Network Security

Network Security Eine Prozess-Sicht

Agenda • Einführung • Grundlagen Netzwerke • Angriff • Verteidigung • Fazit

Einführung

Was ist Security?

Security is a process Bruce Schneier

Angriff Angriff Ziel

Verteidigung Angriff Prevention Detection Response Ziel

Prevention Maßnahmen, die einen Angriff im Vorhinein erschweren sollen Reallife: Tür und Schloß an Euren Häusern IT: Firewalls, ACLs / Rechtemanagement

Detection Maßnahmen, die einen Angriff erkennen sollen Reallife: Alarmanlage im Haus IT: Intrusion Detection Systems, Networks Security Monitoring, Trafﬁc Anomaly

Response Reaktion auf einen Angriff Reallife: Ihr ruft die Polizei, diese probiert den Einbrecher festzunehmen. Beweise werden gesammelt IT: Runterfahren des Rechners, forensiche Analyse

Agenda Angriff Prevention Detection Response Ziel Letztes Dieser Workshop Workend

Attack the enemy

Der Prozess Ziel auskundschaften

Der Prozess Ziel auskundschaften Schwachstellen ausﬁndigmachen

Der Prozess Ziel auskundschaften Schwachstellen ausﬁndigmachen Schwachstellen ausnutzten

Der Prozess Ziel auskundschaften Schwachstellen ausﬁndigmachen Schwachstellen ausnutzten Position sichern

Der IT-Prozess Ziel auskundschaften Passive Informationsgewinnung Aktive Informationsgewinnung Schwachstellen ausﬁndigmachen Remote Exploit Schwachstellen Local Exploit ausnutzten Rootkit Installation Position sichern Weitere Expansion

Angriff Passive Aktive Remote Local Root- Expan- IG IG Exploit Exploit kit sion - ........ - ........ - ........ - ........ - ........ - ........ - ........ - ........ - ........ - ........ - ........ - ........

Verteidigung Passive Aktive Remote Local Root- Expan- IG IG Exploit Exploit kit sion - ........ - ........ - ........ - ........ - ........ - ........ - ........ - ........ - ........ - ........ - ........ - ........

Grundlagen Netzwerke

Grundlagen Netzwerke TCP/IP Kommunikation

TCP/IP Kommunikation Eine offene Verbindung zwischen zwei Computern die über TCP/IP kommunizieren, nennt man Socket und deﬁniert sich durch: • Quell-IP und Quell-Port • Ziel-IP und Ziel-Port

TCP Paket

Grundlagen Netzwerke Firewall

Firewall

Firewall • Unterbinden von ungewolltem Datenverkehr von externen Computersystemen (WAN) zum geschützten Bereich (LAN) • Unterbinden von ungewolltem Datenverkehr vom LAN zum Internet

Grundlagen Netzwerke DMZ

DMZ

DMZ • Bereitstellung von Diensten (E-Mail, WWW, etc...) für WAN und LAN • Server in der DMZ können von sich aus keine Verbindung zum LAN aufbauen • Ein gehackter Server in der DMZ kann somit nicht das LAN kompromittieren

Angriff

Aktiv vs. Passiv Vollkommen Vollkommen Passiv Aktiv Aktivität

Aktiv vs. Passiv Vollkommen Vollkommen Passiv Aktiv Aktivität Keine Verbindung = Absicht nicht erkennbar zum Ziel

Aktiv vs. Passiv Vollkommen Vollkommen Passiv Aktiv Aktivität Tatsächlicher = Absicht sofort erkennbar Angriff

Informationsgewinnung Vollkommen Vollkommen Passiv Aktiv Aktivität Keine Verbindung zum Ziel

Informationsgewinnung Vollkommen Vollkommen Passiv Aktiv Aktivität Gültiger Trafﬁc auf gültigem Dienst

Informationsgewinnung Vollkommen Vollkommen Passiv Aktiv Aktivität Gültiger Trafﬁc auf ungültigem Dienst

Informationsgewinnung Vollkommen Vollkommen Passiv Aktiv Aktivität Ungültiger Trafﬁc auf gültigem Dienst

Informationsgewinnung Vollkommen Vollkommen Passiv Aktiv Aktivität Ungültiger Trafﬁc auf ungültigem Dienst

Ziel Informationen über • eingesetzte Software • Infrastruktur • Netzwerkdesign • Laufende Dienste • Softwareversionen

Mittel • Recherche im Internet, Newsgroups, Mailinglisten • Versiongrabbing / Verbinden • DNS zone transfers • Social Engineering / In-personiﬁcation • Port Scanning

