Netzwerkschutz mit ISA Server

Schützen gegen Überflutungen und Angriffe

Unternehmen sind gezwungen, durch böswillige Software (sogenannte „Malware“) und Angreifer verursachte Schäden zu verhindern, indem sie umfassende Tools verwenden, um schädliche Inhalte, Dateien und Websites zu scannen und zu sperren. Microsoft® Internet Security and Acceleration (ISA) Server 2006 Standard Edition und ISA Server 2006 Enterprise Edition bieten Zugriffschutz, indem sie Eindringversuchserkennung, Überflutungsreduzierung, Spoofermittlung und andere technisch ausgereifte Funktionen zur Erkennung von Angriffen bereitstellen.

Netzwerkschutz mit ISA Server – Zusammenfassung der Schutzfunktionen

In der folgenden Tabelle wird zusammengefasst, wie ISA Server 2006 die wichtigsten Probleme von IT-Administratoren löst, die mit dem Schutz ihrer IT-Umgebung betraut sind.

Zum Seitenanfang

Szenario: Wie ISA Server Angriffe reduziert

Aufgrund der Flut böswilliger Hacker bildet die Kapazität von ISA Server, Angriffe zu bekämpfen, den Grundstein für Ihre Fähigkeit, Ihr Netzwerk zu schützen. Die Standardfunktionen zur Reduzierung von Angriffen helfen Ihnen, Ihr Netzwerk zu schützen, indem sie Angriffsversuche abblocken und Sie durch Warnungen auf verdächtiges Verhalten hinweisen.

Diese Kombination aus Erkennung und Reduzierung kann Ihnen helfen, Ihr Netzwerk vor zahlreichen potenziellen Angriffen zu schützen, von denen einige in der folgenden Tabelle aufgeführt sind.

Betrachten Sie ein Szenario, in dem verschiedene Computer im Unternehmensnetzwerk von einem Wurm infiziert werden. Diese Computer geben den Wurm über das Netzwerk weiter. Jeder infizierte Host sendet eine hohe Rate von TCP-Verbindungsanforderungen an einen bestimmten Port und zufällig gewählte IP-Adressen, um weitere anfällige Computer zu finden, die infiziert werden können.

In der Zwischenzeit misst ISA Server die für jede Quell-IP-Adresse zulässige Verbindungsrate und gibt für jeden infizierten Host eine Warnung in bezug auf die jeweilige IP-Adresse aus. Diese Warnung wird ausgegeben, da der infizierte Host einen vorkonfigurierten Schwellenwert für die zulässigen und verweigerten Verbindungen pro Minute überschritten hat.

Bevor ISA Server die verdächtige IP-Adresse sperrt, wird überprüft, ob die Quell-IP-Adresse manipuliert ist. Falls die Quell-IP-Adresse als bösartig befunden wird, löst ISA Server eine Warnung mit Informationen über den Angriff und den Angreifer aus. Ab diesem Zeitpunkt sperrt ISA Server eine Minute lang den Verkehr vom angreifenden Host. Nach einer Minute lässt ISA Server wieder Verkehr von dieser IP-Adresse zu. Falls der Schwellenwert erneut überschritten wird und Sie die Warnung manuell zurückgesetzt haben, wird erneut eine Warnung ausgelöst und der Verkehr gesperrt.

Wenn diese Warnung ausgelöst wird, werden nur Verbindungsversuche gezählt, die durch die Firewallrichtlinie zugelassen werden. Wenn ein Verbindungsversuch durch die Firewallrichtlinie abgelehnt wird, wird von ISA Server der fehlgeschlagene Verbindungsversuch separat gezählt und eine andere Warnung ausgelöst.

Ein integrierter ISA Server-Protokollmechanismus beschränkt die durch Protokollieren des Wurmverkehrs beanspruchten Systemressourcen, indem er eine Warnung ausgibt, sobald von einer bestimmten Quell-IP-Adresse ein Schwellenwert überschritten wird. Derselbe Mechanismus beschränkt die Gesamtanzahl der pro Sekunde erstellten Protokolleinträge außerdem für Verkehr, der durch die ISA Server-Richtlinie gesperrt wird. ISA Server protokolliert die verweigerten Anforderungen, bis nicht mehr genügend Ressourcen zur Verfügung stehen. An diesem Punkt hört ISA Server auf, verweigerte Pakete zu protokollieren. Zusätzlich ist ISA Server ggf. damit beschäftigt, Warnungen auszulösen. Aus diesem Grund beschränkt sich ISA Server selbst auf eine bestimmte Anzahl von Warnungen pro Sekunde.

