Firewall

Die in diesem Abschnitt beschriebene Funktionalität von Kaspersky Security ist nur verfügbar, wenn das Programm auf einer virtuellen Maschine mit einem Desktop- oder Server-Betriebssystem der Windows-Reihe installiert ist.

Bei der Arbeit in lokalen Netzwerken und im Internet besteht für Ihre virtuelle Maschine nicht nur das Risiko einer Infektion durch Viren und andere Schadprogramme, sondern auch eine Gefahr durch unterschiedliche Arten von Angriffen, die Schwachstellen des Betriebssystems und der Software ausnutzen.

Die Firewall bietet Schutz für persönliche Daten, die auf geschützten virtuellen Maschine gespeichert sind. Sie blockiert alle Netzwerkbedrohungen, wenn die geschützte virtuelle Maschine mit dem Internet oder mit einem lokalen Netzwerk verbunden ist.

Bei einer Remote-Verbindung zur geschützten virtuellen Maschine wird nach der Installation des Programms standardmäßig die Firewall aktiviert, welche die RDP-Sitzung blockiert. Um die Blockierung zu vermeiden, müssen Sie die Aktion der Firewall für die Netzwerkregel für Pakete "Netzwerkaktivität für Remote-Desktops" auf Erlauben setzen.

Während der Ausführung der Komponente "Firewall" wird die Windows-Firewall deaktiviert, um Konflikte zu vermeiden. Wenn eine Domänenrichtlinie für die Windows-Firewall verwendet wird, muss die Windows-Firewall in der Domänenrichtlinie während der Ausführung der Komponente "Firewall" deaktiviert werden.

Status von Netzwerkverbindungen

Die Komponente "Firewall" kontrolliert alle Netzwerkverbindungen auf der geschützten virtuellen Maschine und weist jeder gefundenen Netzwerkverbindung automatisch einen Status zu.

Für eine Netzwerkverbindung sind folgende Statusvarianten vorgesehen:

• Öffentliches Netzwerk Dieser Status ist für Netzwerke vorgesehen, die nicht durch Antiviren-Programme, Firewalls, Filter usw. geschützt werden (z. B. für Netzwerke in Internet-Cafés). Für den Benutzer einer geschützten virtuellen Maschine, der mit einem solchen Netzwerk verbunden ist, sperrt die Firewall den Zugriff auf die Dateien und Drucker dieser virtuellen Maschine. Auch Drittnutzer erhalten über gemeinsame Ordner oder Fernzugriff keinen Zugang zu Informationen auf dem Desktop dieser virtuellen Maschine. Die Firewall filtert die Netzwerkaktivität für jedes Programm nach den für dieses Programm vorhandenen Netzwerkregeln.

  Das Internet erhält von der Firewall standardmäßig den Status Öffentliches Netzwerk. Der Status des Internets kann nicht geändert werden.

• Lokales Netzwerk Dieser Status ist für Netzwerke vorgesehen, deren Benutzern Sie den Zugriff auf die Dateien und Drucker geschützten virtuellen Maschine gewähren möchten (beispielsweise für interne Firmennetzwerke oder private Netzwerke).
• Vertrauenswürdiges Netzwerk Dieser Status ist für ein sicheres Netzwerk vorgesehen, in dem einer virtuellen Maschine keine Angriffe und unerlaubte Zugriffsversuche auf Daten drohen. Für Netzwerke mit diesem Status erlaubt die Firewall im Rahmen dieses Netzwerks jede beliebige Netzwerkaktivität.

Sie können die Statusvarianten ändern, welche die Komponente "Firewall" den gefundenen Netzwerkverbindungen zuweist.

Außerdem können Sie bei der Verwendung von Kaspersky Security Center die Einstellungen der Netzwerke, deren Aktivität von der Firewall kontrolliert wird, neu definieren: Netzwerk hinzufügen, Einstellungen des Netzwerks ändern oder Netzwerk aus der Tabelle löschen.

