Hallo zusammen
Ist e smit suse moeglich den kompletten netzwerktraffic zu scannen Mein ziel ist das, bei webanfragen, eben NUR webanfragen rausgehen Also, z.b. adobe (telefoniert nach hause), anfragen soll geblockt werden Wenn es ueber verschiedene ports lauft, kann mit portblocking gegengesteuert werden Aber was ist wenn dynamisch der port gesucht wird (in dem fall port 80) und verschiedene programme nach hause telefonieren. Wie kann ich das verhindern Danke fuer input juergen
Am 05.10.2016 um 09:00 schrieb juergen.l:
Hallo zusammen
Ist e smit suse moeglich den kompletten netzwerktraffic zu scannen Mein ziel ist das, bei webanfragen, eben NUR webanfragen rausgehen Also, z.b. adobe (telefoniert nach hause), anfragen soll geblockt werden Wenn es ueber verschiedene ports lauft, kann mit portblocking gegengesteuert werden Aber was ist wenn dynamisch der port gesucht wird (in dem fall port 80) und verschiedene programme nach hause telefonieren. Wie kann ich das verhindern Danke fuer input juergen
Hallo Jürgen,
hast du das mal mit wireshark versucht?
Gruss Bernd
Hallo Bernd Danke fuer die antwort Wireshark ist fuer netzwerk monitoring.
Es ist mehr gedacht als permanente loesung. Nicht nur um "mal" ein problem zu analysieren.
Gruesse juergen
-----Original Message----- From: Bernhard Junk [mailto:linux@horrem.org] Sent: 05 October 2016 13:08 To: opensuse-de@opensuse.org Subject: Re: Scannen vom Netwerktrafic
Am 05.10.2016 um 09:00 schrieb juergen.l:
Hallo zusammen
Ist e smit suse moeglich den kompletten netzwerktraffic zu scannen Mein ziel ist das, bei webanfragen, eben NUR webanfragen rausgehen Also, z.b. adobe (telefoniert nach hause), anfragen soll geblockt werden Wenn es ueber verschiedene ports lauft, kann mit portblocking gegengesteuert werden Aber was ist wenn dynamisch der port gesucht wird (in dem fall port 80) und verschiedene programme nach hause telefonieren. Wie kann ich das verhindern Danke fuer input juergen
Hallo Jürgen,
hast du das mal mit wireshark versucht?
Gruss Bernd
-- Um die Liste abzubestellen, schicken Sie eine Mail an: opensuse-de+unsubscribe@opensuse.org Um den Listen Administrator zu erreichen, schicken Sie eine Mail an: opensuse-de+owner@opensuse.org
Hallo Juergen,
On Wed, 05.10.2016 13:26:58 juergen. l wrote:
Es ist mehr gedacht als permanente loesung. Nicht nur um "mal" ein problem zu analysieren.
Mit tcpdump kann man dieselben Daten aufzeichnen wie mit wireshark auch, nur, dass tcpdump eben ein Konsolenprogramm ist. Die Daten die mit "tcpdump -w <file>" erzeugt werden können nachträglich wieder per wireshark analysiert werden.
Roman
Hallo roman Danke fuer deine antwort Aber nochmals - ich brauch es nicht zum analysieren sondern um ausgehenden traffik zu unterbinden welcher nicht raus soll (nur als beispiel programme welche nach hause telefonieren).
Der tipp von helga war schon mal nicht schlecht - nur hier gibt es scheinbar nur hardware loesungen (welche warscheinlich sehr teuer sein werden)
-----Original Message----- From: Roman Fietze [mailto:roman.fietze@telemotive.de] Sent: 05 October 2016 13:50 To: opensuse-de@opensuse.org Subject: Re: Scannen vom Netwerktrafic
Hallo Juergen,
On Wed, 05.10.2016 13:26:58 juergen. l wrote:
Es ist mehr gedacht als permanente loesung. Nicht nur um "mal" ein problem zu analysieren.
