Firewall Handbuch für LINUX 2.0 und 2.2 - zurück

Intranet anzugreifen. Er erhält aber bereits schon Inhalte von geschriebenen Briefen,
Paßworte, Zugänge zu Banking-Software u.s.w. Interessant ist aber stets die
Arbeitsstation des Systemadministrators. Da es sein kann, daß der Angreifer wegen evtl.
verschlüsselter Paßworte beim Login keine Paßworte erhalten hat. Da häufig E-Mail -
Paßworte nicht verschlüsselt werden, diese jedoch oft mit den Login-Paßworten identisch
sind, ist der Angreifer nun doch in Besitz von zumindest einigen Login- und E-Mail
Accounts, obwohl diese an sich nicht abgehört werden können. Nun kennt der Angreifer
weitere User und deren Namen im Netz. Welche Möglichkeiten ergeben sich hieraus ?
• Auswertung von E-Mail Headern auf Arbeitsstationen zur Analyse der
Netzwerkstruktur und Informationsflüsse im Netz.
• Weiterführung des Angriffs mit dem Weihnachtsmann in anderen
Unternehmensfiliale n
• Installation weitere Netzwerk - und Keyboardsniffer Auslesen des SQL-
Servers über eine Arbeitsstation, die genügend Festplattenspeicher besitzt
• Angriff mit buffer overflow auf den Server und Installation eines Tunnels zur
Fernwartung über Internet.
• DoS des Logservers der Firewall in Falle einer Installation eines Tunnels
• Eindringen in den SQL-Server des Unternehmens und Kopieren der
Informationen in das Internet
Verwischen von Spuren
Im Grunde fällt ein solcher Angriff insgesamt nicht auf, da die übertragenen Daten stets
gewöhnliche Wege nehmen. Der Einsatz von IDS-Systemen würde nur feststellen können,
daß größere Datenmengen vom SQL-Server über die Firewall in das Internet übersendet
wurden, entweder in kleineren, unregelmäßigen Paketen oder als Datenstrom über den
PROXY oder PROXY-Cache des Unternehmens. Die Kunst des Angreifers liegt darin, die
Erfahrung des Systemadministrators richtig einschätzen zu können, um den Angriff
geschickt verbergen zu können. Es ist aber keine Frage, ob in ein Netzwerk eingebrochen
werden kann, sondern eher, wie lange dies unentdeckt bleiben kann. Hierzu ist es dem
Angreifer auch möglich, eine Arbeitsstation, die eine ISDN-Karte für BTX - Anschluß
eingebaut hat, für die Übertragung der Daten des SQL-Servers in das Internet zu
gebrauchen, unter Umgehung der Firewall. Es gibt viele Tricks, die Angreifer benutzen,
um Firewalls zu umgehen, und Systemadministratoren zu täuschen. Hier nun einige
davon:
23.8 Wie wird ein Angriff verborgen ?
Ein Angriff wird von den wenigsten Systemadministratoren überhaupt bemerkt. Grund
dafür ist, daß die Angreifer oft viel erfahrener sind, als die Opfer und genau wissen, wie
man einen Angriff verbirgt. Im nachfolgende Abschnitt wird im Detail erklärt, warum
Angreifer oft so erfolgreich sind, und wie sie dabei vorgehen. Nach Schätzungen werden
95% aller Angriffe auf Internet-Server nicht bemerkt.
23.9 Blinde Angriffe (blind attacks)
Im Gegensatz zum Erfahrungshorizont eines "normalen" Anwenders benötigen Angreifer
keine Rückmeldung eines Tastendruckes oder Programms über den Bildschirm. Die uns
so vertraut gewordene Tatsache, daß Computer auf Tastendrücke in Mikrosekunden
reagieren und eine direkte Rückmeldung über den Vollzug des Befehls geben, ist für einen
Angreifer, er einen gezielten Angriff ausreichend vorbereiten konnte, völlig unwichtig. Die
Rückmeldungen können auch um Tage verzögert z.B. über E-Mail oder auch über
mehrere Wege gleichzeitig erfolgen. Angriffe auf z.B. Telnet Verbindungen, die mit
"spoofing" oder "hijacking" arbeiten, erfolgen zwangsläufig immer "blind". Trojanische
Pferde, Würmer und Viren benötigen ebenfalls die Anwesendheit des Angreifers nicht.
Diese Angriffe werden als "blinde " Angriffe oder "blind attacks" bezeichnet. Es ist ein
Erstellt von Doc Gonzo - http://kickme.to/plugins