Ziel Lokalen Benutzer-Account auf dem Zielrechner

Mittel Aus gewonnen Informationen werden Sicherheitslücken identiﬁziert • MITRE • CVE • ISS X-Force Sicherheitslücken auf dem Zielrechner ausnutzen • Exploits schreiben/anwenden

Ziel Root Zugriff auf dem Zielrechner Somit Zugang zu Ressoucen • lesen • manipulieren • löschen Angriff erfolgreich

Mittel Recherche nach Sicherheitslücken Lokale Sicherheitslücke ausnutzen • Buffer/Stack Overﬂow • Format String • SUID binaries • Kernel Sicherheitslücken

Ziel Dauerhaften root Zugriff auf den Zielrechner “Gefahr” des Behebens der ursprünglichen Sicherheitslücke durch den Administrator entschärfen

Mittel Backdoor Installation Verstecken der Backdoor und der Zugriffe • Rootkits • Manipulierte Logﬁles

Ziel Weitere Systeme im Netzwerk angreifen

Mittel Angegriffenes System als Ausgangsbasis nutzen Vorteil • Man ist schon im Netzwerk • Firewall Regeln meist laxer • Trafﬁc oft nicht überwacht

Verteidigung

Prevention Vorbeugen durch: • Nicht die ofﬁzielle Mail-Adresse in Newsgroups, Mailinglisten & co benutzen • Keine Detail-Informationen an fremde Personen verraten • Social Engineering Awareness

Detection Unmöglich

Prevention Vorbeugen durch: • Versionsanzeigen abschalten/verfremden • Dienste auf anderen Ports lauschen lassen • Firewalls • Intrusion Prevention Systeme

Detection Erkennen durch: • Intrusion Detection Systeme • Firewall Logfiles • Serverlogfiles, z.B. UserAgent in Apache Logfile

Intrusion Detection

Intrusion Detection Bemerken eines Angriffs auf eine Ressource • Netzwerkbasiert Überwachung des Netzwerkverkehrs • Hostbasiert Überwachung von Dateien • Hybrid Kombination

Network IDS • Sniffen des Netzwerktrafﬁcs • Vergleich der Paketinhalte gegen Regeln • Alarm bei Verstoß Bekannteste OpenSource Lösung Snort

Network IDS PC IDS Internet Switch PC Firewall PC Admin

Host IDS • Sitzt direkt auf dem Server • Überprüft Dateizugirffe und Veränderungen • Vergleich von Datei-Prüfsummen • Alarm bei Verstoß Bekannteste OpenSource Lösung Samhain, (Tripwire)

Prevention Vorbeugen durch: • Systeme immer aktuell halten • Applikation Firewalls / Filter • mod_security • Firewalls • Intrusion Prevention Systeme • Snort

Detection Erkennen durch: • Intrusion Detection Systeme • Logﬁles • Netzwerküberwachung • netstat • Network Security Monitoring

Prevention Vorbeugen durch: • Systeme immer aktuell halten • Strickte ACL • Chroot, Systrace, Jails, virtuelle Maschinen

Detection Erkennen durch: • Hostbasierte Intrusion Detection Systeme • Tripwire • Samhain • Logﬁles • utmp • shell history

Prevention Vorbeugen durch: • Kernel Module abschalten • BSD: Kernel Securitylevel • Read-only Dateisysteme (Hardware)

Detection Erkennen durch: • Hostbasierte Intrusion Detection Systeme • Rootkit Scanner • chkrootkit • rkhunter • Forensische Analyse

Prevention Vorbeugen durch: • Strenge Firewall Regeln auch für interne Netze • Isolierung von Systemen • DMZ

Detection Erkennen durch: • Intrusion Detection Systeme • Firewall logs • Logﬁles Wieder am Anfang des Prozesses

Fazit

Ressourcen

Bücher • Unix and Internet Security, Simson Garﬁkel&co, O’Reilly • Network Security Assesment, ..., O’Reilly • Network Security Monitoring, Richard Beijtrich, Addison-Wesley • Security Warrior, ..., O’Reilly • Practical Cryptography, Bruce Schneier&Nils Fergusson,... • ..., Bruce Sterling, ...

Mailing Listen • Bugtraq • Full-Disclosure • SecurityFocus • IDS • WebAppSec • Nmap

Web • Securityfocus.com • OWASP • Phrack.org • grc.com • CVE, MITRE, ISS X-Force

Fragen?

Network Security

0 comments

Notes on slide 1

Favorites, Groups & Events