Audit. Security Labor. Informationen Sammeln. HTA Luzern FHZ > FACHHOCHSCHULE ZENTRALSCHWEIZ HTA > HOCHSCHULE FÜR TECHNIK+ARCHITEKTUR LUZERN

Transkript

1 FHZ > FACHHOCHSCHULE ZENTRALSCHWEIZ HTA > HOCHSCHULE FÜR TECHNIK+ARCHITEKTUR LUZERN Security Labor Audit Informationen Sammeln HTA Luzern HTA LUZERN Technikumstrasse 21 CH 6048 Horw T: F: W:

2 Autoren Florian A. Widmer Dipl. Ing. Informatik FH Florian A. Widmer ist Mitarbeiter im Bereich Information Risk Management (IRM) von KPMG Risk Advisory Services Schweiz. Zuvor war er Assistent bei Bernhard M. Hämmerli an der Hochschule für Technik und Architektur Luzern. Er befasste sich intensiv mit technischer und konzeptioneller Informatiksicherheit und betreute das Security Labor. Für das Aktualisieren und Ausbauen des Security Labors hat er substanzielle Beiträge geleistet. Josef F. Bürgler Prof., Dr. sc. nat., dipl. Phys. ETH Josef F. Bürgler ist Dozent an der Hochschule für Technik und Architektur Luzern für Mathematik und Kryptologie. Im Rahmen der Nachdiplomstudien Informatiksicherheit und Bekämpfung der Wirtschaftskriminalität unterrichtet er Themen rund um Computer- Sicherheit und Hacking. Daneben führt er Weiterbildungskurse wie "Linux in KMU" durch und setzt sich für den Einsatz offener Software ein. Bernhard M. Hämmerli Prof., Dr., dipl.ing.eth Bernhard M. Hämmerli ist Dozent für Datenkommunikation und Informatikstrategien und -sicherheit an der Hochschule für Technik und Architektur Luzern. Zudem ist er Leiter der regionalen Cisco Akademie, Vizepräsident der Fachgruppe Security der Schweizerischen Informatiker Gesellschaft und Wissenschaftlicher Beirat der Stiftung Inforsurance. Der Fokus seiner Tätigkeit richtet sich in den letzten Jahren auf Information Assurance und kritische Informationsinfrastrukturen, z.b. nationale Projekte der Strategischen Führungsausbildung der Bundeskanzlei SFA, der Stiftung Inforsurance und Ausbildungsprojekte im Securitybereich. Seite 2

3 Inhaltsverzeichnis 1 Einleitung Verwendete Symbole Footprinting Internet Footprinting Öffentliche Informationen Netzwerk Enumeration Erkundung des Netzwerkes Anhang Abbildungsverzeichnis Tabellenverzeichnis Quellenangaben...17 Seite 3

4 1 Einleitung Dieses Dokument behandelt gängige Methoden der passiven Informationsbeschaffung. Diese beruhen ausschliesslich auf legalen Suchvorgängen im Internet sowie in anderen Medien. Es handelt sich dabei nicht um direkte Angriffe. Das Sammeln von Informationen stellt einen essentieller Teil der Angriffsplanung dar und gehört deshalb auch zu den ersten Schritten eines Angriffs. 1.1 Verwendete Symbole Folgende Symbole werden in sämtlichen Kapitel verwendet. Zieldefiniton des Kapitels Bearbeitungsaufwand des Kapitels, inkl. Aufgaben Aufgabenbeschreibung Hinweis Warnhinweis Schutzmassnahmen Seite 4

