Hallo zusammen Ist e smit suse moeglich den kompletten netzwerktraffic zu scannen Mein ziel ist das, bei webanfragen, eben NUR webanfragen rausgehen Also, z.b. adobe (telefoniert nach hause), anfragen soll geblockt werden Wenn es ueber verschiedene ports lauft, kann mit portblocking gegengesteuert werden Aber was ist wenn dynamisch der port gesucht wird (in dem fall port 80) und verschiedene programme nach hause telefonieren. Wie kann ich das verhindern Danke fuer input juergen -- Um die Liste abzubestellen, schicken Sie eine Mail an: opensuse-de+unsubscribe@opensuse.org Um den Listen Administrator zu erreichen, schicken Sie eine Mail an: opensuse-de+owner@opensuse.org
Am 05.10.2016 um 09:00 schrieb juergen.l:
Hallo zusammen
Ist e smit suse moeglich den kompletten netzwerktraffic zu scannen Mein ziel ist das, bei webanfragen, eben NUR webanfragen rausgehen Also, z.b. adobe (telefoniert nach hause), anfragen soll geblockt werden Wenn es ueber verschiedene ports lauft, kann mit portblocking gegengesteuert werden Aber was ist wenn dynamisch der port gesucht wird (in dem fall port 80) und verschiedene programme nach hause telefonieren. Wie kann ich das verhindern Danke fuer input juergen
Hallo Jürgen, hast du das mal mit wireshark versucht? Gruss Bernd -- Um die Liste abzubestellen, schicken Sie eine Mail an: opensuse-de+unsubscribe@opensuse.org Um den Listen Administrator zu erreichen, schicken Sie eine Mail an: opensuse-de+owner@opensuse.org
Hallo Bernd Danke fuer die antwort Wireshark ist fuer netzwerk monitoring. Es ist mehr gedacht als permanente loesung. Nicht nur um "mal" ein problem zu analysieren. Gruesse juergen -----Original Message----- From: Bernhard Junk [mailto:linux@horrem.org] Sent: 05 October 2016 13:08 To: opensuse-de@opensuse.org Subject: Re: Scannen vom Netwerktrafic Am 05.10.2016 um 09:00 schrieb juergen.l:
Hallo zusammen
Ist e smit suse moeglich den kompletten netzwerktraffic zu scannen Mein ziel ist das, bei webanfragen, eben NUR webanfragen rausgehen Also, z.b. adobe (telefoniert nach hause), anfragen soll geblockt werden Wenn es ueber verschiedene ports lauft, kann mit portblocking gegengesteuert werden Aber was ist wenn dynamisch der port gesucht wird (in dem fall port 80) und verschiedene programme nach hause telefonieren. Wie kann ich das verhindern Danke fuer input juergen
Hallo Jürgen, hast du das mal mit wireshark versucht? Gruss Bernd -- Um die Liste abzubestellen, schicken Sie eine Mail an: opensuse-de+unsubscribe@opensuse.org Um den Listen Administrator zu erreichen, schicken Sie eine Mail an: opensuse-de+owner@opensuse.org -- Um die Liste abzubestellen, schicken Sie eine Mail an: opensuse-de+unsubscribe@opensuse.org Um den Listen Administrator zu erreichen, schicken Sie eine Mail an: opensuse-de+owner@opensuse.org
Hallo Juergen, On Wed, 05.10.2016 13:26:58 juergen. l wrote:
Es ist mehr gedacht als permanente loesung. Nicht nur um "mal" ein problem zu analysieren.
