Auf
einem WindowsXP System mit normaler Konfiguration und der Desktop Firewall OutPost
von Agnitum, haben wir einen kleinen Test durchgeführt um die Firewall
auf die Stabilität zu prüfen.
Gegen zufällig erstellte Datenpakete (kurze oder kleine IGMP oder ICMP
Pakete) kann man sagen, daß die Outpost Firewall recht stabil ist und
diese "Angriffe" erkennt jedoch im gesamten Arbeitsverhalten schwer
abbremst.
Die Outpost arbeitet nicht mehr in gewohnter Schnelligkeit und kann die Datenpakete
nicht eindeutig verarbeiten.
Diese Datenpakete wurden per Zufallsgenerator eindeutig definiert und können
dazu führen, daß bei einem sehr lang andauernden "Angriff"
dieser Art, die Firewall die Arbeit aufgibt.
Im Einzelfall bedeutet es, daß man von einer Angriffszeit von mehr als
10 Minuten ausgehen, innerhalb eines Netzwerkes (LAN) dürfte diese Zeit
bei ca. 2-3 Minuten liegen.
Anschliessend wurden eine Menge von ACK Paketen auf eine IP geschickt, die von
der Outpost Firewall geschützt werden sollte. Diese Datenpakete (ACK) sind
in der Regel reine Bestätigungspakete innerhalb existierender Verbindungen.
(ACK bedeutet einfach: das hier Datenpaketreansfer über ACK lediglich quittiert
werden)
Bei einem sogenannten Stream-Angriff werden Datenpakte generiert, die eigentlich
nicht zu einer bestehenden Verbindung gehören. Da die Outpost Firewall
überprüft, welche Pakete zur bestehenden Verbindung gehören um
Portscanns zu entdecken, wurde die Outpost allein durch diese Überprüfung
während der Attacke so stark überlastet, sodaß vorübergehend
das System zum Stillstand kam.
Folge daraus: Das Betriebssystem hat über die Zeit des Angriffes totalen
Stillstand, da die Outpost Firewall fast die gesamten Rescourcen für die
Berechnung benötigt.
Wird der Angriff jedoch aber abgebrochen, kann es in einzelnen Fällen auftreten,
daß die Outpost Firewall anschliessend nicht mehr sauber arbeitet und
neu gestartet werden muß.
Das System ist dann ungeschützt und ist aber in dieser Form stabil gegen
die Angriffe geblieben und arbeitete weiter.
Ein Bluescreen konnte jedoch nicht erzeugt werden, lediglich hat die Firewall
Outpost die Arbeit verweigert.
Was
das interne IDS (Intrusion Detection System) anbelangt kann man sagen, daß
es nicht 100% zuverlässig reagierte auf ankommende Angriffe wie oben beschrieben.
Das IDS hatte zunehmend Probleme die tatsächliche Subnetmaske zu blockieren
oder gar die Verbindung zum Internet oder zum LAN zu blockieren.
Daher ist das IDS bei massivem Angriff fast nutzlos, da es kaum reagieren kann.
Die
Outpost Firewall ist aber dennoch eine saubere Firewall für den Windows
Nutzer, der ein wenig mehr sehen möchte was tatsächlich im Netzwerk
geschieht.
Die Chance, dass eine solcher Attacken tatsächlich ausgeführt wird
ist sehr gering. Das Verständnis dieser Angriffstechniken ist schon sehr
fachspezifisch und kann nicht auf die schnelle ausgeführt werden.
Durch den Test kann man abschliessend sagen, die Firewall Outpost macht einen
recht interessanten und durchaus stabilen Eindruck.
Der Test wurde mit einem WindowsXP System durchgeführt und das angreifende
System war ein RedHat Linux System.
Was nicht vergessen werden darf, das für Attacken auf eine Firewall wie
die Outpost eine IP Adresse konkret erforderlich ist.
Schwer ist es aber eine IP Adresse zu erhalten, wenn man nicht auffällig
ist durch unachtsames Surfverhalten.
