IPv6 und Security. TEFO - Zürich, Frank Herberg frank.herberg@switch.ch

Transkript

1 und Security Auch Wie das schon neue vor Protokoll dem Rollout! auf Ihre IT-Sicherheit wirkt TEFO - Zürich, Frank Herberg frank.herberg@switch.ch

2 SWITCH Security 10 MA Computer Emergency Response Team (CERT) International vernetzt & zertifiziert (TI) verschiedene Kundengruppen (Schweizer Hochschulen, Banken, Registry.ch/.li) Lageinfo Incident Response Prävention Analyse Verteidigung 2013 SWITCH

3 Die nächsten 45 Minuten Warum Sie das Thema betrifft. Was mit Security zu tun hat, auch schon vor dem Rollout! Was Sie tun sollten SWITCH 3

4 2013 SWITCH 4

5 IPv4-Adressen gehen zuende : IANA verteilt die letzten 5 /8 auf die 5 RIRs : RIPE NCC verteilt IPv4 Adressen aus dem letzten /8 (ca. 17 Mio. Adressen) last / SWITCH 5 Quelle

6 IPv4/6 Timeline (50 Jahre) Übergangsphase: Anzahl Dual Stack Hosts steigt (Komplexität) Anzahl only Hosts steigt (Erreichbarkeit) IPv4 wird unwirtschaftlich, wird abgebaut Übergangsphase Internet Migration von NCP zu IPv WWW wird von CERN eingeführt 1998 Specification RFC IANA IPv4 Adresspool leer (Verteilung der letzen 5 /8 2020?? Dual Stack / IPv4 wird im Betrieb zu teuer 2013 SWITCH 6

7 "Umstellung" von IPv4 auf ca ?: "Übergangsphase" Protokolle sind nicht kompatibel längere Zeit der Koexistenz von IPv4 und verschiedene "Übergangsmechanismen" Dual Stack, Tunneling, Translation Irgendwann wird IPv4 (weitgehend) abgebaut Treiber: Kosten & Komplexität des Parallelbetriebs 2013 SWITCH 7

8 -Nutzung steigt Quelle: SWITCH 8

9 2013 SWITCH 9

10 IPv4/6 Timeline - Review OSX 10.1 XP OSX 10.3 Server 2008 Vist Win7 a linux enabled by default 2013 SWITCH 10

11 im "IPv4-only"-Netz I ist in allen gängigen Betriebssystemen aktiviert (Dual Stack) und kann durch Autokonfiguration (SLAAC) automatisch konfiguriert werden: Rechner konfiguriert -Adresse Rechner konfiguriert Default Routing 2013 SWITCH 11

12 im "IPv4-only"-Netz I -konfigurierte Rechner......sind angreifbar über -Schwachstellen....können über kommunizieren....können per -Tunnel über IPv4 kommunizieren, an Firewalls vorbei....sind über nicht durch IPv4-ACLs geschützt SWITCH 12

13 ist seit Jahren in Ihrem Netzwerk aktiviert und angreifbar (ausser Sie haben etwas dagegen getan) 2013 SWITCH 13

14 Würden Sie -Traffic in Ihrem Netz sehen? (Monitoring) Filtern Ihre Firewalls (getunnelten) -Traffic? Erkennen Sie -spezifische Angriffe und kennen Sie Gegenmassnahmen? Sind Ihre Geräte mit -ACLs geschützt? (Management Interfaces, DB-Server, etc.) 2013 SWITCH 14

15 Beispielnetzwerk Internet A R1? B SW 2013 SWITCH 15

16 Beispiel: Angreifer konfiguriert im "IPv4-only"-Netz mittel SLAAC Internet A R1 "Router" B SW Angreifer sendet Router Advertisement (ICMPv6 Type 134) lokale Hosts konfigurieren (Adressen & Routen) Angreifer kann über mit den Hosts kommunizieren 2013 SWITCH 16

17 Beispiel: Angreifer routet Verkehr um A R1 Internet forward "Router" Default Router B SW Hosts akzeptieren Angreifer als -Router Hosts bevorzugen natives zur Kommunikation Missbrauch für DoS- und Man-in-the-middle-Angriffe 2013 SWITCH 17

18 Beispiel: Angreifer umgeht IPv4-ACLs (A) DB-Server IPv4-ACLs R1 Internet "Router" B SW Zugriff auf DB nur von IP-Adresse der App.server erlaubt Server autokonfiguriert -Adresse ("Zweite Tür") Angreifer umgeht ACL, da diese nur über IPv4 schützt 2013 SWITCH 18

