Microsoft Baseline Security Analyzer-Firewall einstellen

Hallo Leute,
ich habe mein System mal mit der MBSA Software überprüfen lassen. Der Test hat gezeigt das meine Netzwerkverbindungen nicht durch die Firewall geschützt sind oder die Ports offen sind und ich die Firewall bei allen Netzwerkverbindungen aktivieren soll.
Bei meiner DFÜ Verbindung ist die Firewall aber aktiviert und bei meiner LAN Verbindung habe ich keinen Zugriff (nicht unterlegt) darauf.
Meine Frage nun, wie kann man für die LAN Verbindung die Firewall aktivieren und welche Ports sind gemeint die noch offen sind, bzw. wie schließe ich diese?

Mein System: WinXP Home als Server in einem Heimnetzwerk mit 2 PC's, ICS, einwahl ins WWW über DFÜ mit Modem.

Bin Dankbar für jede Hilfe.

Gruß Igel

verschoben von Windows XP

Vergiss diese Ergebnisse einfach wieder - das zeigt der MSBA immer an, ist aber Schwachsinn, z.B. im LAN die Firewall zu aktivieren.

Wichtig ist, das deine DFÜ-Verbindungen geschützt sind, den Rest kannst du getrost vernachlässigen.

Cheers,
Joshua

Hallo,

okay vergessen wir mal die Firewall bei LAN, da ja nicht unterlegt habe ich sowieso keine Einstellmöglichkeit. Aber was ist mit den offenen Ports? In der DFÜ Verbindung sind bei den Firewalleinstellungen alle Häckchen raus, bis auf einen msmsgs. Ist das so richtig oder muß da dann nochwas anderes eingestellt werden?

Danke, Gruß Igel

...was anderes eingestellt... ist ein gutes Stichwort - zwar ist es besser, mit der Windows-Firewall online zu gehen, aber eine vernünftige Firewall wäre noch besser ,-)

Davon abgesehen:
msmsgs müsste imho der Microsoft Messenger sein.....

Cheers,
Joshua

die ms eigene fw in xp kann man etwa mit einem löchrigen kondom beim sex vergleichen, es kann vor schwangerschaft schützen, muß aber nicht. denn leider sperrt die fw die ms eigenen ports nicht, sprich die vom blaster bekannten problem ports sind von außen sichtbar und ohne patch bis du nachwievor für blaster, lovsan und co. abgreifbar, da die stealth funktion in der fw fehlt. leider weis ich nicht mehr alle ports auswendig, die wichtigen sind aber 135, 445 und 5000, kann aber auch noch ein anderer port betroffen sein. das kannst du hier http://security.symantec.com/sscv6/default.asp?langid=ge&venid=sym überprüfen lassen. und icmp (u.a. der normale ping) wird auch nicht abgestellt, obwohl die fw eine menge regeln mitbringt, nur die nüzten nichts, die kiste antwortet auf jede anfrage von außen, was u.u. auch nicht wünschenswert ist. durchlassen solltest du auf jedenfall ftp, http, https, pop3 und smtp, damit du ja surfen kannst.

greetz

hugo

Hallo Alle,

einmal zur Korrektur:

Es gibt nichts schlimmeres als einem Tool zu vertrauen, das selbst nicht weiß was es gerade unternimmt! So ändert sie z.B. völlig selbständig, ohne jedes Einverständnis des Benutzers die Regeln, wenn das BS es wünscht. Und dies kommt öfter vor als Du denkst! Von Würmern, Malware, Trojanern einmal völlig abgesehen, diese bemerkt sie überhaupt nicht. Stateful Inspection kann sie auch nicht obwohl MS das behauptet...!

Zum Stealth: Da gibt es schon ellenlange Diskussionen drum, was besser ist u. was nicht. Ich pers. halte es für wesentlich sicherer, dem anderen zu signalisieren Das ist ein Maschine u. auf dem Port läuft kein Dienst als durch den Stealth-Modus ihn auch noch zu Ermutigen weitere Pakete zu senden (schließlich muß da ja was sein, denn ich erhalte ja keine Antwort!!). Wie gut das Teil mit dem erhöhten Traffic zurecht kommt ist wohl eine andere Diskussion... ;-)

Die Windows eigene FW kannst Du m.E. zu gar nichts verwenden! Ich rate dringenst davon ab!

Wenn Du schon Desktop-FW's einsetzt, dann doch lieber was anderes
(u. über Sinn u. Unsinn dieser gibt es auch ellenlange Diskussionen ;-)).

Schau einmal bei http://www.agnitum.com/download/outpost1.html

Die Pro-Version ist kostenplichtig, die Free ist auch free - deutsche Inst..

Gruß, Frank

jau. Und weil das so ist, schalten dann alle lieben User die eingebaute Firewall mal eben ab. Ist doch sowieseo Sch..., weil von Microsoft. Und dann - ich erinnere mich noch genau - kommt mal wieder so ein Tag, wo bei uns in der Firma das Telefon nicht mehr stillsteht, weil sich irgendetwas rasend schnell verbreitet hat und unzählige Rechner lahmlegt...