Mit tcpdump kann man dieselben Daten aufzeichnen wie mit wireshark auch, nur, dass tcpdump eben ein Konsolenprogramm ist. Die Daten die mit "tcpdump -w <file>" erzeugt werden können nachträglich wieder per wireshark analysiert werden.
Roman
Am Mittwoch 05 Oktober 2016 schrieb juergen.l:
[...]
Der tipp von helga war schon mal nicht schlecht - nur hier gibt es scheinbar nur hardware loesungen (welche warscheinlich sehr teuer sein werden)
Das kann der Kernel. Vielleicht kann es auch Dein Router. Kommt ein bißchen drauf an, wie der ausgestattet ist (Ist ja normalerweise auch ein Linux, auch wenn Du nichts davon siehst).
Du kannst ja mal Dein Glück mit YaST probieren. Der kann das vorhandene Firewallskript ergänzen.
Helga
Am Mittwoch 05 Oktober 2016 schrieb juergen.l:
Hallo Bernd Danke fuer die antwort Wireshark ist fuer netzwerk monitoring.
Es ist mehr gedacht als permanente loesung. Nicht nur um "mal" ein problem zu analysieren.
Oh, ich benutze es immer, wenn's mal klemmt oder ich einer Kommunikation lauschen will.
[...]
Ist e smit suse moeglich den kompletten netzwerktraffic zu scannen Mein ziel ist das, bei webanfragen, eben NUR webanfragen rausgehen Also, z.b. adobe (telefoniert nach hause), anfragen soll geblockt werden
Du suchst eine Application Firewall.
Wenn es ueber verschiedene ports lauft, kann mit portblocking gegengesteuert werden Aber was ist wenn dynamisch der port gesucht wird (in dem fall port 80) und verschiedene programme nach hause telefonieren. Wie kann ich das verhindern
Alles per Firewallregel blocken und nur die erwünschten Rauswähler zulassen. Musst halt ausprobieren, was bei Dir so geht.
Ansonsten kann vielleicht hier in der Liste jemand sagen, ob's da was Fertiges gibt.
Helga
"juergen.l" tablette@gmx.net writes:
Hallo zusammen
Ist e smit suse moeglich den kompletten netzwerktraffic zu scannen Mein ziel ist das, bei webanfragen, eben NUR webanfragen rausgehen Also, z.b. adobe (telefoniert nach hause), anfragen soll geblockt werden Wenn es ueber verschiedene ports lauft, kann mit portblocking gegengesteuert werden Aber was ist wenn dynamisch der port gesucht wird (in dem fall port 80) und verschiedene programme nach hause telefonieren. Wie kann ich das verhindern Danke fuer input juergen
Du verlangst hier zwei Funktionen, Scannen und Blocking, das ist mit simplen Bordmitteln nicht zu lösen. Falls du primär Blocking möchtest, schreibe iptables Filter, bei zusätzlichem Scannen musst du die Datenpakete umlenken und durch einen eigenen Scanner jagen, vermutlich wirst du da aber Probleme mit dem Datenschutz und dem IT-Sicherheitsgesetz bekommen.
-Dieter
Hallo Rainer,
Richtig erkannt - aber auch noch nur das was gewuenscht ist Als beispiel
Beim aufruf von www.xyv.com wird heute cookies mitgegeben, der ganze google analytic dreck, und noch weitere 3th party sites welche NICHT angefodert waren. Das issue habe ich fast geloesst. Der client ist per vpn verbunden. Jetzt gibt es auch noch tausende services welche raus wollen und sich dynamisch einen freien port suchen. Wenn 80 "grundsaetzlich" offen ist geht der traffik raus - da nicht requested. Hier muss dann noch verboten werden (alles) bis auf die, z.b. oben erwaentes beispiel, www.xzy.com. Und nichts anderes. Das ist ja heute ein graus wieviel ungewollter traffik rausgeht - das will ich nicht mehr. Und helga hat schon mal in die richtige richtung gepointed
Hier gibts seit kurzem 2 neue firewall loesungen
Next-Generation Firewalls (NGFW) und Unified Threat Management (UTM)
Ist sehr neu und es gibt noch keine linux umsetzung (ja, auf den kisten ist auch linux drauf) Gruesse Juergen
-----Original Message----- From: Rainer Sokoll [mailto:rainer@sokoll.com] Sent: 05 October 2016 21:13 To: Dieter Kluenter Cc: OpenSuSE Mailing-list Subject: Re: Scannen vom Netwerktrafic
Du verlangst hier zwei Funktionen, Scannen und Blocking, das ist mit simplen Bordmitteln nicht zu lösen. Falls du primär Blocking möchtest, schreibe iptables Filter,
Der OP möchte applikationsabhängig blocken. Das kann netfilter und damit iptables nicht.
