Thomas Macht Ausarbeitung Security-Test WS 09

Transkript

1 Sicherheit und Grenzrisiko definieren Sicherheit: Risiko < Grenzrisiko, absolute Sicherheit gibt es nicht Grenzrisiko: größtes noch vertretbare Risiko eines technischen Vorgangs/Zustands Risiko definieren Schaden * Eintrittswahrscheinlichkeit Was versteht man unter Weakest Link? Der Schwächste Punkt wird am ehesten angegriffen. Was ist Vertraulichkeit? Die Nachricht ist nur für die vorgesehenen Empfänger zugänglich. Geschützt durch Verschlüsselung. Beschreiben eines Black Hole Angriffs (Netzwerk) DoS-Attacke; Es werden entweder Pakete an einen bestimmten Empfänger, alle x Sekunden ein Paket, alle oder zufällig gewählte Pakete verworfen. Welchen Zweck hat die Aufgabe Data Control bei einem Honeywall in einem Honeynet??? Erklären der Begriffe Authentisierung, Authentifizierung und Autorisierung Authentisierung: Vorlage eines Nachweises zur Identifikation (Benutzername, Passwort) Authentifizierung: Überprüfung eines Nachweises zur Identifikation Autorisierung: Überprüfung, ob Person/IT-Komponente/Anwendung zur Durchführung einer Aktion berechtigt Bsp für graphisches Passwort zb Strichmännchen auf Raster, Software registriert, welches Kästchen in welche Richtung durchkreuzt wurde Seite 1 von 6

2 Was soll man beim richtigen Umgang mit Passwörtern beachten? Klein-, Großbuchstaben, Sonderzeichen grafische Passwörter (Bildfolge, Punkte auf Bildern, Gesichter): leichter zu merken, schwieriger zu erraten Wechsel in bestimmten Abständen Mindestlänge, Mindestvorkommen bestimmter Zeichenklassen keine Default-Passwörter nicht aufschreiben vom Benutzer änderbar Angriffe: o Raten (Default-Passwörter) o Social Engineering o Brute Force o Wörterbuch-Attacken o Trojaner o Passwortdateien o Über die Schulter schauen o Sniffing (Verschlüsselung in Netzwerken) o elektromagnetische Strahlung, Wireless-Tastaturen o Preisgabe von Informationen: Username/Passwort falsch Soll der öffentliche Schlüssel bei asymmetrischer Verschlüsselung geheim bleiben? Wie der Name schon sagt, nein. Der private Schlüssel soll geheim bleiben. Öffentlicher Schlüssel: Verschlüsseln von Daten, Signatur prüfen Privater Schlüssel: Entschlüsseln von Daten, Signieren Funktion einer Certification Authority (CA) Ausstellung und Verwaltung der Zertifikate optional: Schlüsselerzeugung für Endbenutzer Personalisierung von Chipkarten Versenden der Infos an Endbenutzer (PIN-Brief, Chipkarte) Endbenutzer-Zertifikate durch CA-Zertifikat signiert Erstellen/Signieren von Sperrinfos besondere Anforderungen für sichere Betriebsumgebung: Speicherung, Zugriff auf private Schlüssel Kompromittierung des privaten Schlüssels einer CA alle ausgestellten Zertifikate und damit signierte Dokumente unsicher Erläutern Sie das Kerckhoffs Prinzip. Sicherheit kryptografischer Verfahren darf nur auf Geheimhaltung des Schlüssels, nicht des Algorithmus beruhen. Seite 2 von 6

