Netzsicherheit

Netzwerksicherheit (auch Netzsicherheit) ist kein einzelner feststehender Begriff, sondern umfasst alle Maßnahmen zur Planung, Ausführung und Überwachung der Sicherheit in Netzwerken. Diese Maßnahmen sind keinesfalls nur technischer Natur, sondern beinhalten auch organisatorische Fragestellungen (z. B. Richtlinien, in denen geregelt wird, was die Betreiber des Netzwerkes dürfen sollen), betriebliche Fragestellungen (Wie kann ich Sicherheit im Netzwerk in der Praxis anwenden, ohne gleichzeitig den Ablauf des Betriebs zu stören?) und endet nicht zuletzt mit rechtlichen Fragestellungen (Welche Maßnahmen dürfen eingesetzt werden?).

Vertiefung

Sicherheit an sich ist dabei immer nur relativ zu sehen und kein fester Zustand. Einerseits muss überlegt werden, wie wertvoll die Daten sind, die im Netzwerk kursieren und andererseits ist das Netzwerk durch Ausbau und technische Weiterentwicklung immer Veränderungen unterworfen, die sich auch in geänderter Sicherheitsarchitektur widerspiegeln müssen. Steigerungen im Bereich der Sicherheit sind oft mit größer werdenden Hürden bei der Benutzung einhergehend.

Das Thema Sicherheit beginnt oft mit der Frage, wie ein Netz gegen den Zugriff von außen geschützt werden kann (Firewall/DMZ). Anwender können die Ressourcen des Netzwerks erst nach einer Identifizierung und einer anschließenden Authentifizierung und Autorisierung nutzen. Damit eine Kompromittierung eines Rechners im Netzwerk erkannt werden kann, werden Rechner oft überwacht. Dies kann intern (Sind die Daten noch konsistent? Sind Veränderungen aufgetreten?) oder auch extern (Sind die Dienste des Rechners noch erreichbar und funktional?) geschehen. Potentieller Datenverlust durch fehlerhafte Software, Fehlbedienung, Fahrlässigkeit oder Altersverschleiß der Hardware wird durch eine Datensicherung verhindert, die dann separat gelagert wird. Sicherheitslücken in Software kann durch das rechtzeitige Einspielen von Software-Aktualisierungen entgegengewirkt werden. Zusätzliche Sicherheit kann noch durch den Einsatz bestimmter Software erhöht werden, die als sicher gilt, weil sie z. B. einer Open-Source-Lizenz unterliegt. Auch der entgegengesetzte Fall kann vorkommen: Software, die als unsicher gilt, kann verboten werden. Durch Schulung der Anwender kann ein Sicherheitsbedürfnis oder Problembewusstsein entstehen, indem man vermittelt, dass die Daten eines Netzwerkes sehr wertvoll sind. Dadurch soll der Anwender Verständnis für die Maßnahmen aufbringen und sie nicht unterlaufen, indem er komplizierte Passwörter auf Zettelchen schreibt und diese an seinen Monitor klebt. Schließlich kann der physische Zugang zum Netzwerk selbst noch mit Hilfe von Zugangskontrollen beschränkt werden.

Weil die Vernetzung des Internets immer mehr zunimmt, spielt das Thema Netzwerksicherheit auch eine immer größere Rolle. Die Infrastrukturen von Firmen werden komplizierter, immer mehr Informationen müssen online verfügbar sein und/oder verwaltet werden …

Mögliche Angriffe

So vielfältig wie Netze sind, so vielfältig sind auch die Angriffsmöglichkeiten auf ein Netz. In vielen Fällen werden mehrere Angriffe kombiniert, um ein Ziel zu erreichen.

