Deckblatt zur. im Rahmen der Abschlussprüfung. Sommer 2004

Transkript

1 Deckblatt zur Dokumentation des betrieblichen Auftrages im Rahmen der Abschlussprüfung Fachinformatiker Systemintegration (Ausbildungsberuf) Sommer 2004 vor dem Prüfungsausschuss der Industrie- und Handelskammer Bonn/Rhein-Sieg Prüfungsteilnehmer: Tobias Voß Titel der Projektarbeit: Migration vom lokalem zum Standortübergreifendem Server-gestütztem Virenschutz der Konrad- Adenauer-Stiftung Projektzeitraum: bis Strasse, Hausnummer: Anglerstr. 8 PLZ, Ort: -Adresse: 53819, Neunkirchen-Seelscheid tobias.voss@web.de Ausbildungsbetrieb: Konrad-Adenauer-Stiftung e. V. Strasse, Hausnummer: Rathausallee 12 PLZ, Ort: Projektbetreuer: 53757, Sankt Augustin Hr. Diermann Tel.Nr. Projektbetreuer:

2 Erklärung des Prüfungsteilnehmers / der Prüfungsteilnehmerin Ich versichere durch meine Unterschrift, dass ich das Projekt und die dazugehörige Dokumentation selbstständig und ohne fremde Hilfe angefertigt und alle Stellen, die ich wörtlich oder annähernd wörtlich aus Veröffentlichungen entnommen habe, als solche kenntlich gemacht habe. Die Arbeit hat in dieser Form keiner anderen Prüfungsinstitution vorgelegen. Mir ist bewusst, dass mein Projekt mit der Note ungenügend (= 0 Punkte) bewertet wird, wenn sie wesentliche Abweichungen von den von den Prüfungsausschüssen beschlossenen Vorgaben im Umfang und Form (vgl. Anforderungen an die Dokumentation) aufweist. Ort, Datum Unterschrift des Prüfungsteilnehmers Erklärung des Ausbildungsbetriebes / Praktikumbetriebes Wir versichern, dass das Projekt wie in der Dokumentation dargestellt in unseren Unternehmen selbstständig vom Prüfungsteilnehmer realisiert worden ist. Ort, Datum, Firmenstempel Unterschrift des Projektbetreuers

3 Inhaltsangabe 1. Kurzdarstellung des Projektes Ausgangssituation Projektumfeld Prozessschnittstellen Umfang der Projektarbeit Grundlagen Der Begriff Virus Aufbau eines Virus Erkennungsmethoden Projektplanung Ist-Analyse Soll-Analyse Hardwareanforderungen Server Clients Netzwerkverbindungen Softwareanforderungen Kosten- und Ressourcenplanung Kosten- und Leistungsvergleich aktueller Antivirensoftware Projektdurchführung Prozessschritte Installation des Servers Betriebssystem Programme der KAS Norton Antivirus Coporate Edition Einrichtung der Clients Norton Antivirus Client-Software Qualitätssicherung/Tests Testen der Erreichbarkeit der einzelnen Server Einsatz einer Antivirus-Test-Datei Download und Verteilung aktueller Virendefinitionen Download der Virendefinitionen per Script Update-Verfahren der Virensignaturen Abweichungen zum Projektantrag Projektergebnisse Abnahme, Projektübergabe Bewertung des Projektverlaufs / Ausblick Glossar Quellen Anhang Detaillierte Informationen zu Viren Skizze des Netzwerkes Statistik Viren-Einschläge... 23

4 1. Kurzdarstellung des Projektes Die Konrad-Adenauer-Stiftung ist eine politische Stiftung, die bundesweit in zwei Bildungszentren und 21 Bildungswerken aktiv ist. In Auslandsbüros betreut die Stiftung weltweit mehr als 200 Projekte in über 120 Ländern. Der Hauptsitz ist in Sankt Augustin bei Bonn und Berlin, wo 1988 ein neues Veranstaltungshaus, die Akademie, eröffnet wurde. Die Stiftung trägt seit 1964 den Namen des ersten Bundeskanzlers; sie ging aus der bereits 1956 gegründeten Gesellschaft für christlich-demokratische Bildungsarbeit hervor. Auswirkungen des Bonn-Berlin-Umzugs veranlassen die Konrad-Adenauer-Stiftung mehrere Abteilungen nach Berlin umzuziehen. Dies ist der Grund für eine Umstrukturierung des bestehenden Netzwerkes der Konrad-Adenauer-Stiftung. Die Konzeption eines neuen Virenschutz-Systems ergibt sich daraus als eigenständiges Projekt. Es ist nun die Aufgabe der EDV-Abteilung die Clients und Server in Berlin effektiv vor Viren zu schützen. Mit einbezogen in das neue Virenschutz-System wurden auch die Bildungszentren in Eichholz und Wendgräben. Die Bildungswerke werden von einer externen Stelle mit EDV-Dienstleistungen unterstützt. Tobias Voß, März Dokumentation Virenschutz Seite 1 von 24

