Das Internet Control Message Protocol (ICMP) dient zur Information.- und Fehlermeldungübertragung bei IP-Verbindung. Es arbeitet ebenfalls in der dritten OSI-Schicht.
ICMP-Pakete werden immer als IP-Datagramm verschickt.

Kommandos:

• ping
             (Echo-Anforderungen = Typ 8 Code 0 und Echo-Antwort = Typ 0)

• traceroute
      (Tracert = Typ 30, Routerantworten = Typ 11 Code 1, Endantwort = Typ 3 Code 3)

Jedes ICMP-Paket enthält drei Felder, "Typ" (Fehlermeldung), "Code" (Informationsmeldung) und "Checksum" (Checksumme über den Header). Zusätzlich enthält das ICMP-Paket zudem den Header und einen Teil der Nutzdaten des den Fehler verursachenden IP-Pakets.

Typ 0	Echo Reply	Auf eine Echo Anfrage anworten Empfängt der Rechner einen Ping, muss er den Inhalt der Echo-Anfrage dann in seiner Echo-Antwort zurückschicken. Damit weiß der ursprüngliche Sender, das dieser Host erreichbar ist. Keine Codes definiert Wenn der eigene PC von außen nicht Sichtbar ist, verhindert das evtl. auch einen Angriff. Selbst ausgesendete Pings sollten aber wieder zurückkomen. Firewall: IN=yes OUT=no
Typ 1	frei	Keine Codes definiert
Typ 2	frei	Keine Codes definiert
Typ 3	Destination Unreachable	Das Ziel ist nicht erreichbar Gateways und Hosts versenden diese Nachricht, wenn das angegebene Netz/Zielrechner oder ein Port nicht erreichbar ist. Code 0 Netz nicht erreichbar Code 1 Host nicht erreichbar Code 2 Protokoll nicht verfügbar Code 3 Port nicht verfügbar Code 4 Paketfragmentierung nötigt, obwohl es akitiviert ist Code 5 Festgelegte Route fehlgeschlagen Code 6 Netz unbekannt Code 7 Host unbekannt Code 8 Quellenhost isoliert Code 9 Netz Kommunikation verboten Code 10 Host Kommunikation verboten Code 11 Netz ist für gewählten Servicetyp nicht erreichbar Code 12 Host ist für gewählten Servicetyp nicht erreichbar Code 13 Kommunication verboten Code 14 vorläufig Verstoßen Code 15 vorläufige Trennung Es gab hier ein paar Denial-of-Service Angriffe. Aber wenn die Anzahl der ICMP Pakete eingeschränkt ist, kann man diesen Typ aktivieren. Ist er geblockt, muss man bei nicht funktionierenden Verbindungen auf das Time-Out warten. Firewall: IN=yes OUT=no
Typ 4	Source Quench	Überlastung Ein überlasteter Host sendet diesen Typ zu den Kommunikationspartnern, damit diese wissen er ist grundsätzlich erreichbar. Die anderen Hosts senden dann später erneut ihre Anfragen. Code 0 Keine Informationsmeldung Angreifer können gezielt diese Pakete zu einen Host senden, um ihn zum Warten zu zwingen. Darum sollte auch hier die Anzahl der ICMP Pakete geregelt sein.. Firewall: IN=yes OUT=yes
Typ 5	Redirect	Umleitung Gateways erzeugen diese Meldung, wenn sie die IP Pakete über einen anderen Weg routen. IP-Pakte mit der Source-Routing-Option erzeugen keine Redirect-Meldungen. Code 0 Pakete für das Zielnetz umleiten Code 1 Pakete für den Zielhost umleiten Code 2 Pakete dieses Typs für das Zielnetz umleiten Code 3 Pakete dieses Typs für das Zielhost umleiten Mit dem Versenden von Redirect-Meldungen kann ein Angreifer den Datenverkehr eines Netzes über einen anderen Host laufen lassen. Dabei kann man dann die IP-Pakete einsehen und durchsuchen (z.B. nach Kenwörtern oder PIN & TANs). Dieser Typ sollte daher ignoriert werden. Firewall: IN=no OUT=no
Typ 6	Alternative Host Adresse	Code 0 Alternative Adresse für den Host Firewall: IN=no OUT=no
Typ 7	frei	Keine Codes definiert
Typ 8	Echo request	Echo Anforderung Hiermit testet man die Verbindungen im Netzwerk, indem man zu einer IP-Adresse eine Eecho-Anfrage sendet. Der Empfänger muss den Inhalt dieses Echo-request Paketes dann in seiner echo-reply-Nachricht zurückschicken. Dadurch wird festgestellt, ob der andere Host erreichbar ist. Das Komando "ping" nutzt genau diesen ICMP-Typ. Code 0 Keine Informationsmeldung Der eigene Host sollte die Möglichkeit haben Echo Requests anzufordern. Firewall: IN=no OUT=yes
Typ 9	Router Advertisement	Router bietet sich an Kann zum Austauschen der Routen verwendet werden Code 0 Router bietet sich an Code 1 Routet nicht den allgemeinen Verkehr wird normalerweise nur zwischen den Routern im Netz benötigt Firewall: IN=no OUT=no
Typ 10	Router Selection	Routerauswahl Kann zum Austauschen der Routen verwendet werden Code 0 Keine Informationsmeldung wird normalerweise nur zwischen den Routern im Netz benötigt Firewall: IN=no OUT=no
