Kerio Personal Firewall wird eingestellt

[pSy_bAte]

Blocken sich zwei Firewalls nicht gegenseitig?

nein

 

[madzip]

an alle firewallverweigerer mit win xp

installier doch mal ein altes xp ohne intergriertem SP2....und hängs zwecks treiberupdate ans dsl-modem... ich geb dem teil ca 50 sec. .. sasser ist immernoch ``verfügbar´´

Dann hast du einen schlechten Antivirenscanner oder gar keinen?!
Als ich noch kein SP2 hatte und der Sasser aufgetaucht ist, hat mein Antivirenprogramm (Kaspersky Antivirus) den damals per On-Access-Scanner kurzer Hand geblockt.
Daraufhin konnte ich ganz in Ruhe das nötige Update herunterladen und installieren.

 

[madzip]

nein

Sicher?
Ich habe mal einen Beitrag in einem PC-Fachmagazin (ich glaub es war die c't) gelesen, wo drin stand, dass zwei Firewalls, seien es nun zwei Software Firewalls oder eine Software-Firewall kombiniert mit einer Router-Firewall, sich gegenseitig behindern und im schlimmsten Fall sogar blocken, was zu Ineffektivität der Firewalls führt.

Ich frag deshalb, weil ich mir nicht mehr ganz sicher bin.

 

[Beffo38]

Das Problem an Softwarefirewalls ist, dass sie von einem Schadprogramm problemlos umgangen werden können. Ein solches braucht nur das Sichtbarwerden von Hinweisen zu unterbinden (bei Windows kein Problem) und einen Mausklick auf "Zulassen" zu simulieren. Einfach und wirkungsvoll. Das Konzept von Desktop-Firewalls ist einfach nicht so prickelnd, denn hierbei ist der Schutz ein Teil des zu schützenden Systems.

Ich selber benutze die Kombination Virenscanner + Router (mit einfachem Portfilter, das hält Sasser & Co schon mal vom Leib und verhindert ungewollte eingehende Verbindungen) + ein wenig Hirn beim surfen (ohne das bringt auch der beste Schutz nix). Klar, über diesen Standpunkt kann man streiten, aber ich denke, er ist nicht der schlechteste .

 

[PuckPoltergeist]

Das Problem an Softwarefirewalls ist, dass sie von einem Schadprogramm problemlos umgangen werden können. Ein solches braucht nur das Sichtbarwerden von Hinweisen zu unterbinden (bei Windows kein Problem) und einen Mausklick auf "Zulassen" zu simulieren. Einfach und wirkungsvoll. Das Konzept von Desktop-Firewalls ist einfach nicht so prickelnd, denn hierbei ist der Schutz ein Teil des zu schützenden Systems.

Dazu muss das Schadprogramm aber erstmal auf den Rechner kommen. Ohne das gehts nicht, ergo nutzt hier auch eine Softwarefirewall etwas. Gegen beschränkte Nutzer hilft sie natürlich nicht.

 

[Beffo38]

...ergo nutzt hier auch eine Softwarefirewall etwas...

Inwiefern? Überwacht eine Firewall seit neuestem, was sich ein User runterlädt? ^^

 

[Aqualon]

Inwiefern? Überwacht eine Firewall seit neuestem, was sich ein User runterlädt? ^^

Das natuerlich nicht, aber sie verhindert im Normalfall, dass sich etwas ueber eine Sicherheitsluecke von alleine runterlaedt. Natuerlich kann das auch bei Fehlern in der Firewall passieren, aber die Wahrscheinlichkeit ist da wohl geringer als bei einem ungesicherten System.

Aqua

 

[madzip]

Das natuerlich nicht, aber sie verhindert im Normalfall, dass sich etwas ueber eine Sicherheitsluecke von alleine runterlaedt.

Das kann ein guter Antivirenscanner auch. Per On-Access-Scanner, in sofern es schädlich ist, was ja in den meisten Fällen zutrifft.

