Firewall Handbuch für LINUX 2.0 und 2.2 - zurück

Toolkits, wie Ballista oder ipsend, die verschiedenste Varianten von gefährlichen TCP/IP-
Paketen simulieren, indem sie wichtige Protokolle mit verschiedensten Flags,
Paketlängen, Fragmentierungen und Verschachtelungen (interlaced) und Zufallszahlen
kombinieren, eigenen sich nicht nur für DoS-Angriffe, sondern auch zur Bestimmung des
Firewall-Herstellers und evtl. Filtereinstellungen und der Server - Betriebssysteme hinter
der Firewall. Mit Hilfe eines Sniffers werden dann die Antwortpakete des Servers hinter
der Firewall ausgewertet und somit die Filter-Einstellungen der Firewall bestimmt.
Aufgrund der ISN (Initial Sequence Number) und SSN (Serial Sequence Number) der
Antwortpakete kann dann auf das Betriebssystem geschlossen werden.
Es lassen sich so auch ganz gezielt Fehler bei den dynamischen Filterregeln oder im
PROXY - Mechanismus herausfinden und weiter ausnutzen, z.B. um die Firewall an die
Grenzen ihrer Leistungsfähigkeit zu bringen. Die eintretenden Effekte sind dann doch sehr
vielfältig. Sie reichen von DoS- bis hin zu möglichen "buffer overflow"-Angriffen und einem
Effekt, der nur bei wenigen Firewalls/Paketfiltern auftritt, nämlich zu Fehlfunktionen bei
den dynamischen Filterregeln, wenn die Leistungsfähigkeit ihre Grenze erreicht.
Konkreten Angriffen geht oft eine Vielzahl solcher Untersuchungen voraus. Viele Firewall-
Hersteller lassen sich zertifizieren, d.h. die Firewall wird auf solche Probleme (neben
vielen anderen) überprüft. Eine solche detaillierte Prüfung, welches das BSI
(http://www.bsi.bund.de) von Siemens hat erstellen lassen zeigt, das inzwischen alle
Firewall-Hersteller diese Probleme beseitigt haben, leider lassen sich aber Reaktionen auf
komplexe dynamische Firewallregeln unter Vollast nicht testen. Die Zahl der möglichen
(sinnvollen) Kombinationen bei TCP/IP-Angriffen allein liegt über 130. Wenn also eine
Firewall komplexe Regelwerke abzuarbeiten hat, steigt die Wahrscheinlichkeit dramatisch,
daß ein DoS-Angriff erfolgreich ist. Filtert man zu wenige Pakete, so ist die
Wahrscheinlichkeit eines Einbruchs oder DoS-Angriffs auf Server dahinter sehr hoch.
Diese Angriffsvarianten lassen sich mit o.a. Werkzeugen simulieren. Sie sind Bestandteil
von guten Security-Scannern. Warum besonders bei den Microsoft Betriebssystemen
95/98 und NT solche Probleme immer noch in so großer Zahl auftreten, bleibt ein offenes
Geheimnis.
DoS-Angiffe über ICMP, IGMP
Themen
• ICMP Source Quench
• Plausibilitätskontrollen und Datenaustausch
• CISCO PIX Router
ICMP, IGMP sind eigene Protokolle, die auf IP aufsetzen und dem Informationsaustausch
zwischen Routern über Leitungszustände, Erreichbarkeiten von Hosts und der Regelung
von Geschwindigkeiten dienen.
Setzt man einfache, ungesicherte UNIX oder NT-Server als Router ein, so hat man ein
großes Problem mit dem differenzierten Handling von ICMP Codes. Beispielsweise ist ein
Angreifer in der Lage, einem NT-Server oder UNIX-Server mitzuteilen, daß die
Übertragungsgeschwindigkeit zu hoch sei (ICMP SOURCE QUENCH), woraufhin dieser
die Sendegeschwindigkeit beispielsweise halbiert. Mehrere solcher Pakete eines
Angreifers bringen jeden Server unweigerlich dazu, seine Arbeit einzustellen. Gute Router
(CISCO) haben "counter intelligence"-Algorithmen eingebaut, die genau dieses verhindern
sollen. Normale Betriebssysteme beherrschen evtl. noch die Differenzierung zwischen
einigen ICMP-Codes, ohne jedoch darauf intelligent antworten zu können. Hierzu gehören
beispielsweise NT und viele UNIX-Derivate. Firewalls, die auf dem TCP/IP-Stack dieser
Betriebssysteme aufsetzen, sind immer in Gefahr, einem DoS-Angriff zum Opfer zu fallen.
Das Abschalten von ICMP Source Quench ist nicht zu empfehlen, da z.B beim schnellen
Auftreffen von Paketen auf eine langsame Leitung diese völlig überlastet würde.
Andererseits läuft man mit ICMP Source Quench in Gefahr, Opfer eines DoS-Angriffs zu
Erstellt von Doc Gonzo - http://kickme.to/plugins