Falls es sich bei der IP-Adresse um die Adresse eines Benutzers handelt, der völlig unbeabsichtigt einen böswilligen Angriff startet, wird dieser Benutzer u. U. beim Helpdesk anrufen und sich darüber beschweren, dass seine Verbindung zum Internet unterbrochen wurde. Der Helpdesk-Mitarbeiter wird die ISA Server-Warnungen prüfen und feststellen, dass der Host des Benutzers gegen die Überflutungsrichtlinie verstoßen hat. Bei einer Überprüfung des Computers wird ein Wurm gefunden. Sobald der Wurm vom Hostcomputer entfernt wurde, wird ISA Server von diesem Host nicht mehr mit Anforderungen überflutet. Der Verkehr von diesem Host wird nicht mehr beschränkt, und der Client kann wieder auf das Internet zugreifen.

Zum Seitenanfang

Funktionen zum Schutz von ISA Server-Netzwerken

ISA Server kann Ihnen helfen, die Infektionen durch Viren und die dadurch verursachten Überflutungen von Verbindungen einzudämmen, die für Unternehmen von großer Bedeutung sind.

Wie im Abschnitt „Konfigurieren von Funktionen zur Angriffsreduzierung“ beschrieben, können Sie als Abhilfemaßnahme Funktionen zur Angriffsreduzierung konfigurieren. Darüber hinaus verfügt ISA Server über integrierte Funktionen, die Sie gegen böswillige Angriffe schützen. Diese Funktionen werden im Abschnitt Vorkonfigurierter Angriffsschutz von ISA Server beschrieben.

ISA Server löst gemäß Ihrer Konfiguration Warnungen aus, mit deren Hilfe Sie Angriffe verfolgen und reduzieren können. Diese Warnungen werden im Abschnitt „Warnungen“ ausführlich beschrieben.

Konfigurieren von Funktionen zur Angriffsreduzierung

ISA Server verfügt über Funktionen zur Angriffsreduzierung, die Sie konfigurieren und überwachen können, um sicherzustellen, dass Ihr Netzwerk jederzeit vor böswilligen Angriffen geschützt ist. Abhängig von der Beschaffenheit Ihrer Bereitstellung können Sie die folgenden Funktionen konfigurieren:

In diesem Abschnitt werden die Funktionen zur Angriffsreduzierung beschrieben.

Reduzierung von Überflutungsangriffen und der Weitergabe von Würmern

Eine Überflutung liegt dann vor, wenn ein böswilliger Benutzer versucht, durch viele sich ständig weiterentwickelnde Methoden ein Netzwerk anzugreifen. Ein Überflutungsangriff kann Folgendes nach sich ziehen:

Indem Sie Einstellungen zur Reduzierung von Überflutungsangriffen und der Weitergabe von Würmern konfigurieren, können Sie die Möglichkeiten böswilliger Angreifer zur Infiltrierung Ihres Unternehmensnetzwerks einschränken.

ISA Server beschränkt die Anzahl der Verbindungen, die zu jedem gegebenen Zeitpunkt gestattet sind. Sie können die Beschränkung konfigurieren, indem Sie eine maximale Anzahl gleichzeitiger Verbindungen festlegen. Wenn die maximale Anzahl der Verbindungen erreicht ist, werden alle neuen Clientanforderungen verweigert.

Die standardmäßig vorgegebenen Konfigurationseinstellungen zur Überflutungsreduzierung stellen sicher, dass ISA Server auch während eines Überflutungsangriffs weiterhin funktionieren kann. Dies wird dadurch ermöglicht, dass der Verkehr von ISA Server klassifiziert wird und für unterschiedliche Arten von Verkehr unterschiedliche Dienststufen bereitgestellt werden. Als bösartig erachteter Verkehr (Verkehr zu dem Zweck, einen Überflutungsangriff zu verursachen) kann verweigert werden, während ISA Server allen sonstigen Verkehr weiterhin abwickelt.

In der folgenden Tabelle werden potenzielle Überflutungsangriffe und Angriffe zur Weitergabe von Würmern aufgeführt und die Schutzverfahren von ISA Server kurz beschrieben.

Bei jeder von Ihnen konfigurierten Beschränkung zur Überflutungsreduzierung wird von ISA Server überwacht, ob die festgelegte Beschränkung überschritten wird. Sobald dieser Schwellenwert überschritten wird, werden von ISA Server folgende Maßnahmen ergriffen:

  Hinweis:

Bei TCP-Verbindungen werden keine neuen Verbindungen zugelassen, sobald die Beschränkung zur Überflutungsreduzierung überschritten wurde. Bei anderen Verbindungen (RAW-IP und UDP) werden ältere Verbindungen beendet, sobald die Beschränkung zur Überflutungsreduzierung überschritten wurde, damit neue Verbindungen erstellt werden können.

Bevor ISA Server eine verdächtige IP-Adresse sperrt, wird überprüft, ob die IP-Adresse manipuliert ist.