Und das alles, weil wir einer Firewall-Lösung schon mal grundsätzlich misstrauen, nur weil sie eben von Mircosoft kommt. Da lassen die sich doch bestimmt ein Hintertürchen offen. Um festzustellen wieviele Stunden ich letzte Woche mit ihrem Betriebssystem gearbeitet habe

Da wird eine ganze Menge Paranoia um nichts gemacht. Und ganz nebenbei verschicken wir alle möglichen privaten Nachrichten per Mail, obwohl die NSA den Datenstrom in weiten Teilen permanent überwacht !?


Also mal eben zur Korrektur.:

Es lohnt sich eine besser konfigurierbare Firewall einzusetzen, wenn ich ein bisschen Ahnung habe, was ich da so konfigurieren kann. Die Anwendung xyz versucht... - was nützt es mir, wenn ich so etwas konfigurieren kann, mir die Anwendung xyz aber rein garnichts sagt ?
Eine falsch konfigurierte Firewall ist dann entweder die Garantie dafür, dass garnichts mehr geht oder der Urheber eines völlig ungerechtfertigten Gedankens von ich bin sicher.
Was also tun, wenn man sich da nicht so richtig auskennt ? Bleibt ja eigentlich nur keine Firewall oder die ummichmusstdudichnichtkümmern-Lösung ?? Antwort erübrigt sich denke ich mal

Hallo manonc,

>Und dann - ich erinnere mich noch genau - kommt mal wieder so ein
>Tag, wo bei uns in der Firma das Telefon nicht mehr stillsteht, weil
>sich irgendetwas rasend schnell verbreitet hat und unzählige Rechner
>lahmlegt...

es trifft bestimmt zu, daß das eine o. andere Szenario durch die Win-FW anders ausfällt (das steht außer Frage u. ist auch nicht Inhalt u. Ziel dieses Tipps gewesen). Dies ist sicher vom Einzelfall abhängig! Wenn Ihr in Eurer Firma die Win-FW einsetzt, um Sicherheit zu gewährleisten, dann würde ich Eurem Admin dringend einen Lehrgang und Eurem Chef die Beauftragung eines Sicherheitsexperten anraten. Beides kostet ganz sicher Geld, der Schaden der entstünde, völlig egal ob nun durch Datenverlust o. Rufschädigung etc. pp., dürfte um einiges über dem eines ordentlichen Sicherheitskonzeptes für eine (kleinere?, ziemlich wahrscheinlich!) Fa. liegen!

[...]
>Und das alles, weil wir einer Firewall-Lösung schon mal grundsätzlich
>misstrauen, nur weil sie eben von Mircosoft kommt. Da lassen die sich
>doch bestimmt ein Hintertürchen offen. Um festzustellen wieviele
>Stunden ich letzte Woche mit ihrem Betriebssystem gearbeitet habe.

Ich bin wirklich überrascht zu welchen Schlußfolgerungen Du kommst. Du kannst mir doch sicher erklären was der Zweck dieser Hypothese ist - oder? Für mich ist Deine Schlußfolgerung vordergründig unerheblich. Ich glaube, Du sollest meinen Thread da noch einmal genauer lesen...

[...]
>Da wird eine ganze Menge Paranoia um nichts gemacht. Und ganz
>nebenbei verschicken wir alle möglichen privaten Nachrichten per Mail,
>obwohl die NSA den Datenstrom in weiten Teilen permanent
>überwacht !?

Hier bin ich teilweise Deiner Meinung. Siehe z.B. Echolon!

>[...]
>Es lohnt sich eine besser konfigurierbare Firewall einzusetzen, wenn
>ich ein bisschen Ahnung habe, was ich da so konfigurieren kann.

Grundsätzlich ja. Auch hier werden Dir Puristen begegnen die anderer Meinung sind u. dies auch tech. belegen können! Ist aber nicht meine Intension. Das gesunde Verhältnis sollte man wahren können...

[...]
>Die Anwendung xyz versucht... - was nützt es mir, wenn ich so >etwas konfigurieren kann, mir die Anwendung xyz aber rein garnichts
>sagt ?

Genau - vor allem vor dem Hintergrund des Sinns bzw. Unsinns einer Desktop-FW! Sehe ich davon einmal ab, blieben dann z.B. auch immer noch das Userverhalten u. die Erkennungsmechanismen, sprich Algorithmen, eines solchen Tools! Welche Lösung findest Du denn eleganter, eine, bei der Dir zumindest noch mitgeteilt wird He, halte Dich fest, ich fahre dir jetzt in den PKW oder die Nulllösung?

[...]
>Eine falsch konfigurierte Firewall ist dann entweder die Garantie
>dafür, dass garnichts mehr geht ...

Eine falsch konfigurierte FW kann genauso ein Garant dafür sein, daß alles geht!

>oder der Urheber eines völlig
>ungerechtfertigten Gedankens von ich bin sicher.

Richtig!

[...]
>Was also tun, wenn man sich da nicht so richtig auskennt ?