5 2. Ausgangssituation 2.1. Projektumfeld Derzeit expandiert die IT-Struktur der Konrad-Adenauer-Stiftung (nachfolgend KAS genannt) im Bereich Berlin. Mehrere Abteilungen werden momentan komplett nach Berlin umgezogen. Die Abteilungen in Berlin sind auf zwei Bürogebäude verteilt. Einzubeziehen sind auch das Bildungszentrum in Wendgräben (Nähe Magdeburg) und das Bildungszentrum Schloß Eichholz (Nähe Köln). Daraus ergibt sich eine ungefähre Anzahl von 500 Clients (inklusive der Clients für Seminare und Schulungen). Aufgrund der hohen Anzahl der Clients, und den geographisch voneinander getrennten Standorten, möchte die KAS einen Standortübergreifenden Server-gestützten Virenschutz aufbauen Prozessschnittstellen Die Integration des Servers in das Netzwerk der Konrad-Adenauer Stiftung erfolgt durch Herr Nüske. Der Server erhält eine statische IP-Adresse. Netzwerktechnische Details (IP-Adressen, Subnetzmasken, usw.) werden auf Wunsch der KAS in dieser Dokumentation nicht erwähnt. Das Betriebssystem und KAS-spezifische Standard-Software wurde mir von Herrn Diermann zur Verfügung gestellt. Dazu gehören die folgenden Software-Produkte: - Windows NT Server 4.01 inklusive Service Pack 6a - On Command Remote Host 1 - Networker Client Umfang der Projektarbeit Der Umfang dieses Projektes umfasst die Einrichtung eines Antivirenschutz- Servers. Dazu gehört die Installation des Betriebssystems Windows NT Server 4.01 inklusive Service Pack 6a. Zusätzlich werden die KAS-spezifischen Programme On Command Remote Host und Networker Client installiert. Diese beiden Programme werden in einer Standardinstallation installiert. Weitere Einstellungen an den Programmen sind nicht erforderlich. Danach erfolgt die Installation der Antivirenschutz-Software. Abschließend werden die Netzwerkverbindungen 1 siehe Glossar 7.1 Seite 15 On Command Remote Host 2 siehe Glossar 7.2 Seite 15 Networker Client Tobias Voß, März Dokumentation Virenschutz Seite 2 von 24

6 getestet. Diese Tests erfolgen mit Hilfe von Netzwerkanalyseprogrammen, Virus- Test Dateien und der Verteilung von Virendefinitionen (siehe Punkt 5.). 3. Grundlagen 3.1. Der Begriff Virus Die Bezeichnung Virus hat sich im allgemeinen Sprachgebrauch als Oberbegriff für Computerschädlinge aller Art etabliert. Er wird sowohl für Computerviren in der fachsprachlichen Bedeutung als auch für Computerwürmer oder Trojanische Pferde benutzt. Die Eigenschaft der Reproduktion führte wie beim biologischen Vorbild zu der Bezeichnung Virus Aufbau eines Virus Ein Computervirus besteht aus drei Teilen: Replikationseinheit Diese Einheit dient dazu, dass der Virus sich unbemerkt vervielfältigen kann. Dazu hängt sich der Virus an Programme welche sich auf der Festplatte befinden. Durch einen Start des infizierten Programms vervielfältigt sich der Virus. Trigger Im Trigger wird ein Ereignis festgelegt, welches den Start des Virus auslöst. Es kann z. B. festgelegt werden, dass der Virus erst nach dem 50sten Start des Rechners aktiv wird. Payload Dieser Teil verursacht den eigentlichen Schaden. Doch auch ohne Payload kann ein Virus existieren. Diese Viren könnten es z. B. auf eine maximale Ausbreitung, ohne Schaden anzurichten, abgesehen haben Erkennungsmethoden Der wichtigste Bestandteil eines Antivirenscanners ist die Such-Engine. Eine Such- Engine nutzt zwei Verfahren zum identifizieren von Schädlingen: Tobias Voß, März Dokumentation Virenschutz Seite 3 von 24