5 2 Footprinting Footprinting ist ursprünglich eine Methode der Gentechniker, mit der sich gezielt Regionen auf der DNA identifizieren lassen. Sie wird oft auch als Fussabdruck- Methode bezeichnet. Im IT-Sicherheitsbereich wird das Sammeln von Informationen über Sicherheitsvorkehrungen, beispielsweise über eine Unternehmung, als Footprinting bezeichnet. Ein Footprinting wird in der Regel anhand legaler öffentlicher verfügbarer Informationsquellen durchgeführt. Mit Hilfe von geeigneten Techniken und Tools ist es möglich die gesammelten Informationen auf ein qualitatives Minimum zu reduzieren. Ein Angreifer hat somit die Möglichkeit Domänennamen, Netzwerkblöcke und individuelle IP-Adressen eines oder mehreren Systemen zu determinieren, welche mit dem Internet verbunden sind. Es gibt eine Vielzahl von Footprinting- Techniken, jedoch verfolgen sie alle dasselbe Ziel: Informationen über ein Umfeld zu sammeln. In der nachstehenden Tabelle wird aufgezeigt welche Informationen aus welchen Umgebungen gewonnnen werden können. Umgebung Internet Intranet Remote Access Extranet Informationen Domänenname Netzwerkblöcke spezifische IP-Adresse eines via Internet verfügbaren Systems TCP und UDP Dienste eines Systems Systemarchitektur Zugriffskontrollmechanismen und Zugriffskontrolllisten (ACLs) System-Enumeration (Benutzer- und Gruppennamen, System- Banners, Routingtabellen und SNMP-Informationen) Verwendete Netzwerkprotokollen Interne Domänennamen Netzwerkblöcke spezifische IP-Adresse eines via Intranet verfügbaren Systems TCP und UDP Dienste eines Systems Systemarchitektur Zugriffskontrollmechanismen und Zugriffskontrolllisten (ACLs) System-Enumeration (Benutzer- und Gruppennamen, System- Banners, Routingtabellen und SNMP-Informationen) Analoge / digitale Telephonnummern Art des Remote-Systems Authentisierungsmechanismus VPN Protokolle Verbindungsherkunft und -ziel Verbindungsart Zugriffskontrollmechanismen Tabelle 1: Interessante Informationen aus verschiedenen Umgebungen Footprinting ist eine sehr aufwendige Aufgabe um sich ein Bild über die Sicherheitsvorkehrungen einer Identität zu verschaffen, jedoch ist sie eine der wichtigsten. Seite 5

6 3 Internet Footprinting In diesem Kapitel werden Sie gängige Methoden und Techniken kennen lernen, welche für den ersten Schritt eines erfolgreichen Angriffs vorausgesetzt wird. Die Bearbeitung dieses Kapitels benötigt ca. 1h 20 min. In diesem Kapitel werden die Footprinting-Methoden behandelt welche sich auf die Internetanbindung einer Unternehmung bzw. Organisation fokussiert. Einen genauen Vorgang für das Footprinting existiert nicht, oft werden verschiedene Methoden parallel ausgeführt. 3.1 Öffentliche Informationen Im Folgenden werden verschiedene Informationsquellen aufgezeigt und diskutiert. Als Übersicht der verschiedenen Quellen dient die nachstehende Auflistung. Webseite einer Organisation Öffentliche Suchdienste News Gruppen Archive Presseartikel Stelleninserate Webseite einer Organisation Nicht selten können nützliche Informationen der organisationseigenen Webseite entnommen werden. welche für einen Angreifer einen hohen Stellenwert darstellt. Besonders von hohem Stellenwert für einen Angreifer sind Information wie: Organisationsstruktur Partnerfirmen Kontakte (Telefonnummern und Adressen) Datenschutz- und Sicherheitspolitiken Die Informationen sind teilweise auch im HTML versteckt, deshalb empfiehlt es sich ebenfalls den Quellcode zu analysieren. Folgenden Ausschnitt eines HTML- Quellcodes verdeutlicht dies: <html><head> <meta name="generator" content=""> <meta name="author" content="bruce Robertson"> <meta name="contact" Seite 6

