ECDL - Europäischer Computer Führerschein. Sigmund Dehn, Markus Krimm 1. Ausgabe, September 2011

Transkript

1 ECDL - Europäisher Computer Führershein Sigmund Dehn, Mrkus Krimm 1. Ausge, Septemer 2011 Modul 8 - IT-Seurity (mit Windows 7 und Internet Explorer 9) ECDL8-IE9-5_AT

2 3 ECDL - Modul 8 - IT-Seurity 3 Computerkriminlität In diesem Kpitel erfhren Sie ws unter Cyerrime und Spionge zu verstehen ist welhe Personen Angriffe durhführen ws Hker, Crker und Sript-Kids sind welhe Formen des Identitätsdiesthls es git wie Sie sih vor Identitätsdiesthl shützen können Vorussetzungen Grundkenntnisse des Betriessystems Erfhrungen im Umgng mit dem Internet 3.1 Cyerrime und Spionge Digitle Kriminlität Cyerrime zw. Computerkriminlität oder Internetkriminlität ezeihnet u.. den Diesthl von Nhrihten, Informtionen und Dten. Zu dieser illeglen und strfren Hndlung zählten u.. ds Ausspähen im privten Bereih, ds Afngen von Wirtshftsdten ls Teil der Wirtshftskriminlität sowie die Nutzung und Verreitung von illegler Softwre und sogennnten Hker-Tools. Unter den Begriff "Cyerrime" fllen: der Computeretrug (der vorsätzlihe Betrug mittels eines Computers), der Betrug mittels gestohlener Kreditkrtendten und PINs (Skimming), die Herstellung und Verreitung von Shdsoftwre (Mlwre), die Dtenmnipultion und -sotge, die Nutzung illegl erworener Softwre oder ihre Verreitung (Softwrepirterie). D die Zhl der PC-Areitsplätze und somit uh der Dtentrnsfer stetig nsteigt, nimmt uh die Gefhr zu, dss Dten gestohlen werden. Einldung zum Diesthl Es muss er niht usshließlih eine gro fhrlässige oder vorsätzlihe Hndlung eines Mitreiters vorliegen. Auh die Unwissenheit einzelner Benutzer knn dzu führen, dss Dten entwendet werden. So esteht die Gefhr, dss Mitreiter unwissend shädlihe Progrmme instllieren. Durh die Verwendung von Trojnern (Progrmmen, die ds Ausspionieren eines Computersystems ermöglihen), können Hker uf empfindlihe Dten zugreifen. Auh der Einruh in ein Funküertrgungsnetz (Bluetooth oder WLAN) oder die Sotge des eigentlihen Netzwerks sind Optionen, um Dten uszuspionieren. 16 HERDT-Verlg

