CS und die eigene Sicherheit..?!?

[sasch78]

Hallo zusammen,

wer kann mir beim Thema Sicherheit im eigenen Netz weiterhelfen? Würde eine Firewall (Astaro bzw. Sophos) die Sicherheit verbessern..? Vielleicht kurz mal zu meiner eigenen Konstellation...
Ich benutze eine Fritzbox 7170 mit aktueller Firmware als DSL-Router. Dort ist ein Port für CS offen. Als Server läuft eine Dream8000 mit Oscam. Die Clients sind über eine dyndns Adresse verbunden.
Im eigenen Netz befindet sich noch ein kleines Home Office meiner Frau. Datensicherung und Datenablage läuft über ein NAS. Dort befinden sich alle internen Daten. Im Netz sind desweiteren noch zwei Desktop PC's, ein
Notebook, IPhone, Dreambox und Tablet. Windows Firewall ist aktiviert (wenn PC an ist)

Meine Frage ist jetzt eigentlich, was kann ich zur eigenen Sicherheit beitragen und wie kann ich sie optimieren? Würde eine Astaro Hardware Firewall Security Gateway 110/120 mein Netz besser schützen? Würde CS über eine Astaro überhaupt funktionieren?

Vielleicht kann mir jemand weiterhelfen und hat ein paar Tipp's für mich


Viele Grüße

 

[czutok]

AW: CS und die eigene Sicherheit..?!?

solange keine unütigen ports nach ausen offen sind , und deine ( frau , kinder , clienten ) nicht jedem erzählen das du so was machst , ist es zimlich sicher

 

[sasch78]

AW: CS und die eigene Sicherheit..?!?

Es ist nur ein Port offen und der ist über eine dyndns Adresse erreichbar.... Die Client's sind nur gute Freunde/Bekannte...

 

[czutok]

AW: CS und die eigene Sicherheit..?!?

also ist dein system schon sicher , aberrrrrrrrrrrrrrrrr jetzt weist es schon jeder in forum das du CS machst , somit ist dein system nicht so sicher wie es vor halbe stunde war :emoticon-0105-wink:

 

[sasch78]

AW: CS und die eigene Sicherheit..?!?

Könnte man nicht mit einer Firewall alles dicht machen und dabei die Clients kontrollieren? Kann man den Port nicht kontrollieren/beobachten?

 

[czutok]

AW: CS und die eigene Sicherheit..?!?

man kann viel , mus man aber nicht

die stasi gabs damals in DDR , die ist seit ein par jahren weg

las es laufen so wie es ist , ab und zu schaue dir deine logs an , wenn da was nicht stimmen solte , wirst du dann beobachten wo , wie , warum

solange alles funktioniert und alle zufriden sind , NICHTS anfasen

ist aber nur meine meinung

 

[pegas]

AW: CS und die eigene Sicherheit..?!?

Hier zum nachlesen
https://www.digital-eliteboard.com/showthread.php?185792-CS-SICHERHEIT-(bitte-lesen)

 

[aragorn]

AW: CS und die eigene Sicherheit..?!?

Würde eine Firewall (Astaro bzw. Sophos) die Sicherheit verbessern..?

entweder du hast als server nur den cs-port offen, dann musst du den ja auch durch die firewall rein lassen, oder du blockst ihn aber dann kann auch kein client connecten..
also würde das für cs nichts bringen sondern nur den rest schützen wobei das eigentlich auch quatsch ist da ein router nichts einfach so ins lokale netzwerk hinein lässt.. zumindest wer kein DMZ oder derartiges einrichtet..
für verbindungen die aus dem internet ins lan aufgebaut werden sollen muss immer eine portweiterleitung vorhanden sein, da zum einen der client aus dem internet nicht die lan ip ansprechen kann und somit auch der router weiss "wohin mit der verbindung". gibt es also keine portweiterleitung für den port, wird der verbindungsversuch verworfen und nicht beachtet also im prinzip genauso wie es eine cisco firewall handhabt..

dann bieten die meisten "internet security" programme auch traffic-analyse aber das bringt dir ebenfals nichts weil das ja nur auf dem windows system läuft aber die cardsharing-protokolle nochdazu verschlüsselt sind also kann man die eh nicht derart analysieren bzw würde das dein cs stören bzw ausbremsen..


wie pegas bereits nannte, sollte man sich eben an allgemeine richtlinien halten, so wie:

keine portweiterleitungen einrichten die man nicht benötigt, die clients brauchen garkeine portweiterleitung sondern nur der server..

keine standard ports fürs internet nutzen (im lan ist der port egal, hauptsache der externe/von port ist ein anderer als zb 12000)..

nicht mit der halben (unbekannten) welt sharen, am besten nur mit so wenig wie möglich..

aber natürlich spielt es auch eine rolle wie sich die restlichen systeme im netzwerk verhalten.. wenn sich dort zb jmd ein trojaner einfängt kann es passieren das jmd fremdes ins netzwerk eindringt..

deshalb ist es auch wichtig unbedingt ein password (kein zu einfaches) für den root benutzer des servers zu setzen (manche receiver images haben nämlich garkeins)

auch ist wichtig das du deinen clients eintrichterst das die damit nicht posen/angeben sollten sondern das als absolute geheimsache niemalsnie irgendwem erzählen..

und zu guter letzt: finger weg von payservern!!


dann sollte dir eigentlich nichts passieren

 

[sasch78]

AW: CS und die eigene Sicherheit..?!?

