Firewall Handbuch für LINUX 2.0 und 2.2 - zurück

hat nach kurzer Zeit mit hoher Wahrscheinlichkeit Zugang zu weiten Bereichen des
Unternehmens. Es gibt eine Reihe von Möglichkeiten, Standardmechanismen des
Routings anzugreifen.
Am einfachsten ist, die Option zur freien Senderwegwahl von IP - loose source route - zu
nutzen. Der Initiator einer TCP-Verbindung kann damit eine explizite Route zum Ziel
angeben und den üblichen automatischen Routing-Vorgang umgehen. Die einfachste
Verteidigung gegen einen solchen Angriff ist, Pakete mit Loose-Source-Route-Option
abzuweisen.
Der Rückweg einer Route ist aus Sicherheitssicht besonders wichtig. Kann nämlich ein
Angreifer die Routing-Strategien unterwandern, so kann er sich dem angegriffenen Host
gegenüber als ein vertrauenswürdiges System ausgeben. In diesem Fall versagen
Authentisierungsmechanismen, die sich allein auf die Verifikation von Quelladressen
verlassen.
Da RIP als Informationsträger UDP verwendet, ist es recht einfach, gefälschte RIP-
Nachrichten ins Netz einzuschleusen. Befindet sich der Host des Angreifers näher am Ziel
als das Quellsystem, so kann er den Datenverkehr leicht umlenken.
Ein weiteres Problem ist die Fernwartung via SMNP V1 und V2. Eine Authentisierung in
SNMP erfolgt über das sogenannte Communitiy-Konzept. Eine Community ist eine Menge
von Managern, die auf einen gegebenen Agenten in gleicher Weise zugreifen dürfen. Die
Community hat einen Namen (community string), der gleichzeitig als Paßwort dient und
bei allen Operationen angegeben werden muß. Alle Manager, die zu einer Community
gehören, verwenden denselben community string. Dabei läuft dieser ungeschützt übers
Netz. Kann also ein Angreifer den community string abhören, so kann er sich als Manager
ausgeben und z.B. Router zu seinen Gunsten konfigurieren. Router sollten so konfiguriert
werden, daß sie wissen, welche Routen auftauchen dürfen (statisches Routen).
RIP ist ein Dienst auf Basis von UDP. RIP-Server überwachen Port 520 auf Broadcasts
anderer Server und Anfragen von Clients. RIP-Server senden ihre Broadcasts gewöhnlich
auf Port 520. Es sollten also Subnetze in größeren Unternehmen nicht nur durch Router,
sondern besser durch Firewalls abgesichert werden, da UDP als verbindungsloses
Protokoll einem »hijacking« Angriff nicht standhält. Mit FreeBSD/LINUX läßt sich eine
solches System billig aufbauen (ARPD, IPFW, ROUTED). Der Einsatz von OSPF ist zwar
über eine Paßwortauthentifizierung abgesichert, aber auch diese lassen sich "ersniffen",
genauso wie der community string in SMNP, oder dem Telnet-Paßwort.
Router sollten alle via WWW-Browser mit SSL-Verschlüsselung administrierbar sein. Man
sollte die Wichtigkeit der Sicherheit und Nichtmanipulierbarkeit von Routern niemals
unterschätzen, sie bilden das Rückgrat sämtlicher Kommunikationswege im Unternehmen.
Da inzwischen frei verfügbare Angriffswerkzeuge im Internet existieren, sollte man auch
die Gefahr eines DoS-Angriffs durch interne Mitarbeiter berücksichtigen. Schließlich kann
die "Umprogrammierung" eines Routers im Unternehmen einem Angreifer sämtliche
Paßworte der Server eines anderen Unternehmenszweiges in die Hände spielen.
DoS-Angriffe gegen Filter Techniken
Themen
• Gefahren von JAVA/Active-X/Viren
• Fluten von Filtern mit ZIP-Files
• magic bytecodes und Abstürze von Filtern
• Deaktivierung von Filtern
• Irreführung von Systemadministratoren
In jüngster Zeit werden Firewalls mit Filtern gegen Active-X und JAVA sowie gegen Viren
ausgeliefert. Über die Gefahren findet sich ein guter Beitrag beim http://www.bsi.bund.de
Erstellt von Doc Gonzo - http://kickme.to/plugins