Rechner bzw. Netzwerk optimal schützen

[Bernd]

Hallo,

ich würde meine Computer bzw. mein internes Netzwerk gerne optimal schützen. Mit optimal meine ich einen idealen Kompromis zwischen Sicherheit und Anwenderfreundlichkeit.

Mein Netzwerk ist folgendermaßen aufgebaut:

Ich verwende einen WLAN Router. Momentan ist es so, dass zwei Rechner per WLAN über den Router mit dem Internet verbunden sind. Auf dem ersten Rechner ist Windows Vista installiert, auf dem zweiten Rechner ist Windows XP installiert. Beide Rechner stellen die Verbindung zum Router über WPA-2 her. Des weiteren hab ich im Router den MAC-Adressenfilter aktiviert.

Nun ein paar Fragen:

1.)
Als Virenprogramm habe ich auf beiden Rechnern AntiVir installiert. Was haltet ihr davon? Sollt ich das weiterhin verwenden, oder besser auf ein Alterntivprodukt wechseln?

2.)
Sowohl auf dem Vista-Rechner als auch auf dem XP-Rechner habe ich die beim Betriebssystem mitgelieferten Firewalls aktiviert. Reichen diese Firewalls aus oder sollte man auf andere Firewall-Produkte umstellen?

3.)
Eine AntiSpyware-Software verwende ich momentan nicht. Sollte ich sowas verwenden, oder kann ich darauf verzichten? Wird mit Vista bzw. XP eine AntiSpyware-Software mitgeliefert?

4.)
Sollte ich am Router noch irgendwelche Sicherheitseinstellungen aktivieren? Kann ich im Router z.B. einen Virenfilter bzw. eine Firewall aktivieren. Falls ja, sollte ich dann sowohl auf den lokalen Rechner als auch auf dem Router einen Virenfilter bzw. eine Firewall verwenden, oder sollte das nur auf dem Router bzw. nur auf den Rechnern installiert sein?

5.)
Vielleicht könnt ihr mir noch ein paar weitere Tipps bezüglich des optimalen Schutzes meines Netzwerkes bieten? Wie gesagt, ich will auf den idealen Kompromis zwischen Sicherheit und Anwenderfreundlichkeit hinaus.

[Der Martin]

Moin,

ich würde meine Computer bzw. mein internes Netzwerk gerne optimal schützen.

den Begriff "optimal" hast du noch erklärt; defniniere nun auch noch, was du unter "schützen" verstehen willst. Schützen wovor genau?

Ich verwende einen WLAN Router.

Diese Router stellen konstruktionsbedingt schon eine Firewall dar, die unerwünschte Zugriffe von außen weitgehend abwehrt. Das Prinzip ist, dass der Router nur die IP-Pakete von außen nach innen passieren lässt, die zu einer Verbindung passen, die einer der Hosts im LAN hergestellt hat.

Beide Rechner stellen die Verbindung zum Router über WPA-2 her. Des weiteren hab ich im Router den MAC-Adressenfilter aktiviert.

Damit hast du auch, soweit es dir möglich ist, sichergestellt, dass sich kein Fremder in dein WLAN einklinken kann: Zum einen müsste er die Verschlüsselung knacken, zum anderen eine erlaubte MAC-Adresse vortäuschen. Letzteres ist weniger schwierig.

Als Virenprogramm habe ich auf beiden Rechnern AntiVir installiert. Was haltet ihr davon? Sollt ich das weiterhin verwenden, oder besser auf ein Alterntivprodukt wechseln?

Ich persönlich setze nach über zehnjähriger Erfahrung immer noch auf brain.exe als Rundum-Virenschutz.

Sowohl auf dem Vista-Rechner als auch auf dem XP-Rechner habe ich die beim Betriebssystem mitgelieferten Firewalls aktiviert.

Die langweilen sich jetzt, weil die im Router eingebaute Firewall ihnen die Arbeit abnimmt.

Reichen diese Firewalls aus oder sollte man auf andere Firewall-Produkte umstellen?

Eine AntiSpyware-Software verwende ich momentan nicht. Sollte ich sowas verwenden, oder kann ich darauf verzichten? Wird mit Vista bzw. XP eine AntiSpyware-Software mitgeliefert?