7 </head><body> Notieren Sie sich die relevanten Informationen, welche Sie aus dem obigen HTML-Quellcode extrahieren können Öffentliche Suchdienste Mit den aus der Webseite gewonnnen Informationen kann nun mithilfe von öffentlichen Suchdiensten nach relevanten Sicherheitshinweise gesucht werden. Als Suchdienst sind besonders solche geeignet, die eine qualitative Suche anbieten. In der Abbildung 1 ist die erweiterte Suchfunktion von ersichtlich. Dieser ermöglicht die Suche nach sämtlichen Webseiten, die auf einen spezifischen Link verweisen. In der Kombination mit dem Begriff Incident (engl. Vorfall) könnten somit alle Webseiten gefunden werden, die auf einen Sicherheitsvorfall der gesuchten Organisation hinweisen. Abbildung 1: Google Erweiterte Suche Überlegen Sie sich, wie Sie die erweiterte Suchfunktion von Google mit den bisher gewonnen Informationen verwenden würden. Google ist bestimmt nicht der einzige Suchdienst der verwendet werden kann. Es lohnt sich oft die Anfragen bei verschiedenen Anbietern zu tätigen, bietet die Möglichkeit in mehreren Suchdiensten gleichzeitig zu suchen. Seite 7

8 3.1.3 News Gruppen Archive News Gruppen Archive können wertvolle Sicherheitshinweise beinhalten. Nicht selten publiziert ein Systemadministrator unter seinem richtigen Namen oder mit der Adresse seiner Firma Fragen bzw. Lösungen betreffend seine Sicherheitsvorkehrungen. Folgender News Gruppen Eintrag könnte für ein Unternehmen fatale Folgen haben. Von: Alain Meyers Betrift: IIS schützen ohne Service Packs? Newsgroups: comp.security.misc Datum: 2003/11/11 Hi Security Freaks Ich stehe vor einem Debakel. Wir betreiben professionelles Webhosting und haben dementsprechend auch potenzielle Kunden, die ihre Webdienste auf unseren Webserver anbieten. Leider sind unsere Webserver (Microsoft IIS 5.0) noch immer verletzlich gegenüber den Würmer: Code-Red und Nimda. Das entsprechende Service Pack könnte ich schon einspielen, jedoch setzt dies einen Neustart des Systems voraus und wir können uns nicht leisten, dass die Webseiten unserer Kunden in dieser Zeit nicht verfügbar sind. Allerdings stehen die Webserver hinter einer CheckPoint Firewall. Wie ich gehört habe, sollte es möglich sein mit dieser Firewall die Webserver gegenüber den Würmern zu schützen. Ich glaube die Funktion heisst SmartDefense. Ich bin jedoch nicht in der Lage diese Funktion zu aktivieren, da ich sie nicht finde. Kann mir einer von euch Freaks helfen? Ich wäre sehr dankbar für eure Hilfe, denn wir wollen nicht ein Opfer der Internet-Kriminalität werden. Gruss, Alain BIG COMPANY provides low price high availability hosting solutions Weshalb hat das obige Beispiel fatale Folgen und was sind die Fehler die begannen wurden? Seite 8

9 Der Suchdienst Google bietet ein komplettes Archiv der News Gruppen. Dank der in der Abbildung 2 gezeigten erweiterten Gruppen-Suchfunktion können wichtige Informationen auf eine bequeme und effiziente Art gefunden werden. Das obige Bespiel könnte das Resultat einer Nachforschung sein. Abbildung 2: Google Erweiterte Groups-Suche Überlegen Sie sich, wie Sie die erweiterte Gruppen-Suchfunktion von Google mit den bisher gewonnen Informationen verwenden würden. News Gruppen ist nur ein stück des Kuchen, in dem relevante Informationen stecken können. Es existiert ebenfalls eine Unmenge von Mailinglisten in welchen gleichartige Diskussionen geführt werden. Eine Durchforstung dieser führt zu änlichen Resultaten. Im Folgenden sind einige berühmte Mailinglisten aufgeführt. bieten Webseite Tabelle 2: Mailinglisten Informationen Security Focus bietet spezifische Mailinglisten zum Thema IT-Sicherheit an. Diese können abonniert werden, sie sind aber auch Online im Archive erhältlich. Geocrawler bietet ein Archive von diversen Mailinglisten mit über 6'000'000 Einträge an. Der bereich IT-Sicherheit kommt dabei nicht zu kurz. Seite 9