 

[PuckPoltergeist]

Das kann ein guter Antivirenscanner auch. Per On-Access-Scanner.

Falsch, der Virenscanner kann bestenfalls die Ausführung blockieren, aber niemals den Download. Außerdem hast du schon verloren, wenn die Virensignatur noch nicht bekannt ist. Ein Portfilter kann jeglichen Zugriff unterbinden, so dass der Schadcode erst gar nicht auf den Rechner kommt.

 

[CapJo]

Nennen wir die "Software-Firewall" einfach "Sperre für eingehende Verbindungen" und "Socket-Überwachungs- und Kontrollprogramm" und alles ist gut

Sicherheitslücken in aktiven Diensten sind durch die Sperrung der eingehenden Verbindungen nicht erreichbar und man hat Kontrolle über die Programme die über Sockets mit der Außenwelt kommunizieren und kann dies auch unterbinden.

Ist die Zusammenfassung über Firewalls ok, die ich vor einigen Monaten erstellt habe? Was meint ihr?

Firewalls Zusammenfassung (PDF)

 

[oNyX`]

ich finde es ehrlich gesagt sehr bescheiden, die einzig wahre winfw hört auf ich hab die kerio seit v2 im einsatz und so gut wie alle anderen getestet und war mit keiner wirklich zufrieden, mit ausnahme kpf. dann muss wohl in zukunft nur noch meine iptables gegenhalten.

mfg oNyX`

 

[Sir Ulli]

Was soll's, ist doch eigentlich wurscht, ob die KPF weiterentwickelt wird, oder nicht. Die wird auch in ein paar Jahren immer noch genauso zuverlässig laufen. Ich kenne Leute, die immer noch die alte Kerio 2 benutzen und sehr zufrieden damit sind.
Nur, weil der Hersteller nicht mehr weiterentwickelt, steige ich doch nicht auf Sygate um. Die Kerio 4 ist schon sehr ausgereift.

ich habe auf meinem Esel Rechner auf noch die Version 2.03 drauf, läuft 8)

vor allen Dingen sehr ressourcenschonend.

auf meinem Athlon64 habe ich die aktuelle Version, muss schon sagen bin von dem Produkt Sehr überzeugt

mfg
Sir Ulli

 

[CharActeR]

Personal Firewalls öffnen mehr Sicherheitslücken als sie schließen. Das hat z.B. der CCC Ulm in seinen Chaos-Seminaren sehr gut erklärt.

 

[Sir Ulli]

Personal Firewalls öffnen mehr Sicherheitslücken als sie schließen. Das hat z.B. der CCC Ulm in seinen Chaos-Seminaren sehr gut erklärt.

das soll also bedeuten das ein Rechner ohne Firewall sicherer ist als mit

LOL

selten so gelacht

nichts gegen den CCC aber das ist einfach nur Quatch, das jede Firewall Sicherheitslücken hat ist bekannt ...

btw habe ich auch noch ne Hardware Firewall, sicher ist eben doch sicher

mfg
Sir Ulli

 

[PuckPoltergeist]

das soll also bedeuten das ein Rechner ohne Firewall sicherer ist als mit

LOL

selten so gelacht

nichts gegen den CCC aber das ist einfach nur Quatch, das jede Firewall Sicherheitslücken hat ist bekannt ...

btw habe ich auch noch ne Hardware Firewall, sicher ist eben doch sicher

mfg
Sir Ulli

Mach die Dienste zu, die du nicht benötigst, dann brauchst du auch keine Firewall. Mehr als n simpler Portfilter ist eh keine dieser "Firewalls".

 

[Sir Ulli]

Mach die Dienste zu, die du nicht benötigst, dann brauchst du auch keine Firewall. Mehr als n simpler Portfilter ist eh keine dieser "Firewalls".

das ist mir schon klar, habe nicht erst seit gestern nen Computer...

mfg
Sir Ulli

 

[PuckPoltergeist]

das ist mir schon klar, habe nicht erst seit gestern nen Computer...

mfg
Sir Ulli

Weshalb machst du dann solchen Quatsch mit Hardware-Firewall + PF?

