"Alex Holst" <a@mongers.org> wrote in message
news:43941c50$0$2084$edfadb0f@dtext02.news.tele.dk...
> Uffe S. Callesen wrote:
>> Er der nogen der vil dele deres erfaringer med firewall's der opererer
>> på lag 7 - altså med Apllication intelligence / deep packet inspection.
>
> Anbefaler at du holder dig fra signature-based produkter der kigger
> efter tegn på ondskab. Kig i stedet på almindelige application proxies
> der definerer hvad der er tilladt i en given protokol og afviser alt
> andet.
Bare lige en strøtanke:
Kan man ikke forestille sig angreb, der f.eks. går efter en endnu ikke
offenliggjort sårbarhed i f.eks. windows' måde at håndtere jpg-billeder
på. Ifølge proxien (siger vi) må jpg godt downloades via http .En
modificeret jpg downloades - nu er det for sent - angrebet er i gang...
Der er nok grænser for hvad der kan misbruges, da proxien jo ikke tillader
særlig meget traffik, men hvis angriberen er opmærksom på det, kan han
formentlig godt sørge for at få informationer ud igennem den alligevel. Om
ikke andet kan det medføre en form for dos, mens maskinparken reetableres.
Forslag:
Hvis nu man i ovenstående scenarie havde en scanner som f.eks. eeye (#1),
som jeg går ud fra kan gøre det ud for (om ikke andet en del af en) lag 7
firewall, så ville ovenstående formentlig ikke kunne lade sig gøre -
scanneren ville formentlig fange den modificerede jpg før den ville gøre
skade... netop fordi udformningen af jpg'en var "mistænkelig"... Det burde
da gøre hullet en del mindre.
Ovenstående forslag er altså ikke baseret på et signature-produkt.
Jeg har svært ved at se om det er den slags scanner/proxy du synes man
skal holde sig fra?
Noget helt andet er offentliggjorte sårbarheder - dem sørger man
selvfølgelig for at tage hånd om så snart de er kendt, så de er knap så
interessante.
Og signature-baserede produkter har jo problemet med at de er sårbare fra
hullet opdages til det er offentligt kendt til at der er et offentligt
kendt angreb til at der er udviklet en signatur. Og så kommer der en ny
variant og en ny signatur osv... Så jeg er enig i at de er knap så gode.
/Jens Ulrik
#1: Jeg har ikke umiddelbar kendskab til produktet, udover at det virker
som om at de er på forkant med hvilke sårbarheder der er fundet, men
stadig ikke er offentliggjort - altså de bruger tid på selv at finde
sårbarheder i produkter!?