(s.o)

> Bleibt ja eigentlich nur keine Firewall oder >die ummichmusstdudichnichtkümmern-Lösung ?? Antwort erübrigt
>sich denke ich mal

<begincomment>

</endcomment>


Gruß, Frank

höhöhö - ich bin der Admin... und ich setze garantiert eine professionelle Firewall ein. Aber ich kenne mich ja auch mit Netzwerkprotokollen ein wenig aus. Sollte ich auch. Ich verdiene schließlich mine Geld mit Computern.

Nebenbei darf ich aber auch noch ab und an ein paar Kunden betreuen, die echt von garnix eine Ahnung haben. Man darf andere Menschen nicht überfordern und ich merke es andauernd, wie schnell man an einem Punkt angekommen ist, wo der Computerlaie alle Viere von sich streckt, kapituliert und anschließend auch nicht mehr einsieht einen neuen Versuch des Verstehens zu starten....
Manchmal braucht man schon eine Stunde um jemandem beizubringen, wie er Daten von der Festplatte auf CD brennt. Mit nur kurzfristigem Erfolg. Nah einer Woche bekommt man dann zu hören: mir hat das ja keiner richtig gezeigt - also mache ich es auch nicht

Ich nehme einfach mal an, du hast nichts mit einer Form der direkten Kundenbetreuung zu tun.
Die erste Fragestellung sagte mir ganz eindeutig, dass Igel69 nicht unbedingt der/die große Netzwerkfachmann/frau ist. Was auch nichts schlimmes ist. Wenn aber so grundsätzliche Dinge wie internes / externes Netzwerk erst einmal erklärt werden müssen, dann stellt sich doch die Frage ob er/sie nicht doch mit der Konfiguration einer Firewall ein wenig überfordert ist. Und aus diesem Schluss heraus halte ich mein erstes Posting durchaus für angebracht. Es sollte nicht als Schlussfolgerung herauskommen die MS-Firewall ist absolut klasse und perfekt. Das ist sie ganz sicher nicht. Aber immer noch besser als (s.o.)

Hallo manonc,

Support ist ein breites Feld auf dem ich einige Jahre Erfahrungen sammeln durfte, sei es nun im Helpdesk o. extern direkt vor Ort. Ich könnte ein Buch mit Anekdoten füllen... Z.Z. sitze ich einmal wieder direkt an der Basis - nämlich bei den Kunden (Datenbanken). So kann man sich täuschen...

Es läßt sich doch nicht bestreiten, daß die Win-FW auf einer Skala von 1-10 auf Platz 23 rangiert - da beißt doch keine Maus den Faden ab. Selbst ich, als MS-belasteter Mensch, gebe mich da keinen Illusionen hin. Ich kann doch nicht wirklich davon ausgehen, daß Du ein Produkt einsetzt, welches weder über entsprechende/nötige Schnittstellen zur Konfiguration noch über brauchbare Prüfalgorithmen verfügt - das kann doch unmöglich Dein Ernst sein? Einem Kunden eine Desktop-FW zu verkaufen, die zumindest in der Lage ist grundlegenderere Elemente zu beherrschen u. desweiteren nicht auf eine Interaktion mit dem User angewiesen ist (läßt sich bei den Dingern fast immer einstellen) - da gibt es doch keinen Diskussionsbedarf. Bspw. kannst Du auf sich verändernde Umgebungen viel schneller, letztlich also im Interesse des Kunden, reagieren. Auswertungsmöglichkeiten bestehen auch völlig andere (zwischen den Zeilen (Logs) muß man allerdings lesen können).

>Die erste Fragestellung sagte mir ganz eindeutig, dass Igel69 nicht
>unbedingt der/die große Netzwerkfachmann/frau ist. Was auch nichts
>schlimmes ist. Wenn aber so grundsätzliche Dinge wie internes /
>externes Netzwerk erst einmal erklärt werden müssen, dann stellt
>sich doch die Frage ob er/sie nicht doch mit der Konfiguration einer
>Firewall ein wenig überfordert ist.

Na klar, das sehe ich nicht anders. Aber gerade vor diesem Hintergrund muß man doch sehen, daß Du Dir völlig unzureichende statische Filterung an die Backe nageln kannst. Damit wird doch niemandem geholfen... Und eine, die ihre Dienste auch ohne Interaktion des Users verrichtet u. obendrein noch andere Auswertungsmöglichkeiten bietet, die ziehe ich doch vor - als Admin...

>Und aus diesem Schluss heraus halte ich mein erstes Posting
>durchaus für angebracht.

Es spricht zumindest für sich...

>Es sollte nicht als Schlussfolgerung herauskommen die MS-Firewall
>ist absolut klasse und perfekt. Das ist sie ganz sicher nicht. Aber
>immer noch besser als (s.o.)

Nene, das habe ich auch nicht so aufgefaßt. Nur erkläre mir bitte, wie Du zu diesen seltsamen Schlußfolgerungen kommst, die ich dir bereits aufgezeigt hatte (mein Post. v. 19.02., 3-4 Abs.). Ob die immer noch besser ist als Dein s.o. wage ich allerdings mehr als zu bezweifeln!

Was mich völlig irritiert ist, daß Du der irrigen Annahme unterliegst, die Kunden müßten an der Konfiguration von egal welchen FW's arbeiten... soso...

Gruß, Frank