Windows-XP-Firewall
Service Pack II reißt Löcher in Netzwerkschutz
Beitrag vom 09.10.2004
In bestimmten Fällen reißt die mit XP
Service Pack II
installierte Firewall größere Löcher auf, als sie blockiert. Der Grund
liegt in der neu hinzugekommenen Ausnahmeliste, mit der sich abgrenzen
lässt, welche Dienste und Ports von außen erreichbar sind. Bei der
Installation aktiviert Windows die XP-Firewall für alle erkannten
Netzwerkschnittstellen automatisch. Damit gilt auch die Ausnahmeliste für
alle Interfaces. Da Windows aber nur eine einzige Ausnahmeliste verwaltet,
wirkt sich beispielsweise die aktivierte Datei- und Druckerfreigabe
ebenfalls auf alle Interfaces aus.
Verfügt der Windows-Rechner
nun über mehrere Schnittstellen, etwa LAN und DSL, so sind die Freigaben,
die eigentlich nur im LAN erreichbar sein sollten, prinzipiell auch aus
dem Internet erreichbar.
Allerdings überrumpelt
Service Pack II bei
der Installation XP-Systeme mit Service
Pack 1, in dem es die alte
Firewall-Konfiguration schlichtweg ignoriert beziehungsweise nicht richtig
übersetzt. Die Freigabe-Dienste sind unter XP
Service Pack 1
prinzipiell an jedes Interface gebunden, vor dem Zugriff aus dem Internet
schützt aber in der Regel automatisch die Internet Connection Firewall.
Für LAN-Schnittstellen ist die ICF unter SP1 noch standardmäßig
deaktiviert, sodass ein freigegebenes Laufwerk ohne weitere Konfiguration
im lokalen Netzwerk erreichbar ist. Installiert man auf solch einem System
Service Pack II, so
erkennt Windows die Laufwerksfreigaben und merkt sie sich in der
Ausnahmeliste -- damit gelten sie leider auch für das DFÜ-Interface.
Allerdings sollte
normalerweise die Datei- und Druckerfreigabe nur für das lokale Subnetz
gültig sein einerlei ob nun LAN- oder DFÜ-Interface. Die Redaktion der
Zeitschrift PC-Welt hat aber laut ihren Tests aufgezeigt, dass diese
Beschränkung unwirksam ist, wenn die Internetverbindungsfreigabe (Internet
Connection Sharing) deaktiviert ist. So sei trotzdem der Zugriff auf den
Rechner möglich. Abhilfe schaffe ein manueller Eintrag der IP-Adressen in
die "Benutzerdefinierte Liste" für alle vier vordefinierten Ports.
Alternativ können Anwender
die Datei-und Druckfreigabe in der Ausnahmeliste auch deaktivieren und
manuell für das entsprechende LAN-Interface eigene Ports öffnen. Unter den
erweiterten Netzwerkverbindungseinstellungen müssen dazu die TCP-Ports 139
und 445 sowie die UDP-Ports 137 und 138 hinzugefügt werden
Sie möchten sich
Informieren?!
Ansprechpartner:
Abteilung Systemsicherheit
