ESUKOM Best Practice Report

Bericht AP5: „Best-Practise“-
Dokument
Mit Hilfe dieser Komponenten kann der dritte Anwendungsfall komplett getestet werden.
Die im folgendem aufgeführten Einzelschritte sind hierfür notwendig:
1. MAP-Server starten
2. Standart-Metadaten per Skript veröffentlichen
3. Detection Engine starten, dabei auf die Aktivierung der richtigen Policy achten
(siehe Abschnitt 4.2.2)
4. Enforcement-Komponente starten
5. Mit den Smartphone eine Verbindung zum internen Netz über einen der beiden
Access Points herstellen, den Android-IF-MAP-Client starten (Einstellungen
beachten, siehe Abschnitt 4.2.2), eine neue Session mit den MAP-Server
beginnen und die Gerätedaten publizieren.
6. Sobald alle Metadaten vom Android-IF-MAP-Client veröffentlich wurden, werden
diese durch die Detection Engine ausgewertet. Innerhalb dieses Anwendungsfalls
wird eine App als potentiell schädlich erkannt wenn sie die folgenden
Bedingungen erfüllt:
• Sie muss mit den folgenden Berechtigungen ausgestattet sein:
RECEIVE_BOOT_COMPLETED (automatisches Starten beim Start
des Betriebssystems, INTERNET (Zugriff auf das Internet),
CAMERA (Zugriff auf die Kamera des Endgerätes).
• Zusätzlich muss sie aus einer unbekannten Quelle installiert worden
sein (also nicht aus dem offiziellen Google Play-Store)
Als Testfall dient dabei der Android-IF-MAP-Client selbst, welcher alle diese
Voraussetzungen erfüllt. Innerhalb der GUI der Detection Engine sollte nach einer
kurzen Zeit angezeigt werden, dass eine schadhafte Software auf dem Endgerät erkannt
wurde (Abbildung 10). Anschließend wird für das Endgerät ein Enforcement mittels
iptables durchgeführt.
Abbildung 10: Erkennung einer schadhaften App durch irondetect
Copyright ESUKOM-Konsortium 2010-2012 Seite 22