Tunnel-Trauma

Hubert hatte sich schon zu seiner zweiten Kontrollstation gedreht und loggte sich auf SimplyRed, der WatchGuard-Firebox, ein. "Schauen wir mal", sagte er. "Ich frage mich vor allem, ob du, Sabine oder Robert irgendeinen Grund hattet, die WatchGuard Firebox-Konfiguration zu ändern. Lass' uns überprüfen, ob die Box wirklich so eingestellt ist, .pifs zu blockieren." Er machte einen Doppelklick auf das Control-Center-Icon und öffnete den Policy Manager. Danach klickte er auf das SMTP Proxy-Icon und einige Sekunden später hatte er die "Incoming SMTP Proxy Content Types" vor sich. Er ging weiter zu einer Box mit dem Namen "Attachments mit folgenden File-Namen blockieren". Er schaute sich die Liste an, die die üblichen Verdächtigen enthielt: *.scr, *.bat, *.exe, *.vb?, und viele mehr. Und dazwischen befand sich auch *.pif.

"Es ist dabei", sagte Andi. "Meinst Du, dass der Firebox SMTP Proxy nicht richtig funktioniert?"

Hubert Gehirnzellen arbeiteten auf Hochtouren. "Mmmmhh", meinte er zögernd. "Also wenn Gotthilf den Virus irgendwo unterwegs aufgeschnappt, seinen Laptop mit ins Büro gebracht und angeschlossen hat, dann ja. Er hat den Virus einfach an der Firewall vorbeigeschmuggelt und sich dann ins geschützte Netzwerk eingeloggt. Aber er war seit Wochen nicht in der Firma – bis heute." Hubert machte seine typischen "ich denke nach"-Gesten und drückte abwechselnd die "+"-Taste und die Löschtaste, was dazu führte, dass der Cursor wie wild wackelte. "Hey, von welcher IP-Adresse stammt denn eigentlich Gotthilfs E-Mail?" Er drehte sich wieder zu FreddieMercury um, klickte auf die befallene E-Mail-Nachricht und untersuchte die Überschriften. "Aha!"

Andi sah über seine Schulter und las: "192 Punkt 168 Punkt 0 Punkt 241. An was erinnert dich das?"

"Weißt Du noch? Letzten Monat haben wir damit angefangen, all unsere IP-Adressen, die mit 240 oder höher enden, für unsere mobilen Mitarbeiter zu reservieren." Hubert sah, wie Andi vollkommen verwirrt seine Stirn in Falten legte. "Jetzt weiß ich, warum der Virus an der Firewall vorbei kommen konnte", erklärte er. "Der SMTP Proxy hat ihn niemals zu Gesicht bekommen."

Anzeige

Andi wollte gerade nach dem Grund fragen, aber er ließ es bleiben, da es ihm bereits dämmerte. "Ah! Seine Mobile User-Verbindung ist VPN...."

"Jawohl", sagte Hubert. "Und die WatchGuard Firebox behandelt VPN-Verbindungen so, als ob sie vom Trusted Netzwerk kommen würden. Der VPN-Verkehr kommt über den 'Any Service', deshalb musste er nie an irgendeinem Proxy vorbei. Aber dies bedeutet dann auch, dass ein VPN-Tunnel nur so vertrauenswürdig wie das Gerät am anderen Ende ist."