Firewall Handbuch für LINUX 2.0 und 2.2 - zurück

Server sollten stets mit statischen ARP-Tabellen (siehe bootpd) gefüttert werden, die
durch einen separaten ARP-Cache Dämon ergänzt werden. Insbesondere in großen
Netzwerken sind dauernde ARP-Broadcasts des Servers nicht nur eine erhebliche
Netzwerkbelastung, sondern auch ein Sicherheitsproblem auf der Hardware-Ebene der
Netzwerkkarten.
Server und Firewallbetriebssysteme sollten nur mit Netzwerkkarten ausgerüstet werden,
bei denen die Hardwareadresse nicht verändert werden kann. Leider sind auch manche
ARP-Caches flutbar, sodaß dieses evtl. auch einen ARP-Dämon für einen DoS-Angriff
anfällig macht.
Generell sollten in Unternehmensnetzwerken Netzwerkkarten mit großem ARP-Cache
eingesetzt werden, es entlastet das Netzwerk erheblich durch weniger ARP-Broadcasts.
Wissend, daß MAC-Adressen, ARP-Caches und IP - Nummern gespooft werden können,
sollten in größeren Unternehmensnetzwerken generell Router, Firewall-Router oder Level
3/4 Switches zum Einsatz kommen. Dieses ermöglicht darüber hinaus noch eine
Komplettüberwachung über den Datenverkehr und erschwert die Industriespionage, bzw.
verhindert diese wirksam. Daher soll ARP durch neighbour discovery - ein neues Protokoll
basierend auf ICMP - ersetzt werden.
Alternativ sollte man mit statischen ARP-Tabellen arbeiten (ARPD), was natürlich einen
erhöhten Pflegeaufwand bedeutet.
DoS über VLAN´s hinweg
VLAN´s werden gerne in größeren Unternehmen eingesetzt, um verschiedene
Abteilungen voneinander abzutrennen. Hierzu werden oft Switches eingesetzt, die dann
die einzelnen Netzwerkstränge durch VLAN´s logisch voneinander trennen. Jeder
Netzwerkstrang erhält dann seine eigene Netzwerkadresse. Die Arbeitsstationen im einem
VLAN können mit denjenigen anderer VLAN´s gewöhnlich nicht mehr kommunizieren.
VLAN´s bilden eine Broadcast Domain, sodaß alle Broadcasts an Arbeitsstationen im
VLAN nicht in andere VLAN´s übermittelt werden. Hierzu erhält im Prinzip jeder
Netzwerkstrang seine eigene Gateway-Adresse vom Switch zugeteilt, so, als ob hier der
Switch als Router arbeiten würde. Leider gibt es hier ein größeres Problem. Gespoofte
Pakete, also Pakete mit vorgetäuschter Adresse aus einem anderen VLAN lassen sich
immer noch an Hosts in anderen Netzwerken senden. Auch wenn von dort keine
Antwortpakete zurückkommen, ist immer noch ein DoS Angriff auf den TCP/IP Stack von
Hosts möglich. Da der Switch über einen eigenen TCP/IP Stack verfügt, sind viele der
TCP/IP DoS Angriffe auf den Stack des Switches möglich.
Dos-Angriffe über Router-Manipulationen
Themen
• Source routing
• Mißbrauch von Servern für Routing
• RIP session hijacking
• Sniffen des SMNP community strings
Ist ein Angreifer mit einem trojanischen Pferd erst einmal in ein Netzwerk vorgedrungen,
hat er großes Interesse, nicht nur den unmittelbaren Netzwerkverkehr, sondern auch den
Verkehr in anderen Subnetzen des Unternehmens abzuhören.
Nichts liegt also näher, z.B. ein geeignetes Werkzeug (UNIX/NT) als Filter und Router
gleichzeitig zu gebrauchen. Dazu muß er die dynamischen Einträge von Routern im
Unternehmen so manipulieren, daß diese sämtliche Pakete über den UNIX/NT-Server
schicken(MITM-Problem). Diese Pakete kann er dann nach Paßworten durchsuchen und
Erstellt von Doc Gonzo - http://kickme.to/plugins