 

[CharActeR]

Mach die Dienste zu, die du nicht benötigst, dann brauchst du auch keine Firewall. Mehr als n simpler Portfilter ist eh keine dieser "Firewalls".

Genau so sieht es aus.

Windows hat nach der Installation viele Türen nach außen unnötigerweise offen. Wenn man eine PF installiert, baut man noch eine Reihe Papptüren vor die offenen Türen, anstatt diese direkt zu schließen. "Vor" stimmt eigentlich nichtmal...

Ein Hardware-Router, wie er z.B. bei jedem aktuellen DSL-Angebot dabei ist, reicht vollkommen.

Zu den Diensten: ntsvcfg.de und dingens.org

Sehr informative Seiten! Ein kurzes Zitat aus dem Abschnitt zu PFs:

Personal/Desktop-Firewalls können problemlos umgangen und ausgeschaltet werden, ohne das der Benutzer davon etwas bemerkt.

Weitere Punkte sind auf den Websites zu finden.

 

[Sir Ulli]

Weshalb machst du dann solchen Quatsch mit Hardware-Firewall + PF?

ne Software Firewall ist auch imho sehr gut für verschiedene Programme die gerne nach Hause telefonieren wollen

da habe ich was gegen

Personal/Desktop-Firewalls können problemlos umgangen und ausgeschaltet werden, ohne das der Benutzer davon etwas bemerkt.

da habe ich andere Erfahrungen gemacht

ich erinnere mich dunkel an den Blaster Virus und was für ein Geschrei, hatte noch nie irgendwelche Probs, mit meiner Konfiguration

aber jeden das seine, der eine braucht keine, der andere braucht eine, wir leben in einem freien Land, jeder kann das handhaben wie er will.

mfg
Sir Ulli

 

[Thunderbird 1400]

Mehr als n simpler Portfilter ist eh keine dieser "Firewalls".

Wie oft soll das hier eigentlich noch so hin und her gehen? Wurde doch nun schon oft genug gesagt (auch von mir), dass eine Software Firewall nur ein einfacher Portfilter ist. Und jetzt? Genau das will ich doch!
Wozu so eine FW in erster Linie von den Meisten benutzt wird, wurde doch jetzt wirklich schon oft genug gesagt:

ne Software Firewall ist auch imho sehr gut für verschiedene Programme die gerne nach Hause telefonieren wollen

Personal/Desktop-Firewalls können problemlos umgangen und ausgeschaltet werden, ohne das der Benutzer davon etwas bemerkt.

Natürlich können sie das! Aber wer sich eine Firewall installiert, weil er Angst vor bösen Hackern hat, dem ist eh nicht mehr zu helfen. Es geht doch wirklich nur um das Nach-Hause-Telefonieren bestimmter Anwendungen. Und da spreche ich nicht von irgendwelcher bösartigen Hacker-Software, die bewusst meine FW umgeht, sondern von ganz normalen Programmen/ Spielen etc., die dies mit Sicherheit nicht tun, sondern ich immer schön blocken kann.

Also was ist jetzt an einer Software Firewall nutzlos? Wenn jemand einen effektiveren und/ oder einfacheren/ komfortableren Weg kennt, diversen Anwendungen das Telefonieren zu unterbinden, immer raus damit

 

[Deuteros]

Hmm,irgendwie fängt der Thread an in ein Flame auszubrechen...
Ist ja fast so als wenn sich Windows und Linux Freaks in die Haare bekommen,grins...

Jeder muß doch letztendlich selber entscheiden,ob er eine Softwarefirewall benötigt oder nicht. Es gibt kein Allgemeinrezept welches sagt: Ist scheiße und das ist gut.
Bei Fall A ist eine PFW durchaus angebracht in Fall B kann sie aber Sinnlos sein.

