Firewall Handbuch für LINUX 2.0 und 2.2 - zurück

Administratoren, u.s.w. Ziel ist es, einen Angriff möglichst präzise vorausplanen zu können
und Werkzeuge zu schreiben, die die Firewall durchlässig machen. Eventuelle
Fehlversuche erhöhen das Risiko, entdeckt zu werden, da Firewalls gut kontrolliert
werden. Die Wahrscheinlichkeit, ein Sicherheitsproblem zu finden, ist relativ hoch, jedoch
befinden sich in der Praxis mögliche Schwachstellen immer auf dem inneren Interface der
Firewall. Ein Angreifer wird also immer entweder auf das Konfigurations-Interface der
Firewall zielen, oder was viel mehr von Erfolg gekrönt sein wird, auf den Server in der
DMZ, oder Server im Netzwerk des Unternehmens. Ein Angriff auf einen Server in der
DMZ könnte durch die screened subnet/host vereitelt oder entdeckt werden. Somit
konzentriert sich die volle Aufmerksamkeit eines Angreifers stets auf Server oder
Arbeitsstationen hinter der Firewall, um mit deren Hilfe eine Art Tunnel durch die Firewall
erstellen zu können. Besser jedoch ist, wenn der Angreifer im Netzwerk hinter der Firewall
einen Weg findet, die Firewall umgehen zu können. Dies könnten Arbeitsstationen mit
ISDN-Karte sein, Fax-Server o.ä. Ein Angreifer benötigt somit immer die Hilfe von
Mitarbeitern im Unternehmen, ohne jedoch Mißtrauen zu wecken. Er muß den Einsatz von
»trojanischen Pferden« möglichst präzise vorausplanen, da diese Angriffe von Mitarbeitern
ausgeführt werden müssen. Er hat also keinerlei Steuerungs - oder
Korrekturmöglichkeiten mehr. Diese Art Angriffe nennen sich blinde Angriffe. Um jedoch
auf irgendeine Art eine Rückmeldung zu erhalten, ist es notwendig, Rückmeldungen über
Erfolg/Mißerfolg oder weitere Informationen unauffällig aus dem Unternehmen heraus zu
schleusen, vornehmlich über E-Mail oder das WWW-Interface. Hierzu muß er die interne
Infrastruktur der Informationsflüsse kennen, evtl. sogar die Portnummer des Proxy-
Servers, um eine direkte Verbindung, also einen Tunnel über die Firewall hinweg
aufbauen zu können. Ist ihm das gelungen, so ist die Firewall überwunden. Damit es
etwas anschaulicher wird, einige »teilweise« erfundene Beispiele, die vielleicht etwas
»phantasievoll« anmuten, sich jedoch so abspielen könnten.
Angriff über eine beliebige Firewall hinweg
Der Angreifer, der sich telefonisch im Sekretariat davon überzeugt hat, daß Herr
Mitarbeiter vom 24.12.2000 auch wirklich Zeit hat, schickt diesem eine E-Mail:
Sehr geehrter Herr Mitarbeiter !
Zur Eröffnung unserer neuen Filiale möchten wir Sie gerne persönlich einladen. Neben
Vorstellungen neuer Internet-Technologien durch unsere Referenten XY, Microsoft und
WV, SUN möchten wir Sie gerne auch mit leiblichen Überraschungen verwöhnen. Wir bitte
Sie daher, uns mitzuteilen, ob wir Sie am 24.12.2000, 10 Uhr, in unserer neuen Filiale
begrüßen dürfen. Elektronische Anmeldung bitte auf http://www.little-idiot.de/cgibin/test.cgi
(diese URL liefert u.a. Informationen)
Mit freundlichen Grüßen,
gez. Boss
Herr Mitarbeiter, sichtlich erfreut angesichts der leiblichen und geistigen Überraschungen,
sagt via Mail zu. Kurze Zeit später ist der Angreifer im Besitz folgender Informationen:
REMOTE_ADDR = 212.53.238.2
REMOTE_HOST = 212.53.238.2
QUERY_STRING = Name=Mueller
HTTP_USER_AGENT = Mozilla/4.0 (compatible; MSIE 4.01; Windows 98)
HTTP_ACCEPT = */*
HTTP_ACCEPT_ENCODING = gzip, deflate
HTTP_X_FORWARDED_FOR = 212.53.238.130
HTTP_VIA = 1.0 cache:8080 (Squid/2.0.PATCH2)
Erstellt von Doc Gonzo - http://kickme.to/plugins