Typ 11	Time Exeeded	Zeitüberschreitung Diese Nachricht wird erzeugt, wenn das Time-to-Live für ein Paket abgelaufen ist (jeder Router zählt ihn um die Ziffer eins runter. Code 0 werden von Gateways erzeugt, Code 1 von Zielrechnern. Code 0 Time-to-Live abgelaufen Code 1 Reassemblierungszeit abgelaufen Firewall: IN=yes OUT=no
Typ 12	Parameter Problem	Parameterproblem Diese Nachricht wird gesendet bei einen Problem mit dem IP-Header. Dann kann das Datagramm nicht bearbeitet werden und wird verworfen. Code 0 Pointer zeigt Fehler an Code 1 Benötigte Option fehlt Code 2 Länge falsch Firewall: IN=yes OUT=yes
Typ 13	Timestamp Request	Zeitstempelanfrage Dieser Typ erlaubt die Erkennung von Verspätungen. Host und Gateways können diese Anfrage senden. Code 0 Keine Informationsmeldung Normalerweise senden nur Gateways Timestamp Requests aus, sodaß der Typ 13 auf einer Firewall geblockt werden kann. Firewall: IN=yes OUT=yes
Typ 14	Timestamp Reply	Zeitstempelantwort Dieser Typ erlaubt die Erkennung von Verspätungen. Host und Gateways können diese Antwort senden. Code 0 Keine Informationsmeldung Timestamp Reply sollte ruhig zugelassen sein. Firewall: IN=no OUT=yes
Typ 15	Info Request	Informationsanfrage Hiermit kann ein Host die IP-Adresse des Netzes bestimmen, mit dem er verbunden ist. Diese Funktion wird inzwischen aber nicht mehr benötigt, da das ARP (Address Resolution Protokoll) diese Aufgabe übernommen hat. Code 0 Keine Informationsmeldung Da dieser Typ nicht mehr gebraucht wird, kann er geblockt werden. Firewall: IN=no OUT=no
Typ 16	Info Reply	Informationsantwort Dies ist die Antwort auf Typ 15. Diese Funktion wird inzwischen aber nicht mehr benötigt, da das ARP (Address Resolution Protokoll) diese Aufgabe übernommen hat. Code 0 Keine Informationsmeldung Da dieser Typ nicht mehr gebraucht wird, kann er geblockt werden. Firewall: IN=no OUT=no
Typ 17	Address Format Request	Subnet-Mask-Anfrage Ein Host, oder Gateway fragt nach der Bitzahl der SubnetMask. Code 0 Keine Informationsmeldung Für die eigene Anfrage können ausgehende Meldungen erlaubt werden. Firewall: IN=no OUT=yes
Typ 18	Address Format Reply	Subnet-Mask-Antwort Ein Host, oder Gateway antwortet auf Typ 17, z.B. 24Bit Code 0 Keine Informationsmeldung Eingehende Antworten kann man den Zugang gewähren Firewall: IN=yes OUT=no
Typ 19	Reserved for Security	Reserviert für Sicherheit Kein Code definiert Firewall: IN=no OUT=no
Typ 20 - 29	Reserved for Robustness Experiment	Reserviert für Experimente Kein Code definiert Firewall: IN=no OUT=no
Typ 30	Traceroute	Routenverfolgung Mit Traceroute werden Pakete verschickt, um die Routen über die einzelnen Hops zu verfolgen. Dabei wird der "time-to-live"-Wert (er beginnt mit eins) schrittweise immer größer gewählt. Ferner werden Daten an den Zielhost gesendet, für einen nicht verwendeten Port. Der erste Router der das erste Paket empfängt subtrahiert das TTL um den Wert1 runter. Das erste Paket hat also dann ein TTL von 0 und wird damit verworfen. Der Routet sendet daraufhin ein ICMP Typ11 (Zeitüberschreitung) zurück. Seine Absender IP-Adresse wird nun von Tracert angezeigt, zusammen mit der benötigten Zeit. Bei den nächsten Routern zieht das gleiche Verfahren. Ist der Zielhost erreicht, sendet dieser ein ICMP Paket Typ3, Code3 (Port nicht erreichbar). Damit weiß Tracroute, das der Zielhost erreicht ist, und beendet die Bildschirmausgabe. Kein Code definiert Ein ausgehender Traceroute sollte erlaubt sein. Firewall: IN=no OUT=yes
Typ 31	Datagram Conversion Error	Fehler bei der Paketkonvertierung Kein Code definiert Firewall: IN=no OUT=no
Typ 32	Mobile Host Redirect	Mobile Host Umleitung Kein Code definiert Firewall: IN=no OUT=no
Typ 33	IPv6 - Whera are you	IPv6 - Wo bist Du Kein Code definiert Firewall: IN=no OUT=no
Typ 34	IPv6 - I am here	IPv6 Ich bin hier Kein Code definiert Firewall: IN=no OUT=no
Typ 35	Mobile Registration Request	Mobile Regestrierungsanfrage Kein Code definiert Firewall: IN=no OUT=no
Typ 36	Mobile Registration Reply	Mobile Registrierungsantwort Kein Code definiert Firewall: IN=no OUT=no
Typ 39	frei	Keine Codes definiert
Typ 40	Photuris	Code 0 Bad Spi Code 1 Authentication Failed Code 2 Decompression Failed Code 3 Decryption Failed Code 4 Need Authentication Code 5 Need Authorization Firewall: IN=no OUT=no

