this post was submitted on 05 Aug 2023
14 points (100.0% liked)

de_EDV

3805 readers
1 users here now

Ableger von r/de_EDV auf Lemmy.

News, Diskussionen und Hilfestellung zu Hard- und Software

Diese Community dient als Anlaufstelle für alle IT-Interessierten, egal ob Profi oder blutiger Anfänger. Stellt eure Fragen und tauscht euch aus!

Weitere IT Communitys:

[email protected]

[email protected]

[email protected]

[email protected]

founded 2 years ago
MODERATORS
 

Servus an alle,

würde mal gerne die Kollektivmeinung hören.

Ich hatte diese Woche die Anforderung "Wir nutzen einen Web Dienst und da steht in der Beschreibung 'Geben Sie an der Firewall Port 8090 zu api.xxx.xxx frei sonst funktioniert das nicht'"

Nun blockt unsere Firewall das natürlich. Der "einfach Weg" wäre jetzt einfach eine Regel zu machen. Ich sehe da aber das große Ganze, wenn jeder Website Betreiber solche "Extras" wollen würde, wäre der Aufwand enorm.

Wie seht Ihr das? Hättet Ihr einfach die Firewall angepasst? Seht Ihr zwingende Gründe warum das so sein muss. (IP Knappheit ließe sich m.E. mit einem Reverse Proxy besser lösen)

Schönen Gruß

you are viewing a single comment's thread
view the rest of the comments
[–] [email protected] 4 points 1 year ago (1 children)

Ist dieser Web-Dienst im Internet und Ihr blockiert ausgehende Verbindungen? Oder möchten die Kollegen einen Web-Dienst anbieten, der auf Port 8090 hört?

[–] [email protected] 0 points 1 year ago (1 children)

Der Dienst ist im Internet und auf Port 8090 ansprechbar. Wir erlauben an der Firewall für Web nur 80/443 ausgehend. Das ganze Web spielt sich ja im Prinzip auf 80/443 ab.

[–] [email protected] 13 points 1 year ago (3 children)

Diese Logik habe ich noch nie verstanden. Also insbesondere das Blocken von ausgehenden Ports. Es gibt genug Dienste, die auf anderen Ports laufen. z. B. MySQL 3306, Postgres 5432, MongoDB 27015 etc. Klar kann man das alles über einen Reverse-Proxy lösen, aber genau deswegen macht es ein System ja nicht sicherer. Malware wird natürlich nur über 80/443 Daten exfiltrieren.

[–] [email protected] 5 points 1 year ago (2 children)

Also insbesondere das Blocken von ausgehenden Ports.

Outbound NTP erlaubt: NTP reflection attacken funktionieren von deinem Netz aus

Outbound DNS erlaubt: Deine internen DNS-Filter können nun gebypasst werden

Outbound SMTP erlaubt: Deine public IP ist nun auf einer Blacklist weil sie Spam verschickt hat

Hat schon seine Daseinsberechtigung für bestimmte Dienste.

[–] [email protected] 4 points 1 year ago (2 children)

Alle deine angeführten Beispiele erfordern, dass das User-System bereits korrumpiert ist. Du kannst den Traffic auf diesen Ports ja monitoren um zu erkennen, dass ein Botnet in deinem Netzwerk läuft und dann regieren. Aber präventiv Outbound-Ports zu sperren schützt dich nicht vor einem Botnet.

Outbound-DNS zu sperren ist auch absurd. DNS-over-HTTPS ist einfach im Browser einstellbar. Sicherheitstheater.

[–] [email protected] 2 points 1 year ago

Alle deine angeführten Beispiele erfordern, dass das User-System bereits korrumpiert ist.

Ein korrumpiertes User-System würde ich als Gegebenheit betrachten, mit der das Netzwerk genauso fertig werden muss wie mit irgendeinem kaputten Netzteil. Soll nicht vorkommen, wird es aber und wenn es soweit ist soll der Impact so klein wie möglich sein. Wenn ich sicher weiß, dass ich Outbound-SMTP nicht brauche, warum soll ich es zulassen und ein Risiko eingehen? Und sei es bloß das jemand Spam verschickt.

[–] [email protected] 1 points 1 year ago

Aber präventiv Outbound-Ports zu sperren schützt dich nicht vor einem Botnet.

Hat zum Glück auch niemand behauptet. Aber: Wenn du keine Maßnahmen für den Fall der unausweichlichen Kompromittierung triffst, ist das halt auch scheiße. Wenn du mir nicht glauben willst steht es dir natürlich frei, das durch eigene Schmerzen zu lernen.