7 Vergleich einer Datei mit Informationen aus der Datenbank Hierbei werden gescannte Dateien mit Informationen aus der Datenbank des Antivirenscanners verglichen. Bei einer Übereinstimmung der Informationen kann ein Virus enttarnt werden. Heuristik Eine Suchmethode, die auf Mustern oder Aktivitäten reagiert, die von einem Virus stammen könnten. Die meisten Antiviren-Lösungen führender Hersteller arbeiten mit einer heuristischen Suchmethode, um zuvor nicht erkannte Viren zu entdecken. Die heuristische Virensuche kann allerdings auch zu blinden Alarmen führen. Ein Virenscanner kombiniert beide Methoden um eine optimale Erkennungsrate zu erzielen. Hersteller von Antivirenscannern entwickeln für ihre Produkte eigene heuristische Verfahren. Die Norton Antivirus Corporate Edition verwendet eine heuristische Methode namens Bloodhound. ( Detaillierte Informationen zu Viren finden Sie im Anhang 9.1 Seite 21) 4. Projektplanung 4.1. Ist-Analyse Neue Virendefinitionen werden derzeit per an die EDV-Abteilung der KAS geschickt. Die Verteilung der Virendefinitionen findet dann manuell statt. Zuständig für die Verteilung der Definitionen ist Herr Diermann. Die Virendefinitionen werden per Softwareverteilung auf die einzelnen Clients aufgespielt. Neue Viren können dadurch nur mit einer erheblichen Zeitverzögerung beseitigt werden. Clients könnten bereits infiziert sein und die Produktivität der KAS für einen bestimmten Zeitraum schwächen. Eine weitere Gefahr besteht im Ausfall des für den Virenschutz zuständigen Personals. Dadurch würden unter Umständen die Virendefinitionen gar nicht an die Clients verteilt. Die Viren könnten sich uneingeschränkt ausbreiten. Updates der Scan-/Reparatur Engines werden ebenfalls direkt von Symantec bezogen und müssen per Softwareverteilung an die Clients verteilt werden. Auch dieser Vorgang verbreitert das Zeitfenster, das einem Virus für eine erfolgreiche Ausbreitung zur Verfügung steht. Tobias Voß, März Dokumentation Virenschutz Seite 4 von 24

8 4.2. Soll-Analyse Es soll eine maximale Automatisierung des Virenschutzes für die vernetzten Standorte Sankt Augustin, Berlin, Wendgräben und Eichholz entstehen. Der administrative Aufwand soll dabei sehr gering ausfallen. Die Verwaltung des gesamten Virenschutzsystems erfolgt mit der Software Norton Antivirus Corporate Edition. Mit Hilfe dieser Software werden die Virendefinitionen automatisch an die Server und Clients verteilt. Ein manueller Eingriff ist theoretisch nicht mehr nötig. Durch die sogenannte Navex-Technologie 3 können Änderungen/Updates an den Scan-/Reparatur Engines ohne einen Neustart des Systems durchgeführt werden Hardwareanforderungen Server Als Antivirenschutz-Server wurde ein Server aus dem Bestand der EDV-Abteilung verwendet. Es folgt eine kurze Auflistung der Systemdaten: Arbeitsspeicher: Prozessor: Diskettenlaufwerk: Festplatte(n): CD-ROM: Grafikkarte: Netzwerkkarte: 128 MB Pentium III 500 MHz 3.5 1,44 MB Floppy 3x IBM DNES Y mit je 8.5 GB Mitsumi CD-ROM FX4820 Matrox G450 MMS Intel PRO/100+ Management Adapter Nachfolgend eine Übersicht der Systemanforderungen des Symantec-System- Center (nachfolgend SSC genannt). Das SSC ist das Verwaltungsprogramm der Norton Antivirus Corporate Edition welches auf dem Server abgelegt wird: Arbeitsspeicher: Prozessor: Festplattenspeicher: 64 MB RAM (empfohlen) ab Pentium 166 MHz 25 MB werden benötigt Die Systemdaten des vorhandenen Servers übertreffen die empfohlenen Anforderungen des SSC. 3 siehe Glossar 7.3 Seite 15 Navex-Technologie Tobias Voß, März Dokumentation Virenschutz Seite 5 von 24