Rainer
Hier gibts seit kurzem 2 neue firewall loesungen
Next-Generation Firewalls (NGFW) und Unified Threat Management (UTM)
Ist sehr neu und es gibt noch keine linux umsetzung (ja, auf den kisten ist auch linux drauf)
Ja, kenne ich und habe ich im Einsatz, in der Implementierung der Firma Checkpoint. Läuft auf Linux und kostet einige Tausend Euros im Jahr Support, Anschaffung nicht eingerechnet. Und funktioniert nicht wirklich. Vergiß es. Du kannst Dich im Browser noch relativ gut schützen (ghostery, ublock origin, noscript…) Gegen sowas wie Skype hast Du verloren (http://www.secdev.org/conf/skype_BHEU06.handout.pdf - 10 Jahre alt, aber am Prinzip hat sich sicherlich nichts geändert)
Du könntest whitelisten, ja. In Zeiten von Amazon Web Services funktioniert das aber auch nicht mehr.
Raiiner
Hallo,
----------------------- Am Mittwoch, 5. Oktober 2016 um 21:48 schrieb juergen.l:
Hallo Rainer,
Richtig erkannt - aber auch noch nur das was gewuenscht ist Als beispiel
Beim aufruf von www.xyv.com wird heute cookies mitgegeben, der ganze google analytic dreck, und noch weitere 3th party sites welche NICHT angefodert waren. Das issue habe ich fast geloesst. Der client ist per vpn verbunden. Jetzt gibt es auch noch tausende services welche raus wollen und sich dynamisch einen freien port suchen. Wenn 80 "grundsaetzlich" offen ist geht der traffik raus - da nicht requested. Hier muss dann noch verboten werden (alles) bis auf die, z.b. oben erwaentes beispiel, www.xzy.com. Und nichts anderes. Das ist ja heute ein graus wieviel ungewollter traffik rausgeht - das will ich nicht mehr. Und helga hat schon mal in die richtige richtung gepointed
Hier gibts seit kurzem 2 neue firewall loesungen
Next-Generation Firewalls (NGFW) und Unified Threat Management (UTM)
Ist sehr neu und es gibt noch keine linux umsetzung (ja, auf den kisten ist auch linux drauf) Gruesse Juergen
wie schon erwähnt wurde, was du suchst ist eine Firewall mit Anwendungsfilter.
Vorschlag: Du könntest dir eine Firewall in einer virtuellen Maschine installieren und sämtlichen Traffic von deinem Rechner darüber routen.
Mir fällt hier als erstes pfSense ein. Ist Open Source und es gibt eine Menge Pakete und so auch mehrere Lösungen eines Application-Filters wie SquidGuard. Das Ding ist sehr umfangreich und flexibel zu konfigurieren. https://pfsense.org
Protokollieren kann man auch alles lassen, lokal oder auf einen SysLog-Server.
Ein feines Forum gibt es auch dazu: https://forum.pfsense.org
Kannst dich ja damit mal spielen, das kostet nichts.
Gruß
Richard
Am Wed, 5 Oct 2016 21:48:06 +0200 schrieb "juergen.l" tablette@gmx.net:
(...)