10 3.1.4 Presseartikelarchive Auch herkömmliche Printmedien werden archiviert. Die meisten Verlage bieten heutzutage ihre Archive auf dem Internet an. Mit Sicherheit sind darin interessante Informationen zu finden, wie Vorfälle von erfolgreichen Attacken bei einer bestimmten Firma. Die Swissdox AG ( stellt gegen eine kleine Gebühr einen Online- Dienst zur Verfügung, welcher die Suche in der Schweizer Mediendatenbank ermöglicht. Darüber hinaus gibt diverse andere Quellen Stelleninserate Stelleninserate können allenfalls auch hilfreiche Informationen über die Sicherheitsmassnahmen der eigenen Firma preisgeben. Eine unachtsame Firma könnte beispielsweise in einem Stelleninserat folgende Anforderungen publizieren. Sie verfügen über ein Experten-Know-how im Bereich IT Security mit einigen Jahren entsprechender Erfahrung. Im weiteren werden sehr gute Kenntnisse verlangt in: - CISCO Netzwerkkomponenten - Snort Intrusion Detection Systems - Symantec Enterprise Firewall Zudem besitzen Sie eine grosse Erfahrung in folgenden Techniken: - Tiefe Kenntnisse vom TCP/IP-Protokoll - Praktische Erfahrung mit Sicherheitsprotokolle (SSL, SSH, IPSEC) Welche Informationen aus dem obigen Stelleninserat erachten Sie als nützlich, betreffend Footprinting? Die bis anhin besprochenen Methoden liefern ebenfalls wertvolle Informationen für ein geplantes Social Engineering. Seite 10

11 3.2 Netzwerk Enumeration Der erste Schritt in der Netzwerk Enumeration ist die Identifizierung der Domänennamen und der zugehörigen Netzwerke einer Organisation. Ein Domänenname (engl. domain name) ist die Internetpräsents einer Organisation. Für die Identifizierung stehen mehrere Whois-Datenbanken zur Verfügung. Jede Domäne wird in einer dieser Datenbanken gespeichert, die Einträge sind der Öffentlichkeit zugänglich. Whois-Datenbanken liefern einem Angreifer wertvolle Informationen über sein Opfer. Diese sind: Domänennamen Domäneninhaber Kontakt Primärer und Sekundärer DNS Server Erstell- und Änderungsdatum der Domäne Whois-Datenbanken können durch unterschiedliche Arten abgefragten werden, auf der einen Seite existieren diverse Webinterfaces, die diesen Dienst anbieten, und auf der anderen Seite sind einige Tools erhältlich, welche diese Aufgabe meistern. In den nachstehenden Tabellen sind die gebräuchlichsten Tools und Webseiten aufgeführt die eine Whois-Datenbankabfrage zulassen. Tool Ressource Plattform Whois Linux Xwhois Linux Jwhois Linux Sam Spade MS Netscan tools MS WS_Ping MS ShadowScan MS Tabelle 3: Whois Tools Online Tools Sam Spade Networksolutions Switch (Schweiz) ARIN Allwhois Ressource Tabelle 4: Whois Webinterfaces Seite 11