Netzwerkregeln

Eine Netzwerkregel besteht aus einer Erlaubnis- oder Verbotsaktion, die von der Firewall ausgeführt wird, wenn sie den Versuch erkennt, eine Netzwerkverbindung herzustellen. Mithilfe der Netzwerkregeln lässt sich der Schutz der virtuellen Maschine flexibel anpassen: von einer vollständigen Sperrung des Internetzugangs für alle Programme bis zur Erlaubnis des unbegrenzten Zugriffs.

Die Firewall schützt die virtuelle Maschine auf zwei Ebenen: auf Netzwerkebene und auf Anwendungsebene.

• Der Schutz auf Netzwerkebene basiert auf Regeln für Netzwerkpakete (Netzwerkregeln für Pakete). Netzwerkregeln für Pakete dienen zur Definition von Beschränkungen für die Netzwerkpakete, wobei das Programm keine Rolle spielt. Diese Regeln beschränken die ein- und ausgehende Netzwerkaktivität anhand bestimmter Ports für ausgewählte Datenübertragungsprotokolle. Die Firewall gibt eine Standardauswahl von Netzwerkregeln für Pakete vor.
• Der Schutz auf Anwendungsebene basiert auf Regeln für die Verwendung von Netzwerkressourcen durch die auf der geschützten virtuellen Maschine installierten Programme (Netzwerkregeln für Programme). Netzwerkregeln für Programme dienen zur Definition von Beschränkungen der Netzwerkaktivität eines konkreten Programms. Dabei werden nicht nur die Merkmale des Netzwerkpakets berücksichtigt, sondern auch das konkrete Programm, an das dieses Netzwerkpaket adressiert ist oder welches das Senden dieses Netzwerkpakets initiiert hat. Mithilfe solcher Regeln können Sie die Filterung der Netzwerkaktivität genau anpassen, wenn beispielsweise ein bestimmter Typ von Netzwerkverbindungen für konkrete Programme verboten, für andere aber erlaubt werden soll.

Der Zugriff von Programmen auf Betriebssystemressourcen, Prozesse und persönliche Daten wird von der Komponente "Aktivitätskontrolle für Programme" mithilfe von Regel zur Programmkontrolle gesteuert.

Die Netzwerkregeln für Programme berücksichtigen nicht die folgenden Filterungseinstellungen, die auf der Netzwerkebene festgelegt wurden:

• ID des Netzadapters
• Liste der MAC-Adressen des lokalen Adapters
• Liste der lokalen MAC-Adressen
• Liste der Remote-MAC-Adressen
• Typ des Ethernet-Frames (IP, IPv6, ARP)
• Lebenszeit (TTL) des IP-Pakets

Infolge der gemeinsamen Nutzung der Regeln für die Netzwerk- und Anwendungsebene kann der Netzwerkverkehr auf der Anwendungsebene blockiert werden, selbst wenn er auf der Netzwerkebene erlaubt ist.

Netzwerkregeln für Programme und für Gruppen von Programmen

Das Programm Kaspersky Security ordnet standardmäßig alle Programme, die im Betriebssystem der geschützten virtuellen Maschine installiert sind, nach dem Herstellernamen der Programme an, deren Datei- und Netzwerkaktivität kontrolliert werden. Programmgruppen werden nach Sicherheitsgruppen angeordnet. Alle Programme und Programmgruppen vererben die Eigenschaften ihrer übergeordneten Gruppe: Regeln zur Programmkontrolle, Netzwerkregeln für Programme und die Priorität ihrer Anwendung.

Die Komponente "Firewall" erstellt eine Reihe an Netzwerkregeln für jede Gruppe der Programme, die auf der geschützten virtuellen Maschine gefunden wurden, und wendet diese Netzwerkregeln für die Programmgruppe bei der Filterung der Netzwerkaktivität aller Programme innerhalb der Gruppe an. Die Netzwerkregeln für eine Programmgruppe legen fest, welche Rechte die Programme, welche dieser Gruppe angehören, für den Zugriff auf unterschiedliche Netzwerkverbindungen besitzen.

Die standardmäßig erstellten Netzwerkregeln für eine Programmgruppe sowie die vererbten Netzwerkregeln des Programms stehen nicht zum Ändern von Einstellungen, Löschen, Deaktivieren und Ändern der Priorität zur Verfügung.