Mit tcpdump kann man dieselben Daten aufzeichnen wie mit wireshark auch, nur, dass tcpdump eben ein Konsolenprogramm ist. Die Daten die mit "tcpdump -w <file>" erzeugt werden können nachträglich wieder per wireshark analysiert werden. Roman -- Roman Fietze Telemotive AG Buero Muehlhausen Breitwiesen 73347 Muehlhausen Tel.: +49 7335 18493-45 http://www.telemotive.de Telemotive AG Breitwiesen 73347 Mühlhausen Tel.: +49 7335 18493-45 Mobil: +49 152 56871006 Email: roman.fietze@telemotive.de Website|Produkte|Engineering|Karriere Telemotive Produktkonfigurator:sofort zum passenden Testsystem! Firmensitz: Telemotive AG, Breitwiesen, 73347 Mühlhausen Vorstand: Franz Diller, Markus Fischer, Stefan Erhart Vorstandsvorsitzender: Peter Kersten Aufsichtsratsvorsitzender: Anton Schantl Amtsgericht: Ulm, HRB 541321 -- Um die Liste abzubestellen, schicken Sie eine Mail an: opensuse-de+unsubscribe@opensuse.org Um den Listen Administrator zu erreichen, schicken Sie eine Mail an: opensuse-de+owner@opensuse.org
Hallo roman Danke fuer deine antwort Aber nochmals - ich brauch es nicht zum analysieren sondern um ausgehenden traffik zu unterbinden welcher nicht raus soll (nur als beispiel programme welche nach hause telefonieren). Der tipp von helga war schon mal nicht schlecht - nur hier gibt es scheinbar nur hardware loesungen (welche warscheinlich sehr teuer sein werden) -----Original Message----- From: Roman Fietze [mailto:roman.fietze@telemotive.de] Sent: 05 October 2016 13:50 To: opensuse-de@opensuse.org Subject: Re: Scannen vom Netwerktrafic Hallo Juergen, On Wed, 05.10.2016 13:26:58 juergen. l wrote:
Es ist mehr gedacht als permanente loesung. Nicht nur um "mal" ein problem zu analysieren.
Mit tcpdump kann man dieselben Daten aufzeichnen wie mit wireshark auch, nur, dass tcpdump eben ein Konsolenprogramm ist. Die Daten die mit "tcpdump -w <file>" erzeugt werden können nachträglich wieder per wireshark analysiert werden. Roman -- Roman Fietze Telemotive AG Buero Muehlhausen Breitwiesen 73347 Muehlhausen Tel.: +49 7335 18493-45 http://www.telemotive.de Telemotive AG Breitwiesen 73347 Mühlhausen Tel.: +49 7335 18493-45 Mobil: +49 152 56871006 Email: roman.fietze@telemotive.de Website|Produkte|Engineering|Karriere Telemotive Produktkonfigurator:sofort zum passenden Testsystem! Firmensitz: Telemotive AG, Breitwiesen, 73347 Mühlhausen Vorstand: Franz Diller, Markus Fischer, Stefan Erhart Vorstandsvorsitzender: Peter Kersten Aufsichtsratsvorsitzender: Anton Schantl Amtsgericht: Ulm, HRB 541321 -- Um die Liste abzubestellen, schicken Sie eine Mail an: opensuse-de+unsubscribe@opensuse.org Um den Listen Administrator zu erreichen, schicken Sie eine Mail an: opensuse-de+owner@opensuse.org -- Um die Liste abzubestellen, schicken Sie eine Mail an: opensuse-de+unsubscribe@opensuse.org Um den Listen Administrator zu erreichen, schicken Sie eine Mail an: opensuse-de+owner@opensuse.org
Am Mittwoch 05 Oktober 2016 schrieb juergen.l: [...]
Der tipp von helga war schon mal nicht schlecht - nur hier gibt es scheinbar nur hardware loesungen (welche warscheinlich sehr teuer sein werden)
Das kann der Kernel. Vielleicht kann es auch Dein Router. Kommt ein bißchen drauf an, wie der ausgestattet ist (Ist ja normalerweise auch ein Linux, auch wenn Du nichts davon siehst). Du kannst ja mal Dein Glück mit YaST probieren. Der kann das vorhandene Firewallskript ergänzen. Helga -- ## Technik: [http://de.opensuse.org] ## Privat: [http://www.eschkitai.de] -- Um die Liste abzubestellen, schicken Sie eine Mail an: opensuse-de+unsubscribe@opensuse.org Um den Listen Administrator zu erreichen, schicken Sie eine Mail an: opensuse-de+owner@opensuse.org
Am Mittwoch 05 Oktober 2016 schrieb juergen.l:
Hallo Bernd Danke fuer die antwort Wireshark ist fuer netzwerk monitoring.