Beim Analysieren von Überflutungsangriffen ist es am wichtigsten, die IP-Adressen von Clients zu ermitteln, von denen verdächtige Verkehrsmuster generiert werden. ISA Server kann diese IP-Adressen identifizieren und Sie mithilfe von Warnungen benachrichtigen. Um eine Überladung mit Daten zu vermeiden, gibt ISA Server pro angreifender IP-Adresse nur eine einzige Warnung aus, auch wenn diese IP-Adresse ständig ein verdächtiges Verkehrsmuster (das für infizierte Clients typische Muster) generiert. Pro IP-Adresse wird nicht mehr als eine Warnung pro Minute ausgegeben, um anzuzeigen, dass eine Beschränkung überschritten wurde (bzw. dass die Beschränkung nicht mehr überschritten wird).

In ISA Server Enterprise Edition werden benutzerdefinierte Beschränkungen, die Sie zur Überflutungsreduzierung konfigurieren, auf alle Arraymitglieder angewendet. Beim Zählen von Verbindungen wird die Zahl zu Lasten derjenigen Seite der Verbindung erhöht, von der die Verbindung initiiert wurde.

DoS-Angriff auf ISA Server-Ressourcen

Bei einigen DoS-Angriffen versucht der böswillige Host, den ISA Server-Firewall durch Ausnutzung seiner Systemressourcen anzugreifen. Wenn ISA Server nur noch wenig nicht ausgelagerten Poolspeicher zur Verfügung stehen hat, dämmt es diesen Angriff ein, indem es die Leerlaufzeit bis zum Beenden der Verbindung reduziert. Wird der Angriff fortgesetzt, sperrt ISA Server eingehende neue Verbindungen, wenn ISA Server nur noch über extrem wenig nicht ausgelagerten Poolspeicher verfügt. Darüber hinaus werden von ISA Server Sitzungen getrennt, die mindestens 6 Minuten lang im Leerlauf waren.

Protokollieren von Überflutungsmanipulation

ISA Server erlaubt es, Funktionen zur Überflutungsreduzierung global zu konfigurieren. Für alle Überflutungsreduzierungen können Sie die Protokollierung des durch die Überflutungsreduzierung gesperrten Verkehrs konfigurieren.

In der folgenden Tabelle wird der vom Firewalldienst von Microsoft zurückgegebene Fehlercode angegeben, der ggf. in das Firewallprotokoll aufgenommen wird, wenn Sie die Protokollierung gesperrten Verkehrs aktivieren.

So aktivieren Sie Protokollierung

Ausnahmeliste

Einige Überflutungsreduzierungsquoten besitzen zwei Werte:

Für diese Überflutungsreduzierungen können Sie IP-Adressen festlegen, auf die diese Beschränkungen zur Überflutungsreduzierung nicht angewendet werden sollen. Diesen IP-Adressen wird eine benutzerdefinierte Beschränkung zugewiesen.

Sie können bei Bedarf eine Ausnahmeliste für veröffentlichte Server, für die Array-Verwaltung und für einige Szenarios mit Back-to-Back-Firewall konfigurieren. So könnte beispielsweise eine Ausnahmeliste für den Computersatz und die Arraymitglieder der Fernverwaltungscomputer gelten (bei ISA Server Enterprise Edition). In der Ausnahmeliste können auch IP-Adressen von Upstream- oder Downstreamproxyservern oder anderen NAT-Geräten (Routern) enthalten sein (NAT steht für „Network Address Translation“, Netzwerkadressübersetzung). Diese IP-Adressen erfordern u. U. viele Verbindungen und daher auch eine erhöhte Beschränkung.

Für die folgenden Überflutungsreduzierungen können Sie Quoten für Ausnamelisten von IP-Adressen konfigurieren:

  Wichtig:

Ein Angreifer kann einen Überflutungsangriff ausführen, indem er manipulierte IP-Adressen verwendet, die in der Ausnahmeliste enthalten sind. Um diese Gefahr zu reduzieren, wird empfohlen, dass Sie zwischen ISA Server und jeder in der Ausnahmeliste von IP-Adressen enthaltenen IP-Adresse eine IPsec (Internet Protocol Security)-Richtlinie verwenden. Durch eine IPsec-Richtlinie wird erzwungen, dass von diesen IP-Adressen eintreffender Verkehr authentifiziert wird, wodurch manipulierter Verkehr wirkungsvoll gesperrt wird.

So konfigurieren Sie IP-Ausnahmen

Pro IP-Adresse verweigerte Protokolleinträge und Warnungen

Der Mechanismus der Warnung pro IP-Adresse löst eine Warnung aus, wenn die Anzahl der verweigerten Pakete von einer bestimmten IP-Adresse einen vorher festgelegten Schwellenwert überschreitet. Sie können eine allgemeine Beschränkung konfigurieren, die für alle IP-Adressen gelten soll. Sie können auch für eine Liste bestimmter IP-Adressen benutzerdefinierte Beschränkungsausnahmen konfigurieren.