19 Dual Stack IPv4 Managed Monitored Defined???? Filtered Secured maybe not known at all Well known 2013 SWITCH 19

20 im "IPv4-only"-Netz II besitzt Tunneling-Mechanismen Diese sind auf gängigen Betriebssystemen vorhanden......und können durch Autokonfiguration aufgebaut werden Verbindungen durch IPv4-Firewalls sind möglich IPv4 Protokolltyp 41 (ISATAP, 6to4) UDP Port 3544 (Teredo) 2013 SWITCH 20

21 Beispiel: -Tunnelautokonfiguration "umgeht" Firewall -Tunnel- Gateway Internet Ziel (IPv4/ ) -Traffic über IPv4 getunnelt Firewall Client mit Tunnel- Autoconf SWITCH 21

22 Neues Protokoll Neue Angriffe neue Hackertools The Hackers Choice Attack Toolkit ca. 50 Tools, M. Heuse und andere SI6 Networks Toolkit ca. 12 Tools, F. Gont erproben neue Angriffsvektoren zeigen Schwachstellen in Design und Implementierungen (auch zum Testen!) können missbraucht werden 2013 SWITCH 22

23 Beispiel: Router Advertisement Flooding A 2004:: is a prefix 2005:: is a prefix 2006:: is a prefix 2007:: is a Internet prefix R1 B SW Angreifer sendet ganz viele Router Advertisements lokale Hosts konfigurieren ganz viele -Adressen Betriebssysteme stürzen ab oder reagieren nicht mehr 2013 SWITCH 23

24 Beispiel: RA-Flooding-Effekt auf Windows SWITCH 24

25 Beispiel: RA Flooding in der Serverzone 2004:: is a prefix 2005:: is a prefix 2006:: is a prefix 2007:: is a prefix 2013 SWITCH 25

26 Fazit: Wie auf Ihre IT-Sicherheit wirkt Sicherheit sniveau Latent aktiv im "IPv4-only" Netz höhere Komplexität geringere Reife weniger Know-how neue / mehr Angriffs-Vektoren weniger Sichtbarkeit viele Veränderungen (bieten auch Chancen) 2013 SWITCH 26

27 2013 SWITCH 27

28 1. Sichern Sie Ihren operativen Betrieb ab Gibt es eine Latent Threat Gefahr in Ihrem Netz? Wenn ja, ergreifen Sie Gegenmassnahmen. oder SLAAC auf Systemen ggf. deaktivieren Achtung MS-interne Kommunikation Tunnel-Traffic am Perimeter filtern Protokolltyp 41, UDP-Port 3544 Monitoring verbessern (Rogue Router Advrts., Tunneltraffic) z.b. ramond 2013 SWITCH 28

29 2. Haben Sie eine -Strategie! Proaktiv vorgehen: Machen Sie sich ein Bild von Gesamtaufgabe, Einzelprojekten, Abhängigkeiten. Ressourcen planen: Es kostet Zeit und Geld. Geld sparen: Nutzen Sie Produkt-Zyklen und existierende Projekte. Koordinieren: Bennenen Sie einen Transition Manager SWITCH 29

30 3. Bauen Sie Know-how auf ist komplex! Know-how braucht Zeit! Trainingsplan definieren und durchführen. Test-Labor aufbauen: für Praxiserfahrung & Equipment-Tests Pilotprojekt durchführen SWITCH 30

31 4. Berücksichtigen Sie die - Reife Ihres Equipments Machen Sie eine Bestandsaufnahme. Definieren Sie -Anforderungen für Equipment. RIPE-554, NIST USGv6, Ready Logo Betreiben Sie Vendor Management (-Roadmap?) Definieren Sie einen Testplan SWITCH 31

32 5. Nutzen Sie die Chancen Früh anfangen Sicherheit: Zeitdruck ist immer schlecht! Effizienz: Investitionszyklen & vorhandene Projekte IT-Infrastruktur verbessern Nach-Dokumentation, Netzwerk-Review und ggf. Re-Design Sicherheitskonzepte von Anfang an einbeziehen 2013 SWITCH 32

33 Empfohlene Informationsquellen -Grundlagen Silvia Hagen "" 2. Auflage -Security S. Hogg / E. Vyncke " Security" Swiss Council SWITCH Security-Training SWITCH 33

34 Kontakt Blog Training securityblog.switch.ch SWITCH 34