Übungsaufgabe. 1. Übungsaufgabe

Transkript

1 Übungsaufgabe #1 1. Übungsaufgabe Nachdem Sie erst vor knapp zwei Wochen von der Internet Security AG als Security Analyst angestellt wurden, bekommen Sie heute bereits Ihren ersten eigenständigen Auftrag. Der Kunde, ein mittelgroßes Unternehmen in der Baubranche im Westen von Wien, hat ein akutes Problem. Der Geschäftsführer, Hr. M., wurde gestern Nacht von seinem Netzwerkadministrator, Herrn A. angerufen, der gerade am Weg ins Büro war und vor Aufregung kaum sprechen konnte. Alles, was Herr M. entnehmen konnte, waren einzelne Brocken wie riesengroßer Vertrauensverlust, unglaubliche Sicherheitslücke, und ein Verweis auf die bisherige Nichtexistenz einer so großen Sache in der 13-jährigen Laufbahn von Hr. A. Danach riss die Verbindung ab. Am nächsten Tag stellte sich heraus, dass Herr A. am Weg ins Büro tödlich verunglückte. Vor lauter Aufregung fuhr er in einem Baustellenbereich frontal in einen noch nicht aufgebauten Baukran, er war auf der Stelle tot. Der Geschäftsführer hat bei der Internet Security AG angerufen, da er in der momentanen Situation völlig überfordert ist. Offensichtlich gibt es ein Sicherheitsproblem, doch er hat keinerlei Ahnung, was Herr A. gemeint haben könnte. Herr A. war der einzige hauptamtliche Administrator der Firma. Er war technisch äußerst versiert, allerdings auch ein Eigenbrödler, der kaum Aufzeichnungen gemacht hat und sich nur wenig in die Karten schauen ließ. Soweit Sie nach ersten Recherchen herausfinden konnten, besteht das Netzwerk aus einem jeweils Unix-basierten DNS- sowie http Server, zusätzlich wird mit 2 Windows 2000 Servern im Terminal Server Modus und einem Backoffice Server mit SQL Server und Exchange Server 2000 gearbeitet. Zusätzlich existieren rund 35 Clients, von drei Baustellen aus wird via Internet auf die SQL Datenbank sowie auf die Terminal Server zugegriffen. 1

2 LV Internet Security Hinweis: Wenden Sie für jeden Punkt maximal 20 Minuten auf. Es geht bei dieser Übung nicht darum, den perfekten Plan oder ein optimales Bedrohungsszenario auszuarbeiten. Hinweise zur Abgabe: Angenommen werden ausschließlich elektronische Abgaben in Form von s mit attachment im PDF, Word oder RTF Format. Achten Sie in Ihrem an klemen@ifs.tuwien.ac.at auf das korrekte Subject Uebung 1, damit mein Regelassistent die Zuordnung korrekt durchführen kann. Wenn die Zuordnung richtig erfolgt ist, erhalten Sie automatisch eine Bestätigung über den Erhalt des Mails. Keine Gruppenabgaben bei diesem Übungsbeispiel! Aufgaben: Aufgabe 1a: Erstellen Sie einen Plan zur systematischen Vorgangsweise, wie die Sicherheit in dem Unternehmen wiederhergestellt werden kann. Welche Schritte müssen in welcher Reihenfolge nach Ihrer Meinung unternommen werden, um möglichst rasch die Integrität des Gesamtsystems wieder sicherstellen zu können? Aufgabe 1b: Machen Sie eine Liste der aus Ihrer Sicht 7 größten Gefährdungspotentiale. Schreiben Sie diese Liste aus dem Bauch heraus, ohne zusätzliche Literatur oder Internetquellen zu konsultieren. Versuchen Sie kurze aber durchdachte Begründungen zu finden, welche Eigenschaften die identifizierten Potentiale so gefährlich machen. Aufgabe 1c: Erstellen Sie ausgehend von den Ergebnissen aus Schritt 1 und den Hauptschwächen aus Punkt 2 eine grobe Aufwandsschätzung in Mannstunden, so dass Herr M. eine Vorstellung davon bekommen kann, welche Kosten bei dieser Aktion auf ihn zukommen. Kalkulieren Sie dabei auch Zeit für die Erstellung eines ausführlichen Reports mit ein. Welchen zeitlichen Rahmen halten Sie für realistisch, unter der Annahme, dass Sie bis zu drei Kollegen für Teilaufgaben heranziehen können? 2