Wenn Sie diese Funktion konfigurieren, werden für alle Überflutungsreduzierungen Warnungen ausgelöst.

So konfigurieren Sie Warnungen für gesperrten Verkehr

Konfigurieren von HTTP-Verbindungsbeschränkungen

Zusätzlich zum Reduzieren von Überflutungsangriffen und der Weitergabe von Würmern können Sie auch die Anzahl der gleichzeitig zum ISA Server-Computer zugelassenen Webproxyverbindungen beschränken. Sie können Angriffe verhindern, deren Ziel es ist, die Ressourcen des Systems zu überlasten. Dies ist insbesondere beim Veröffentlichen von Webservern nützlich. Sie können die Anzahl der Computer beschränken, die eine Verbindung herstellen dürfen, und gleichzeitig bestimmten Clients weiterhin die Verbindungsaufnahme gestatten, auch wenn dadurch die Beschränkung überschritten wird.

Sie können in der ISA Server-Verwaltung sowohl für veröffentlichte Server (im Weblistener) als auch für ausgehende Webanfragen (in einem bestimmten Netzwerk) Beschränkungen für Webproxyverbindungen konfigurieren.

Sie können Verbindungsbeschränkungen für einen bestimmten Weblistener festlegen. Weblistener werden in Webveröffentlichungsregeln verwendet, wobei ein einzelner Weblistener mehrere Regeln besitzen kann. Wenn Sie im Weblistener eine Verbindungsbeschränkung festlegen, beschränken Sie die Anzahl der zulässigen Verbindungen für die Websites, die mithilfe des betreffenden Listeners veröffentlicht werden.

Sie können eine Verbindungsbeschränkung für die Webproxyeigenschaften eines bestimmten Netzwerkobjekts festlegen. Der Webproxyfilter wickelt den ausgehenden HTTP-Verkehr auf Port 80 ab. Wenn Sie diese Verbindungsbeschränkung in einem bestimmten Netzwerk festlegen, beschränken Sie die Anzahl der gleichzeitig ausgehenden Webverbindungen, die zu jedem beliebigen Zeitpunkt in einem bestimmten Netzwerk gestattet sind.

Konfigurieren von Angriffsschutz

Zusätzlich zum Reduzieren von Überflutungsangriffen und der Weitergabe von Würmern sowie HTTP-Verbindungsbeschränkungen bietet ISA Server zahlreiche weitere Mechanismen, die Sie konfigurieren können, um Ihr Netzwerk vor Angriffen zu schützen:

Diese Mechanismen werden in den folgenden Abschnitten ausführlich beschrieben.

Konfigurieren von IP-Paketschutz

Sie können festlegen, wie ISA Server IP-Pakete verarbeitet, indem Sie Folgendes konfigurieren:

Konfigurieren von IP-Fragmentfilterung

Ein einzelnes IP-Datagramm kann in mehrere kleinere Datagramme aufgeteilt werden, die als IP-Fragmente bezeichnet werden. ISA Server kann diese Fragmente filtern.

Wenn ISA Server Paketfragmente filtert, werden alle fragmentierten Pakete gelöscht. Beim so genannten Teardrop-Angriff und seinen Varianten werden fragmentierte Pakete gesendet und anschließend so wieder zusammengesetzt, dass sie dem System Schaden zufügen können. Der Teardrop-Angriff funktioniert etwas anders als der Ping-of-Death-Angriff, führt aber zu ähnlichen Resultaten.

Das Teardrop-Programm erstellt IP-Fragmente, bei denen es sich um Teile eines IP-Pakets handelt, in die das ursprüngliche Paket auf seinem Weg durch das Internet aufgeteilt werden kann. Das Problem dabei ist, dass sich die Offset-Felder dieser Fragmente, die dem Zweck dienen, den im jeweiligen Fragment enthaltenen Abschnitt (in Bytes) anzugeben, überlappen.

Die Offset-Felder in zwei Fragmenten können i. d. R. beispielsweise wie folgt beschaffen sein:

Fragment 1:  (offset) 100 - 300
Fragment 2:  (offset) 301 - 600

Dadurch wird angegeben, dass im ersten Fragment die Bytes 100 bis 300 des ursprünglichen Pakets und im zweiten Fragment die Bytes 301 bis 600 enthalten sind.

Sich überlappende Offset-Felder könnten ungefähr folgendermaßen aussehen:

Fragment 1:  (offset) 100 - 300
Fragment 2:  (offset) 200 - 400

Wenn der Zielcomputer versucht, diese Pakete wieder zusammenzusetzen, wird ihm dies nicht gelingen. Der Versuch kann zur Folge haben, dass er versagt, nicht mehr reagiert oder einen Neustart ausführt.

