Firewalls, IDS und warum „Evasion“ zuerst Verteidigung ist
Dieser Guide dreht die übliche Reihenfolge um: erst verstehen, was eine Perimeter-Box sieht, dann im Labor prüfen, wo sie blind ist. Ziel ist ein härteres Netz — nicht ein cooler Bypass für unterwegs.
Tests nur gegen eigene Sensoren und eigene Opfer-VMs. IDS-Evasion gegen fremde Netze ist ein Angriff.
Drei Schichten, die Leute gern vermischen
- Firewall / ACL: erlaubt oder verwirft Verbindungen (Zustand, Port, App-ID).
- IDS: schaut zu und alarmiert (Suricata, Snort, Zeek).
- IPS: sitzt inline und kann droppen. Falsch positiv = du hast Produktivverkehr zerlegt.
Wer „die Firewall umgehen“ sagt, meint oft: der Sensor hat die Signatur nicht erkannt. Das ist ein anderer Satz.
Labor
- VM sensor: Suricata oder Snort im Mirror/Span auf den Labor-Switch.
- VM opfer: ein kleiner Webdienst und ein SSH.
- VM tester: Kali, gleicher Switch.
- Eine Regel, die du kennst (z. B. eine eindeutige User-Agent- oder Payload-Signatur).
Zuerst muss der Alarm zuverlässig feuern. Erst dann darfst du drehen.
Was Sensoren klassisch übersehen
- Fragmentierung und überlappende IPv4-Fragmente (heute seltener, immer noch lehrreich).
- TLS, das der Sensor nicht terminiert: ohne TLS-Inspection ist HTTP-Signatur tot.
- Andere Ports, andere Pfade, andere Codecs (Chunked, Kompression).
- Timing: langsam tropfen statt ein Packet mit der ganzen Signatur.
- IPv6, während die Policy nur v4 kennt.
Keine dieser Ideen ist ein Freibrief. Jede ist ein Testfall für deine eigene Policy.
Mini-Drill (Verteidiger)
- Schreibe eine Suricata-Regel auf einen festen String in einem HTTP-Body.
- Triggere sie mit
curl. Alarm muss kommen. - Schicke denselben String über HTTPS. Alarm muss ausbleiben, wenn kein TLS-Break da ist.
- Dokumentiere: „ohne TLS-Inspection sehen wir Layer 7 nicht.“ Das ist der Satz fürs Management.
# Prinzip — SID und Netz anpassen
alert http any any -> $HOME_NET any (
msg:"LAB unique marker";
flow:to_server,established;
content:"X3-LAB-MARKER";
sid:6100001; rev:1;
)Was Angreifer-Folklore verschweigt
Moderne NGFWs und EDRs sind nicht 2005. Einfaches XOR, einfaches Base64, ein umbenannter nc — das ist Theater. Was in Audits noch zählt:
- Shadow-IT und Split-Tunnel-VPN.
- Erlaubte Cloud-Ziele, in die sich C2 versteckt.
- Fehlende Egress-Filter (alles darf auf 443 nach draußen).
- Alte IDS-Regeln, die niemand mehr pflegt.
Härten heißt hier: Egress eng, TLS-Inspection wo erlaubt, Sensor-Regeln versioniert, False-Positive-Prozess.
Nächster Schritt
Nimm eine echte Regel aus deinem Labor-Sensor, bau drei Varianten des Traffics, und schreib eine Tabelle: erkannt / nicht erkannt / warum. Das ist ein brauchbarer interner Report — und ehrlicher als jeder „bypass the IDS“-Titel.