9 In Eichholz, Berlin und Wendgräben wird das SSC zusätzlich auf bereits laufende Server aufgespielt. Auch auf diesen Servern stehen noch genügend Ressourcen zur Verfügung. Damit ist die Basis für ein sauberen Betrieb des SSC gewährleistet Clients In der KAS existiert ein breites Spektrum unterschiedlichster Hardwareprofile. An der unteren Grenze gibt es noch vereinzelte Systeme mit Pentium 1 Rechnern, 133 MHz und 64 MB RAM. Die obere Grenze bilden derzeit Pentium 3 Systeme mit 2.8 GHz und 512 MB RAM. Nachfolgend die minimalen Systemanforderungen für die Clients. Arbeitsspeicher: 32 MB RAM Prozessor: ab Intel 486 (Pentium oder leistungsfähiger Prozessor empfohlen) Festplattenspeicher: 43 MB freier Festplattenspeicher (80 MB während der Installation) Netzwerkverbindungen In Sankt Augustin, Eichholz, Berlin und Wendgräben befindet sich jeweils ein Server mit dem SSC. Zusätzlich wurde in Sankt Augustin und Berlin das Verwaltungsprogramm für das Live-Update aufgespielt. Dadurch ist die Funktion des Live-Updates redundant ausgelegt, und die Virensignaturen und Updates können effizient verteilt werden. Ein durchschnittliches Update der Virendefinitionen von Symantec hat eine Größe von ca. 1 MB. Ein Update der Scan-/Reparatur-Engine hat eine Größe von 7-9 MB. Ein Update dieser Art erfolgt üblicherweise alle 4 bis 5 Monate Für Sankt Augustin und Eichholz ist der Virenschutz-Server ROLAND zuständig. Der Server ROLAND verteilt die Virensignaturen und Updates an die Clients und Server in St. Augustin, und den CCM-Server in Eichholz (CCM-Eichholz). Der Server CCM-Eichholz verteilt die Datenpakete weiter an die Clients und Server in Eichholz. Die Verbindung von Sankt Augustin nach Schloß Eichholz erfolgt über eine 2 Mbit/s Standleitung der Telekom. Dadurch kann zwischen diesen Standorten eine schnelle Übertragung der Dateien gewährleistet werden. Tobias Voß, März Dokumentation Virenschutz Seite 6 von 24

10 Von dem Berliner Virenschutz-Server (BERCCM01), erfolgt die Verteilung der Virensignaturen und Updates an die Clients und Server in Berlin. Die beiden Gebäude in Berlin sind untereinander per Lichtwellenleiter verbunden. Die Verbindung nach Wendgräben erfolgt von Berlin aus. Allerdings steht hier nur eine 128 Kbit/s ISDN-Leitung zur Verfügung. Dadurch erfolgen die Updates der Virendefinitionen und den Scan-/Repaturengines in Wendgräben mit etwas Verzögerung. Eine Erweiterung dieser Verbindung, z. B. auf xdsl, ist im Gebiet Wendgräben nicht möglich. Die Miete einer breitbandigen Standleitung ist für den Standort Wendgräben zu unwirtschaftlich. Zwischen den Standorten Berlin und Sankt Augustin steht eine 34 Mbit/s Standleitung zur Verfügung. ( Eine Übersicht der Netzwerkverbindungen finden Sie im Anhang 9.2 Seite 22) 4.4. Softwareanforderungen Auf der Client-Seite unterstützt die Norton Antivirus Corporate Edition alle Plattformen. Serverseitig wird mindestens ein Windows NT 4.0 Workstation oder Server mit Service Pack 6a vorrausgesetzt. Für den Quarantine 4 -Server muss zusätzlich der Internet Explorer 5.5 mit Service Pack 2 installiert sein Kosten- und Ressourcenplanung Da ein Server aus dem Bestand der EDV-Abteilung wiederverwertet wurde, konnten Kosten eingespart werden. Clientseitig sind auch keine Investitionen notwendig. Alle Clients entsprechen zumindest den minimalen Anforderungen der Norton Antivirus Corporate Edition. Als unterstützende Person wird Herr Torsten Vieth aus Berlin eingebunden. Herr Vieth installiert das SSC, nach meiner Anweisung und Absprache, auf dem Server in Berlin und Wendgräben Kosten- und Leistungsvergleich aktueller Antivirensoftware Als Institution der politischen Bildung ist es der KAS möglich, die Norton Antivirus Corporate Edition für Bundesbehörden zu beziehen. Die gesamte Edition befindet sich auf der sogenannten BSI 5 -CD. Bundesbehörden wird diese Software kostenlos zur Verfügung gestellt. Die Corporate Edition bietet dazu eine leistungsfähige 4 siehe Glossar 7.4 Seite 15 Quarantine -Server 5 siehe Glossar 7.5 Seite 15 BSI Tobias Voß, März Dokumentation Virenschutz Seite 7 von 24