12 3.2.1 Whois Abfrage Im Folgenden wird die Whois-Datenbank whois.nic.ch nach der Domäne fhz.ch abgefragt. Der Befehl unter Linux lautet: $ whois -h whois.nic.ch fhz.ch whois: This information is subject to an Acceptable Use Policy. See Domain name: fhz.ch Holder of domain name: Hochschule für Technik + Architektur Luzern Ludwig Wigger Technikumsstrasse 21 CH-6048 Horw Switzerland lmwigger@hta.fhz.ch Technical contact: Hochschule für Technik + Architektur Luzern Peter Wurmet Informatikdienst Technikumsstrasse 21 CH-6048 Horw Switzerland pwurmet@hta.fhz.ch Name servers: ztxs01.ztl.ch [ ] ztxs04.ztl.ch [ ] Date of last registration: Date of last modification: Notieren Sie die Informationen aus der obigen Whois-Abfrage, die Sie als nützlich erachten? Seite 12

13 Mit Hilfe einer zweiten Whois-Abfrage bei einer anderen Whois-Datenbank (RIPE) können noch weitere Informationen gewonnen werden, und zwar wird nach der IP- Adresse des primären DNS Servers gesucht. Das Kommando lautet: $ whois -h whois.ripe.net % This is the RIPE Whois server. % The objects are in RPSL format. % % Rights restricted by copyright. % See inetnum: netname: ZTL descr: Zentralschweizerisches Technikum Luzern descr: Horw, Switzerland country: CH admin-c: LW10-RIPE tech-c: PW16-RIPE status: ASSIGNED PI mnt-by: SWITCH-MNT changed: huber@switch.ch changed: hostmaster@switch.ch source: RIPE route: /16 descr: ZTL origin: AS559 mnt-by: AS559-MNT changed: tognola@switch.ch source: RIPE person: Ludwig Wigger address: Hochschule Technik+Architektur Luzern (HTA) address: Technikumstrasse 21 address: CH-6048 Horw address: Switzerland phone: fax-no: lmwigger@hta.fhz.ch nic-hdl: LW10-RIPE notify: hostmaster@switch.ch changed: hostmaster@switch.ch source: RIPE person: address: Peter Wurmet Hochschule Technik+Architektur Luzern (HTA) address: Technikumstrasse 21 Seite 13

14 address: CH-6048 Horw address: Switzerland phone: fax-no: nic-hdl: PW16-RIPE notify: changed: source: RIPE Welche zusätzlichen nützlichen Informationen können Sie aus der obigen Whois-Abfrage entnehmen? Je nach Whois-Datenbank werden unterschiedliche Informationen zur Verfügung gestellt. Es lohnt sich deshalb mehrere Whois-Datenbanken abzufragen. Seite 14

15 3.2.2 DNS Zone Transfer Ein DNS Server verwendet Zone Transfer um die Datenbankeinträge von einem anderen DNS Server (primären) zu übernehmen. Dies garantiert eine Redundanz beim Betrieb eines DNS. Die Problematik liegt darin, dass viele DNS Server falsch konfiguriert sind und somit von irgendeinem Rechner eine Zone Transfer zulassen. Einem Angreifer wird dadurch ermöglicht, dass er an Informationen gelangt die der Öffentlichkeit nicht zugänglich sein sollten. Für eine Zone Transfer wird lediglich der für die Domäne verantwortlicher DNS Server benötigt. Mit dem folgenden Befehl wird eine Zone Transfer vom DNS Servers für die Domäne hta.fhz.ch ausgeführt. hta.fhz.ch axfr ; <<>> DiG hta.fhz.ch axfr ;; global options: printcmd hta.fhz.ch IN SOA ztxs01.ztl.ch. postmaster.ztl.ch hta.fhz.ch IN NS ztxs01.ztl.ch. hta.fhz.ch IN NS ztxs04.hta.fhz.ch. hta.fhz.ch IN MX 10 mail.hta.fhz.ch.... ztxw100_a.hta.fhz.ch IN A ztxw100_a.hta.fhz.ch IN TXT "sun-sparc 4 als firewall-1 Zi:d402" ztxw100_b.hta.fhz.ch IN A ztxw100_b.hta.fhz.ch IN TXT "sun-sparc 4 als firewall-1 Zi:d402" ztxw140.hta.fhz.ch IN TXT "sun sparc 5 neuer web server Zi:D401 wwi Serverraum" ztxw140.hta.fhz.ch IN A ;; Query time: 449 msec ;; SERVER: #53( ) ;; WHEN: Wed Dec 3 15:15: ;; XFR size: 3031 records Welche Informationen erachten Sie für einen Angreifer als hilfreich? Seite 15