Angriffe auf Software(-implementierungen)

Da Kommunikationsnetze immer aus einer (großen) Menge von Systemen bestehen, werden sehr oft genau diese Systeme über das Kommunikationsnetz angegriffen. Hierbei zielen viele Angriffe auf Schwächen in Software(-implementierungen):

• Pufferüberlauf – vor allem in Programmen in der Programmiersprache C findet man häufig den Fehler, dass über einen Puffer hinausgeschrieben wird und hierbei andere Daten oder Kontrollinformationen überschrieben werden
• Stack Smashing – hierbei überschreibt z. B. ein Pufferüberlauf den Stack eines Programmes, hierdurch können Schadroutinen eingeschleust und ausgeführt werden (Exploit)
• Formatstring-Angriffe – Ausgaberoutinen, wie printf, nutzen einen Format-String um eine Ausgabe zu modifizieren. Durch die Nutzung sehr spezieller Formatierungsanweisung können hierbei Speicherbereiche überschrieben werden.
• und anderen Exploit

Angriffe auf Netzwerkprotokolle

• Man-In-The-Middle-Angriff – falls keine gegenseitige Authentifizierung durchgeführt wird, täuscht ein Angreifer den Kommunikationspartnern jeweils den anderen vor (z. B. telnet, rlogin, SSH, GSM, Ciscos XAUTH)
• Unerlaubte Ressourcennutzung – falls keine sichere Authentifizierung bzw. sichere Autorisierung vorhanden (z. B. rlogin)
• Mitlesen von Daten und Kontrollinformationen – alle unverschlüsselten Protokolle, wie POP3, IMAP, SMTP, Telnet, rlogin, http
• Einschleusen von Daten oder Informationen – alle Protokolle ohne ausreichende Nachrichtenauthentifizierung, wie POP3, SMTP, Telnet, rlogin, http
• Tunnel können verwendet werden, um Datenverkehr in zugelassene Protokolle (z. B. Http) einzubetten. Dadurch können Firewallregeln unterlaufen werden. Eine genauere Beschreibung findet sich unter [1].
  • Beispiel: Der SSH-Client baut über Https und den Proxy eine Verbindung zu einem Server außerhalb des internen Netzes auf. Dadurch umgeht er die Regeln, die den SSH-Verkehr nach außen kontrollieren. Diese Verbindung kann auch umgedreht werden, wodurch eine Verbindung von außen in das interne Netz geschaltet wird.
  • Die Bekämpfung erfordert entsprechende Regeln im Proxy, die eine Einschränkung der Methoden CONNECT bzw. POST bewirken. Der Url-Filter UfdbGuard ermöglicht es, Https-Tunnel zu erkennen und zu blockieren.

Angriffe auf die Netzstruktur

• Die Überlastung von Diensten wird als DoS-Angriff bezeichnet. Besonders verteilte DoS-Angriffe werden auch als DDoS-Angriffe bezeichnet. Sehr effektiv sind Angriffe, die mit nur einem Paket auskommen, wie z. B. der TCP-SYN-Angriff, da hierbei die Absenderadresse und somit die Herkunft gefälscht werden kann.

Tarnung von Angriffen

• Fragmentierung von Paketen, vor allem bei überlappenden Fragmenten, kann genutzt werden um Angriffe vor Angriffserkennern zu verstecken
• Spoofing – das Fälschen von meist Absendeadressen zum Verschleiern der Herkunft von Paketen (siehe auch Firewall)

Verwandte Angriffe (werden durch die verteilte Struktur eher begünstigt)

• Social Engineering wird die Vorgehensweise genannt, eine Person dazu zu bringen, ein Passwort oder einen Schlüssel zu verraten.
• Passwörter können erlangt werden, um Zugang zu Diensten zu erlangen. Geschieht dies durch Ausprobieren aller Möglichkeiten spricht man von einer Brute-Force-Attacke.
• Mangelhafte Installationen können einen Angriff mit Standard-Passwörtern erfolgreich machen.
• Aus der Außenwelt kommende Daten werden nicht auf ihre Validät überprüft, sondern als „korrekt“ hingenommen (Tainted Data oder Cross-Site Scripting und SQL Injection).
• Überflutung mit sinnlosen oder nicht angeforderten E-Mails wird als UBE („unsolicited bulk e-mail“) und insbesondere wenn es sich um Werbung handelt als UCE („unsolicited commercial e-mail“) bezeichnet.
• Würmer, Trojanische Pferde, Dialer oder Viren darstellen.
• Leichtgläubigkeit und die leichte technische Möglichkeit zum Vorspiegeln falscher Webseiten können durch Phishing ausgenutzt werden.
• Leichtgläubigkeit lässt Anwender auch unbekannte Programme ausführen, die per Mail versandt wurden.

