Nutzung von Windows-Firewall - einfach unbeliebt oder tatsächlich schlecht?

[wznutzer 36]

Guten Tag zusammen,

 

ich frage mich das schon länger, aber durch die Meldung von Veeam mit dem Score von 9.9, plagt mich jetzt die Neugier. Wie vermutlich alle hier wissen, kann der Mount Service von Veeam zur Remote-Code-Ausführung genutzt werden. Große Umgebungen werden sowieso separate Verwaltungsnetze für alles mögliche haben, während bei kleinen halt fast alles im gleichen Netz ist. Ich bin ein Fan der Windows-Firewall und nutze diese recht intensiv mal lokal oder auch per GPO. Dafür wird man dann schon mal als "der der es halt nicht besser kann" angesehen. Aber es tut halt auch gar nicht weh, z. B. RDP, WinRM oder eben halt auch die Veeam-Dienste per Windows-Firewall nur für die gewünschten Endpunkte freizugeben.

 

Ist das in großen Umgebungen schlicht nicht zu handeln oder tatsächlich technisch schlecht, weil evtl. irgendwie umgehbar?

 

Danke schon mal für die Meinungen...

[vkf 0]

hängt von deiner Konfiguration ab

[cj_berlin 1.412]

Ich weiß nicht, wer diese Position vertritt, abgesehen von Leuten, die Alternativprodukte verkaufen wollen. Die Windows Firewall ist ein probates Mittel.

 

Das einzige, was am Konzept einer Host-Firewall (und nicht an der konkreten Implementierung in Windows) auszusetzen wäre, ist, dass eine potentielle Angreiferin dadurch evtl. Dinge über die Umgebung erfährt, die sie sich sonst erarbeiten müsste. Aber die Alternative ist eine Distributed Firewall auf Switch-Ebene, die virtuelle und physische Netze gleichermaßen beherrscht. Im virtuellen Bereich kenne ich das (ist aber alles andere als trivial), in der Physik wird die Luft sehr schnell sehr dünn.

 

Rein aus Interesse: wer hat denn sowas gesagt?

 

bearbeitet Gestern um 09:26 von cj_berlin

[vkf 0]

vor 2 Stunden schrieb cj_berlin:

Ich weiß nicht, wer diese Position vertritt

Meinste damit " Ich bin ein Fan der Windows-Firewall und nutze diese recht intensiv mal lokal oder auch per GPO." aussm Ausgangspost?

[cj_berlin 1.412]

vor 11 Minuten schrieb vkf:

Meinste damit " Ich bin ein Fan der Windows-Firewall und nutze diese recht intensiv mal lokal oder auch per GPO." aussm Ausgangspost?

Nein, eher Dafür wird man dann schon mal als "der der es halt nicht besser kann" angesehen.  aussm Ausgangspost. Ich wette, der TO hat's richtig verstanden, auch aus dem weiteren Text meiner Antwort  

[vkf 0]

vor 20 Minuten schrieb cj_berlin:

Ein Buch über Active Directory im Jahre 2024? Das geht! >> https://link.springer.com/book/10.1007/979-8-8688-0941-5

da steht "This is a preview of subscription content". Muss man da monatlich zahlen? Ist der Inhalt irgendwann fertig?

[wznutzer 36]

vor 7 Stunden schrieb cj_berlin:

Rein aus Interesse: wer hat denn sowas gesagt?

Das ist mein subjektiver Eindruck, der sich aus dem Lesen von vielen Kommentaren/Posts über die Zeit ergeben hat. Hier eher nicht, aber in anderen Foren.

 

vor 4 Stunden schrieb cj_berlin:

Ich wette, der TO hat's richtig verstanden,

Ja