Firewall-Status-Check-Referenz

Konfigurationsoptionen für den Firewall-Status-Check

Firewall-Status-Check-Referenz

Der Firewall-Status-Check prüft, ob die eingebaute Firewall des Betriebssystems aktiviert ist, und löst einen Alarm aus, wenn sie deaktiviert ist.

Konfigurationsfelder

Feld	Typ	Erforderlich	Standard	Beschreibung
Warnung bei deaktiviert	Boolean	Nein	Ja	Warnung auslösen, wenn die Firewall deaktiviert ist
Kritisch bei deaktiviert	Boolean	Nein	Nein	Kritisches Ergebnis auslösen, wenn die Firewall deaktiviert ist (überschreibt Warnung)

Der Check läuft in einem festen 60-Minuten-Intervall.

Ergebniszustände

Bedingung	Schweregrad
Alle Firewall-Profile sind aktiviert, und unter Windows läuft der Firewall-Dienst	OK
Ein Profil ist deaktiviert, Warnung bei deaktiviert ist eingeschaltet	Warnung
Ein Profil ist deaktiviert, Kritisch bei deaktiviert ist eingeschaltet	Kritisch
Ein Profil ist deaktiviert, beide Optionen sind ausgeschaltet	OK
Windows: Der Windows-Firewall-Dienst (`mpssvc`) ist gestoppt	Gleicher Schweregrad wie bei einem deaktivierten Profil
Windows: Der Firewall-Status lässt sich nicht aus der Registrierung lesen, oder die Abfrage überschreitet das Zeitlimit	Fehlgeschlagen
Windows: Die Registrierungsabfrage liefert keine Profile zurück	Fehlgeschlagen
Linux oder macOS: Es wurde keine Firewall gefunden, oder ihr Status lässt sich nicht lesen	Warnung
Beim Check tritt ein unerwarteter Fehler auf	Fehlgeschlagen

Das Gesamtergebnis ist der schlechteste Schweregrad über alle Profile und — unter Windows — den Firewall-Dienst. Ein Fehlschlag nennt seinen Grund in der Detailansicht des Checks: eine nicht lesbare Registrierung, ein Zeitlimit, eine leere Abfrage oder ein unerwarteter Fehler.

Erfasste Metriken

Firewall aktiviert / deaktiviert
Pro-Profil-Status unter Windows (Domain, Private, Public — die Profilnamen werden unübersetzt angezeigt)
Ob der Windows-Firewall-Dienst (mpssvc) läuft
Ein benannter Profileintrag unter Linux (ufw, firewalld oder iptables) und unter macOS (macOS-Firewall, plus macOS-Firewall (Tarnmodus) bei aktiviertem Tarnmodus)
Schweregrad des Ergebnisses pro Profil

Plattformunterstützung

Plattform	Unterstützt	Firewall-Technologie
Windows	Ja	Windows-Firewall (alle Profile)
Linux	Ja	ufw, firewalld oder iptables (in dieser Reihenfolge geprüft)
macOS	Ja	Application Layer Firewall (ALF)

Hinweise

Unter Windows prüft der Check alle drei Firewall-Profile (Domain, Private, Public) und liest deren Status aus der Registrierung statt vom Firewall-Dienst. So liefert er auch dann eine Antwort, wenn der Firewall-Dienst oder WMI auf dem Gerät nicht sauber läuft. Pro Profil hat eine Gruppenrichtlinie Vorrang vor einer MDM-Richtlinie (etwa Intune), diese wiederum vor der lokalen Einstellung. Ein Profil ganz ohne Wert gilt als aktiviert — das ist die Windows-Voreinstellung.
Unter Windows liest der Check außerdem den Status des Windows-Firewall-Dienstes (mpssvc). Ein gestoppter Dienst bedeutet, dass die Regeln nicht durchgesetzt werden, selbst wenn alle Profile als aktiviert gemeldet werden — er hebt das Ergebnis daher genauso an wie ein deaktiviertes Profil. Einen Dienststatus, den der Check nicht lesen kann, wertet er als laufend; er hebt dann nichts an.
Unter Linux prüft der Check ufw, firewalld und iptables in dieser Reihenfolge und meldet das erste vorhandene zurück. Ein einfaches iptables-Setup, das sämtlichen Datenverkehr zulässt, wird als deaktiviert gemeldet; es gilt nur dann als aktiviert, wenn es Datenverkehr aktiv verwirft oder ablehnt.
Unter macOS liest der Check den Status der Application Layer Firewall und meldet, ob sie aktiviert ist (einschließlich Tarnmodus).
Drittanbieter-Firewalls, die die Betriebssystem-Firewall abschalten, werden als deaktivierte Firewall gemeldet. Schalte auf diesen Geräten Kritisch bei deaktiviert aus, damit das Ergebnis auf Warnstufe bleibt, schalte zusätzlich Warnung bei deaktiviert aus, damit das Ergebnis auf OK bleibt, oder nutze Auf diesem Gerät deaktivieren auf dem Tab Checks des Geräts.

Siehe auch: Firewall-Status-Check konfigurieren