Router/NAT/HArdwarefirewall:

Die beste und sicherste Variante um sich vor zugriffen aus dem Netz zu schützen,wenn
man an Situationen wie Sasser denkt.
Allerdings kann man mit diesem Hardwarelösungen z.B.: schlecht regeln,das Firefox z.B. auf das Internet zugreifen darf,während sämtliche IE expeditionen ins Netz geblockt werden sollen. Bei einer guten Hardwarefirewall kann man Ports sperren,aber sie kann eben nicht zwischen Programm A und Programm B entscheiden -> entweder komplett offen oder komplett zu

Virenscanner:
Ist ja schön für bekannte Dialer/Trojaner/Scripts usw.
Aber wenn die Virendefinition veraltet ist oder es sich um ein unbekanntes Schadprogramm handelt,dann hilft der Virenscanner auch nichts...
Ich bezweifel auch,das man sich immer darauf verlassen kann,das jeder Virenscanner auch Sasser blocken würde,denn der Scanner kann auch nicht entscheiden,ob ein Dienst durch einen Overflow fremden Code ausführt oder nicht....
Und wie viele AV Programme haben selber sicherheitslücken womit es vielleicht dem einem oder anderen Virus ermöglicht wird sich auszuführen

Dienste abschalten:

Gutes Argument,aber welche Dienste kann man unter W2K/XP denn wirklich noch abschalten weil man sie nicht braucht
Seien wir doch mal ehrlich,die meisten Dienste sind so voneinander abhängig das dort
garnicht mehr sooo viele möglichkeiten bestehen,von ein paar kleinigkeiten mal abgesehen. Früher konnte man nocht sowas wie COM+ und so ein Kram abschalten,ist
heute aber auch nicht mehr drin,weil dann nicht mal mehr das Windowsupdate funktioniert.
Das setzt schon Dienste wie COM+,Intelligente Hintergrundübertragung & Systemereignisbenachrichtigung vorraus,welche ich früher generell abgeschaltet hatte.


Virenscanner/Hardwarefirewall/NAT/Dienste abschalten helfen aber garnichts,wenn man
unterbinden möchte,das Programm XY ins Internet soll/kann.

Ich habe hier X Programme,welche ständig das Bedürfnis haben irgendwelche Daten nach Hause zu schicken oder irgendwas nachzuladen oder auf irgendwelche (unbenötigten) Updates zu prüfen. Einige Programme sind da so penetrant,das die selbst nach Hause funken wenn sämtliche Optionen dafür abgeschaltet sind:

DivX Player -> Autoupdate deaktiviert -> Bei jedem Start Verbindungsversuch ins Netz

McAfee Virenscanner > Autoupdate deaktiviert -> Dienst McUpdate deaktiviert -> McAgent aus Autostartliste entfernt -> Resultat: Nach Neustart stehts wieder in der Autostartliste und trotz all der deaktivierten Updatefunktion wird minütlich versucht ins Internet zu kommen

Spiele von EA haben schon fast immer das Manko gehabt,das sie nach Hause telefonieren,auch wenn man nur Singleplayer Missionen spielt.

Und da gibts noch viele viele mehr...

ICH will bestimmen wann welches Programm ins Internet darf oder ob es überhaupt darf.
Nur ICH und nicht irgendjemand der meinen Rechner dazu benutzt irgendwelche Nutzerverhalten oder ähnliches zu erstellen...
Und das kann ich derzeit leider nur so "regeln" indem ich eine Softwarefirewal genau dazu benutze um z.B. festzulegen,das Firefox ins Internet darf,aber der IE nicht ins Internet darf.
Machen wir uns nichts vor,die meisten Trojaner/Würmer und ähnliches melden sich bei der FW ja nicht als "ultimativer Hackertool" an,sondern surfen im Kontext des Internet Explorers... Hat dieser Zugriff hat jeder pissige Plugin meißt auch zugriff.
Da der IE bei mir keinen Zugriff auf das Netz bekommt,brauch ich mir über Schadprogramme die in dessen Kontext nach draußen wollen auch nicht mehr wirklich sorgen machen . Punkt . ENDE .
Verklicker das mal bitte einer Hardwarefirewall -> welche zwar sicherer ist - aber für diese Art von Einsatz einfach zu unflexibel ist...

