortlich, sondern selbst Opfer eines dritten Angreifers. Allerdings sollte man diesen Modus mit Vorsicht einsetzen.

Am interessantesten ist der Echtzeitmodus. Hier beobachtet FWLogwatch die Protokolle in Echtzeit und kann bei einem Angriff direkt eine E-Mail versenden. Zu diesem Zweck definiert der Administrator einen Schwellwert, bei dessen Überschreiten ein Skript aufgerufen wird. Eine Beispielkonfiguration in der Datei /etc/fwlogwatch.config zeigt Listing 5.

realtime_response = yes
parser = n
run_as = fwloguser
alert_threshold = 5
notify = yes
notification_script = /usr/sbin/fwlw_notify
server_status = yes
bind_to = 192.168.0.1
listen_port = 8888
status_user = ralf
status_password = gieOlzYkkk9sQ
refresh = 10

Dabei aktiviert realtime_response = yes den Echtzeitmodus. Da FWLogwatch die Meldungen vieler verschiedener Firewall-Werkzeuge auswerten kann, wählt man den Netfilter/IPTables-Modus für die Linux-Kernel-Firewall mit parser = n aus.

Dank run_as = fwloguser läuft FWLogwatch mit den Rechten des weniger privilegierten Benutzers fwloguser. Dieser User muss natürlich existieren (also bei der Installation angelegt werden) und Leserechte für die Protokolldatei /var/log/messages besitzen.

alert_threshold definiert die Anzahl der Ereignisse, die eine Benachrichtigung auslösen. notify = yes und notification_script = ... veranlassen mit Hilfe des angegebenen Skripts (im Beispiel /usr/sbin/fwlw_notify) eine Nachricht an den Administrator.

Zusätzlich startet FWLogwatch im Echtzeitmodus einen Webserver (server_status = yes), der den Zugriff auf die aktuelle Situation der Firewall über die IP-Adresse 192.168.0.1 (bind_to) und den Port 8888 (listen_port) erlaubt (Abbildung 2). Dazu verbindet sich der Anwender mit einem Webbrowser mit http://192.168.0.1:8888 und meldet sich als Benutzer ralf (status_user) mit seinem Kennwort (status_password) an. Das Passwort kann mit dem Befehl htpasswd -n ralf erzeugt werden.

FWLogwatch sollte nun nach jedem Rechnerneustart zu Diensten stehen. Bei der Red-Hat-Distribution aktiviert man das Programm zum Beispiel mit dem Befehl

chkconfig fwlogwatch on

Manuell lässt sich FWLogwatch mit dem Befehl /etc/init.d/fwlogwatch start aufrufen.

Abbildung 2: FWLogwatch bringt einen eigenen Webserver mit, über den sich der aktuelle Zustand der Firewall abfragen lässt.

Alle diese Vorsichtsmaßnahmen schützen jedoch nur vor aktiven Angriffen von außen. Häufig erfolgen Attacken aber über Trojaner und Viren, die der Angreifer mit Hilfe des Anwenders einschleust. So lockt der Angreifer arglose Benutzer auf eine bestimmte Webseite, auf der er ein neues Programm anbietet. Diese Software installiert gleichzeitig einen Trojaner, der anschließend die Verbindung zum Angreifer aufbaut.

Unter Linux ist das Einspielen derartiger Software zum Glück nur mit root-Privilegien möglich. Wenn der Linux-Administrator darauf achtet, nur Software aus vertrauenswürdigen Quellen zu installieren und nicht mit dem root-Konto im Internet zu kommunizieren, ist die Gefahr recht gering.

Allerdings schützt auch ein allzeit aktuell gehaltenes System nicht vor Attacken, die bislang nicht bekannte Sicherheitslücken ausnutzen. Daher kann es trotzdem immer noch zu Angriffen und erfolgreichen Einbrüchen kommen. In einer der nächsten Ausgaben zeigen wir, wie man Einbrechern auf die Schliche kommt und was im Falle eines Angriffs zu tun ist.