Wie sicher ist die Firewall von FritzBox 7050

[skonti2000]

Hallo Jungs,
wie stehts eigentlich mir der Sicherheit der Firewall von der Fritzbox 7050?
Vorher hatte einen SMC Router mit Firewall der alles geblockt hat.
Laß ich jetzt einen Portscan von außerhalb laufen, ist der Port 139 für Netbios völlig offen. Das beunruhtig mich schon. Eine Software Firewall benutze ich zusätzlich aber irgendwie habe ich ein schlechtes Gefühl. Hat einer vielleicht gute Tips wie man die FritzBox besser einstellt ( ist ja nicht viel einzustellen) oder sicherer machen kann?

Gruß Skonti

 

[Mr-Fly]

ich weiss ja nicht was du da testest und ueber welche externe side.
Bei mir ist jedenfalls netbios nicht offen.
Du kannst sonst auch bei www.grc.com das tool ShieldsUp benutzen, welches dich vom Internet aus überprüft.

 

[skonti2000]

Hallo Mr-Fly,
hab mit http://scan.sygatetech.com/udpscan.html getestet.
Gruß Skonti2000

 

[skonti2000]

Wie schauts bei Euch aus?
Hat jemand vielleicht noch eine Side zum Testen?

Gruß Skonti

PS: Netbios und alles andere ist bei mir in Windows abgeschaltet.

 

[skonti2000]

So hab hier noch eine Seite augetan http://www.port-scan.de und wieder das gleiche Ergebinis .

Gruß Skonti

 

[Mr-Fly]

mhhh. das ganze aber nur bei UDP.
ZUm Aufbau einer Verbindung über den Port müsste TCP unterstützt werden.
Warum da aber der UDP Port offen ist (oder ob es ein Fehler ist beim Test) kann ich dir nicht sagen.
Ich habe mit einem Portscanner einen Kollegen durchgescannt und habe dort weder mit udp noch tcp offene ports gefunden.
Meiner meinung nach kommen die checktools mit einem closed port nicht zurecht, da ja eine Antwort kommt.
Bei TCP ist der unterschied zwischen STEALTh und Closed ja der, dass bei Closed ein TCP-CLose vom Router geschickt wird, währenddessen bei Stealth das Paket einfach ignoriert wird.
UDP ist grundsätzlich connection-less, so dass eine Rückantwort nach dem Motto "Port nicht verfügbar" auch leicht fehlgedeutet werden kann.

Gruss Fly

 

[skonti2000]

Hallo Fly,
ich kenn mich da auch nicht so aus. Aber beim SMC-Router konnte alles einstellen Portfreibabe, DMZ usw. und wurde sogar bei Attacken per Mail informiert. Da bin ich bis jetzt ein bißchen verwöhnt gewesen. Beim Portscan war immer alles dicht gewesen. Deshalb habe ich auch dieses Frage mal ins Forum gestellt. Ein bißchen mehr habe ich mir unter der Firewall von FritzBox 7050 schon vorgestellt.

Gruß Skonti

 

[traxanos]

Ich würde mir hier keine sorgen machen. Wie Mr-Fly gesagt hat ist es nur eine Antwort das bei anderen Routern nicht gesendet wird. Es macht aber keinen Unterschied ob der Router das Paket ignoriert oder dem Client sagt es, dass der Port dicht ist. Dich ist dicht Die Einstellmöglichkeiten selber sind leider etwas beschänkt. Richtige DMZ, TriggerPort und auch Port-Ranges sind nicht vorhanden. Im ganzen ist das Firewallkonzept aber relative sicher

 

[lakerz]

Lohnt überhaupt noch eine Software-Firewall? Klar das überall gesagt wird zur Sicherheit einen zu haben, aber wenn es nicht wirklich was bringt würde ich wegen der Leistung doch vielleicht überlegen die Software-Firewall abzuschalten.

 

[TaiPan007]

Kommt drauf an.

Lohnt überhaupt noch eine Software-Firewall? Klar das überall gesagt wird zur Sicherheit einen zu haben, aber wenn es nicht wirklich was bringt würde ich wegen der Leistung doch vielleicht überlegen die Software-Firewall abzuschalten.

Ob sie sich lohnt, dass kannst du nur individuell abwägen. Unabhängig von der zusätzlichen Sicherheit gegen Angriffe von außen bietet eine Soft-Firewall natürlich auch einen gewissen Schutz gegen Probleme von innen bzw. erlaubt detailierte Informationen über Verbindungsversuche.

Agnitum Outpost Firewall beispielsweise erkennt auch Versuche von Software, sich anderer Komponenten (IEXPLORER.EXE) zu bedienen um quasi Huckepack nach draußen zu kommen oder erlaubt detailierte Einstellungen pro Webseite bezüglich Sicherheit und Privatsphäre.

Unter Leaktest findest du einige Tests zum Thema.

 

[Mr-Fly]

@taipan

genau das mach ich auch.
Habe Agnitum Outpost Pro nebenher laufen.
Nutze da vor allem die ActiveX und Flash Kontrolle.
Weiterhin die Email-Sicherheit (Umbenennen von Attachment mit .exe etc. obwohl ich pegasus mail benutze
weiterhin ist der Spam-Seitenfilter von denen auch nicht verkehrt um der Werbung im Internet zu entgehen.