So sperren Sie IP-Fragmente

  Hinweis:

Fragmentfilterung kann das Audio- und Videostreaming stören. Darüber hinaus wird unter Umständen das Layer-Two-Tunneling-Protokoll (L2TP) über IPsec-Verbindungen nicht erfolgreich eingerichtet, da die Paketfragmentierung ggf. während des Zertifikatsaustauschs erfolgt. Deaktivieren Sie die Fragmentfilterung, falls Probleme mit Streamingmedien und IPsec-basierten VPN (virtuelles privates Netzwerk)-Verbindungen auftreten.

Konfigurieren von IP-Routing

Zum Schutz gegen ungerechtfertigtes Beenden von Verbindungen wird von ISA Server Folgendes implementiert:

Das zu Grunde liegende Betriebssystem verfügt ebenfalls über einen ähnlichen Mechanismus. Um den Mechanismus des Betriebssystems zu aktivieren, was im Zusammenhang mit Serververöffentlichung oder in Verkettungsszenarios nützlich ist, deaktivieren Sie die IP-Routing-Funktion von ISA Server.

Wenn IP-Routing deaktiviert ist, sendet ISA Server nur die Daten (und nicht etwa das ursprüngliche Netzwerkpaket) zum Ziel. Darüber hinaus kopiert ISA Server bei deaktiviertem IP-Routing jedes Paket und sendet es danach im Benutzermodus erneut durch den Treiber.

  Wichtig:

Wenn IP-Routing deaktiviert ist, erstellt ISA Server für jede Verbindung zwei zusätzliche Sockets, was einen erhöhten Ressourcenverbrauch des ISA Server-Firewalls zur Folge hat und damit ISA Server anfälliger für Überflutungsangriffe macht. Aus diesem Grund wird bei einer Deaktivierung von IP-Routing empfohlen, eigens einen Router einzusetzen, um ISA Server vor Überflutungsangriffen über eine TCP-Verbindung zu schützen.

Wenn IP-Routing aktiviert ist, arbeitet ISA Server als Router. Der Verkehr, der ISA Server durchläuft, wird im Benutzermodus zu einem gewissen Grad durch den Treiber gefiltert.

Wenn IP-Routing aktiviert ist, richtet ISA Server separate Verbindungen zwischen dem Client und dem Server ein. ISA Server analysiert die IP- und TCP-Header vollständig und rekonstruiert sie anschließend, wobei nur die Datenbestandteile übertragen werden. Falls ein böswilliger Client versucht, eine IP- oder TCP-Schwäche auszunutzen, sperrt ISA Server den Verkehr, wodurch der Verkehr den durch ISA Server geschützten Zielcomputer nicht erreicht.

So deaktivieren Sie IP-Routing

Konfigurieren von IP-Optionen

Sie können ISA Server dafür konfigurieren, alle Pakete abzulehnen, in deren Header das Flag „IP Options“ enthalten ist.

Die problematischsten Optionen sind die Quell-Routing-Optionen. TCP/IP unterstützt Quell-Routing, das dem Sender von Netzwerkdaten erlaubt, die Pakete durch einen bestimmten Punkt im Netzwerk zu leiten. Es gibt zwei Arten von Quell-Routing:

Die Quell-Routing-Option im IP-Header erlaubt dem Absender, Wegwahlentscheidungen zu überschreiben, die normalerweise von den Routern zwischen dem Quell- und dem Zielcomputer getroffen werden. Sie können Quell-Routing für die Netzwerkzuordnung oder zur Fehlerbehebung von Routing- und Kommunikationsproblemen verwenden. Quell-Routing kann auch dazu verwendet werden, den Verkehr zu zwingen, eine Route zu nehmen, die eine optimale Leistung bietet.

Leider kann das Quell-Routing von Angreifern genutzt werden. So kann beispielsweise ein Eindringling das Quell-Routing dazu verwenden, Adressen im internen Netzwerk zu erreichen, die normalerweise nicht von anderen Netzwerken aus erreicht werden können, indem er den Verkehr durch einen anderen Computer leitet, der sowohl vom anderen Netzwerk als auch vom internen Netzwerk aus erreichbar ist. Dies führt praktisch zu einer Überflutung. Sie können die Leistung von ISA Server bei einer Überflutung verbessern, indem Sie die IP-Filterung von Optionen deaktivieren.

So deaktivieren Sie die IP-Filterung von Optionen

Konfigurieren von DHCP-Vergiftungsschutz

ISA Server kann ungültige DHCP-Angebote erkennen. Ein DHCP-Angebot wird nur dann als gültig betrachtet, wenn es im Bereich des Netzwerkobjekts enthalten ist, das mit dem Netzwerkadapter verknüpft ist, für den die IP-Adresse zugewiesen wurde. Wenn ein ungültiges DHCP-Angebot erkannt wird, wird vom ISA Server die Warnung Ungültiges DHCP-Angebot ausgelöst und das ungültige DHCP-Angebot ignoriert.

