Hardware-Firewalls im Test: Wer bietet den besten Schutz?

Stateful Packet Inspection (SPI) ist eine einfache Form der Datenüberwachung, bei der die Daten paketweise darauf untersucht werden, ob die Firewall die Daten für legitim hält. Alle verdächtigen oder unangeforderten Pakete werden markiert, dokumentiert oder ganz einfach abgeblockt. Pakete dürfen die Firewall nur passieren, wenn sie mit einer gültigen Session verknüpft sind, die innerhalb des Netzwerks initiiert wurde.

Falls ein Trojaner es wegen eines nachlässigen Benutzers geschafft haben sollte, alle Sicherheitsvorkehrungen zu umgehen, wird eine SPI-Firewall die Daten durchlassen, da sie scheinbar von einer legitimen Anfrage aus dem LAN herrühren. SPI-Firewalls kommen daher vor allem in Kombination mit anderen Methoden der Datenuntersuchung innerhalb der Firewall oder mit einer weiteren Firewall im LAN zum Einsatz. SPI bietet ein gewisses Maß an Abdeckung, ohne die Performance im Netzwerk sonderlich zu beeinträchtigen.

Falls ein großes Unternehmen sein Unternehmensnetzwerk schützen wollte, und daher jedes einzelne ein- und ausgehende Datenpaket abgefangen, dokumentiert, auf Merkwürdigkeiten hin untersucht und dann verfolgt werden würde, dann wäre die Beeinträchtigung der Netzwerkbandbreite nicht mehr akzeptabel und die Firewall erwiese sich als Engpass. SPI ist daher zwar keine Ideallösung, kann aber für Erleichterung sorgen, während zusätzliche Techniken implementiert werden können, um die Schwachstellen auszugleichen. Ein Vorteil von SPI ist, dass es als zusätzliche Technologie eingesetzt werden kann, um eine DMZ (demilitarisierte Zone) oder ein Netzwerk zu schützen, das den öffentlichen Zugang auf einige Rechner oder Server erfordert. SPI kann bestimmten einzelnen IP-Adressen oder Segmenten des LAN offene Ports erlauben, so dass der Administrator diese im Prinzip aus einer Liste auswählen kann: zu öffnende oder zu schließende Ports für die IP-Adresse eines jeden Rechners im LAN.

Die Mehrzahl dieser Geräte ist mehr als nur eine Firewall, aber bei diesem Test ging es erst einmal um ihre Firewall-Funktionen. Was die Geräte noch an Zusatzfunktionen zu bieten haben, kann man der Tabelle mit der technischen Ausstattung entnehmen.