11 Heuristik und eine sehr zeitnahe Versorgung mit aktuellen Virendefinitionen. Nachdem die Kosten für ein vergleichbares Produkt vorlagen, entschied sich die KAS für die Norton Antivirus Corporate Edition. 5. Projektdurchführung 5.1. Prozessschritte Untenstehend eine Übersicht der Installationsschritte und dem Zeitbedarf. Installieren des Betriebssystems auf dem Server Antiviren-Serversoftware installieren Antiviren-Clientsoftware installieren Sankt Augustin Berlin 4 Stunden Nicht notwendig 4 Stunden 4 Stunden 1 Stunde 1 Stunde 5.2. Installation des Servers Das Betriebssystem und die Norton Antivirus Corporate Edition werden auf getrennten Festplatten installiert. Dies soll die Arbeitsgeschwindigkeit der Antiviren- Software weiter erhöhen Betriebssystem Zuerst wird das Betriebssystem auf dem Server installiert. Hierbei wird eine Standardinstallation von Windows NT Server 4.01 vorgenommen. Danach wurde das Service Pack 6a nachinstalliert Programme der KAS Im weiteren Verlauf wurden die KAS-spezifischen Programme On Command Remote Host und Networker Client installiert Norton Antivirus Coporate Edition Die sogenannte BSI-CD mit Viren-Schutzprogrammen wurde beim BSI per Post bestellt. Diese CD enthält die gesamte Norton Antivirus Corporate Edition. Nachfolgend sind die wichtigsten Installationsschritte für das SSC erklärt: Tobias Voß, März Dokumentation Virenschutz Seite 8 von 24

12 Im Ordner \SAV8 der CD befindet sich die setup.exe zum Start des Hauptmenüs der Norton Antivirus Corporate Edition. Das Symantec System Center befindet sich im Bereich Administrator-Tools. Folgende Komponenten des SSC werden installiert: - Alert Management System-Konsole - Symantec Antivirus Snap-In - AV Server Rollout Tool - NT Client-Installation-Tool Auf die Komponente Symantec Client Firewall Snap-In wurde verzichtet, da sich der Antivirenschutz-Server bereits hinter der Firewall der KAS befindet. Auf einen Quarantäne Bereich wurde ebenfalls verzichtet. Der Effizienzgewinn im Vergleich zu dem Arbeitsaufwand ist zu gering. In einer aktuellen Statistik wurden pro Tag ungefähr 1000 Viren-Einschläge festgestellt. Eine Statistik dieser Einschläge wurde bereits vor der Norton Antivirus Corporate Edition geführt. Die Statistik wurde jetzt mit Daten des aktuellen Systems ergänzt. ( Eine Übersicht der Viren-Einschläge finden Sie im Anhang 9.3 Seite 23) Die oben genannten Komponenten des SSC wurden ebenfalls auf den Servern in Eichholz, Berlin und Wendgräben installiert. In Berlin und Wendgräben war Herr Vieth nach meinen Anweisungen tätig Einrichtung der Clients Norton Antivirus Client-Software Das SSC bietet eine eigene Funktion, die Client-Software zu verteilen. Um Komplikationen im Vorfeld zu vermeiden, wurde allerdings auf die Softwareverteilung (On Command) der KAS zurückgegriffen Qualitätssicherung/Tests Nach Abschluß dieses Projektes steht der KAS ein vollständig automatisierter Virenschutz zur Verfügung. Es folgt eine Übersicht der durchgeführten Tests: Tobias Voß, März Dokumentation Virenschutz Seite 9 von 24

13 - Testen der Erreichbarkeit der einzelnen Server - Einsatz einer Antivirus-Test-Datei - Download und Verteilung aktueller Virendefinitionen Testen der Erreichbarkeit der einzelnen Server Zuerst wurde vom Standort St. Augustin die Erreichbarkeit der Server in Berlin, Wendgräben und Eichholz getestet. Die Erreichbarkeit wurde mit Hilfe von Standard-Netzwerktools getestet. Die Ergebnisse dieses Tests verliefen durchweg positiv. Es gab keine verlorenen Datenpakete und geringe Antwortzeiten. Ebenfalls positiv verliefen die Test aus Richtung Berlin nach St. Augustin, durchgeführt durch Herr Vieth Einsatz einer Antivirus-Test-Datei Für einen Test des Antivirus-Systems wird eine Antivirus-Test-Datei eingesetzt. Diese Datei wird bereitgestellt von dem Eicar e. V. 6. Die Datei enthält harmlosen und ungefährlichen Quellcode, der einem Virus aber stark ähnelt. Quellcode: X5O!P%@AP[4\PZX54(P^)7CC)7}$EICAR-STANDARD-ANTIVIRUS-TEST-FILE!$H+H* Der oben genannte Quelltext kann in einen beliebigen Editor kopiert werden. Danach wird die Datei als.com oder.exe Datei gespeichert. Bereits bei dem Speichern oder spätestens bei dem Ausführen der Datei sollte des Virenprogramm Alarm schlagen. Dieser Vorgang kann auf einem beliebigen Client der KAS ausgeführt werden. Sollte der Virenwächter der Norton Antivirus Corporate Edition diese Datei unbeanstandet lassen, erscheint in einem DOS-Fenster die Meldung EICAR-STANDARD-ANTIVIRUS-TEST-FILE! Bis zu dieser Meldung ist erst gar nicht gekommen. Bereits bei dem Speichern der Datei schlug der Virenwächter der Norton Antivirus Corporate Edition Alarm. Weitere Versuche, die Datei zu speichern oder auszuführen schlugen fehl Download und Verteilung aktueller Virendefinitionen In einem weiteren Test wurden aktuelle Virendefinitionen von Symantec heruntergeladen und an die Server und Clients der KAS verteilt. Dabei wurde auf 6 siehe Glossar 7.6 Seite 15 Eicar e. V. Tobias Voß, März Dokumentation Virenschutz Seite 10 von 24