ISA Server schützt weiterhin vor Angriffen durch DHCP-Angebote, auch wenn Sie diese Warnung bestätigen.

  Hinweis:

Wenn Sie in ISA Server Enterprise Edition eine neue IP-Adresse für das interne Netzwerk akzeptieren, dann vergewissern Sie sich, dass über diese IP-Adresse auf den Konfigurationsspeicherserver zugegriffen werden kann.

ISA Server führt für jeden DHCP-Netzwerkadapter eine Liste zulässiger IP-Adressen. Die zulässigen Adressen stammen aus dem Adressensatz eines Netzwerks, in dem die Adresse des Adapters enthalten ist. Wenn ISA Server ein DHCP-Angebotspaket empfängt, wird überprüft, ob das Angebot innerhalb des Bereichs zulässiger Adressen liegt. Ist das Ergebnis dieser Überprüfung negativ, wird das Paket gelöscht und die Warnung Ungültiges DHCP-Angebot ausgelöst.

Wenn der Netzwerkadapter die angebotene Adresse empfängt, können Sie DHCP-Adressen erneuern. Wenn Sie dies tun, wird der Erzwingungsmechanismus vorübergehend deaktiviert und ein neuer ipconfig /renew-Befehl ausgegeben. Während dieses Zeitraums werden von ISA Server keine angebotenen Adressen gelöscht. Nachdem die Adapter ihre Adressen empfangen haben, reaktiviert ISA Server den Mechanismus.

In den folgenden Szenarios können DHCP-Angebote gelöscht werden:

Sobald die Zuweisung zugelassen wurde, müssen Sie sie nicht erneut zulassen.

Möglicherweise möchten Sie einen Netzwerkadapter von einem Netzwerk in ein anderes verlagern und eine vom DHCP-Server erhaltene Adresse verwenden. Vielleicht möchten Sie auch ein Angebot akzeptieren, das ISA Server grundsätzlich als ungültig betrachtet.

So akzeptieren Sie ein DHCP-Angebot

Konfigurieren der Eindringversuchserkennung

Der von ISA Server verwendete Mechanismus zur Eindringversuchserkennung erkennt einen Angriffsversuch gegen Ihr Netzwerk und führt bei einem Angriff eine Reihe konfigurierter Aktionen oder Warnungen aus. Um unerwünschte Eindringlinge zu erkennen, vergleicht ISA Server den Netzwerkverkehr und die Protokolleinträge mit bekannten Angriffsmethoden. Verdächtige Aktivitäten lösen Warnungen aus. Die Aktionen umfassen die Beendigung der Verbindung, die Beendigung des Dienstes, E-Mail-Warnungen und Protokolle.

In der folgenden Tabelle sind die Warnungen aufgeführt, die ISA Server auslösen kann, falls die Eindringversuchserkennung aktiviert ist.

ISA Server verfügt über Filter zur Eindringversuchserkennung:

DNS-Eindringversuchserkennungs-Filter

Der DNS-Filter, der zusammen mit ISA Server installiert wird, fängt den für das öffentliche Netzwerk bestimmten DNS-Verkehr ab und analysiert ihn. Der DNS-Filter überprüft die Daten auf DNS-Längenüberlauf und kann optional auch Zonenübertragungen sperren.

Darüber hinaus können Sie konfigurieren, durch welche der folgenden DNS-Angriffe Warnungen ausgelöst werden sollen:

POP-Eindringversuchserkennungs-Filter

Der POP-Eindringversuchserkennungs-Filter fängt den für das interne Netzwerk bestimmten POP-Verkehr ab und analysiert ihn. Der Anwendungsfilter überprüft insbesondere auf POP-Pufferüberlaufangriffe.

Ein POP-Pufferüberlaufangriff tritt dann ein, wenn ein Fernangreifer Stammzugriff auf einen POP-Server zu erlangen versucht, indem er auf dem Server einen Überlauf eines internen Puffers auslöst.

Vorkonfigurierter Angriffsschutz von ISA Server

ISA Server bietet vorkonfigurierten Schutz gegen bestimmte Angriffe. Dieser vorkonfigurierte Schutz umfasst Spoofermittlung und Broadcast-Schutz.

Diese Funktionen werden in den folgenden Abschnitten beschrieben.

Spoofermittlungswarnungen

Jedes Mal, wenn ein Netzwerkadapter ein Paket empfängt, überprüft ISA Server, ob die Quelle des Pakets manipuliert ist. ISA Server prüft nach, ob die Quell-IP-Adresse des Pakets eine für den empfangenden Netzwerkadapter gültige IP-Adresse ist. Wird die Adresse als ungültig erkannt, gibt ISA Server die Warnung aus, dass ein IP-Spoofing-Angriff unternommen wurde.