Nein. Und das ist der Punkt, der *mir* immer wieder wichtig ist: Weder die Windows-Firewall, noch die des Routers, kümmern sich auch nur im Geringsten um den Datenverkehr "nach draußen", der von Software auf dem Rechner selbst initiiert wird. Das ist der Grund, warum ich grundsätzlich noch eine Personal Firewall auf jedem Rechner betreibe, mit der ich genau festlegen kann, welcher Prozess mit welchem Protokoll überhaupt aufs Internet zugreifen darf, und wenn ja, zu welchen Adressen.
Ich weiß, hier gibt es einige Stammposter, die das anders sehen und z.B. die Personal Firewalls eher für ein zusätzliches Sicherheitsrisiko halten; das ist deren gutes Recht - ich halte dieses Vorgehen trotzdem für sinnvoll und empfehlenswert.

Sollte ich am Router noch irgendwelche Sicherheitseinstellungen aktivieren? Kann ich im Router z.B. einen Virenfilter bzw. eine Firewall aktivieren.

Nein. Du kannst höchstens eine Lücke schaffen, wenn du im Router Port Forwarding Rules einrichtest, also den Router anweist, bestimmte Anfragen aus dem Internet, auch wenn sie unaufgefordert kommen, an einen Rechner im LAN gezielt weiterzureichen. Das ist dann sinnvoll, wenn man auf einem Rechner einen Server betreibt, der auch von außen erreichbar sein soll; auch manche Online-Games brauchen diese Möglichkeit des direkten Durchgriffs auf den Zielrechner.

Vielleicht könnt ihr mir noch ein paar weitere Tipps bezüglich des optimalen Schutzes meines Netzwerkes bieten? Wie gesagt, ich will auf den idealen Kompromis zwischen Sicherheit und Anwenderfreundlichkeit hinaus.

Wachsamkeit und Aufmerksamkeit, eine gesunde Portion Skepsis, und nicht auf alles klicken, was nicht bei drei auf den Bäumen ist.

Angenehme Feiertage,
 Martin

[Pete]

Hi,

Die langweilen sich jetzt, weil die im Router eingebaute Firewall ihnen die Arbeit abnimmt.

Kann ich so nicht bestätigen.
Trotz meiner Firewall im Router, fragt die hauseigene Windowsfirewall oft bei neuen Sachen nach, während der Router die zulassen würde.

Warum das so ist? Keine Ahnung, kenn mich damit auch nicht aus.

Aber jeder der zu ersten Mal zb. Apache oder ein Game (AOE) installiert wird sehen, Windows FW fragt, Router ist es egal.

Pete

[Der Martin]

Hallo,

Die langweilen sich jetzt, weil die im Router eingebaute Firewall ihnen die Arbeit abnimmt.

Trotz meiner Firewall im Router, fragt die hauseigene Windowsfirewall oft bei neuen Sachen nach, während der Router die zulassen würde.

dann hat dein Router schon irgendwelche "typischen" Weiterleitungsregeln voreingestellt. Das ist nicht üblich. Oder die Anfrage läuft gar nicht über den Router, siehe unten.

Aber jeder der zu ersten Mal zb. Apache oder ein Game (AOE) installiert wird sehen, Windows FW fragt, Router ist es egal.

Haha ... Hier musst du natürlich unterscheiden: Die Windows-Firewall meldet sich auch, wenn die Anfrage von einem anderen Rechner im eigenen LAN kommt - und das interessiert den Router selbstverständlich nicht, ist nicht seine Aufgabe.
Aber muss ich etwas abwehren, was in meinem eigenen LAN läuft? Ich wüsste nicht warum.

Ciao,
 Martin

[Pete]

Haha ... Hier musst du natürlich unterscheiden: Die Windows-Firewall meldet sich auch, wenn die Anfrage von einem anderen Rechner im eigenen LAN kommt - und das interessiert den Router selbstverständlich nicht, ist nicht seine Aufgabe.
Aber muss ich etwas abwehren, was in meinem eigenen LAN läuft? Ich wüsste nicht warum.

Ich schon, du installierst ein Programm, das unerwartet eine Verbindung ins Internet aufbauen will, ja darüber weiss ich gerne Bescheid, damit ich so ein Programm meisstens direkt wieder entferne.

Der Router würde mich nicht warnen.

Pete

[flowh]

Hallo.

Ich schon, du installierst ein Programm, das unerwartet eine Verbindung ins Internet aufbauen will, ja darüber weiss ich gerne Bescheid, [..]

Genau das meinte der Martin ja.

Der Router würde mich nicht warnen.

Das ist auch wirklich nicht seine Aufgabe.