Und nun schlagt mich -> das ist meine Meinung...

Deuteros

 

[PuckPoltergeist]

Wenn jemand einen effektiveren und/ oder einfacheren/ komfortableren Weg kennt, diversen Anwendungen das Telefonieren zu unterbinden, immer raus damit

Du wirst sie garnicht am Telefonieren hindern können, so du nicht das Netz komplett trennst. Die jeweilige Anwendung muss nur einen well-known-port nutzen, und schon bringt dir kein Portfilter mehr etwas. Was ich mit Sicherheit als Blödsinn bzw. Spielerei betrachte, ist eine "Hardwarefirewall" + PF. Prinzip "doppel hält besser", oder wie?

Nen Windows-Rechner würde ich ohne Portfilter auch nicht ins Netz lassen, ganz einfach, weil man sich nie sicher sein kann, was da nun gerade offen steht. Microsofts Sicherheitskonzept war schon immer "leicht" sinnfrei und behämmert. Deswegen verstehe ich den Kult, den hier einige um so eine "PersonalFirewall" machen trotzdem nicht.

 

[cruger]

oder auf irgendwelche (unbenötigten) Updates zu prüfen.

McAfee Virenscanner > Autoupdate deaktiviert -> Dienst McUpdate deaktiviert -> McAgent aus Autostartliste entfernt -> Resultat: Nach Neustart stehts wieder in der Autostartliste und trotz all der deaktivierten Updatefunktion wird minütlich versucht ins Internet zu kommen

es gibt so sachen, die ich manchmal nicht wirklich nachvollziehen kann.

ich kenne sehr viele, die als erstes bei windows das automatische update abschalten. warum eigentlich ? ich persönlich empfinde das als sehr sinnvolle maßnahme, vor allem bei usern, die sich sonst einen dreck um sicherheitsaspekte kümmern und von selbst nie auf die idee kommen würden, mal nach sicherheitsupdates für windows zu schauen.

noch sinnloser ist ihmo das abschalten des automatischen updates bei virenscannern, gerade bei rechnern, die eh rund um die uhr ONline sind (always on). bestes beispiel ist da kaspersky, ein großer vorteil sind da die sehr kurzen reaktionszeiten bei virenepidemien und generell stündliche signatur-updates. warum sollte ich ausgerechnet bei so einer sicherheitsrelevanten software die automatischen updates deaktivieren ?

 

[Deuteros]

@Cruger

Deine Argumente und Einwände sind durchaus berechtigt,keine Frage...
Aber wie überall gibt es Fälle,da sind Autoupdates eben nicht erwünscht,weil:

Mehrere Rechner in einem LAN sind,welche untereinander Daten tauschen,Rechenarbeit leisten und dieses LAN über einen alten Rechner der als Router/Proxy fungiert sich in das
Internet einwählen...
OK,bis hier könnte man sagen: Na und Was solls...
Aber es gibt auch heute noch User,welche keine Chance auf DSL&Kable haben und die
wirklich noch mit ISDN oder analog ins Internet müssen. Da kostet jede Verbindung und jede
Minute (oder auch nur wenige Sekunden) erst einmal pauschal Geld.

So,und nun kommst du,he he.

Würden alle Autoupdates aktiviert sein,jedes Programm nach Lust und Laune sein Herrchen anrufen -> und das auch noch von mehreren Rechnern im LAN zu völlig verschiedenen Zeiten (oder teilweise genau dann,wenn es ungelegen ist und man die Bandbreite für etwas anderes benötigt) - dann frage ich mich allen ernstes,wer diesen doch recht unnötigen Spaß letztendlich bezahlen soll... Der Nutzer,welcher das lieber Regelmäßig von "HAND" steuert um die Kosten zu senken

Man bedenke das bei einem Router im LAN (und der Rechner hat keinen Bildschirm bzw. Tastatur) die Internetverbindung bei jedem Request aufgebaut wird. Da kommen schnell pro Tag ein paar Cent zusammen.