14 den Update-Zyklus des Live Update zurückgegriffen. Im Laufe der Tests stellte sich allerdings heraus, dass der Update-Zyklus des Live Updates zu niedrig ausfällt. Als Alternative bietet Symantec den sogenannten Intelligent Updater Download der Virendefinitionen per Script Dieser Schritt wurde vollzogen, um einen höheren Update-Zyklus der Virendefinitionen zu erreichen. Dabei wurde als Alternative auf den Intelligent Updater von Symantec zurückgegriffen. Die Virendefinitionen werden nun täglich um Uhr an die Clients und Workstations der KAS verteilt. Ein Script steuert nun den Download der Virendefinitionen. Das Script wurde auf einem für das Internet zugelassenen Server ausgelagert. Damit sind keine neuen Berechtigungen in der Firewall einzutragen. Untenstehend das Script: cegetter.bat Anfang rem DIESE BATCH-DATEI MUSS WG. DES SELBSTEXTRACTORS IN C:\ STEHEN ftp -s:cescript.txt call "%systemdrive%\navup8.exe" move %systemdrive%\*.xdb "\\roland\c$\programme\nav\" del /q %systemdrive%\navup8.exe cegetter.bat Ende Erläuterungen zu der Datei cegetter.bat: ftp -s:dateiname Gibt eine Textdatei an, die FTP-Befehle enthält. Die Befehle werden nach dem Starten von FTP automatisch ausgeführt. call Ruft eine Batchdatei von einer anderen aus auf. Bei der Datei "navup8.exe" handelt es sich um ein gepacktes Archiv. Die Datei wird ausgeführt und.xdb Dateien (Virensignaturen) werden extrahiert. 7 siehe Glossar 7.7 Seite 16 Intelligent Updater Tobias Voß, März Dokumentation Virenschutz Seite 11 von 24

15 move Verschiebt Dateien und benennt Dateien und Verzeichnisse um. Die Virendefinitionen (.xdb-dateien) werden in das Systemverzeichnis der NAV Corporate Edition kopiert. del Die Datei "navup8.exe" wird wieder gelöscht. Untenstehend das Script für die Ausführung der FTP-Befehle: cescript.txt Anfang open ftp.symantec.com anonymous cd public/english_us_canada/antivirus_definitions/norton_antivirus/static lcd C:\ bin hash prompt get navup8.exe quit cescript.txt Ende Erläuterungen zu der Datei cescript.txt - Zuerst wird eine anonyme FTP Verbindung zu dem Host ftp.symantec.com aufgebaut. Als Passwort wird die Adresse nobody@spammer.com verwendet - Danach erfolgt ein direkter Wechsel in das Verzeichnis cd public/english_us_canada /antivirus_definitions/norton_antivirus/static - Jetzt wird mit lcd C:\ das lokale Arbeitsverzeichnis auf dem Rechner gewechselt. Voreingestellt ist das Verzeichnis, von dem aus man die FTP- Sitzung gestartet hat. - Mit bin wird in den binären Übertragungsmodus umgeschaltet, voreingestellt ist ASCII - Durch den Befehl hash wird die Ausgabe von # für jeden übertragenen Puffer ein-/ausgeschaltet Tobias Voß, März Dokumentation Virenschutz Seite 12 von 24

