{"id":28,"date":"2007-04-16T22:59:57","date_gmt":"2007-04-16T20:59:57","guid":{"rendered":"http:\/\/www.mitternachtshacking.de\/blog\/28-drop-oder-reject-check-point"},"modified":"2018-05-31T19:57:24","modified_gmt":"2018-05-31T18:57:24","slug":"drop-oder-reject-check-point","status":"publish","type":"post","link":"https:\/\/www.mitternachtshacking.de\/blog\/28-drop-oder-reject-check-point","title":{"rendered":"Drop oder Reject Check Point?"},"content":{"rendered":"<p>Ich hatte neulich mal wieder die beliebte Diskussion zur letzten Regel einer Check Point Firewall: &#8222;Was ist besser? Drop oder Reject?&#8220; Ich finde, die Frage l\u00e4sst sich gar nicht so einfach beantworten.<\/p>\n<p>Drop, das ist klar, l\u00e4sst ein Datenpaket einfach verschwinden. Weg. Futsch. Keine Antwort. F\u00fcr einen NMap SYN-Scan sch\u00f6n erkennbar: open, closed, filtered. Keine Antwort = filtered. Bei UDP ist das jedoch ein wenig komplizierter, da l\u00e4sst sich zwischen open und filtered nur schwer unterscheiden. Die IP-Adresse der Firewall krieg man meist trotzdem raus, zum Beispiel oft mit einem TCP-Traceroute. <a href=\"http:\/\/www.oxid.it\/cain.html\" title=\"Cain &amp; Abel\">Cain&amp; Abel<\/a> kann so etwas.<\/p>\n<p>Reject schickt eine Antwort zur\u00fcck. Nur &#8230; <a href=\"http:\/\/www.iana.org\/assignments\/icmp-parameters\">welche<\/a>?  Und ist das konfigurierbar wie bei Netfilter?<\/p>\n<ul>\n<li>ICMP Type 3, Code 0 (Network Unreachable)<\/li>\n<li>ICMP Type 3, Code 1 (Host Unreachable)<\/li>\n<li>ICMP Type 3, Code 3 (Port Unreachable)<\/li>\n<li>ICMP Type 3, Code 13 (Communication Administratively Prohibited)<\/li>\n<\/ul>\n<p>Zumindest die letzte Fehlermeldung gibt schon sehr genau Aufschluss dar\u00fcber, dass ein Paketfilter vorhanden ist.<\/p>\n<p>Andere \u00dcberlegung: Im Idealfall sollte es eigentlich egal sein, ob der Angreifer wei\u00df, dass eine Firewall vorhanden ist, welche IP-Adresse die Firewall hat, von welchem Hersteller sie ist und welcher Regelsatz implementiert ist. Gut, in der Praxis trifft das oft nicht zu, aber wir glauben heute mal an das Gute im Firewall-Administrator. \ud83d\ude42<\/p>\n<p>Dann bleibt f\u00fcr mich \u00fcbrig: Bei einem Reject schickt die Firewall Pakete an eine fremde (d.h. nicht n\u00e4her bekannte) IP-Adresse. Wenn die Absenderadresse nun gefaked ist, kann man die Firewall leichter z.B. f\u00fcr einen DoS-Sturm missbrauchen und das will ich lieber nicht.<\/p>\n<p>Das ist so \u00e4hnlich wie mit den R\u00fcckmeldungen per E-Mail, dass eine angeblich von mir verschickte Mail einen Virus enthalten h\u00e4tte. Nur verwenden viele Viren gef\u00e4lschte Absenderadressen aus den Adressb\u00fcchern und meistens ist genau der, der als Absender drinsteht f\u00fcr den Virus gar nicht verantwortlich. Und ich freue mich bestimmt nicht \u00fcber die penetrante Werbung einzelner Virenscannerhersteller, dass sie wieder einen Virus vernichtet haben (aber nicht in der Lage sind zu erkennen, dass die Absenderadresse gef\u00e4lscht war und eine R\u00fcckmeldung daher sinnlos).<\/p>\n","protected":false},"excerpt":{"rendered":"<p>Ich hatte neulich mal wieder die beliebte Diskussion zur letzten Regel einer Check Point Firewall: &#8222;Was ist besser? Drop oder Reject?&#8220; Ich finde, die Frage l\u00e4sst sich gar nicht so einfach beantworten. Drop, das ist klar, l\u00e4sst ein Datenpaket einfach verschwinden. Weg. Futsch. Keine Antwort. F\u00fcr einen NMap SYN-Scan sch\u00f6n erkennbar: open, closed, filtered. Keine [&hellip;]<\/p>\n","protected":false},"author":2,"featured_media":0,"comment_status":"closed","ping_status":"closed","sticky":false,"template":"","format":"standard","meta":[],"categories":[5,15],"tags":[],"_links":{"self":[{"href":"https:\/\/www.mitternachtshacking.de\/blog\/wp-json\/wp\/v2\/posts\/28"}],"collection":[{"href":"https:\/\/www.mitternachtshacking.de\/blog\/wp-json\/wp\/v2\/posts"}],"about":[{"href":"https:\/\/www.mitternachtshacking.de\/blog\/wp-json\/wp\/v2\/types\/post"}],"author":[{"embeddable":true,"href":"https:\/\/www.mitternachtshacking.de\/blog\/wp-json\/wp\/v2\/users\/2"}],"replies":[{"embeddable":true,"href":"https:\/\/www.mitternachtshacking.de\/blog\/wp-json\/wp\/v2\/comments?post=28"}],"version-history":[{"count":0,"href":"https:\/\/www.mitternachtshacking.de\/blog\/wp-json\/wp\/v2\/posts\/28\/revisions"}],"wp:attachment":[{"href":"https:\/\/www.mitternachtshacking.de\/blog\/wp-json\/wp\/v2\/media?parent=28"}],"wp:term":[{"taxonomy":"category","embeddable":true,"href":"https:\/\/www.mitternachtshacking.de\/blog\/wp-json\/wp\/v2\/categories?post=28"},{"taxonomy":"post_tag","embeddable":true,"href":"https:\/\/www.mitternachtshacking.de\/blog\/wp-json\/wp\/v2\/tags?post=28"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}