Servus,
Flo

[Bernd]

Könnt ihr mir vielleicht einen guten Link nennen auf welchem erklärt wird, warum man sein Netzwerk wie schützen sollte. Ich brauch jetzt keine Buch mit eine paar hundert Seiten. Einfach nur eine kurze Erklärung warum man was mit welchen Produkten schützen sollte?

[Sven Rautenberg]

Moin!

Könnt ihr mir vielleicht einen guten Link nennen auf welchem erklärt wird, warum man sein Netzwerk wie schützen sollte. Ich brauch jetzt keine Buch mit eine paar hundert Seiten. Einfach nur eine kurze Erklärung warum man was mit welchen Produkten schützen sollte?

Nein, Sicherheit kriegt man nicht durch einmaliges Installieren eines Rundum-Glücklich-Pakets hin. Sicherheit ist komplex, weil die im Netzwerk ausgetauschten Daten komplex sein können. Du hast zwar nur eine recht simple Leitung aus Kupferdraht, aber die Komplexität steckt in den darüber übermittelten Daten.

Selbst grundsätzlich erwünschter Datenverkehr kann gefährlich sein, wenn er unerwartete Bestandteile enthält, die im verarbeitenden Programm zu Fehlern führen. Davor kann dich aber kein Sicherheitsprogramm der Welt schützen.

- Sven Rautenberg

[Simpl]

Hallo,

Sicherheit ist komplex ...

Was ist von solchen Online-Tests zu halten?

Wie sicher ist Ihr Browser? oder Prüfen Sie jetzt Ihren PC!

mfg, Simpl

[Sven Rautenberg]

Moin!

Hallo,

Sicherheit ist komplex ...

Was ist von solchen Online-Tests zu halten?

Man sollte ihre Ergebnisse kritisch hinterfragen.

Wie sicher ist Ihr Browser?

Der Test prüft vor allem per Javascript, welche Browserplugins installiert sind, und gibt deren Versionsnummer aus.

Dummerweise konnte ich nicht prüfen, wie es sich äußert, wenn die Versionen nicht alle topaktuell sind, aber die Formulierung im Text zu "mehr Details" lässt darauf schließen, dass die Webseite sich darauf beschränkt, die Versionsnummer auszugeben, aber vermutlich keinen Alarm ausgibt, wenn die Version nicht die aktuellste ist. Andernfalls hätte ich jeweils einen konkreten Text "Ihre Version von X ist aktuell" erwartet.

Mit anderen Worten: Die technische Grundlage des Tests ist zwar eventuell korrekt, aber ohne den beurteilenden Blick eines Fachmanns auf das Messergebnis kann man nicht ableiten, wie diese Ergebnisse denn zu bewerten sind und welche Maßnahmen daraus resultieren sollten.

oder Prüfen Sie jetzt Ihren PC!

Der Test führt einen Portscan durch und testet nachfolgend bei gefundenen offenen Ports ein paar typische Angriffsszenarien.

Dummerweise ist er bei der Information, welches System denn jetzt konkret geprüft wurde, sehr maulfaul. Da wird mir bei "meinem DNS-Server" die Offenheit des Ports 53 vorgeworfen, die nachfolgenden Tests wie z.B. Smurf und Zonentransfer, ergeben dann aber nichts böses. Da frage ich mich ja aber: Woher will die Testseite wissen, welchen DNS-Server ich verwende? Welche IP hat sie da überhaupt getestet? Denn meine einene Internet-IP hat weder auf UDP noch auf TCP einen Port 53 offen.

Aber noch viel spannender ist doch: Kann ein Laie, der danach verlangt, einfach eine einfache Seite mit simplen, kurzen Anweisungen zu kriegen, dieses ganze ausgegebene Technogebabbel dekodieren und verstehen? Doch vermutlich eher nicht.

Selbst ich habe Schwierigkeiten, nachzuvollziehen, was die denn da jetzt genau getestet haben wollen. Ich kann nicht nachvollziehen, ob die Testergebnisse falsch oder richtig sind - und genau das wäre zwingend notwendig, damit ein uninformierter Benutzer wenigstens diese Information an einen Fachmann weitergeben kann, um Abhilfe zu schaffen, wenn der Test gelbe oder rote Farben auswirft.

- Sven Rautenberg

[Der Martin]

Hi,

Wie sicher ist Ihr Browser?
Der Test prüft vor allem per Javascript, welche Browserplugins installiert sind, und gibt deren Versionsnummer aus.

interessant - wenn ich den Test bei deaktiviertem Javascript ausführe, was für mich der Normalfall ist, dann ist die einzige Information, die ich nach etwa 2min endlich bekomme:

Prüfpunkt Ergebnis                       Details
  SSL     Sie haben SSL aktiviert.