Es ist mehr gedacht als permanente loesung. Nicht nur um "mal" ein problem zu analysieren.
Oh, ich benutze es immer, wenn's mal klemmt oder ich einer Kommunikation lauschen will. [...]
Ist e smit suse moeglich den kompletten netzwerktraffic zu scannen Mein ziel ist das, bei webanfragen, eben NUR webanfragen rausgehen Also, z.b. adobe (telefoniert nach hause), anfragen soll geblockt werden
Du suchst eine Application Firewall.
Wenn es ueber verschiedene ports lauft, kann mit portblocking gegengesteuert werden Aber was ist wenn dynamisch der port gesucht wird (in dem fall port 80) und verschiedene programme nach hause telefonieren. Wie kann ich das verhindern
Alles per Firewallregel blocken und nur die erwünschten Rauswähler zulassen. Musst halt ausprobieren, was bei Dir so geht. Ansonsten kann vielleicht hier in der Liste jemand sagen, ob's da was Fertiges gibt. Helga -- ## Technik: [http://de.opensuse.org] ## Privat: [http://www.eschkitai.de] -- Um die Liste abzubestellen, schicken Sie eine Mail an: opensuse-de+unsubscribe@opensuse.org Um den Listen Administrator zu erreichen, schicken Sie eine Mail an: opensuse-de+owner@opensuse.org
"juergen.l"
Hallo zusammen
Ist e smit suse moeglich den kompletten netzwerktraffic zu scannen Mein ziel ist das, bei webanfragen, eben NUR webanfragen rausgehen Also, z.b. adobe (telefoniert nach hause), anfragen soll geblockt werden Wenn es ueber verschiedene ports lauft, kann mit portblocking gegengesteuert werden Aber was ist wenn dynamisch der port gesucht wird (in dem fall port 80) und verschiedene programme nach hause telefonieren. Wie kann ich das verhindern Danke fuer input juergen
Du verlangst hier zwei Funktionen, Scannen und Blocking, das ist mit simplen Bordmitteln nicht zu lösen. Falls du primär Blocking möchtest, schreibe iptables Filter, bei zusätzlichem Scannen musst du die Datenpakete umlenken und durch einen eigenen Scanner jagen, vermutlich wirst du da aber Probleme mit dem Datenschutz und dem IT-Sicherheitsgesetz bekommen. -Dieter -- Dieter Klünter | Systemberatung http://sys4.de GPG Key ID: E9ED159B 53°37'09,95"N 10°08'02,42"E -- Um die Liste abzubestellen, schicken Sie eine Mail an: opensuse-de+unsubscribe@opensuse.org Um den Listen Administrator zu erreichen, schicken Sie eine Mail an: opensuse-de+owner@opensuse.org
Hallo Rainer, Richtig erkannt - aber auch noch nur das was gewuenscht ist Als beispiel Beim aufruf von www.xyv.com wird heute cookies mitgegeben, der ganze google analytic dreck, und noch weitere 3th party sites welche NICHT angefodert waren. Das issue habe ich fast geloesst. Der client ist per vpn verbunden. Jetzt gibt es auch noch tausende services welche raus wollen und sich dynamisch einen freien port suchen. Wenn 80 "grundsaetzlich" offen ist geht der traffik raus - da nicht requested. Hier muss dann noch verboten werden (alles) bis auf die, z.b. oben erwaentes beispiel, www.xzy.com. Und nichts anderes. Das ist ja heute ein graus wieviel ungewollter traffik rausgeht - das will ich nicht mehr. Und helga hat schon mal in die richtige richtung gepointed Hier gibts seit kurzem 2 neue firewall loesungen Next-Generation Firewalls (NGFW) und Unified Threat Management (UTM) Ist sehr neu und es gibt noch keine linux umsetzung (ja, auf den kisten ist auch linux drauf) Gruesse Juergen -----Original Message----- From: Rainer Sokoll [mailto:rainer@sokoll.com] Sent: 05 October 2016 21:13 To: Dieter Kluenter Cc: OpenSuSE Mailing-list Subject: Re: Scannen vom Netwerktrafic
Du verlangst hier zwei Funktionen, Scannen und Blocking, das ist mit simplen Bordmitteln nicht zu lösen. Falls du primär Blocking möchtest, schreibe iptables Filter,