[–] [email protected] 3 points 1 year ago (1 children)
[–] [email protected] 1 points 1 year ago (1 children)

Ja. DoH wird über TCP transportiert, was inhärent schon einen weiteren möglichen Angriffsvektor (DNS Reflection DDoS) verhindert. Ist nett, wenn mans nutzen kann.

Hast du schonmal in einem Unternehmensnetz gearbeitet?

[–] [email protected] 1 points 1 year ago (1 children)

Es ging um Bypassen des Unternehmens-DNS, was mit DoH direkt geht. Da kannst dich mit Portbasierten-DNS-Blockaden brausen geheb.

Was jetzt DNS Reflection damit zu tun hat versteh ich da nicht ganz. Durch die Portblockade kannst du nur einen ausgehenden Angriff verhindern, und ob der Angreifer aus deinem Netz eine DNS Reflection DDOS fährt oder irgendeinen DDOS über HTTP(S) macht jetzt auch keinen Unterschied.

Und ja, natürlich habe ich, und deswegen weiß ich auch, dass locker 80% der IT-Security-Leute voll auf Nonsense-Sicherheitstheater stehen, weil sie nur Checkboxen abarbeiten und von der eigentlichen Materie keine Ahnung haben.

[–] [email protected] 1 points 1 year ago (1 children)

und ob der Angreifer aus deinem Netz eine DNS Reflection DDOS fährt oder irgendeinen DDOS über HTTP(S) macht jetzt auch keinen Unterschied.

Der Unterschied ist dass der zweite Angriff technisch ausgeschlossen ist. Ist schon ein Unterschied wenn du mich fragst.

Und ja, natürlich habe ich, und deswegen weiß ich auch, dass locker 80% der IT-Security-Leute voll auf Nonsense-Sicherheitstheater stehen, weil sie nur Checkboxen abarbeiten und von der eigentlichen Materie keine Ahnung haben.

Es ist nicht so dass die restlichen 20% den totalen Durchblick haben weil sie Compliance (korrekterweise) für Theater halten. Kannst du hier im Thread nachlesen. Ich fragte weil deine Art Fragen zu stellen (bzw. zu unterstellen dass du mehr weißt als der Kommentato) nach Computer-Bild und Heise-Forum riecht.

[–] [email protected] 1 points 1 year ago

Du hast gesagt, DNS per Port blockieren erhöht die Sicherheit, weil dann keiner den verpflichtenden DNS der Firma umgehen kann.

Jeder Browser kann inzwischen DoH und viele andere Software auch. Damit kann man auch so den DNS umgehen. Das war mein Punkt.

DNS per Port blocken bringt im Endeffekt genau gar nichts. Hat der Nutzer genug Rechte um auf seinem PC den DNS umzustellen, dann kann er auch DoH verwenden und kommt damit um deinen DNS rum.

Deswegen halte ich das für Sicherheitstheater.

DNS Reflection kannst du auch intelligenter blocken indem du die maximale Bandbreite für DNS pro Client limitierst.

Sobald du Port 443 ausgehend erlaubst, ist aber so oder so eigentlich alles wurscht, weil du ohne SSL DPI keine Chance hast zu erkennen, was tatsächlich über den Port raus geht.

Stattdessen führen solche Blockaden zu erhöhter Reibung, sorgen dafür, dass die Mitarbeiter ihre Arbeit nicht erledigen können und bringen quasi gar nichts für die Sicherheit.

[–] [email protected] 2 points 1 year ago (1 children)

Ja klar - aber alles was du nennst sind auch keine Web Dienste. Unsere Firewall ist recht restriktiv. Und ich würde auch nicht wollen das unsere Andwender nach außen eine MySQL Datenbank ansprechen. Für Dienste die etabliert und standardisiert sind werden dann Regeln angelegt.

[–] [email protected] 5 points 1 year ago (1 children)

Ok, dann leg die Regel halt an. "Kennen wir nicht, ham wir keine Lust zu" ist als Grund ein bisschen schwach. Wäre die API denn sicherer oder besser, wenn sie auf Port 80 oder 443 liefe? Da würdest Du nicht mal mitbekommen, dass jemand sie benutzt.

[–] [email protected] 5 points 1 year ago

Die API wäre dann vermutlich nicht besser, aber mein Gefühl bei einem Dienstleister (?), der zu faul / planlos ist, seine Webservices auf Standardports ansprechbar zu machen ist nicht gut. Das riecht nach "da hat der Praktikant mal was mit nem Framework auf gebastelt und das ist jetzt produktiv"

Ist mehr ein Gesamteindruck-Bauchgefühl als eine ganz stringente Herleitung, aber ich kann OPs Bedenken durchaus nachvollziehen.

Insbesondere, weil es halt mit "Port auf" nicht getan ist. Da wollen dann noch SSL-Inspection und der Rest vom Regelwerk angepasst werden.