Beim aufruf von www.xyv.com wird heute cookies mitgegeben, der ganze google analytic dreck, und noch weitere 3th party sites welche NICHT angefodert waren. Das issue habe ich fast geloesst. Der client ist per vpn verbunden. Jetzt gibt es auch noch tausende services welche raus wollen und sich dynamisch einen freien port suchen. Wenn 80 "grundsaetzlich" offen ist geht der traffik raus - da nicht requested. Hier muss dann noch verboten werden (alles) bis auf die, z.b. oben erwaentes beispiel, www.xzy.com. Und nichts anderes. Das ist ja heute ein graus wieviel ungewollter traffik rausgeht - das will ich nicht mehr.
(...)
Na ja, beim Browser (Firefox) hilft schon NoScript. Damit wird erstmal alles an ECMA-Script (aka. JavaScript) geblockt. Anschließend kannst Du den Webseiten denen Du vertraust, ECMA-Script wieder erlauben damit Du keine Komforteinbußen hast. Dann noch im Browser die Cockies nur von der besuchten Seite erlauben. Der nächste Schritt wäre dann ein AdBlocker. Der verhindert auch Requests ohne ECMA-Script -zum Beispiel um Bilder von derselben oder externen Webseiten zu laden. Das ist in den ersten Tagen ein wenig Konfigurationsaufwand, bis die gewünschten Seiten funktionieren wie erwartet, aber Du wirst dich wundern wie schnell sich die Konfigurationskurve kleinen Werten nähert ;-)
Wenn es über den Browser hinaus geht könnte es helfen den direkten Internetzugang für den PC zu sperren und einen transparenten Proxy einzurichten. Darin kannst Du dann Black- oder White-Listen.
Aber das wird schnell mühsam ...
Good luck
Bernd
Hallo,
----------------------- Am Mittwoch, 5. Oktober 2016 um 20:39 schrieb Dieter Kluenter:
Du verlangst hier zwei Funktionen, Scannen und Blocking, das ist mit simplen Bordmitteln nicht zu lösen. Falls du primär Blocking möchtest, schreibe iptables Filter, bei zusätzlichem Scannen musst du die Datenpakete umlenken und durch einen eigenen Scanner jagen, vermutlich wirst du da aber Probleme mit dem Datenschutz und dem IT-Sicherheitsgesetz bekommen.
den eigenen Traffic zu scannen und zu loggen darf doch keine rechtlichen Problem machen.
Gruß
Richard
Am Wed, 05 Oct 2016 23:14:20 +0200 schrieb Richard Hafenscher virago@gmx.at:
Hallo,
Am Mittwoch, 5. Oktober 2016 um 20:39 schrieb Dieter Kluenter:
Du verlangst hier zwei Funktionen, Scannen und Blocking, das ist mit simplen Bordmitteln nicht zu lösen. Falls du primär Blocking möchtest, schreibe iptables Filter, bei zusätzlichem Scannen musst du die Datenpakete umlenken und durch einen eigenen Scanner jagen, vermutlich wirst du da aber Probleme mit dem Datenschutz und dem IT-Sicherheitsgesetz bekommen.
den eigenen Traffic zu scannen und zu loggen darf doch keine rechtlichen Problem machen.
Nicht unbedingt, frag mal deinen Betriebsrat :-)
-Dieter
Am Mittwoch, 5. Oktober 2016 um 20:39 schrieb Dieter Kluenter:
Du verlangst hier zwei Funktionen, Scannen und Blocking, das ist mit simplen Bordmitteln nicht zu lösen. Falls du primär Blocking möchtest, schreibe iptables Filter, bei zusätzlichem Scannen musst du die Datenpakete umlenken und durch einen eigenen Scanner jagen, vermutlich wirst du da aber Probleme mit dem Datenschutz und dem IT-Sicherheitsgesetz bekommen.
den eigenen Traffic zu scannen und zu loggen darf doch keine rechtlichen Problem machen.