Sie können die Firewall-Aktion für die standardmäßig erstellten Netzwerkregeln für eine Programmgruppe und für vererbte Netzwerkregeln für Programme ändern.

Sie können für eine Gruppe von Programmen oder für eine einzelne Anwendung Netzwerkregeln erstellen. Die Netzwerkregel des Programms besitzt eine höhere Priorität als die Netzwerkregel der Gruppe, zu der dieses Programm gehört.

Prioritäten von Netzwerkregeln

Jede Regel hat eine Priorität. Je weiter oben die Regel in der Liste steht, desto höher ihre Priorität. Wenn Netzwerkaktivität zu mehreren Regeln hinzugefügt wird, regelt die Firewall die Netzwerkaktivität gemäß der Regel mit der höchsten Priorität.

Netzwerkregeln für Pakete besitzen eine höhere Priorität als Netzwerkregeln für Programme. Sind für eine Art der Netzwerkaktivität gleichzeitig Netzwerkregeln für Pakete und Netzwerkregeln für Programme vorhanden, wird diese Netzwerkaktivität nach den Netzwerkregeln für Pakete verarbeitet.

Sie können die Ausführungspriorität für Netzwerkregeln für Pakete und manuell erstellte Netzwerkregeln für Programme oder eine Gruppe von Programmen festlegen.

Besonderheiten der Firewall

Beachten Sie bei der Arbeit mit der Firewall die folgenden Besonderheiten:

• Die Netzwerkaktivität auf der Anwendungsebene wird über die Protokolle TCP und UDP nicht gesperrt, wenn die IP-Adresse des Absenders und die Empfängeradresse übereinstimmen, unter der Bedingung, dass das Paket über ein RAW-Socket gesendet wurde.
• Die Firewall führt keine Untersuchung der Programmregeln durch und erlaubt die Netzwerkaktivität, wenn die IP-Adresse des Remote-Geräts den folgenden Wert hat:
  • für IPv4: 127.0.0.1
  • für IPv6: ::1

  Unter der Bedingung, dass das Paket über ein RAW-Socket versendet wurde.

• In den folgenden Fällen wird die lokale Adresse, von der bzw. an die der Datenversand erfolgt, evtl. nicht bestimmt:
  • Das Programm, das die Netzwerkaktivität über die Protokolle TCP oder UDP initiierte, hat keine lokale IP-Adresse angegeben.
  • Das Programm initiierte die Netzwerkaktivität über das ICMP-Protokoll.
  • Das Programm empfängt das eingehende Paket über das UDP-Protokoll.
• Die Firewall führt keine Filterung des loopback-Verkehrs auf der Netzwerkebene aus. Die Entscheidungsfindung bezüglich der loopback-Pakete erfolgt auf der Anwendungsebene.
• Bei der Filterung der Netzwerkaktivität auf der Anwendungsebene über das ICMP-Protokoll unterstützt die Firewall nur die ausgehende ICMP-Anfrage Echo-Request.
• Es wird keine Filterung der eingehenden ICMP-Pakete auf der Anwendungsebene ausgeführt.
• Für die ausgehende Netzwerkaktivität über das RAW-Socket wird keine Filterung nach Paketregeln auf der Anwendungsebene ausgeführt.
• Die Pakete, die von der Komponente Schutz vor Netzwerkangriffen gefiltert werden, werden von der Firewall nicht untersucht.
• Beim Vorhandensein von Tunneling-Netzschnittstellen auf der geschützten virtuellen Maschine wird die Filterung des Tunneling-Datenverkehrs gemäß den Paketregeln nach der Bewegung des Pakets zwischen den Schnittstellen wiederholt.

In diesem Abschnitt wird das Einstellen der Parameter der Firewall mithilfe der Verwaltungskonsole und der lokalen Benutzeroberfläche von Light Agent for Windows beschrieben. Während der Erstellung und Änderung der Einstellungen der Richtlinie für Light Agent for Windows können Sie die Einstellungen der Firewall auch mit der Web Console ändern (Programmeinstellungen → Antiviren-Schutz → Firewall). Das Einstellen der Netzwerkregeln für Programme oder Programmgruppen wird über die Web Console nicht unterstützt.