 

[skonti2000]

Hallo Jungs,
ganz beruhigen tut mich das nicht, aber für einen Normalanwender sehe ich das ganz als ok an. Habt Ihr vielleicht einen guten Tip für eine gekaufte Firewall? Ich würde die Firewall ganz gerne zwischen FBF und Firmennetz hängen. Ist für ein kleines Unternehmen gedacht und sollte wie immer günstig und gut sein.

Gruß Skonti

 

[skonti2000]

Na so ganz überzeugt mich die Antwort von AVM nicht.

http://www.ip-phone-forum.de/forum/viewtopic.php?t=17072

Würd ja heißen das alle anderen Port-Scanner schlecht wären.

Gruß Skonti

 

[wichard]

Würd ja heißen das alle anderen Port-Scanner schlecht wären.

Nein, das heißt, daß die "anderen" Port-Scanner das Ausbleiben einer Antwort als "Keine Antwort ist auch eine Antwort" interpretieren. Ich finde die verlinkte Antwort ziemlich gut...

Gruß,
Wichard

 

[skonti2000]

Ok,
eigentlich ist die Firewall sehr gut. Hab nebenher noch Software-Firewalls installiert (immer nur eine). Wurde niemals belästigt, daß irgendwelche Angriffe abgewehrt wurden. Bei einen Rechner ohne Hardware-Firewall ist das ja standard. Kann mir aber vielleicht noch einer folgendes erklären.
Zur Zeit benutze ich die Firewall von Kaspersky und ab und zu wenn ich auf meinen Account von WEB.de gehe, schlägt die Firewall an und sagt Portscan abgewehrt von WEB.de, wie ist das zu erkären?

Gruß Skonti

 

[katzespotty]

Hallo Leute,

eine Software-Firewall als Ergänzug zu der Hardware-Firewall ist doch bei jeder FritzBox dabei! FritzWebProtect läuft bei mir ohne Probleme und fragt mich ob ein Programm ins Netz darf oder nicht! Warum eine kaufen wenn sie bereits zum Lieferumfang gehört?

Gruß,
Frank

 

[Koelli]

Also was mich bei der integrierten Firewall in der Box irritiert: Ich weiß gar nicht, ob sie auch arbeitet. Nirgendwo eine Meldung oder eine Schaltfläche.
Meine alte Software-Firewall poppte alle Nase mal auf und fragte, ob ich diese oder jene Verbindung zulassen wolle. Von der FritzBox Wall hört und sieht man ja nichts.

 

[Borsti67]

@Koelli:
So soll es ja auch sein.
Was Du nicht von Hand eingetragen hast, wird nicht durchgelassen. Basta.

 

[skonti2000]

@ Borsti67

eine Ergebnisanzeige für die Firewall wäre schon ganz schön.
Kann ja jetzt auch schon sehen, wer mich angerufen hat oder versucht auf mein W-Lan zu zugreifen.

Gruß Skonti

 

[tjobbe]

nun das geht relativ einfach:

1. Telnet drauf
2. dsld -s stoppen
3 dsld ohne optionen starten, dann sollten auch ausgaben über geblockte IPs, Ports usw rausgeschrieben werden (default auf tty0) -> wer mehr wissen sollte eben den syslog auf eine Linux mühle schreiben lassen

Jul 4 18:43:31 dsld[5894]: DSL(internet): rcv_packet_drop: by firewall TCP 80.136.208.115:1752 -> xx.xxx.xx.xxx:135 SYN
Jul 4 18:43:37 dsld[5894]: DSL(internet): rcv_packet_drop: by firewall TCP 80.136.110.183:1125 -> xx.xxx.xx.xxx SYN
Jul 4 18:43:40 dsld[5894]: DSL(internet): rcv_packet_drop: by firewall TCP 80.136.110.183:1125 -> xx.xxx.xx.xxx:139 SYN

..ist dann was du im log siehst

Cheers, Tjobbe

EDIT:

usage: dsld dsld [options]
options:
  -?                 - print this help
  -d                 - Debug for PPP-Stack. (NOTSET)
  -t                 - packet trace. (NOTSET)
  -f                 - run in forground. (NOTSET)
  -s                 - stop daemon. (NOTSET)
  -p STRING          - Pidfile. ("/var/run/dsld.pid")
  -r INTEGER         - Portrange for IPMASQ. (0)
  -F                 - no pppoe forwarding. (NOTSET)
  -T                 - no trafficshaper. (NOTSET)
  -C                 - connect on startup. (NOTSET)
  -i                 - first start after bootup. (NOTSET)
  -M STRING          - memory debug output. (NULL)
  -n                 - do not show packets dropped. (NOTSET)
  -I                 - send dsld a SIGHUP. (NOTSET)
  -b INTEGER         - download smoothing min. (1452)
  -B INTEGER         - download smoothing max. (65340)
  -a INTEGER         - download smooothing incr. (256)
  -N                 - no higher priority. (NOTSET)
  -R                 - raw low level capture. (NOTSET)
  -V STRING          - Pidfile of voipd. ("/var/run/voipd.pid")
  -S                 - show bandwidth used every second. (NOTSET)
  -Q INTEGER         - atm rmem in Kbyte. (64)
  -D STRING          - switch debug logs on. (NULL)
  -X INTEGER         - Paket per select. (-30)
  -q INTEGER         - tun tx queue len (packets). (10)
  -O INTEGER         - dsl tx queue len (packets). (10)
  -z                 - capture only dropped packets. (NOTSET)
start server:   dsld
stop server :   dsld -s

die option -n unterdrückt normalerweise die von der FW nicht durhcgelassenen Pakete