3 Computerkriminlität 3 Dtenmitnhme Mitreiter, die erehtigt sind, Informtionen zu lesen, können diese Berehtigung uh nutzen, um eine Kopie dieser Dten nzufertigen. Spätestens dnn, wenn die Notwendigkeit niht mehr vorhnden ist, dss ein Benutzer uf estimmte sensile Dten zugreifen knn, sollte ihm die entsprehende Berehtigung wieder entzogen werden. D nur shwer verhindert werden knn, dss während der efugten Areit mit sensilen Dten ereits Kopien ngefertigt werden, sollten in Bereihen mit hohem Siherheitsnspruh Üerlegungen ngestellt werden, wie der Trnsport von Dten us dem geshützten Bereih herus verhindert werden knn. Besonders die Verreitung von USB-Anshlüssen n PCs und die hohe Verfügrkeit von entsprehenden USB-Stiks stellen mngels usreihender ins Betriessystem integrierter Kontrollmethoden derzeit ein Prolem dr. Zuml diese u.. uh inneretrielih zur Dtenüertrgung genutzt werden und ds duerhfte Dektivieren der entsprehenden USB- Shnittstellen m PC selst nur shwer zu relisieren ist. Folgende Aspekte sollten hier geprüft werden: Sind in den PCs USB-Ports oder Funküertrgungsshnittstellen (Bluetooth oder WLAN) instlliert und ktiviert? Git es eine Möglihkeit für Benutzer, externe Lufwerke (USB-Stiks, DVD-Brenner, et.) nzushließen, um Dten zu kopieren? Besteht vom geshützten PC us die Möglihkeit eines Internetzugngs? Wenn der Internetzugng nötig ist: Welhe Progrmme sind zugelssen zw. notwendig? Erpressung/Mnipultion Sttistiken üer Shdensfälle im IT-Bereih weisen druf hin, dss die Mehrheit der Fälle von den eigenen Mitreitern verursht wurden und nur ein geringer Anteil von unternehmensfremden Personen. Verärgerte Mitreiter (zu wenig Gehlt, Kündigung o. Ä.) könnten erhelihe Shäden verurshen, indem sie z. B. die entwendeten Kundendten oder Forshungsergenisse veröffentlihen oder mit solhen Aktionen drohen. Mitreiter hen im Gegenstz zu Hkern viel leihter direkten Zugriff uf unternehmenskritishe Dten und können Dten mnipulieren, verkufen, veröffentlihen oder löshen. 3.2 Hker, Crker und Sript-Kids Wer Firmennetzwerke ngreift Als Hken wird ds unerehtigte Eindringen in Computersysteme und Netzwerke verstnden, ei dem Siherheitsvorkehrungen umgngen werden. Als Gegenstük zum Hker, der meist einer Art Ehrenkodex folgt, gilt der Crker, dessen Ziele meist krimineller Ntur sind: Lüken in Netzwerken werden explizit gesuht, um diese zum Stehlen von Informtionen, zur Verunglimpfung von Firmen zw. Personen oder us finnziellen Interessen usnutzen zu können. Auh ds Entfernen des Kopiershutzes von Spielen, Filmen und Musiklen wird ls Crken definiert. HERDT-Verlg 17

4 3 ECDL - Modul 8 - IT-Seurity Blk-Hts, White-Hts, Grey-Hts und Sript-Kids Ein ungeshrieenes Gesetz in lten Westernfilmen wr es, dss die Helden immer weiße und die Shurken immer shwrze Hüte trugen. In Anlehnung drn entstnden die folgenden Bezeihnungen für "gute" und "öse" Hker: White Hts sind Ethikhker mit fest definierten, gesetzeskonformen Regeln, die ds Ziel hen, Shwhstellen in Netzwerken (z. B. durh Penetrtionstests) ufzudeken und zu dokumentieren. In der Regel ewegen sih ethishe Hker innerhl geltender gesetzliher Regeln. Blk Hts nutzen ihr Wissen für kriminelle Hndlungen, um z. B. Systeme für ihre Zweke zu mnipulieren oder Informtionen zu entwenden. Grey Hts hndeln niht immer in Sinne des gesetzlihen Rhmens und der Hkerethik, z. B. legen sie Siherheitsmängel durh illegle Mittel offen. In der Presse ist uh von Sript-Kids die Rede - dies ezieht sih jedoh niht unedingt uf ds Alter (ws in den meisten Fällen uh zutreffend sein dürfte), sondern vielmehr uf ds tehnishe Know-how der Hker. Sript-Kids sind ufgrund mngelnder tehnisher Kenntnisse niht in der Lge, selstständig Shwhstellen zu finden oder diese für irgendwelhe Aktivitäten uszunutzen. Vielmehr nutzen sie die von nderen Hkern progrmmierten Tools. 3.3 Formen des Identitätsdiesthls Soil Engineering - Informtionen im sozilen Umfeld Mitunter ist die einfhste Möglihkeit für einen Hker niht ein erfolgreiher Angriff uf die Firmen-Firewll oder ds Knken eines Psswortes. Vielerorts ist es erstunlih einfh, die Konto- und Zugngsdten von den Mitreitern des Unternehmens selst in Erfhrung zu ringen. Unter Soil Engineering wird im Allgemeinen die sozile Mnipultion von Menshen ohne Einstz tehnisher Hilfsmittel verstnden. Dei wird die Hilfsereitshft usgenutzt. Dei versuht der Hker, unutorisierten Zugng zu Systemen oder Informtionen zu ekommen, um Betrug, Industriespionge oder Identitätsdiesthl (Diesthl und Verwendung von Benutzernmen und Psswörtern oder Bnkdten) zu egehen. Pretexting Durh Vorspielen eines erfundenen Szenrios (Vorspiegelung flsher Ttshen) wird die Chne genutzt, dss ein elieiges Opfer freiwillig personenezogene Informtionen preisgit und vom Hker gewünshte Aktionen durhführt. Oft werden im Vorfeld wesentlihe persönlihe Dten wie z. B. Geurtsdtum, Sozilversiherungsnummer, der letzte Rehnungsetrg oder Bnkuszüge des Opfers uskundshftet. Mithilfe dieser Informtionen wird die Legitimität des Afrgens von Dten vorgegukelt. Pretexting edient sih mittlerweile häufig vermeintlih offizieller Dokumente, die ngelih von Polizei, Bnken, Finnzämtern oder Versiherungen stmmen. Formulre oder Weseiten sehen meistens dem Originl zum Verwehseln ähnlih. Der sogennnte Pretexter muss einfh ein vorgefertigtes Protokoll mit Frgen versenden und sih uf potenzielle Rükfrgen zukünftiger Opfer vorereiten. 18 HERDT-Verlg