3 Übungsaufgabe #2 2. Übungsaufgabe Ihr Kollege, Hr. R., wurde von Ihnen mit einer Erstanalyse der Firewall-Logs sowie des DNS Servers beauftragt. Das Unternehmen hat 2 Firewalls, eine externe und eine interne, die als NAT fungiert. Die Regeln der externen Firewall können wie folgt zusammengefasst werden: # allow all inbound DNS traffic accept all from untrusted to ; # allow all inbound WWW traffic accept all from untrusted to ; # allow all outbound traffic on all ports accept any from trusted # block everything else block any from untrusted to trusted Die Regeln der internen Firewall können wie folgt zusammengefasst werden: # allow all outbound traffic on all ports accept all from trusted; # allow connections from DMZ back into internal network accept any from to trusted; 3

4 LV Internet Security accept any from to trusted; accept any from to trusted; accept any from to trusted; accept any from to trusted; # block everything else block any from untrusted to trusted; Das Netzwerk kann wie folgt dargestellt werden: 4

5 CISCOSYSTEMS Übungsaufgabe Baustelle 1 Baustelle 2 ADSL Modem Baustelle Externe Firewall mit Stateful Inspection DNS.172 RDP.167 SQL SMTP.168 HTTP.171 RDP / / Interne Firewall mit Stateful Inspection / NAT.1 Die Clients sind zumeist Windows 2000 und NT Maschinen. Als DNS Server ist läuft BIND, Version 8.2.2, als Webserver Apache Herr R. zieht Sie zu Rate, da er im Syslog des DNS Servers folgende Einträge vorgefunden hat: 5

6 LV Internet Security Offensichtlich ist der DNS Server am frühen Morgen des 23. Aprils mehrmals abgestürzt und wurde dank eines watchdog skripts neu gestartet. Auch Ihnen kommt das eher eigenartig vor, nachdem Sie sich davon überzeugt haben, dass der Naming Daemon die letzten Monate unauffällig gelaufen ist. Außer einem Core Dump ist Ihnen bei einer ersten oberflächlichen Analyse nichts aufgefallen. Sicherheitshalber prüfen Sie gemeinsam die Logs der Firewall zur Zeit der BIND Abstürze. Das ergibt folgendes Bild: 6

7 Übungsaufgabe Sie greppen die verdächtig scheinende IP Adresse, im Log und erhalten folgende Ausgabe: Die interne Firewall zeigt zur fraglichen Zeit für diese Adresse folgendes: 7

8 LV Internet Security Sie verbinden sich via Telnet zu Port am DNS Server und erhalten folgende Response: Frage 2a: Was schließen Sie aus den Protokolleinträgen? Was hat sich ereignet? Was ist der Status Quo? Frage 2b: Wie konnte der Angreifer aus Ihrer Sicht im Netzwerk Fuß fassen? Frage 2c: Was sind ausgehend von den Erkenntnissen von 2a und 2b Ihre nächsten Schritte? Zählen Sie die Schritte nach ihrer Priorität auf. Frage 2d: Wie könnten die Firewall Regeln restriktiver gestaltet werden, ohne den Dienstumfang zu reduzieren? Hinweise zur Abgabe: Angenommen werden ausschließlich elektronische Abgaben in Form von s mit attachment im PDF, Word oder RTF Format. Achten Sie in Ihrem an klemen@ifs.tuwien.ac.at auf das korrekte Subject Uebung 2, damit mein Regelassistent die Zuordnung korrekt durchführen kann. Wenn die Zuordnung richtig erfolgt ist, erhalten Sie automatisch eine Bestätigung über den Erhalt des Mails. Keine Gruppenabgaben bei diesem Übungsbeispiel! 8