Ein Klick auf "alle Details" gibt allerdings nur dieselbe Seite nochmal aus und liefert nicht, wie ich eigentlich erwartet hätte, zusätzliche Informationen.

Nutzwert für mich: Null.

oder Prüfen Sie jetzt Ihren PC!
Der Test führt einen Portscan durch und testet nachfolgend bei gefundenen offenen Ports ein paar typische Angriffsszenarien.

Und das Ergebnis ist bis auf ein Detail so, wie ich es erwartet habe:
Port 21 "Keine FTP-Verbindung war möglich => entweder Konfigurationsfehler vorliegend oder besonders sicher konfiguriert. Stufe 02"
Port 80 "Die Webserverkonfiguration scheint soweit in Ordnung zu sein, denn unser Test konnte keine angriffsgefärdete Script-Dateien finden. Stufe 02"
Port 53 "Beurteilung: Ihr DNS-Server scheint von der Konfiguration in Ordnung zu sein. Stufe 01"

Nach welchen Gesichtspunkten hier aber "Stufe 01" oder "Stufe 02" vergeben wurde, bleibt unklar.

Dummerweise ist er bei der Information, welches System denn jetzt konkret geprüft wurde, sehr maulfaul. [...] Da frage ich mich ja aber: Woher will die Testseite wissen, welchen DNS-Server ich verwende? Welche IP hat sie da überhaupt getestet?

Da verstehe ich nun deine Probleme nicht: Die versuchen, auf der IP, mit der du im Internet "sichtbar" bist, einen DNS anzusprechen - was sonst?

Denn meine einene Internet-IP hat weder auf UDP noch auf TCP einen Port 53 offen.

Das dachte ich zunächst auch. Offensichtlich reagiert aber mein Router, der ja für die internen Clients auch als DNS da ist, auch auf DNS-Anfragen von außen. Da die Ergebnisse aber als "in Ordnung" bewertet werden, scheint er keine problematischen Informationen rauszurücken.

Aber noch viel spannender ist doch: Kann ein Laie, der danach verlangt, einfach eine einfache Seite mit simplen, kurzen Anweisungen zu kriegen, dieses ganze ausgegebene Technogebabbel dekodieren und verstehen? Doch vermutlich eher nicht.

Das glaube ich auch nicht - zumal es einem Laien schon am Verständnis für das fehlt, was da ablaufen *soll*, geschweige denn unerwünschterweise abläuft.

Selbst ich habe Schwierigkeiten, nachzuvollziehen, was die denn da jetzt genau getestet haben wollen. Ich kann nicht nachvollziehen, ob die Testergebnisse falsch oder richtig sind - und genau das wäre zwingend notwendig, damit ein uninformierter Benutzer wenigstens diese Information an einen Fachmann weitergeben kann, um Abhilfe zu schaffen, wenn der Test gelbe oder rote Farben auswirft.

ACK. Das habe ich denen auch als Feedback geschickt. Ob's was nützt ...

So long,
 Martin

[Simpl]

Hallo,

Dummerweise konnte ich nicht prüfen, wie es sich äußert, wenn die Versionen nicht alle topaktuell sind, aber die Formulierung im Text zu "mehr Details" lässt darauf schließen, dass die Webseite sich darauf beschränkt, die Versionsnummer auszugeben, aber vermutlich keinen Alarm ausgibt, wenn die Version nicht die aktuellste ist.

Der Alarm äußert sich in der Farbe der Wappenschildes. Bei mir orange und es kommen zwei Warnungen, weil Java und QuickTime veraltet sind. Über einen Hilfe-Link öffnet sich je ein PDF mit weiteren Informationen. Das ist soweit verständlich und ich weiß, was ich zu tun habe, nämlich mir aktuelle Versionen besorgen.

oder Prüfen Sie jetzt Ihren PC!
Aber noch viel spannender ist doch: Kann ein Laie, der danach verlangt, einfach eine einfache Seite mit simplen, kurzen Anweisungen zu kriegen, dieses ganze ausgegebene Technogebabbel dekodieren und verstehen? Doch vermutlich eher nicht.

Die vielen grünen Balken haben auf mich als Laie aber schon eine beruhigende Wirkung. ;-)

Danke für deinen Test.

mfg, Simpl