3 Reflected XXS Angriff erklären XSS: unvalidierte Benutzereingaben Ausführung des Codes durch vertrauenswürdigen Server, Zertifikate und Verschlüsselung der Client-Server-Kommunikation bieten keinen Schutz ausgeführter Code direkt von vertrauter Domäne ausgeführt zb Versand präparierter URLs über s Arten: o Reflected: Server liefert Seite mit präpariertem Inhalt, Browser wertet sie aus o Stored: persistente Speicherung des präparierten Inhalts durch den Server Maßnahmen: o Benutzereingaben validieren o Kodieren (HTML, URL) von Benutzereingaben und gespeicherten Inhalten vor Ausgabe o Clientseitige Verhinderung durch Browser oder Client-Firewalls (Antworten nur an ursprüngliche Domäne erlauben) Cross Site Request Forgery erklären Das Sicherheitsproblem ist auf die Statuslosigkeit des HTTP-Protokolls zurückzuführen, da nach einmaliger Authentifizierung der Browser implizit jedes Mal seine Sitzungsdaten an den Server sendet. Trifft die Webanwendung keine Maßnahmen gegen CSRF-Angriffe, ist die Webanwendung verwundbar. Angreifer kann Benutzer durch untergeschobene präparierte URL zu Aktion am Server missbrauchen Aktionen wie Logout, Einträge erstellen, Passwort ändern durch vorhandenes Authentifizierungs-Cookie beim Benutzer kein Login erforderlich Angreifer kann Änderungen über IP-Adresse des Benutzers durchführen (Verschleierung) Maßnahmen: o Shared Secret: zu jeder internen URL und Formularen hinzufügen: geheimer Token, den nur Server und Client kennen bei jeder Anfrage vom Client übermittelt, bereits in einigen Web-Frameworks enthalten, bei unverschlüsselter Kommunikation Diebstahl durch Angreifer möglich o Verifizierung der Aktion durch Benutzer anfordern 2 Argumente warum "Penetrate and Patch" nicht ausreicht für sichere Software Sicherheitsfehler nur im Betrieb gefunden, mit Patches behoben nicht gemeldete Schwachstellen nicht behoben Patches beheben oft nur Symptome, nicht eigentliche Ursache Zeitfenster für Angriffe bis alle Systeme gepatcht (manche nie) Aus Patches können Angreifer Details über Schwachstellen ableiten. 2 Softwareentwicklungsmodelle zum Erstellen sicherer Software Microsoft Security Development Lifecycle (SDL) Seite 3 von 6

4 Kann eine Software ohne Schwachstellen durch Programmierfehler Schwachstellen in der Architektur haben, begründen. Sichere Architektur: kann durch Programmierfehler unsicher werden (zb fehlerhafte Prüfung von Zertifikaten) Sichere Programmierung: Software ohne Schwachstellen durch Programmierfehler kann Schwächen durch Architektur aufweisen (zb fehlerfreie telnet-implementierung durch unverschlüsselte Kommunikation angreifbar) Angriffsbaum beschreiben und 1 Bsp Attack Trees Technik zum Dokumentieren von Bedrohungen Identifizieren möglicher Bedrohungen mit iterativer Detaillierung Baumstruktur Knoten/Kanten zur Bewertung der Eintrittswahrscheinlichkeit einer Bedrohung bei größeren Systemen schnell unübersichtlich Seite 4 von 6

5 Was bedeutet "Double Blind" bei Penetration Tests 2 Konzepte bei Penetration Tests Sicherheitsüberprüfung: o Schwachstellen finden o Ausnutzbarkeit zeigen (Kunden, Management) o Durchführung im Betrieb o Überprüfen verschiedener Systemebenen (organisatorische Sicherheit durch Social Engineering) o je später, desto teurer o Berücksichtigung des gesamten Systems (OS, Datenbanken) o teilweise automatisierbar (Vulnerability Scanner) o wichtig: rechtliche Aspekte Testabdeckung: schwierig zu ermitteln (laufende Teilsysteme, Ports, Applikationen) methodische Vorgehensweisen Prozess: o Vorbereitung: Zielvereinbarung, Vertrag o Informationsbeschaffung o Testdurchführung o Dokumentation MC-Frage: Security Management gemäß ITIL ist positioniert auf welcher Ebene???? In welche Punkte gliedert sich ITIL??? Organisatorische Lösungen mit ITIL sind nicht ausreichend???? Seite 5 von 6

6 Welche inhaltlichen Punkte sollte eine Security Policy haben? Stellenwert der Informationssicherheit und Bedeutung der IT für die Aufgabenerfüllung Sicherheitsziele, Beschreibung der Sicherheitsstrategie Beschreibung der Organisationsstruktur Zusicherung, dass Sicherheitsrichtlinie von Leitungsebene durchgesetzt wird und Verstöße sanktioniert werden Aussagen zur periodischen Überprüfung der Sicherheitsmaßnahmen Aussagen zu Programmen zur Förderung der Informationssicherheit durch Schulungs- und Sensibilisierungsmaßnahmen (Erhalt und Förderung der Awareness) Verantwortlichkeiten im Informationssicherheitsprozess Die 3 Sicherheitsziele nach Grundschutzhandbuch Vertraulichkeit Integrität Verfügbarkeit Erfüllung aller Maßnahmen im IT Grundschutz ist immer ausreichender Schutz? Nein, nur allgemeiner Leitfaden. Was versteht man unter dem Kumulationseffekt? Mehrere kleine Schäden führen zu einem Großen Verteilungseffekt: Redundanzen Maximumprinzip: schwerwiegendste Auswirkung Nennen sie die 2 Grundprinzipien im Social Engineering?? Nennen sie die 4 Phasen eines Social Engineering Angriffs Informationsbeschaffung Beziehungen aufbauen Beziehungen ausnutzen Ausführung Seite 6 von 6