16 - Der Befehl prompt schaltet die interaktive Benutzerführung bei mehreren Befehlen aus. - Danach wird die Datei navup8.exe vom Symantec FTP-Server heruntergeladen und die Verbindung getrennt. Nach der Ausführung der Datei cegetter.bat stehen der Norton Antivirus Corporate Edition aktuelle Virendefinitionen zur Verfügung Update-Verfahren der Virensignaturen Update per Script Untergeordnete Server (und Clients) 1. Ebene Untergeordnete Server (und Clients) 2. Ebene Zeitplan (täglich!) Roland 7:00 Clients Augustin Sofort Übrige Server Augustin 7:15 CCM-EICHHOLZ 7:15 Clients Eichholz Sofort Übrige Server Eichholz 7:30 BERCCM01 7:00 Clients Berlin Sofort Übrige Server Berlin 7:15 CCM-WENDGRAEBEN 7:15 Clients Wendgräben Sofort Übrige Server Wendgräben 7: Abweichungen zum Projektantrag Ein detaillierter Vergleich von Antivirenprodukten ist für dieses Projekt entfallen. Mit der CD des BSI steht der KAS ein kostenloses, leistungsfähiges Antivirenschutz- Produkt zur Verfügung. Als Vergleich wäre z. B. die Antivirenschutz-Software Sophos Enterprise Manager zu nennen. Dieses Produkt bietet ähnliche Funktionen und eine sehr gute Heuristik. Der Preis für 25 Lizenzen liegt bei diesem Produkt bei 50 Euro. Tobias Voß, März Dokumentation Virenschutz Seite 13 von 24

17 6. Projektergebnisse 6.1. Abnahme, Projektübergabe Nach dem Abschluss der Projektdurchführung wurde das Antivirenschutz-System an die KAS übergeben. Es erfolgte eine Einweisungen der Administratoren der KAS in das System. Dazu wurden u. a. Virendefinitionen des Systems aktualisiert Bewertung des Projektverlaufs / Ausblick Die Forderungen der Soll-Analyse konnten erfüllt werden. Der administrative Aufwand für das System ist sehr gering. In erster Linie beschränkt sich dieser Aufwand auf überwachende Tätigkeiten. Fehlbedienungen an diesem System sind durch die hohe Automatisierung weitestgehend ausgeschlossen. Symantec stellt tägliche (evtl. auch mehrmals am Tag) Updates der Virendefinitionen und Scan- /Repatur-Engines zur Verfügung. Dadurch kann eine hohe Zuverlässigkeit des Systems erreicht werden. Benutzer der Clients können den Virenschutz nicht deaktivieren. Durch das neue Virenschutz-System steht der KAS ein effizienter Virenschutz zur Verfügung. Damit ist die KAS auch für zukünftige Viren-Epidemien gerüstet. Tobias Voß, März Dokumentation Virenschutz Seite 14 von 24

18 7. Glossar 7.1. On Command Remote Host On Command Remote ist eine unter Windows laufende Remote-Control-Software, die Fernsteuerung/Fernwartung über eine Peer-to-Peer Verbindung erlaubt Networker Client Ansteuerungssoftware für die zentrale Datensicherung Navex-Technologie Die Navex-Technologie (Norton Antivirus Extenstion) ermöglicht die regelmäßige Versorgung mit Virendefinitions-Updates. Auch eine plattformübergreifende Verteilung und automatische Aktualisierung von Scan-/Reperatur Engines ist möglich. Ohne die Software neu installieren oder das System neu starten zu müssen, erhalten Kunden Virensignaturen für neuartige Viren, einschließlich Makro-, Windows- und Office 2000-Viren Quarantine-Server Es kann ein Quarantäne-Bereich auf dem zentralen Virenschutz-Server eingerichtet werden. Dabei werden alle nicht reparierbaren, virusinfizierten Dateien in diesen Quarantäne-Bereich auf einen zentralen Server weitergeleitet. Vor der Übermittlung einer infizierten Datei werden unternehmensrelevante Informationen aus der Datei entfernt und nur der infizierte Teil wird an Symantec übertragen BSI (Bundesamt für Sicherheit in der Informationstechnik) Das Bundesamt für Sicherheit in der Informationstechnik (BSI) wurde am 1. Januar 1991 gegründet und gehört zum Geschäftsbereich des Bundesministerium des Innern. Das BSI ist eine unabhängige und neutrale Stelle für Fragen zur IT- Sicherheit in der Informationsgesellschaft. Als Behörde ist sie damit im Vergleich zu sonstigen europäischen Einrichtungen einzigartig. Derzeit sind dort rund 380 Informatiker, Physiker, Mathematiker und andere Mitarbeiter beschäftigt. Seinen Hauptsitz hat das BSI in Bonn Eicar e. V. (European Institure for Computer Anti-Virus Research) Das "Europäische Institut für Computer Anti-Viren Forschung" sieht sich als Plattform für den Informationsaustausch der im Bereich der Computer Anti-Viren Forschung tätigen Gruppen. Dies ermöglicht eine globale Zusammenarbeit über Tobias Voß, März Dokumentation Virenschutz Seite 15 von 24