Da es in der Vergangenheit einige DOS Angriffe über ICMP gab, und Hacker/Scriptkiddies sich hierüber hinformationen auslesen können, sollte man den ICMP Vekehr über eine Firewall filtern:

1. Die Typen
   
2. Die Anzahl der ICMP Pakete/Zeit
   
3. Die Größe der ICMP Pakete
   

1. Die Typen sind oben in der Tabelle definiert. Sie spiegelt meine Empfehlungen für eine kleine Personalfirewall. Jedes System muss natürlich induviduell konfiguriert werden. Z.B. läßt eine Statefull Inspection Firewall nur eingehende Verbindungen zu, wenn die Sessions von intern aufgebaut worden sind. Durch ein offenen Ping Reply kann dort auch niemand Echo Reply Pakete, mit vollem Bodys, senden, wenn von intern kein Echo Request kam.
   


2. Die Anzahl der ICMP Pakete sollte immer begrenzt sein, um sich vor DOS Angriffen zu schützen.
   


3. Die Größe der ICMP Pakete sollten begrenz sein (32Bit + 64Bit Data) damit keine anderen Daten mitgesendet werden können. Dies unterbindet nur eine Applikationsfirewall.
   

Gennerell kann man alle ICMP Pakete blocken. Dies kann aber unter Umständen zu Nachteilen führen.