Eine IP-Adresse wird für einen bestimmten Netzwerkadapter dann als gültig erachtet, wenn die folgenden beiden Bedingungen erfüllt werden:

•	Die IP-Adresse befindet sich im Netzwerk des Adapters, über den sie empfangen wurde.
•	Die Routingtabelle gibt an, dass für diese Adresse bestimmter Verkehr über einen der zu diesem Netzwerk gehörenden Adapter geleitet werden kann.

  Hinweis:

Bei ISA Server Enterprise Edition wird die Spoofermittlung nicht auf Verkehr angewendet, der von einer innerhalb des Arrays liegenden Adresse kommt. Jeder Verkehr von innerhalb des Arrays liegenden Adressen wird für eine Richtlinienüberprüfung direkt zum Modul geleitet.

Betrachten Sie folgendes Szenario, in dem ein Netzwerk IP-Adressen im Bereich 10.X.X.X enthält. Die Routingtabelle zeigt Folgendes:

Network  Netmask   DestinationGateway interface
10.0.0.0 255.0.0.0   10.0.0.1  10.1.1.1
20.0.0.0 255.0.0.0   20.0.0.1  10.1.1.1
0.0.0.0  0.0.0.0     140.0.0.1 140.1.1.1

An Schnittstelle 10.1.1.1 empfangene Pakete mit Quell-IP-Adressen im Bereich von 10.0.0.1 bis 10.255.255.255 werden nicht als manipuliert verworfen, da diese Adressen über diese Schnittstelle zurückgeleitet werden können und zum Adressbereich des Netzwerks gehören. Pakete mit Quell-IP-Adressen, die außerhalb dieses Bereichs liegen (einschließlich des Bereichs von 20.0.0.1 bis 20.255.255.255, der über die Schnittstelle 10.1.1.1 geleitet werden kann), werden jedoch als manipuliert verworfen, da sie nicht zum Netzwerk gehören.

ISA Server stellt auch sicher, dass alle Pakete, die über einen Adapter gesendet werden, eine gültige Ziel-IP-Adresse besitzen. Dadurch wird verhindert, dass Pakete im Falle eines Konfigurationsproblems der Routingtabelle über die falschen Adapter geleitet werden.

Bei Ermittlung eines manipulierten Pakets löst ISA Server eine Warnung aus, in der angegeben wird, aus welchem Grund das Paket als manipuliert betrachtet wird. Sie sollten diese Warnung gründlich prüfen und versuchen, das Problem durch eine der folgenden Maßnahmen zu beheben:

•	Beheben potenzieller Konfigurationsfehler. Stellen Sie sicher, dass Pakete von der betreffenden IP-Adresse als manipuliert betrachtet werden. Ist dies nicht der Fall, dann finden Sie heraus, weshalb ISA Server diese Pakete als manipuliert einstuft.
•	Sperren des Verkehrs von der IP-Adresse. Falls Verkehr von der IP-Adresse als manipuliert betrachtet werden soll, dann sperren Sie jeglichen Zugriff von dieser IP-Adresse.

Broadcast-Schutz

Unter Broadcast versteht man das Senden einer einzelnen Nachricht (Datagramm) an mehrere Empfänger mithilfe eines verbindungslosen Protokolls wie zum Beispiel UDP. Es gibt drei Arten von Broadcastadressen:

•	Beschränkte Broadcastadresse. Die beschränkte Broadcastadresse lautet 255.255.255.255.
•	Netzwerkbroadcastadresse. Die Netzwerkbroadcastadresse hat eine nur aus 1-Bits bestehende IP-Adresse und eine bestimmte Netzwerkkennung. Betrachten Sie beispielsweise ein Netzwerk 22.0.0.0 der Klasse A. Seine Netzwerkbroadcastadresse lautet 22.255.255.255.
•	Subnetzbroadcastadresse. Die Subnetzbroadcastadresse hat eine nur aus 1-Bits bestehende IP-Adresse und eine bestimmte Subnetzkennung. Betrachten Sie beispielsweise ein Netzwerk 22.0.0.0 der Klasse A mit der Subnetzmaske 255.255.0.0. Die Adresse 22.0.255.255 ist eine Subnetzbroadcastadresse.