Der OP möchte applikationsabhängig blocken. Das kann netfilter und damit iptables nicht. Rainer -- Um die Liste abzubestellen, schicken Sie eine Mail an: opensuse-de+unsubscribe@opensuse.org Um den Listen Administrator zu erreichen, schicken Sie eine Mail an: opensuse-de+owner@opensuse.org
Hier gibts seit kurzem 2 neue firewall loesungen
Next-Generation Firewalls (NGFW) und Unified Threat Management (UTM)
Ist sehr neu und es gibt noch keine linux umsetzung (ja, auf den kisten ist auch linux drauf)
Ja, kenne ich und habe ich im Einsatz, in der Implementierung der Firma Checkpoint. Läuft auf Linux und kostet einige Tausend Euros im Jahr Support, Anschaffung nicht eingerechnet. Und funktioniert nicht wirklich. Vergiß es. Du kannst Dich im Browser noch relativ gut schützen (ghostery, ublock origin, noscript…) Gegen sowas wie Skype hast Du verloren (http://www.secdev.org/conf/skype_BHEU06.handout.pdf - 10 Jahre alt, aber am Prinzip hat sich sicherlich nichts geändert) Du könntest whitelisten, ja. In Zeiten von Amazon Web Services funktioniert das aber auch nicht mehr. Raiiner
Hallo, ----------------------- Am Mittwoch, 5. Oktober 2016 um 21:48 schrieb juergen.l:
Hallo Rainer,
Richtig erkannt - aber auch noch nur das was gewuenscht ist Als beispiel
Beim aufruf von www.xyv.com wird heute cookies mitgegeben, der ganze google analytic dreck, und noch weitere 3th party sites welche NICHT angefodert waren. Das issue habe ich fast geloesst. Der client ist per vpn verbunden. Jetzt gibt es auch noch tausende services welche raus wollen und sich dynamisch einen freien port suchen. Wenn 80 "grundsaetzlich" offen ist geht der traffik raus - da nicht requested. Hier muss dann noch verboten werden (alles) bis auf die, z.b. oben erwaentes beispiel, www.xzy.com. Und nichts anderes. Das ist ja heute ein graus wieviel ungewollter traffik rausgeht - das will ich nicht mehr. Und helga hat schon mal in die richtige richtung gepointed
Hier gibts seit kurzem 2 neue firewall loesungen
Next-Generation Firewalls (NGFW) und Unified Threat Management (UTM)
Ist sehr neu und es gibt noch keine linux umsetzung (ja, auf den kisten ist auch linux drauf) Gruesse Juergen
wie schon erwähnt wurde, was du suchst ist eine Firewall mit Anwendungsfilter. Vorschlag: Du könntest dir eine Firewall in einer virtuellen Maschine installieren und sämtlichen Traffic von deinem Rechner darüber routen. Mir fällt hier als erstes pfSense ein. Ist Open Source und es gibt eine Menge Pakete und so auch mehrere Lösungen eines Application-Filters wie SquidGuard. Das Ding ist sehr umfangreich und flexibel zu konfigurieren. https://pfsense.org Protokollieren kann man auch alles lassen, lokal oder auf einen SysLog-Server. Ein feines Forum gibt es auch dazu: https://forum.pfsense.org Kannst dich ja damit mal spielen, das kostet nichts. Gruß Richard -- Um die Liste abzubestellen, schicken Sie eine Mail an: opensuse-de+unsubscribe@opensuse.org Um den Listen Administrator zu erreichen, schicken Sie eine Mail an: opensuse-de+owner@opensuse.org
Am Wed, 5 Oct 2016 21:48:06 +0200
schrieb "juergen.l"
Beim aufruf von www.xyv.com wird heute cookies mitgegeben, der ganze google analytic dreck, und noch weitere 3th party sites welche NICHT angefodert waren. Das issue habe ich fast geloesst. Der client ist per vpn verbunden. Jetzt gibt es auch noch tausende services welche raus wollen und sich dynamisch einen freien port suchen. Wenn 80 "grundsaetzlich" offen ist geht der traffik raus - da nicht requested. Hier muss dann noch verboten werden (alles) bis auf die, z.b. oben erwaentes beispiel, www.xzy.com. Und nichts anderes. Das ist ja heute ein graus wieviel ungewollter traffik rausgeht - das will ich nicht mehr. (...)