16 3.3 Erkundung des Netzwerkes In einem nächsten Schritt wird der Angreifer versuchen, mehr über die Netzwerktopology herauszufinden. Besonders ist er an möglichen Zugangsknoten interessiert, die ihm erlauben, das Zielsystem anzugreifen. Für diese Aufgabe ist Tracerouting das geeignete Mittel Traceroute Traceroute ist ein Diagnostiktool mit welchem der Pfad (Route) eines IP-Paketes verfolgt werden kann. Traceroute bedient sich der TTL-Option (time-to-live) im IP- Paket, die bei jedem passierten Router eine ICMP TIME_EXCEEDED Nachricht auslöst. Jeder Router, der das IP Paket entgegennimmt muss das TTL-Feld dekrementieren. Dadurch wird das TTL zum Hop Counter. Traceroute kann also dazu verwendet werden, um den Verbindungspfad aufzuzeichnen bzw. aufzulisten. Ebenfalls ist es möglich Sicherheitsmechanismen wie Firewalls oder Routers mit Paket Filtering Funktionen zu identifizieren, denn diese antworten in der Regel nicht. Folgendes Beispiel zeigt den Kommunikationspfad zwischen einem Rechner an der HTA Luzern und dem Webserver $ tracert Routenverfolgung zu [ ] über maximal 30 Abschnitte: 1 16 ms 19 ms 19 ms ztro33_v98.ztl.ch [ ] 2 10 ms 19 ms 19 ms ztro22.ztl.ch [ ] 3 10 ms * 10 ms ztxw100.ztl.ch [ ] 4 10 ms 19 ms 19 ms ms 19 ms 19 ms mlrluz001-a switch.ch [ ] 6 19 ms 19 ms 19 ms rtrlasw1-a switch.ch [ ] 7 18 ms 19 ms 19 ms swils2-v3.switch.ch [ ] 8 19 ms 19 ms 19 ms swiel2-g1-2.switch.ch [ ] 9 19 ms 18 ms 18 ms swice3-g2-4.switch.ch [ ] ms 29 ms 29 ms so ar2.cdg2.gblx.net [ ] ms 29 ms 29 ms pos m.cr1.cdg2.gblx.net [ ] ms 39 ms 39 ms pos m.ar2.lon2.gblx.net [ ] ms 39 ms 39 ms ge zpr1.lnt.cw.net [ ] ms 37 ms 29 ms zcr1-ge londonlnt.cw.net [ ] ms 29 ms 49 ms ms 47 ms 49 ms ycr2-so dublin.cw.net [ ] ms 39 ms 39 ms ycr1-ae0.dublin.cw.net [ ] ms 39 ms 49 ms google.dublin.cw.net [ ] ms 49 ms 49 ms ms 36 ms 36 ms Ablaufverfolgung beendet. Seite 16

17 4 Anhang 4.1 Abbildungsverzeichnis Abbildung 1: Google Erweiterte Suche 7 Abbildung 2: Google Erweiterte Groups-Suche Tabellenverzeichnis Tabelle 1: Interessante Informationen aus verschiedenen Umgebungen 5 Tabelle 2: Mailinglisten 9 Tabelle 3: Whois Tools 11 Tabelle 4: Whois Webinterfaces Quellenangaben Bücher Stuart McClure, Joel Scambray, George Kurtz, Hacking Exposed Fourth Edition: Network Security Secrets and Solutions, Osborne / McGraw-Hill, ISBN Papers Prof. Dr. Josef F. Bürgler, Hacker und die Sicherheit von Computer-Systemen, Seite 17