Was soll man dazu sagen...

Wer die Seiten samt Erklärungen auf ntsvcfg Sinnentnehmend gelesen hat, kann nur zu einem Schluß kommen - nicht benötigte Dienste abstellen.

Desweiteren ist nicht anzunehmen, daß jemand eine PFW Sinnvoll konfigurieren kann, aber nicht in der Lage ist, einen Dienst an oder abzuschalten.

Zitat:

Nach Meinung des c't-Redakteurs sei ja gerade nicht feststellbar, welche Dienste im konkreten Fall unnötig seien und welche nicht.

Und deshalb soll man jeden Sch*** aktiviert lassen bloß weil ein "Experte" meint es sei ja nicht feststellbar was laufen muß?

Und wie bitteschön soll man dann nach meinung der"Experten" eine Firewall sicher konfigurieren, oder weiss die schon per default was benötigt wird und was nicht

Wieviele Ports gibt es, wieviele werden wirklich benötigt, wieviele werden auch ohne das ausnützens einer Sicherheitslücke zum Missbrauch eines Rechners genutzt.

Wieviele Dienste werden einfach mal so aktiviert wenn man seinen Rechner startet .............

Zitat:

Ist das nicht primär eine Frage des Ressourcen-Handlings und erst sekundär eine Sicherheitsfrage, siehe oben?

Leider wohl nicht wenn wie von "Expetern" behauptet alles notwendig ist und umbedingt gestartet werden muß, dann darf ich doch noch nicht mal aus Sicherheitsgründen was abschalten(Ressourcen scheinen da keinen zu Interessieren)


PS: Eventuelle Rechtschreibfehler sind aufs 4 te. Halbe zurück zuführen

Dann gebe ich auch mal meinen Senf dazu:

Erstens ergibt es einfach keinen Sinn, einen Dienst im Internet anzubieten, wenn er nicht vom Internet aus genutzt werden soll. In diesem Falle kann man einen Paketfilter davornageln oder den Dienst gleich beenden bzw. an ein lokales Interface binden. Das Abschalten halte ich deswegen für günstiger, weil zusätzliche Software (Paketfilter) ein erhöhtes Risiko bedeutet, daß Fehler in das System eingeschleppt werden.

Zweitens ist es unnötige Panikmache, einfach mal zu behaupten, diverse Programme würden diese Dienste aber dringend benötigen. Der Rechner meiner Frau ist fachmännisch abgedichtet und es läuft alles.
Sollte mal etwas nicht laufen: Gerade bei Exotensoftware ist es Aufgabe eines Fachmannes, diese zu installieren und zu administrieren. Dann erledigt sich das Problem von selbst.

Drittens an den AD (Advocatus Diaboli):

Zitat:

Ist das nicht primär eine Frage des Ressourcen-Handlings und erst sekundär eine Sicherheitsfrage, siehe oben?

Das ist, wie so häufig, eine Frage des Standpunktes Wer meint, daß Patches immer vor den Exploits da sind und diese Patches auch stets (!) einspielt, der hat von offenen Diensten nichts zu befürchten. Mit der Einschränkung, daß seine Prämissen auch stets Gültigkeit haben müssen.

@deo: Es geht nicht darum, "fast alle Dienste" zu kappen, sondern nur die, die eine unerwünschte Kommunikation mit dem Internet ermöglichen. Selbst bei der Einstellung "all/hardening" laufen hier beide XP-Büchsen einwandfrei. Nichts von "nicht rund laufen". Dabei sind keine Ports zum Ineternet hin geöffnet. Da ein Netzwerk-Angriff nur über einen offenen Port (und damit eine dahinter lauschende Software, ob das ein Dienst oder ein sonstiges Programm ist, ist egal) oder über den TCP/IP-Stack selbst mögich ist, war's das dann. Denn Fehler im TCP/IP-Stack sind mittlerweile ausgesprochen selten bis nicht vorhanden, deucht mich...

MfG
Vimes

Zitat:

Manuell die Dienste konfigurieren ist mir sympathischer.

Eben, mir auch. Und wer damit überfordert ist, hat ziemlichen Aufholbedarf.

@Bishop: Script und insbesondere dingens.org wurden für Laien entwickelt. Denen alles über Dienste beizubringen... das übersteigt meine Geduld.

@Moby: die automatischen Updates sollen - soweit ich die Diskussion im Blick habe - in zukünftigen Versionen des Scriptes anbleiben, da Regulars von de.comp.security.misc diesen Wunsch geäußert haben. [1]

MfG
Vimes

[1] sie halten das für Endanwender-Freundlicher.

@Moby: afaik (ohne das üperprüft [1] zu haben) öffnet der XP-Paketfilter seinerseits nach außen Ports. Zumindest einen. Das ist nicht sehr schön.
Zum zweiten ist er, wenn alle Ports abgedichtet sind, technisch nicht mehr notwendig.
Zum dritten gebe ich Dir im Prinzip recht, daß hier eine Wahlmöglichkeit bestehen sollte.
Zum vierten aber halte ich mich mit Kritik sehr zurück, weil die Jungs dafür, im Gegensatz zu Herstellern gelber Schachteln, keinen Cent Geld nehmen, aber per E-Mail sehr freundlich und kompetent - von schnell ganz zu schweigen - Support leisten. Davor ziehe ich meinen Hut.

MfG
Vimes

[1] "Leben des Brian"

Zitat:

Original von MobyDuck Zitat: öffnet der XP-Paketfilter seinerseits nach außen Ports. Habe nur das hier anzubieten (bin extra mal zu Besuch bei Windows): TCP 127.0.0.1:1025 Remote: 0.0.0.0.0 Abhören PID:1640

Krass. Dann haben SIE das gefixt. Nicht schlecht. Ich nehme alles zurück und behaupte das Gegenteil.

MfG
Vimes

@Bishop: Das würde ich mir auch wünschen. Aber viele erreicht man mit Erklärungen nicht. Die lesen nicht einmal die manpages zu Software, die sie beruflich einsetzen müssen. Da ist es doch etwas, wenn man eine dingens hat, die ihnen die "Arbeit" abnimmt.
Die Lernunwilligen kann man eben nicht zum Lernen zwingen... [1]

MfG
Vimes

[1] Außer durch Abklemmen und so lange abgeklemmt lassen, bis sie ausreichende Fähigkeiten und Kenntnisse nachweisen. Aber das geht nicht.