Na ja, beim Browser (Firefox) hilft schon NoScript. Damit wird erstmal alles an ECMA-Script (aka. JavaScript) geblockt. Anschließend kannst Du den Webseiten denen Du vertraust, ECMA-Script wieder erlauben damit Du keine Komforteinbußen hast. Dann noch im Browser die Cockies nur von der besuchten Seite erlauben. Der nächste Schritt wäre dann ein AdBlocker. Der verhindert auch Requests ohne ECMA-Script -zum Beispiel um Bilder von derselben oder externen Webseiten zu laden. Das ist in den ersten Tagen ein wenig Konfigurationsaufwand, bis die gewünschten Seiten funktionieren wie erwartet, aber Du wirst dich wundern wie schnell sich die Konfigurationskurve kleinen Werten nähert ;-) Wenn es über den Browser hinaus geht könnte es helfen den direkten Internetzugang für den PC zu sperren und einen transparenten Proxy einzurichten. Darin kannst Du dann Black- oder White-Listen. Aber das wird schnell mühsam ... Good luck Bernd -- Um die Liste abzubestellen, schicken Sie eine Mail an: opensuse-de+unsubscribe@opensuse.org Um den Listen Administrator zu erreichen, schicken Sie eine Mail an: opensuse-de+owner@opensuse.org
Hallo, ----------------------- Am Mittwoch, 5. Oktober 2016 um 20:39 schrieb Dieter Kluenter:
Du verlangst hier zwei Funktionen, Scannen und Blocking, das ist mit simplen Bordmitteln nicht zu lösen. Falls du primär Blocking möchtest, schreibe iptables Filter, bei zusätzlichem Scannen musst du die Datenpakete umlenken und durch einen eigenen Scanner jagen, vermutlich wirst du da aber Probleme mit dem Datenschutz und dem IT-Sicherheitsgesetz bekommen.
den eigenen Traffic zu scannen und zu loggen darf doch keine rechtlichen Problem machen. Gruß Richard -- Um die Liste abzubestellen, schicken Sie eine Mail an: opensuse-de+unsubscribe@opensuse.org Um den Listen Administrator zu erreichen, schicken Sie eine Mail an: opensuse-de+owner@opensuse.org
Am Wed, 05 Oct 2016 23:14:20 +0200
schrieb Richard Hafenscher
Hallo,
----------------------- Am Mittwoch, 5. Oktober 2016 um 20:39 schrieb Dieter Kluenter:
Du verlangst hier zwei Funktionen, Scannen und Blocking, das ist mit simplen Bordmitteln nicht zu lösen. Falls du primär Blocking möchtest, schreibe iptables Filter, bei zusätzlichem Scannen musst du die Datenpakete umlenken und durch einen eigenen Scanner jagen, vermutlich wirst du da aber Probleme mit dem Datenschutz und dem IT-Sicherheitsgesetz bekommen.
den eigenen Traffic zu scannen und zu loggen darf doch keine rechtlichen Problem machen.
Nicht unbedingt, frag mal deinen Betriebsrat :-) -Dieter -- Dieter Klünter | Systemberatung http://sys4.de GPG Key ID: E9ED159B 53°37'09,95"N 10°08'02,42"E -- Um die Liste abzubestellen, schicken Sie eine Mail an: opensuse-de+unsubscribe@opensuse.org Um den Listen Administrator zu erreichen, schicken Sie eine Mail an: opensuse-de+owner@opensuse.org
Am Mittwoch, 5. Oktober 2016 um 20:39 schrieb Dieter Kluenter:
Du verlangst hier zwei Funktionen, Scannen und Blocking, das ist mit simplen Bordmitteln nicht zu lösen. Falls du primär Blocking möchtest, schreibe iptables Filter, bei zusätzlichem Scannen musst du die Datenpakete umlenken und durch einen eigenen Scanner jagen, vermutlich wirst du da aber Probleme mit dem Datenschutz und dem IT-Sicherheitsgesetz bekommen.
den eigenen Traffic zu scannen und zu loggen darf doch keine rechtlichen Problem machen.