ISA Server lässt nicht zu, dass Broadcastnachrichten zwischen Netzwerkadaptern des ISA Server-Computers gesendet werden. ISA Server bestimmt, ob auf Broadcastadressen eine Regel angewendet wird:

•	Falls die Zieladresse keine Subnetzbroadcastadresse ist, betrachtet ISA Server die Adresse als die Subnetzbroadcastadresse des Netzwerkadapters des ISA Server-Computers, auf dem das Paket empfangen wurde.
•	Wenn es sich bei den Paketen um eine eingehende Broadcastnachricht (zum Netzwerk des lokalen Hosts) handelt, betrachtet ISA Server das Ziel als den Netzwerkadapter des ISA Server-Computers (lokaler Host).
•	Wenn es sich bei den Paketen um eine ausgehende Broadcastnachricht (vom Netzwerk des lokalen Hosts) handelt, betrachtet ISA Server die Quelle als den Netzwerkadapter des ISA Server-Computers (lokaler Host).

Angenommen, ein Dienst überwacht den UDP-Port 1500 des Netzwerks des lokalen Hosts (des ISA Server-Computers) auf dem Netzwerkadapter mit der Subnetzadresse 22.0.1.1. Um beispielsweise vom internen Netzwerk kommenden Broadcastverkehr zu diesem Dienst zuzulassen, müssen Sie eine Zugriffsregel einrichten, die auf UDP-Port 1500 den Verkehr vom internen Netzwerk zur Subnetztbroadcastadresse 22.0.255.255 zulässt. Alternativ dazu können Sie eine Zugriffsregel einrichten, die auf UDP-Port 1500 Verkehr vom internen Netzwerk zum lokalen Host zulässt.

Warnungen

ISA Server kann beim Erkennen von Angriffen Warnungen auslösen und verdächtiges Verhalten protokollieren. In diesem Abschnitt werden einige Angriffserkennungswarnungen aufgeführt.

Überflutungsreduzierungswarnungen

In der folgenden Tabelle sind alle Warnungen aufgeführt, die im Falle eines Überflutungsangriffs ausgegeben werden könnten.

In der folgenden Tabelle werden einige Ereignisse aufgeführt, die von ISA Server ausgelöst werden, wenn eine Beschränkung zur Überflutungsreduzierung überschritten wird.

Die generierten ISA Server-Ereignisse können die in der folgenden Tabelle aufgeführten ISA Server-Warnungen auslösen.

Angriffsschutzwarnungen

In der folgenden Tabelle sind Warnungen aufgeführt, die im Falle sonstiger Angriffe ausgegeben werden könnten.

Zum Seitenanfang

Bewährte Methoden

In diesem Abschnitt werden einige praktische Richtlinien beschrieben, die Sie befolgen sollten, um ISA Server für einen optimalen Schutz Ihres Netzwerks konfigurieren zu können.

Reduzieren von Überflutungsangriffen

Wenn eine Warnung ausgegeben wird, dann prüfen Sie, ob Ihr Netzwerk angegriffen wird oder ob lediglich eine starke Auslastung durch gültigen Verkehr vorliegt. Falls die Beschränkung aufgrund böswilligen Verkehrs überschritten wurde, dann gehen Sie wie folgt vor:

Eine weitere Möglichkeit, Angriffe zu reduzieren, besteht darin, ein neues Netzwerk einzurichten. Dieses Netzwerk sollte die IP-Adressen der infizierten Clients umfassen, die Sie anhand der Protokolle und Warnungen erkannt haben. Schließen Sie danach diese IP-Adressen von den Netzwerken aus, denen sie ursprünglich angehört haben (dem internen Netzwerk). Sie erzeugen praktisch eine Nichtübereinstimmung zwischen der Routingtabelle des ISA Server-Firewalls und dem internen Netzwerk. Diese IP-Adressen werden als manipuliert betrachtet und dementsprechend wird der Verkehr zu und von diesen IP-Adressen gelöscht.

Protokollierung bei Angriffen

Bei jeder Überschreitung einer Beschränkung zur Überflutungsreduzierung gibt ISA Server eine Warnung aus, in der die IP-Adresse des angreifenden Clients angegeben wird. Gehen Sie nach dem Identifizieren der Liste der angreifenden IP-Adressen zur Vermeidung einer überflüssigen Protokollierung nach dem folgenden Verfahren vor, um die Leistung von ISA Server bei einer Überflutung zu verbessern.

So verbessern Sie die Leistung von ISA Server bei einer Überflutung

  Wichtig:

Wenn Sie das Protokoll für verweigerte Protokolleinträge deaktivieren, können Sie nur potenzielle Warnungen identifizieren. Die im Abschnitt Erkennen von Überflutungsangriffen dieses Dokuments aufgeführten Tipps sind nicht relevant.

Anpassen von Beschränkungen zur Überflutungsreduzierung

Es wird empfohlen, die standardmäßig vorgegebenen Beschränkungen zur Überflutungsreduzierung zu verwenden. Diese Standardeinstellungen sind jedoch in den folgenden NAT (Netzwerkadressübersetzung)-Szenarios möglicherweise nicht geeignet:

So reagieren Sie auf eine Überflutungsreduzierungswarnung

Zum Seitenanfang