5 Computerkriminlität 3 Soil Engineering üer ds Telefon Die häufigste Vrinte des Soil Engineerings wird üer ds Telefon durhgeführt. Der Hker git sih gegenüer dem Angerufenen ls Mitreiter des Helpdesks (Informtionsdienstes) oder ls ein Kollege us, der zur Beheung eines dringenden Prolems shnell ein Psswort enötigt. Online Soil Engineering Im Gegenstz zum Soil Engineering üer ds Telefon nutzt ds Online Soil Engineering ds Internet selst, um neue Informtionen zu gewinnen: "Sie könnten gewinnen!", heißt es mögliherweise in einer E-Mil n einen Mitreiter. Um n dem Gewinnspiel teilzunehmen, muss er nur shnell einen Frgeogen usfüllen und ein pr Detils zu seinem Areitspltz erläutern o. Ä. Viele Menshen denken ei der Aussiht uf einen Gewinn niht n den Wert der Informtionen, die sie in ein Formulr uneknnten Ursprungs eingeen. Phishing Eine weitere Vrinte der Soil-Engineering-Angriffe ist ds sogennnte Phishing (engl. Kunstwort us "pssword" und "fishing": Psswortfishen). Bei dieser Art des Internetetrugs werden zuerst mssenhft Mils vershikt, die vorgeen, z. B. von Online-Zhlungsdiensten wie PyPl oder von Auktionshäusern wie z. B. eby zu sein. Diese Mils gleihen in ihrem Ersheinungsild den Mils der Originle. Eine weitere eliete Phising-Methode ist ds Versenden von Mssenmils mit der Aufforderung, uf einen in der Mil enthltenen Link zur eigenen Bnk zu kliken. Der nzuklikende Link wurde mit diversen Tehniken vershleiert und führt niht uf die Originl- Wesite, sondern uf eine Kopie. Als Vorwnd dient oftmls eine Umstellung des Bnkensystems zw. Onlineuftritts, die ngelih die Einge der PIN (persönlihe Identifiktionsnummer) und mehrerer TANs us einer Liste (Trnsktionsnummer, die ls Einml-Kennwort nh einmliger Verwendung ihre Gültigkeit verliert) erforderlih mht. Zu den Einml-Kennwörtern zählen u.. uh moile TANs oder zur einmligen Verwendung gestellte Kennwörter wie ei Eine Phishing-Mil HERDT-Verlg 19

