Relution Signet Customer Hub

Firewall

Mit der Konfiguration Firewall wird die integrierte Firewall von macOS auf verwalteten Macs eingeschaltet und eingestellt. Neben dem Blockieren aller eingehenden Verbindungen und dem Stealth-Modus lässt sich für einzelne Apps festlegen, ob sie eingehende Verbindungen annehmen dürfen. Relution überträgt die Einstellungen als Profil mit dem Payload-Typ com.apple.security.firewall.

Voraussetzungen

  • Die Konfiguration ist einmal pro Richtlinie möglich.
  • Sie steht nur für Geräte mit Geräteregistrierung zur Verfügung, nicht für Geräte mit Benutzer-Einschreibung →.
  • Relution führt die Konfiguration ab macOS 10.12. Die Optionen Integrierte Software erlauben und Geladene signierte Software erlauben wertet macOS laut Apple erst ab Version 12.3 aus.
  • Ein überwachtes Gerät ist nicht erforderlich.

Allgemein

Im Abschnitt Allgemein stehen folgende Optionen zur Verfügung. In Klammern steht jeweils der Schlüssel im Profil.

  • Firewall aktivieren (EnableFirewall, Standardwert: nicht aktiv): schaltet die Firewall ein. Nicht autorisierte Apps, Programme und Dienste können dann keine eingehenden Verbindungen mehr annehmen.
  • Alle eingehenden Verbindungen blockieren (BlockAllIncoming, Standardwert: nicht aktiv): blockiert alle eingehenden Verbindungen mit Ausnahme der Verbindungen, die für grundlegende Internetdienste wie DHCP und IPSec erforderlich sind.
  • Integrierte Software erlauben (AllowSigned, Standardwert: aktiv): in macOS integrierte Software darf automatisch eingehende Verbindungen empfangen.
  • Geladene signierte Software erlauben (AllowSignedApp, Standardwert: aktiv): heruntergeladene Software mit gültiger Signatur darf automatisch eingehende Verbindungen empfangen.
  • Aktivieren Sie den Stealth-Modus und reagieren Sie nicht auf Zugriffsversuche auf diesen Computer aus dem Netzwerk durch Testanwendungen, die ICMP verwenden, wie z. B. Ping (EnableStealthMode, Standardwert: nicht aktiv): Der Mac antwortet nicht auf ICMP-Anfragen wie Ping und gibt sich so im Netzwerk nicht zu erkennen.

Die vier Unteroptionen und die Liste im Abschnitt Apps lassen sich nur bearbeiten, solange Firewall aktivieren aktiv ist. Ihre gespeicherten Werte bleiben beim Ausschalten der Firewall erhalten und werden weiterhin mit übertragen.

Apps

Im Abschnitt Apps wird für einzelne Apps festgelegt, ob sie eingehende Verbindungen annehmen dürfen (Schlüssel Applications). Ohne Einträge enthält das Profil eine leere Liste.

Über Hinzufügen wird ein Eintrag mit folgenden Feldern angelegt:

  • ID des Anwendungspakets (Pflichtfeld): Bundle-ID der App, z. B. org.mozilla.firefox.
  • Eingehende Verbindungen zulassen (Standardwert: nicht aktiv): Ist die Option aktiv, darf die App eingehende Verbindungen annehmen, andernfalls werden sie für diese App blockiert.

Über das Kontextmenü eines Eintrags stehen Bearbeiten und Löschen zur Verfügung. Bearbeitet wird immer genau ein Eintrag, gelöscht werden können mehrere ausgewählte Einträge auf einmal. Änderungen an der Liste werden erst mit dem Speichern der Konfiguration übernommen. Doppelte Bundle-IDs werden nicht geprüft.

Die Bundle-ID einer installierten App lässt sich auf einem Mac beispielsweise mit dem Befehl osascript -e 'id of app "Firefox"' im Terminal ermitteln.

Besonderheiten

  • Benutzeränderungen sperren: Ob Benutzer die Firewall-Einstellungen auf dem Mac selbst ändern dürfen, legt nicht diese Konfiguration fest, sondern die Option Änderungen der Firewalleinstellungen deaktivieren in der Konfiguration Sicherheitseinstellungen.
  • Firewall-Status des Geräts: Meldet der Mac seine Firewall-Einstellungen, zeigen die Gerätedetails in der Karte Sicherheit die Werte Firewall aktiviert, Firewall blockiert alles eingehende, Firewall Stealth Modus, Firewall-Protokollierung aktiviert und Firewall-Protokollierungsoption an.
  • Keine Compliance-Prüfung: Für die macOS-Firewall gibt es keine Compliance-Regel. Die Regelverletzung Firewall Konfiguration betrifft ausschließlich Windows-Geräte.
  • Apple Configurator 2: Enthält eine Richtlinie bereits eine Apple-Configurator-2-Konfiguration mit dem Payload-Typ com.apple.security.firewall, lässt sich die Konfiguration Firewall dort nicht mehr hinzufügen, und umgekehrt (siehe Apple Configurator 2 Konfiguration →).

Verwandte Themen