Firewall Handbuch für LINUX 2.0 und 2.2 - zurück

der jedes Paßwort erlaubt, bemerkt der Systemadministrator nicht, daß er in Wirklichkeit
auf einem fremden Server eingeloggt ist. Da das "echte" Paßwort nun verloren ist, kann
der Probeserver nun wieder abgebaut werden. Selbstverständlich reicht auch ein
einfaches "sniffen" auf einem der Ports für die Fernwartung.
Etwas schwieriger wird es, wenn der Provider einen Switch oder "switching hub"
aufgestellt hat, und somit Kundenserver voneinander trennt. Ein Mitprotokollieren von
Paßworten für Netzwerkserver ist dann nicht mehr möglich.
Trickreicher ist dann das sogenannte "mac spoofing" (Siehe oben) Hierbei erfolgt ein DoS-
Angriff auf das Target und eine Übernahme der MAC-Adresse durch den benachbarten
Server. Der Switch behält normalerweise 3 Informationen über einen Server, dessen IP -
Nummer, dessen MAC-Nummer und den Port, an dem das Netzwerkkabel eingesteckt ist.
Nach dem Angriff bemerkt der Switch nur, daß IP - Nummer und MAC-Adresse auf einen
anderen Port gewechselt haben - von nun an kann man fleißig Paßworte mitprotokollieren,
mit denen der Angreifer später in den Zielserver hineinschauen kann.
Die bei Povidern eingesetzte "ping" Überwachung, die dem Systemadministrator meldet,
ob ein Server evtl. abgestürzt ist, kann einen solchen Angriff nicht bemerken. Auch
Kontrollen auf MAC-Ebene können diese Art von Angriff nicht zuverlässig entdecken.
Seriöse Provider setzen Switching-Router ein, auch wenn dies erheblich mehr Aufwand
kostet, als ein Switch. (Tip: LINUX-Firewall-Router mit 4xNetzwerkkarten pro PCI-Slot = 16
Port-Firewall-Router) Ohne diesen Aufwand sollte ein seriöser Anbieter von Einkaufs-
Shop's mit Zertifikat und Verschlüsselung niemals ans Netz gehen.
DoS ARP-Angriffe
Themen
• Statische ARP-Tabellen
• Umlenkung des Datenverkehrs von Logservern
• Fluten von ARP-Caches
• Neighbour Discovery statt ARPD
Es ist möglich, daß eine Maschine ARP-Antworten fälscht, um so den Datenverkehr auf
sich selbst umzulenken. Dadurch kann diese Maschine sich für einen anderen Host
ausgeben oder Datenströme selbst modifizieren. Insofern ist ARP nur sicher, solange
ausschließlich vertrauenswürdige Maschinen auf dem lokalen Datennetz senden können.
Um solche Attacken zu vereiteln, können zum Beispiel ARP-Tabellen fixiert und das
automatische Ablaufen von ARP unterbunden werden. Ist ein Anfreifer erst einmal in ein
Unternehmen vorgedrungen, so gilt es schnellstmöglich den Logserver außer Betrieb zu
setzen. Er wird mit Sicherheit zuerst durch ARP-Manipulationen den Log-Server oder die
Firewall dazu bringen, seine Logfiles nicht mehr an den ursprünglichen Logserver zu
versenden, sondern z.B. an sich selber, einen Server im Internet, oder irgendeinen
anderen Server im Netz. In diesem Falle würden wichtige Informationen, z.B. über
Einbrüche nicht an einen LOG-Server oder E-Mail-Server, sondern an sich selber
gesendet, wenn der ARP-Cache der Firewall diese Manipulation (2 IP - Nummern, 2 MAC
Adressen) nicht erkennt.
Das ist leider noch bei vielen Betriebssystemen, die Router oder Firewalls tragen, der Fall.
Auf diese Art und Weise werden besonders wichtige Server eines Unternehmens
stillgelegt, ohne auch nur die geringsten Zugriffberechtigungen auf diesem Server gehabt
zu haben. Insbesondere bei Windows NT 4.0 ist der Befehl "arp" zwar vorhanden und
dokumentiert, jedoch nicht im Betriebssystem korrekt implementiert. Es ist also schon
allein aus diesem Grunde nicht egal, auf welchem Betriebsystem eine Firewall installiert
ist.
Erstellt von Doc Gonzo - http://kickme.to/plugins