19 den europäischen Rahmen hinaus von Universitäten, Industrie und Medien, aber auch von Technik-, Sicherheits- und Rechts-Experten aus zivilen und militärischen Bereichen sowie Verbraucherschutzorganisationen mit dem Ziel Kräfte zu vereinen und gemeinsam gegen das Schreiben und Verbreiten von gefährlichen Computerprogrammen wie Computer-Viren und trojanischen Pferde, aber auch gegen Computer Kriminalität und Betrug sowie das Ausspähen von personenbezogenen Daten vorzugehen Intelligent Updater Der Intelligent Updater ist eine Alternative zu LiveUpdate, um Virusdefinitionen zu aktualisieren. Der Intelligent Updater ist in Form von zwei großen oder mehreren kleineren Dateien verfügbar. Die erste große Datei ist am geeignetsten für die meisten Anwender mit Netzwerk- oder DFÜ-Internetzugriff. Die kleineren Dateien können auf Disketten kopiert und zum Aktualisieren der Virusdefinitionen auf Computern ohne Internetzugriff oder Netzwerkverbindungen verwendet werden. Die zweite große Datei ist ein einzelnes umfassendes Paket für Netzwerkadministratoren, die für die Wartung verschiedener NAV-Versionen auf verschiedenen Plattformen zuständig sind. Tobias Voß, März Dokumentation Virenschutz Seite 16 von 24

20 8. Quellen Internet Tobias Voß, März Dokumentation Virenschutz Seite 17 von 24

21 Tobias Voß, März Dokumentation Virenschutz Seite 18 von 24

22 Tobias Voß, März Dokumentation Virenschutz Seite 19 von 24

23 Zeitschriften - c t 2004, Heft 3 (Report/Viren und Trojanische Pferde) - IT-Grundschutzhandbuch Oktober 2003 Tobias Voß, März Dokumentation Virenschutz Seite 20 von 24

24 9. Anhang 9.1. Detaillierte Informationen zu Viren Der Begriff Virus hat sich für eine Vielzahl von Computerschädlingen aller Art etabliert. Viele Schädlinge stellen heute ohnehin eine Mischform dar, wodurch sich die klassische Unterscheidung nach Viren, Würmern und Trojanern nicht mehr halten lässt. Derzeit dominieren Würmer. Diese Würmer haben es lediglich auf maximale Verbreitung abgesehen. Würmer dieser Art können evtl. eine sehr hohe Netzlast erzeugen, und ein Netzwerk zum erliegen bringen. Trojanische Pferde (ugs. Trojaner) hingegen bringen versteckte Schadfunktionen mit. Trojaner rüsten auf betroffenen System zusätzliche Funktionen nach. Dazu gehören z. B.: - Zugangsdaten oder Seriennummern stehlen - Fernsteuerung und Administration des Systems - Verbreitung per Es existieren sogar frei verfügbare Baukastensysteme zur Erstellung eigener Trojaner (sog. Baukasten-Trojaner). Unter dem Oberbegriff Fernwartungssoftware wird beispielsweise die Software OptixPro 1.3 vertrieben. Schritt für Schritt kann man sich seinen eigenen Trojaner zusammenklicken. Dieses Produkt wird anschließend in eine ausführbare.exe Datei verpackt und auf aktuelle Virenscanner angesetzt. Damit kann der Autor dieses neuen Trojaners zuerst die Wirksamkeit auf seinem eigenen System testen. Danach kann der neue Trojaner auf fremde Systeme angesetzt werden, z. B. zur Übernahme eines Systems, oder zum ausspionieren von persönlichen Daten. Weiter gibt es speziell präparierte Webseiten, welche Fehler im MS Internet- Explorer ausnutzen. Diese Fehler werden genutzt, um Programme aus dem Internet herunterzuladen und auszuführen. Tobias Voß, März Dokumentation Virenschutz Seite 21 von 24

25 9.2. Skizze des Netzwerkes Tobias Voß, März Dokumentation Virenschutz Seite 22 von 24

26 9.3. Statistik Viren-Einschläge Nachfolgend eine Statistik der festgestellten "Viren-Einschläge" von Juli 2002 bis März Ein rapider Anstieg der Einschläge ist seit Anfang diesen Jahres zu verzeichnen: Januar Februar März April 46 Mai 445 Juni 408 Juli August September Oktober November Dezember "Viren-Einschläge" Juli August September Oktober November Dezember Tobias Voß, März Dokumentation Virenschutz Seite 23 von 24

27 "Viren-Einschläge" Januar Februar April Mai Juni Juli August September Oktober November Dezember "Viren-Einschläge" Januar Februar März Tobias Voß, März Dokumentation Virenschutz Seite 24 von 24