Vorsorge

Die Vorsorge-Maßnahmen sind ebenso vielfältig, wie die Angriffsmöglichkeiten. Mit Hilfe einer Authentifizierung wird der Benutzer erkannt und es werden die ihm zustehenden Rechte zugewiesen (Autorisierung). Man spricht von einer Single-Sign-On-Lösung sollte nur eine einmalige Anmeldung notwendig sein, um alle erlaubten Ressourcen zu nutzen. Sehr verbreitet ist hierbei Kerberos, welches mittlerweile die Basis für die Windows-Netze bildet. Ursprünglich wurde es vom MIT entwickelt.

Die Sicherheit von Computernetzen ist Gegenstand internationaler Normen zur Qualitätssicherung. Wichtige Normen in diesem Zusammenhang sind vor allem die amerikanische TCSEC und die europäische ITSEC-Standards sowie der neuere Common Criteria Standard. Die Zertifizierung der Sicherheit erfolgt in Deutschland in der Regel durch das Bundesamt für Sicherheit in der Informationstechnik.

Protokolle, Architekturen und Komponenten

• Kerberos – für Authentifizierung, Autorisierung und Abrechnung
• X.509 – Standard für Zertifikate und deren Infrastruktur
• IPsec – mächtigstes (und komplexes) Protokoll zum Schutz von Verbindungen
• SSL/TLS – das am meisten verbreitete Sicherheitsprotokoll. Schützt beispielsweise http, welches dann mit https bezeichnet wird.
• S/MIME, PGP – Standards für den Schutz von E-Mails
• EAP – eine modulares Protokoll zur Authentifizierung in z. B. WPA, TLS und IPsec.
• Firewalls – zum Filtern von Paketen. Hierbei können gezielt gefälschte Pakete verworfen werden.
• IDSe erkennen Angriffe.
• Honeypots – zur schnellen Auffindung von bekannten Sicherheitslücken und Angriffsvektoren.

Siehe auch

• Datensicherheit
• K-Fall
• Spionage
• Verschlüsselung
• X.800

Literatur

• Steffen Wendzel, Johannes Plötner: Praxisbuch Netzwerksicherheit. Galileo Computing, 2007, ISBN 978-3-89842-828-6
• Clifford Stoll: Kuckucksei: Die Jagd auf die deutschen Hacker, die das Pentagon knackten.. Fischer Taschenbücher, ISBN 3-596-13984-8
• Hacker’s Guide. Markt und Technik, ISBN 3-8272-6522-3
• Markus Schumacher: Hacker Contest. Xpert.press, ISBN 3-540-41164-X
• Günter Schäfer: Netzsicherheit Algorithmische Grundlagen und Protokolle. Dpunkt Verlag, ISBN 978-3898642125
• Roland Bless et. al.: Sichere Netzwerkkommunikation. Grundlagen, Protokolle und Architekturen. Springer Verlag, ISBN 978-3540218456

Weblinks

• http://www.opensecurityarchitecture.org Offene Community für die Entwicklung einer standard-basierten Sicherheitsarchitektur
• http://www.securityfocus.com/
• http://www.bsi.de/gshb/index.htm
• http://board.protecus.de/f10.htm Diskussionsplattforum zum Thema Netzwerksicherheit
• http://www.trojaner-board.de Diskussionsplattforum zum Thema Netzwerksicherheit
• http://www.sans.org/
• Fachartikel und Branchennews zum Thema Netzwerksicherheit
• Vorlesung Netzsicherheit an der TU Illmenau
• Vorlesung Netzsicherheit an der Universität Karlsruhe (TH)