Die Chance einer zufälligen IP Folge ist sehr gering, da nicht eindeutig
erkennbar ist was für ein Firewallsystem dort wirklich auf das System achtet.
Vielleicht sollte erwähnt werden, dass die Updates von Outpost auf jeden
Fall einmal wöchentlich geprüft werden sollten, um sicher zu gehen
immer die neueste Version zu haben.
Das Team von Agnitum arbeitet recht fieberhaft an Verbesserungen und an Neuerungen,
um Fehler und Schwächen zu beseitigen.
Nach dem Test der durch Mixter und mich durchgeführt wurde, haben wir umgehend
das Team von Agintum informiert und über die augetretenen Schwächen
informiert.
Testversion aktuell: 1.0.1817.1645
Marko
Rogge - Brain-Pro Security
in Kooperation mit
Mixtersecurity
In diesem Sinne ein Danke an Mixter.
Dieser Test sowie Auszüge daraus dürfen nicht ohne Genehmigung vervielfältigt
werden!
©2001-2002 by M.Rogge & Mixter
Original
E-Mail an Agnitum, verfasst von Mixter:
Greetings,
attached
is a translation of the German-Secure
article about the Outpost Firewall test.
~Mixter
Agnitum's Outpost Desktop Firewall
A brief penetration test of the Outpost Desktop Firewall.
We did a small test on a Windows XP system with standard configuration and the
Desktop Firewall OutPost from Agnitum to test its stability. The Outpost Firewall
is pretty stable when it comes to attacks based on randomly created data packets
(short packets and small IGMP- and ICMP messages among others), as it recognizes
such "attacks", though it can be slowed down significantly by them.
The Outpost ceases to work in the usual speed and the system fails to process
some of the packets. The mentioned kind of packets are created by a random generator.
They contain specifically crafted parts of known DoS attacks, and can lead to
a termination of the firewall after a long period of attack. In some cases this
means you have to estimate an attack period of over ten minutes, for an attack
from within a network (LAN) this time is around two to three minutes.
As the next test we sent a large amount of ACK packets to an IP that was protected
by the Outpost firewall. ACK packets are usually only an acknowledgement within
existing TCP connections (ACK is a notification that another part of the tcp
session data has been received). During this so-called "stream"-attack,
single ACK packets are sent that do not belong to established connections. Since
the Outpost firewall will check which packets belong to an established connection,
in order to detect portscans, only through this attack the Outpost has been
overloaded so much that the system came to a temporary halt, since the Outpost
firewall consumes practically all resources for the CPU-intensive ACK packet
computations.
As the attack is stopped, in some cases the Outpost Firewall ceases to work
reliably and has to be restarted. In that situation, the system is unprotected,
however stable despite further ACK floods and continued to work. A bluescreen
could not be produced, only the Outpost Firewall could be forced to cease its
service.
Regarding the internal IDS (Intrusion Detection System), it is not 100% reliable when it comes to detecting attacks as above. The IDS had increasingly problems to block the actual subnet mask of the source addresses of incoming packets and enforce filtering of such packets going to LAN or back to the Internet. Therefore, the IDS is almost useless during a massively spoofed attack, since it can barely react.
Nevertheless, the Outpost is a cleanly running firewall for the Windows user
who wants to explore the network traffic in realtime. The chance of attacks
as described above being executed is quite rare. The understanding of such penetration
methods is quite specific and is usually not done quickly. The test was performed
against a Windows XP system and a RedHat Linux system acted as the attacking
party. All in all, the test shows that the Outpost Firewall is an interesting
product which seems to be stable in most situations. One should not forget that
targeted attacks against a firewall such as the Outpost do usually require insider
knowledge about the IP address. The chance of a random hit is quite rare, since
one cannot recognize directly what firewall is running on and watching over
any given remote system.
What should also be mentioned is that the official updates for Outpost should
be checked for at least once per week, to make certain to always have the most
recent version. The team of Agnitum worked quite intensively on new features
and improvements to remove bugs and weaknesses.
A german-language manual is now available here at Brain-Pro Security as well.
German manual for the Outpost Firewall
Brain-Pro Security
in cooperation with
Mixter security