Ein Rechner, der als DMZ läuft ist nicht prinzipiell unsicher oder ein "offenes Scheunentor". Dieser Rechner ist genauso viel oder wenig angreifbar wie jeder andere der zig tausend Dial-In Rechner, die direkt am Internet hängen.
Wenn das Betriebssystem und die laufenden Anwendungen keine Sicherheitslücken haben und keine Ports öffnen oder auf Portanfragen reagieren, die durch schlechte Programmierung als Einbruchstür benutzt werden können, hat ein "Angreifer" keine Möglichkeit sich in den Rechner einzuhacken.
Die wenigsten Nutzer eines Routers mit Firewall werden wirklich die Firewall konfiguriert und aktiviert haben.
Die zusätzliche Sicherheit durch NAT reicht den meisten auch aus.
Es kann hier nämlich dann auch mal ein "unsicheres" Programm laufen, dass auf eine Portanfrage von aussen lauscht und angreifbar wäre - oder auch z.B. eine nichtbeachtete und vielleicht unabsichtlich mitinstallierte Serveranwendung (z.B. MS IIS)
Solange der Port in NAT nicht redirectet bzw. geöffnet wird, kann dann trotzdem nichts passieren.
Allein diesen Vorteil gibt man an dem einen DMZ-Rechner auf - nicht mehr und nicht weniger.
Wer sich also auch früher mal ohne NAT und Firewall in's Internet getraut hat und entsprechende Sicherheitsvorkehrungen getroffen hat und weiss, wie man sich im Netz verhält, für den ist auch ein DMZ keine "Einladung zum gehackt werden".
Wer allerdings bis heute nicht begriffen hat, wie wichtig Sicherheitsupdates und Patches seiner Software sind, der ist z.B. durch einen IE 4.0 oder ungepatchten IE 5 mehr gefährdet als durch einen DMZ.
Und man glaubt gar nicht, wie viele User noch mit IE-Browsern der 3er oder 4er-Reihe unterwegs sind, nur weil sie eben beim Betriebssystem mitinstalliert wurden.
Und das sind nicht nur Browser, die sich aus Kompatibilitätsgründen als IE3 oder 4 ausgeben (z.B. Opera), die da in den Logfiles meiner Homepages auftauchen
Die Gefahr durch einen Trojaner "gehackt" zu werden erachte ich allemal höher, als einen Angriff auf einen sauberen DMZ oder Dial-In Rechner.
Und vor einem Trojaner schützt auch kein NAT.
Und die Firewall kann hier zwar schützen, wenn dieser Trojaner einen "exotischen Port" benutzt.
Einen Trojaner, der sich als Browser tarnt und aktiv über den Port 80 telefoniert, kann ich allerdings auch mit einer (einfachen) Firewall nicht abblocken.
Hier kann nur helfen, gar keinen erst ins System zu lassen.
Und hier sind wir wieder am Anfang:
- wissen, was man tut
- wissen, was man downloaded
- wissen, was man installiert
- wissen, wie man Software auf Stand hält
Und ich lasse mir nicht von ein paar "Bekloppten" oder "Kriminellen" den Spass am Internet verderben und nutze weiterhin Javascript und öffne Ports im Router, wenn ich es für eine Anwendung brauche - und wenn es sein muss, mache ich auch einen Rechner zum DMZ.
Und trotzdem habe ich mir in mehr als 20 Jahren Computerei und ca. 10 Jahren Internet und BBS erst einmal einen Virus eingefangen, der von meinem Virenscanner nicht erkannt wurde und das ist schon ewig her und war vor dem "www-Zeitalter", wo es noch etwas schwieriger war, an aktuelle Versionen der Virenscanner heranzukommen.
Gruss,
Martin
):
News
Site map
SitemapIndex
RSS Feed