Nicht unbedingt, frag mal deinen Betriebsrat :-)
-Dieter
Dieter Bitte keine grundsatz discussion was erlaubt ist und was nicht - das ist nicht das thema und sollte jeder fuer sich selbst entscheiden FYI: es ist rein fuer mich gedacht. Ich will einfach keinen traffik nach draussen - von keinem OS, Programm, Update, Facebook links, google analytics oder sonst irgendwas. Auf meinem handy ist eine firewall und die zeigt mir was alles geblockt wird und das ist erschreickend was alles "raus" will. Das gleiche gilt fuer Notebooks, PCs, ... Danke fuers erste juergen -- Um die Liste abzubestellen, schicken Sie eine Mail an: opensuse-de+unsubscribe@opensuse.org Um den Listen Administrator zu erreichen, schicken Sie eine Mail an: opensuse-de+owner@opensuse.org
Hallo Jürgen, hallo zusammen, Am Mittwoch, 5. Oktober 2016, 09:00:08 CEST schrieb juergen.l:
Ist e smit suse moeglich den kompletten netzwerktraffic zu scannen Mein ziel ist das, bei webanfragen, eben NUR webanfragen rausgehen Also, z.b. adobe (telefoniert nach hause), anfragen soll geblockt
Wenn Du einem Programm den Netzwerkzugriff komplett verbieten willst,
kann Dir AppArmor weiterhelfen.
Da Du eh schon adobe nennst, rate ich mal und kopiere mein AppArmor-
Profil für acroread in diese Mail (siehe [1]). Das ist allerdings schon
etwas älter und benötigt evtl. ein paar Ergänzungen. (Ich habe auch
gerade ein paar offensichtlich veraltete Regeln (für Dateien in /opt)
entfernt - vermutlich brauchst Du dafür Ersatz in irgendeiner Form.)
Der interessanteste Punkt für Dich ist, keine "network"-Regeln ins Profil
zu packen. Auch nicht indirekt - z. B. erlaubt abstractions/nameservice
Netzwerkzugriff. Ohne "network"-Regeln verbietet AppArmor den
Netzwerkzugriff [2].
Der Haken an der Sache ist, dass Du nicht selektiv pro Port oder Ziel-IP
sperren kannst - das steht zwar auf der Wunschliste, ist aber noch nicht
implementiert. Derzeit geht nur Netzwerk ja oder nein (naja, IPv4 und
IPv6 kannst Du getrennt erlauben, aber das hilft Dir vermutlich nicht
viel).
Wenn es Dir nur ums Verbieten von Netzwerk-Zugriffen geht, kannst Du
Dateizugriffe auch mit einer pauschalen "file,"-Regel erlauben - wirklich
empfehlenswert ist das allerdings nicht. (Du traust dem Programm nicht
genug, um ihm Netzwerkzugriffe zu erlauben - aber all Deine Dateien soll
es lesen dürfen? ;-)
Für den AppArmor-Einstieg empfehle ich:
- meinen AppArmor Crash Course auf http://blog.cboltz.de (gibt es auch
als Video von der openSUSE Conference 2016)
- das AppArmor-Kapitel im Security Guide auf http://doc.opensuse.org
Gruß
Christian Boltz
[1] in /etc/apparmor.d/ speichern und mit "rcapparmor reload" laden
#include
participants (10)
-
Bernd -
Bernhard Junk -
Christian Boltz -
Dieter Kluenter -
Dieter Klünter
-
Helga Fischer -
juergen.l -
Rainer Sokoll -
Richard Hafenscher -
Roman Fietze