8 Uhr. Der Tag beginnt -> Verbindungsaufbau durch McAfee,Virendef update
8:05 5 Minuten Später: McAfee baut nochmal ne Verbindung auf,könnte ja sein,das es jetzt was gibt...
8:10 Um wirklich sicher zu gehen,baut McAfee nochmal eine Verbindung her,kostet ja nicht die Welt
8:20 Der Benutzer ist aus dem Bett gefallen,hat bock auf ein Video,startet DivX Player.
Dieser Telefoniert erstmal pauschal nach hause,trotz deaktivierter Updatefunktion.
8:30 Windows Update ist der Meinung,das man ja mal schauen könnte,ob es was neues gibt -> schwubbs.. Connected
9:10 Das Video war langweilig und man hat sich entschlossen ein paar Singleplayer Maps
von Battlefield 1942 zu spielen,aber halt !!! EA muß erst mal via WWW darüber informiert werden,das ich mich entschlossen habe ihr Spiel am frühen Morgen zu spielen.
10:30 Ich entschliesse mich dazu ein kleines Onlinespiel zu wagen Geil.
10:35 Ups,das Spiel lagt ja so,mag es jetzt Windows Update sein,welcher ausgerechnet jetzt ein Patch für Outlook Express runterzieht,obwohl ich das noch nie benutzt habe
10:40 Mittlerweile vom Server geflogen,weil ich laggy war,ist auch Windows Update fertig.

,,,
,.,,
,,,
,,,

Das war jetzt nur mal so als extremes Beispiel genommen,allerdings ist dieses Verhalten bei all den Programmen die penetrant der Meinung sind,das die Internetverbindungen ihnen alleine gehören garnicht einmal so abwegig.

Cruger,du hast durchaus recht,wenn du sagst,das es praktisch ist wenn man Autoupdate funktionen nutzt um Up-To-Date zu sein. Da stimme ich Dir auch vollkommen zu
Aber ich denke du mußt auch eingestehen das es Fälle gibt,wo Autoupdates mehr schaden/Kosten anrichten,als sie gutes tun....

Deswegen finde ich es immer sehr gefährlich zu sagen,das alle die aus diversen (begründeten) Gründen die Autoupdatefunktion deaktivieren -> BALLA BALLA sind.
Ausnahmen bestätigen nunmal die Regel

Und genau so ist es auch bei SFW: Es gibt durchaus Systeme da kann man sich diese Sparen,ich hatte auch mal rechner,wo sie überhaupt keinen Sinn gemacht hätten. Es gibt aber auch Anwendungen wo man sie benötigen kann,weil es einfach angebracht ist.

Deuteros

 

[cruger]

ich rede ja auch nicht generell davon, immer und überall autoupdates zuzulassen. mir geht es nur um sicherheitsrelevante angelegenheiten.

und in sachen schmalband bzw. im falle von usern, die keine flatrate haben.

wir haben bei uns in der nachbarschaft ein kleines wlan eingerichtet. in der c't war mal ein bericht, wie man auf eine windows xp professional version einen windows update server aufsetzen kann. und genauso wird das derzeit gehandhabt. einer hat einen windows update server aufgesetzt und die anderen ziehen ihre updates folglich nicht direkt übers netz bei microsoft, sondern per wlan über den update server.

ähnlich beim virenscanner, die meisten benutzen die bitdefender free edition. einer lädt die updates regelmäßig runter und stellt sie im wlan zur verfügung. so bleiben die dem wlan angehörigen rechner stets im falle sicherheitsrelevanter updates auf dem neuesten stand.

das ist natürlich immer und überall für jeden eine option, kann aber da, wo die möglichkeiten bestehen sehr hilfreich sein.