Matthias Diehl wrote:Ich habe niemals behauptet das Firewalls prinzipiell nutzlos sind, aber nicht bei Rootservern, sondern vor Netzen.
Dass hast du genauso eloquent getan wie beim formulieren des Satzes - nämlich so, dass das was du geschrieben hast etwas anderes aussagt, als das du vielleicht gemeint hattest...
Und was ist das denn für eine abstruse Logik in der Du den Sicherheitsgurt gegen Carjacking einsetzen willst? Ich glaube Deine Logik ist wesentlich abstruser als meine. Welchem Trugschluß soll ich denn aufgesessen sein?
Sie ist genauso abstruse wie deine (man bezeichnet es landläufig als Analogie), das war ja genau der Punkt. Eine Firewall arbeitet (eigentlich) auf anderen ISO-Layern, als die Andwendungsdaten, sprich sie versucht auch gar nicht gegen Angriffe gegen die öffentlich erreichbaren Anwendungen zu schützen. Genausowie ein Sicherheitsgurt nur bei Unfällen schützen soll, aber nicht gegen Raubüberfälle oder Diebstähle.
In dem was du geschrieben hast (wo du aber vermutlich wieder abstreitet wirst es gemeint zu haben), benutzt du das Argument "hilft nicht gegen alle potentiellen Schäden" um zum Schluß zu kommen "ist nutzlos". Das ist ein Trugschluß. Soll ich es aussagenlogisch formal formulieren, oder ist jetzt klar, was mich an der Art deiner Argumentation gestört hat?
Es ist viel eher gefährlich Anfängern zu erzählen eine Firewall sei hilfreich
Wie und was man Anfängern erzählt und wie gefährlich das ist, ist vollkommen unabhängig vom Thema der Kosten-/Nutzen Abschätzung eines Paketfilters. Wenn Werkzeuge falsch eingesetzt werden, können sie immer wirkungslos oder im schlimmsten Fall schädlich sein, das ist eine Binsenweisheit die man eigentlich nicht extra wiederholen müßte...
(bei einem Rootserver und darum geht es in diesem Forum ja nun mal)
Das eine schließt das andere nicht aus. Ich würde sogar behaupten, dass die weitaus größere Mehrheit hier im Forum mehr als einen Rootserver, und oft genug auch kleinere Netze betreibt. Aber selbst bei einem einzelnen Rechner ist eine vorgeschaltete dedizierte Firewall sinvoller als ein Paketfilter auf dem Rootserver - und was im Forum immer (zurecht) kritisiert wird ist v.a. letzteres, aber nicht ersteres.
das Problem sind [...] Leute die eine Firewall als Allheilmittel anpreisen.
Zeig mir bitte 3 Beiträge aus diesem Forum, in denen dies explizit getan wird. Falls nicht, dann bitte wenigstens 3 Beiträge in denen implizit behauptet wird, dass eine Firewall ein "Allheilmittel" ist, sprich, dass es nach der Einrichtung einer Firewall keiner weiteren Sicherheitsmaßnahmen bedarf. Ich bin gespannt.
Leuten die ein so grundsätzlich falsches Verständnis von Zusammenhängen haben, wird man ohnehin nicht helfen können. Sie werden auch bei Verzicht auf einen Paketfilter auf dem Root oder einer externen Firewall, den Aufwand immer noch nicht auf andere sinnvollere Sicherheitsmaßnahmen verwenden. Insofern ist die Haltung solcher Leute vollkommen irrelevant für die Problematik, oder die Kosten-/Nutzenabwägung des Einsatzes der Maßnahmen.
Sorry, aber das ist absoluter Unsinn!
Genau diese Leute sind es doch die sich in falscher Sicherheit wiegen weil das technische Verständnis fehlt und deren Server dann übernommen werden.
Lies noch mal ganz langsam was ich geschrieben habe. Ich schrieb, dass die genannten Leute sowieso "verlieren", denn auch wenn sie den Paketfilter nicht installieren, dann verwenden sie die gewonnene Zeit ohnehin nicht für nützlichere Sicherheitsmaßnahmen auf - eben weil sie keinen Peil haben und sich nicht mit der Materie beschäftigen wollen. Wenn sie das wollten/könnten, würden sie das ja schon beim Thema Paketfilter tun.
Davon abgesehen habe ich ja weiter oben geschrieben, dass ich, im Ergebnis, ebenfalls der Meinung bin, dass es Maßnahmen gibt, welche ein besseres Kosten/Nutzenverhältnis haben als Paketfilter, und natürlich sollte das Anfängern so vermittelt werden.
Die Frage ist nur was man als Ursache für die gehackten Server feststellt, und das ist eben IMO nicht das "Vertrauen in den Paktefilter" (außer in seltenen Einzelfällen wie im Eingangsposting referenziert), sondern in aller Regel das Mangel an Know-How und Interesse bzw. die mangelnde Fähigkeit sich in die Zusammenhänge einzuarbeiten. "Security is a process, not a product" - aber Produkte pauschal als nutzlos zu bezeichnen ist dennoch ein Trugschluß.