Grundschutz - Firewall

Liebe Kolleginnen, liebe Kollegen!

Ich wende mich an Sie, um Sie und Ihre Mitarbeiter von einem weiteren
Schritt in Richtung verbesserter Betriebssicherheit im Rahmen des
Firewall-Konzepts zu informieren. Basierend auf dem Sicherheitskonzept
von BelWü (siehe: www.belwue.de/aktivitaeten/security/ ) wurde von
uns ein Liste von Services zusammengestellt, die ein Sicherheitsrisiko
darstellen und daher auf der Firewall gesperrt werden. Es handelt sich
um Services, die darüber hinaus entweder 1) nicht über die Grenzen einer
Organisation angeboten werden sollten, oder 2) durch sicherere Services
ersetzt werden können, oder 3) durch Modifikation (z.B. Tunneling)
weiter verwendet werden können. Die Sperre tritt am Montag 17.12.2001 in
kraft. Bitte nutzen Sie die verbleibende Zeit, um notwendige Adaptionen
durchzuführen.

Bitte beachten Sie, dass TUWien-Chello und Dialin-Service zu den
internen Netzen gezählt werden und der Verkehr zwischen diesen Netzen
und dem TUNET von den Maßnahmen nicht betroffen ist.

Mit freundlichen Grüßen
Udo Linauer

 

Überblick über die ab 17.12. gesperrten Ports:
Transport Port          Protokoll       Beschreibung    Richtung
=======================================================================
UDP     67      bootps          bootp/DHCP Server       beide           
UDP     68      bootpc          bootp/DHCP Client       beide
UDP     69      TFTP            Filetransfer ohne PW    von außen
UDP,TCP 111     Portmapper      Portmapper, sunrpc      beide
UDP     123     ntpd            Time Services           von außen
UDP,TCP 137-139 NETBIOS         SMB                     beide
UDP,TCP 445     Microsoft-DS    Microsoft-DS            beide
UDP,TCP 161-162 SNMP            Netzwerkmgmt            beide
TCP     512     rexec           R-Kommando              von außen
TCP     513     rlogin          R-Kommando              von außen
TCP     514     rsh,rcp,rdump,  R-Kommandos             von außen
rrestore,rdist                                             
UDP     514     syslogd         Logdateien              von außen
TCP     515     lpd             Drucker                 von außen
TCP     540     UUCP            Mail (zu Mailhosts)     von außen
TCP     1080    Socks           Anwendungsproxy         von außen
UDP,TCP 2049    NFS             Filesystem (andere Ports mögl.) beide
TCP     3128    Squid           Web-Proxy               von außen
UDP,TCP 4045    lockd           NFS lock manager        beide
TCP     6000-6063 X11           X-Terminal              beide

 

--
Udo Linauer email: udo.linauer@tuwien.ac.at
IT security officer
IT Services
Vienna University of Technology
Wiedner Hauptstrasse 8-10/E020 Voice: (+43-1) 58801-42026
A-1040 Vienna, Austria/Europe Fax: (+43-1) 58801-42099
-------------------------------------------------------------------------