Firewall Handbuch für LINUX 2.0 und 2.2 - zurück

verbreiteter Irrtum, zu glauben, daß ein Angriff durch Unterbrechung der Internet-
Verbindung abgebrochen werden kann.
23.10 Zeitversatz zwischen Angriffen und die Analyse von
Logfiles
Da sogenannte "events" in Routern und Firewalls bei Angriffen zeitlich einen großen
Abstand haben können, kann ein Systemadministrator oft keinen Zusammenhang
zwischen ungewöhnlichen Ereignissen erkennen, auch wenn Logfiles zusammen
ausgewertet werden. Nur aufwendige Analyse - Programme, die mitunter auch Logfiles
von mehreren Servern/Clients/Routern/Firewalls miteinander kombinieren, geben
zuverlässige Hinweise darauf, ob ein Angriff erfolgreich war, oder nicht. Der Unterschied
ist in etwa vergleichbar mit der Auswertung von Zugriffen auf Web-Seiten. Die einen
werten nur die Zahl der Zugriffe auf die jeweiligen Seiten aus. Viel wichtiger ist aber, zu
wissen, in welcher Reihenfolge ein "Kunde" das "Angebot" bzw. die Serverlandschaft
eines Unternehmens durchstreift hat, und wofür er sich dabei interessierte. Der Zeitversatz
ist allerdings immer ein Problem, falls alle Server und Clients nicht zeitsynchron laufen.
Daher wird ein Angreifer auch stets den Timeserver eines Unternehmens manipulieren,
oder die Uhrzeit der Server verstellen. In vielen Fällen werden aber Logserver einfach
angehalten, damit wichtige Informationen über die Art des Einbruchs und die Wege nicht
in den Logfiles erscheinen.
23.11 Wie schnell ein Angriff auf einen Server erfolgt
Ein Angreifer macht sich immer die Zeitdiskrepanz zwischen der Entdeckung eines
Sicherheitsproblems und dem Aufspielen der Patches im Unternehmen zunutze. Kann er
durch eine "saubere" Vorbereitung des Angriffs innerhalb weniger Sekunden in das
System eindringen, was fast immer der Fall ist, so ist es danach nur noch eine Frage von
wenigen Minuten, bis sich dieser durch die Systemkonfiguration durchgefunden hat, und in
den Logfiles seine Spuren verwischen kann. Häufig ist es auch nur eine Frage von
Sekunden, entsprechende Werkzeuge hochzuladen und zu starten, je nach
Geschwindigkeit der Anbindung. In großen Unternehmen ist der Zeitraum zwischen der
Benachrichtigung des Systemadministrators und dem Einspielen von Sicherheitspatches
auf den zahlreichen Arbeitsstationen viel zu groß, oder sogar unmöglich (NT), da in vielen
Fällen mit den Servicepacks auch Systemänderungen und Ergänzungen eingespielt
werden müssen, die neue Probleme heraufbeschwören. Wichtig ist, daß diejenigen
Server, die die Logmeldungen der Server / Firewall speichern, selber hochgradig
abgesichert sind. Einen Angriff in Echtzeit mit zu verfolgen, dieses Privileg haben nur
wenige.... Umso wichtiger ist die absolut zuverlässige Auswertung von Logfiles nach
einem Angriff. Bei dem Einsatz von Microsoft Servern und Arbeitsstationen sollte man
auch die Logfiles der Arbeitsstationen auf einen zentralen Logserver sichern und
überwachen. Es hilft, Unregelmäßigkeiten bei Arbeitsstationen zu erkennen, und evtl.
diese genauer auf Einbruchsspuren zu untersuchen. Hierzu darf der Angreifer keinen
Zugriff auf den LogHost erhalten. Dieser sollte durch eine eigene Firewall mit eigener
Hardware geschützt sein.
23.12 Der unbemerkte Diebstahl von Daten
Wege, ein Programm in ein Unternehmen zu schleusen, sind vielfältig. Problematischer ist
es, größere Informationsmengen unentdeckt heraus zu schleusen. Besonders einfach hat
es ein Angreifer, der die zumeist sehr großen Datenbestände eines Unternehmens, z.B. in
einer SQL-Datenbank unbemerkt "aufarbeiten" und filtern kann, um dann die
ausgewerteten Daten möglichst unauffällig aus dem Netz heraus transportieren zu
können. Dabei nutzt ein Angreifer gerne vernachlässigte Server zur Vorselektierung,
Filterung und Komprimierung der Daten, bevor er diese in das Internet entführt. Hierbei
spielt es keine Rolle, ob als Serversystem UNIX mit seinen vielen, leistungsfähigen
Werkzeugen zum Einsatz kommt, oder z.B. Windows NT. Angreifer verfügen über die
Fähigkeit, "mal eben" zumeist freie UNIX-Werkeuge auf NT zu portieren, sofern dies um
Zusammenhang mit der erwähnten POSIX-Kompatibilität von NT nicht schon längst
Erstellt von Doc Gonzo - http://kickme.to/plugins