Nicht unbedingt, frag mal deinen Betriebsrat :-)
-Dieter
Dieter Bitte keine grundsatz discussion was erlaubt ist und was nicht - das ist nicht das thema und sollte jeder fuer sich selbst entscheiden FYI: es ist rein fuer mich gedacht. Ich will einfach keinen traffik nach draussen - von keinem OS, Programm, Update, Facebook links, google analytics oder sonst irgendwas. Auf meinem handy ist eine firewall und die zeigt mir was alles geblockt wird und das ist erschreickend was alles "raus" will. Das gleiche gilt fuer Notebooks, PCs, ... Danke fuers erste juergen
Hallo Jürgen, hallo zusammen,
Am Mittwoch, 5. Oktober 2016, 09:00:08 CEST schrieb juergen.l:
Ist e smit suse moeglich den kompletten netzwerktraffic zu scannen Mein ziel ist das, bei webanfragen, eben NUR webanfragen rausgehen Also, z.b. adobe (telefoniert nach hause), anfragen soll geblockt
Wenn Du einem Programm den Netzwerkzugriff komplett verbieten willst, kann Dir AppArmor weiterhelfen.
Da Du eh schon adobe nennst, rate ich mal und kopiere mein AppArmor- Profil für acroread in diese Mail (siehe [1]). Das ist allerdings schon etwas älter und benötigt evtl. ein paar Ergänzungen. (Ich habe auch gerade ein paar offensichtlich veraltete Regeln (für Dateien in /opt) entfernt - vermutlich brauchst Du dafür Ersatz in irgendeiner Form.)
Der interessanteste Punkt für Dich ist, keine "network"-Regeln ins Profil zu packen. Auch nicht indirekt - z. B. erlaubt abstractions/nameservice Netzwerkzugriff. Ohne "network"-Regeln verbietet AppArmor den Netzwerkzugriff [2].
Der Haken an der Sache ist, dass Du nicht selektiv pro Port oder Ziel-IP sperren kannst - das steht zwar auf der Wunschliste, ist aber noch nicht implementiert. Derzeit geht nur Netzwerk ja oder nein (naja, IPv4 und IPv6 kannst Du getrennt erlauben, aber das hilft Dir vermutlich nicht viel).
Wenn es Dir nur ums Verbieten von Netzwerk-Zugriffen geht, kannst Du Dateizugriffe auch mit einer pauschalen "file,"-Regel erlauben - wirklich empfehlenswert ist das allerdings nicht. (Du traust dem Programm nicht genug, um ihm Netzwerkzugriffe zu erlauben - aber all Deine Dateien soll es lesen dürfen? ;-)
Für den AppArmor-Einstieg empfehle ich: - meinen AppArmor Crash Course auf http://blog.cboltz.de (gibt es auch als Video von der openSUSE Conference 2016) - das AppArmor-Kapitel im Security Guide auf http://doc.opensuse.org
Gruß
Christian Boltz
[1] in /etc/apparmor.d/ speichern und mit "rcapparmor reload" laden
#include <tunables/global>
/usr/X11R6/bin/acroread { # <--- Pfad ggf. anpassen #include <abstractions/base> #include <abstractions/bash> #include <abstractions/consoles> #include <abstractions/fonts> #include <abstractions/kde> #include <abstractions/gnome> #include <abstractions/X>
/bin/basename mrix, /bin/bash mix, /bin/cat mrix, /bin/grep mrix, /bin/uname mrix,
@{HOME}/.adobe/** rw, @{HOME}/.fonts.cache-* r, @{HOME}/.gconfd/saved_state lrw, @{HOME}/.gconfd/saved_state.orig lw, @{HOME}/.gconfd/saved_state.tmp lrw, @{HOME}/.gconf r, @{HOME}/.gconf/.testing.writeability lw, @{HOME}/**.pdf rw,
/usr/X11R6/bin/acroread r, /usr/X11R6/lib/Acrobat7/** mrix, /usr/bin/cut mrix, /usr/bin/dirname mrix, /usr/bin/lp rUx, /usr/bin/which mrix, }
[2] Zumindest mit openSUSE- und Ubuntu-Kerneln. Der Upstream-Kernel unterstützt AFAIK noch keine network-Regeln.
-
Bernd -
Bernhard Junk -
Christian Boltz -
Dieter Kluenter -
Dieter Klünter
-
Helga Fischer -
juergen.l -
Rainer Sokoll -
Richard Hafenscher -
Roman Fietze