6 3 ECDL - Modul 8 - IT-Seurity Der hnungslose Nutzer, der uf diese Wesite gelngt und sih mit seinen uthentishen Online-Zugngsdten nmelden will, git so den Phishern seine Dten preis, die im Gegenzug dnn sein Konto leerräumen oder die gestohlenen Zugngsdten nderweitig usnutzen. Dumpster Diving zw. Informtion Diving Wörtlih üersetzt ls "Mülleimertuhen", ist Dumpster Diving eenflls eine möglihe Informtionsquelle für Hker. Gelingt es dem Hker, Zugng zu weggeworfenen Akten, Memos, Orgnistionsplänen oder Ähnlihem zu ekommen, lässt sih us diesen Unterlgen rekonstruieren, wer welhe Rolle im Unternehmen spielt, wer welhe Telefonnummer ht, zu welhen Zeiten er/sie im Büro nwesend ist et. Aus unshgemäß gelöshten Dtenträgern können Hker vertrulihe Dten us usgemusterten Computern gewinnen. Oft wird in solhen Fällen der Dtengewinnung, in Anlehnung n Dumpster Diving, von Informtion Diving gesprohen. Hierei werden Informtionen üer instllierte Softwre (z. B. Textverreitungsprogrmme, Betriessysteme, Computerspiele et.) gewonnen. Eenso können ei dieser Form der Informtionseshffung weitere Dten wie z. B. Kreditkrten-Informtionen zugänglih gemht werden. Besonders shwerwiegend ist der resultierende Shden für Unternehmen, wenn personenezogene Kundendten us Unternehmen in den Bereihen Bildung, Versiherungen, Gesundheitswesen oder von Behörden "geshöpft" werden. Skimming Beim Skimming (engl. für "Ashöpfen") wird versuht, durh mnipulierte Bnkutomten Informtionen und Dtensätze von Kunden zufngen, um nhfolgend Konten zu "plündern". Hierei wird entweder mittels einer kleinen Funkkmer die Einge der PIN gefilmt oder ds gnze Tstenfeld usgetusht, sodss die Einge der PIN üer ds mnipulierte Tstenfeld zwishengespeihert werden knn. Von diesem Vorgng erfährt der Bnkkunde nihts. Prllel dzu wird die in den Krtenslot eingeführte Bnk- zw. Kreditkrte durh ein zusätzlih m Krteneinzug ngerhtes Krtenlesegerät usgelesen. Mit den so gewonnenen Dten lssen sih im Anshluss mithilfe von Mgnetkrtenrohlingen originlgetreue Kopien der usgelesenen Bnk- zw. Kreditkrten herstellen. Shoulder Surfing Ähnlih wie eim Skimming werden eim Shoulder Surfing (uf Deutsh "Üer die Shulter shuen") Informtionen und sensile Dten usgespäht. Durh diese Art der Informtionsgewinnung können die PINs von Bnk- oder Kreditkrten oder Mil-Zugngsdten n öffentlihen PCs in z. B. Internet-Cfés gelesen werden. Selst Eingen m PC-Disply können vi Funkkmer, Ferngls und Teleskop ufgezeihnet werden. Shoulder Surfing und Skimming knn vorgeeugt werden, indem ei jegliher Einge personenezogener oder wirtshftlih relevnter Dten druf gehtet wird, dss eine nhfolgende Mnipultion oder ds Agreifen der Dten verhindert wird. Dies knn ei Einge der PIN durh einfhes Üerprüfen des Geldutomten und durh einen Blik üer die eigene Shulter geshehen. 20 HERDT-Verlg

7 Computerkriminlität Üung Computerkriminlität Level Zeit. 10 min Üungsinhlte Ergenisdtei Verstehen, ws Cyerrime ist Verstehen, ws Identitätsdiesthl ist Vershiedene Tehniken des Identitätsdiesthls kennenlernen Computerkriminlität.dox Ws wird unter dem Begriff "Cyerrime" verstnden? Mehrere Antworten können rihtig sein. d e f Die Dtenmnipultion und -sotge Ds nonyme Surfen im Internet Ds Spielen von PC-Spielen in der virtuellen Relität Die Herstellung und Verreitung von Shdsoftwre (Mlwre) Ds Aufrufen von Weseiten Der Dtendiesthl Ws ist Pretexting? Ds illegle Herunterlden von Texten Ds Durhsuhen von Festpltten nh illeglen Dten Die illegle Dteneshffung durh Vortäushen flsher Ttshen Ws verirgt sih hinter dem Begriff "Soil Engineering"? Mehrere Antworten können rihtig sein. d Vermeintlihe Gewinnversprehungen, hinter denen sih ein Trojner verirgt Die Unwissenheit nderer Menshen usnutzen, um in ein Netzwerk einzudringen Personen dhin gehend mnipulieren, dss sie Bnkdten offenlegen Die Nutzung soziler Netzwerke Worin untersheiden sih Phishing und Skimming? Mehrere Antworten können rihtig sein. d Beim Skimming werden Dten der Bnk- zw. Kreditkrte kopiert. Phishing ezieht sih nur uf Bnkgeshäfte, Skimming hingegen uf Online-Einkäufe. Sie untersheiden sih niht. Phishing nutzt die Unwissenheit von Menshen, um PINs und TANs uszuspionieren. HERDT-Verlg 21