Kann ich ein Log am Router vom offenen Port laufen lasse? Da müßte ja zu sehen sein, wenn rein kommt....

 

[negeos]

AW: CS und die eigene Sicherheit..?!?

Hi,

Du kannst auf dem Server z.B. nmap oder wireshark laufen lassen und die Datenpakete ansehen, die durchsausen. Oder direkt am Gateway, wenn es die Möglichkeit bietet. Ich hab Astaro Home als Router und kann dort tcpdump zum Protokollieren laufen lassen. Ob man da interessante oder aufschlussreiche Daten zum CS findet, weiß ich allerdings nicht. Du siehst ja die IP-Adressen, von denen Anfragen kommen. Die könntest Du vergleichen mit Deinen Clients.

Generell würde ich sagen, dass eine ASG / UTM im Heimgebrauch sehr viele Funktionen bringt, die das Netzwerk sicherer machen, als es z.B. eine Fritzbox tut (Content Filter, Virenscanner, ...) aber wie schon geschrieben wurde: Wenn nur ein Port offen ist, kann auch nix anderes reinkommen.

Gruß
negeos

 

[aragorn]

AW: CS und die eigene Sicherheit..?!?

Du kannst auf dem Server z.B. nmap oder wireshark laufen lassen und die Datenpakete ansehen, die durchsausen. Oder direkt am Gateway, wenn es die Möglichkeit bietet. Ich hab Astaro Home als Router und kann dort tcpdump zum Protokollieren laufen lassen. Ob man da interessante oder aufschlussreiche Daten zum CS findet, weiß ich allerdings nicht. Du siehst ja die IP-Adressen, von denen Anfragen kommen. Die könntest Du vergleichen mit Deinen Clients.

nmap ist ein mächtiger port scanner, das ist nicht vergleichbar mit wireshark.

Sie müssen registriert sein, um Links zu sehen.

müsste man dann selber kontrollieren was da vorsich geht da das nur ein traffic analyse programm ist, das trägt also nur indirekt zur sicherheit bei. ich glaube auch nicht das da jemand lust zu hat permanent 24/7 die datenpakete oder ips zu überwachen

wie gesagt macht es eigentlich kein sinn die cardsharing datenpakete gesondert zu überwachen da die sowieso verschlüsselt sind und falls sich jemand unerlaubt versucht zu verbinden wird das dann auch von cccam oder oscam angezeigt bzw protokoliert.. darauf kann man dann reagieren.. oscam hat dafür bereits failban eingebaut aber bei cccam müsste man extra sowas wie fail2ban einrichten



ein seperates logfile von den verbindungen die über den offenen port gehen, anzulegen bringt wie gesagt glaub ich nicht wirklich was.. was sollte dadurch erreicht werden? s.o.

 

[sasch78]

AW: CS und die eigene Sicherheit..?!?

Ich hab mir Oscam mal etwas genauer angeschaut, da kann man den Clients eine feste IP vergeben. So kann nur dieser eine Clinet sich mit Oscam verbinden. Hab jetzt einfach mal am Client die IP geändert und schon bekommt dieser Client keine Freigabe. Am Oscam Webif kann man dies beobachten....

 

[aragorn]

AW: CS und die eigene Sicherheit..?!?

ja das ist auch mit cccam möglich allerdings setzt das vorraus das der client entweder wirklich permanent eine feste ip hat (selbst user mit unitymedia, die eigentlich eine feste ip haben sollten, haben damit manchmal probleme), oder auch eine dyndns einrichten..

dabei kann es aber eben auch probleme geben wenn die dyndns nicht schnell genug aktualisiert wird, weil zb der Domain Name Server des dyndns anbieters kurzfristig mal langsam ist, oder sogar der DNS des clients kriegt nicht schnell genug die neuen daten, oder der router des clients verkackt den dyndns-update was leider auch hin und wieder mal vorkommt..

aber wie gesagt ist das ja keine garantie das sich nicht jemand fremdes versucht zu verbinden da die ip dann nur für den [account] in kombination mit den entsprechenden zugangsdaten gilt..

versuche also zum beispiel ich mich zu deinem oscam/cccam zu verbinden obwohl ich nicht die korrekten zugangsdaten kenne, kann ich durch hoch frequentiertes neu verbinden dein cardsharing betrieb stören bzw sogar dein oscam/cccam zum crashen bringen, auf jedenfall würden die "hostname" beschränkungen für mich nicht greifen da mein login und pwd nicht zu einem [account] zugeordnet werden können..
oder ich versuche irgendwie die zugangsdaten herraus zu finden.. aber dann würden solche "hostname" beschränkungen zwar für mich greifen aber trotzdem würde oscam/cccam mit diesem verbindungs versuch beschäftigt werden was wiederum zu abstürzen führen kann

solche fehlerhaften verbindungs versuche würden bei oscam dann über das feature "failban" erkannt und für eine bestimmte zeit ignoriert werden.

wenn man einen linux rechner hat kann man stattdessen auch fail2ban installieren und so konfigurieren dass das logfile überwacht wird und die entsprechende ip dann mithilfe des firewall tools "iptables" ausgesperrt werden, dann käme nichtmals mehr der traffic zum oscam/cccam mehr an/durch also würde die damit auch nicht unnötig beschäftigt werden was wiederum bedeutet sie können, zumindest deswegen, nicht crashen..

 

[negeos]

AW: CS und die eigene Sicherheit..?!?

@ aragorn: Ja, mein Fehler. Ich dachte auch an tcpdump und nicht an nmap