WWU-CERT. Das Computer Emergency Response Team der WWU Münster. Referent: Thorsten Küfer

Transkript

1 WWU-CERT Das Computer Emergency Response Team der WWU Münster Referent: Thorsten Küfer

2 Übersicht Wofür ist das WWU-CERT da? Wer steht hinter dem WWU-CERT? Was macht das WWU-CERT? Wie kann das WWU-CERT helfen? Welche Tipps/Empfehlungen gibt das WWU-CERT?

3 Wofür ist das WWU-CERT da? Das WWU-CERT ist die zentrale Anlaufstelle für Beschwerden gegen Rechner oder Nutzer der WWU Per Telefon: Per / Web: Schutz der Nutzer gegen Angriffe von Innen und Außen Schutz des regulären Betriebs Schutz der Reputation der WWU Unterbinden von Angriffen, SPAM-Versand, Urheberrechtsverletzungen, Beleidigung, Verleumdung

4 Wer steht hinter dem WWU-CERT Im ZIV angesiedelt Zugriff auf Netzdatenbank Nutzerdatenbank Accesslogs von Einwahlzugängen (WLAN, VPN, Teleport, ISDN) Mitarbeiter im WWU-CERT sind aktuell Thorsten Küfer Linus Stehr Jessica von Ahlen Nicole Marutz

5 Zusammenarbeit CERT des Deutschen Forschungsnetzes (DFN-CERT) DFN-CERT koordiniert Austausch von Beschwerden und Informationen über kompromittierte Systeme von anderen Einrichtungen des DFN. Empfang von automatischen Warnungen bzgl. möglicher Sicherheitsprobleme Informationen bzgl. aktueller Bedrohungen Ansprechpartner für Fragen Empfang von Urheberrechtsbeschwerden aus der Film-, Musik- und Softwareindustrie (sog. Copyright Infringements, z.b. von Baytsp, Inc.). Zusammenarbeit mit allen an der WWU für Sicherheit Verantwortlichen (z.b. Technisch Verantwortliche, Ansprechpartner in den IVVen). Mitarbeit bei der Konzeption sicherheitsrelevanter Regelungen für die WWU.

6 Was macht das WWU-CERT Möglichst schnelle, effiziente Hilfe als Reaktion auf eintretende Vorfälle (z. B. bei Hacker-Angriffen, kritischen Sicherheitslücken, Computer-Viren und Würmern, ). Weitergehende Hilfe gibt es durch die Nutzerberatung des ZIV. Sperrung von Rechnern bzw. Kennungen bei akuten Vorfällen. Aufbereitung von Informationen und Durchführung von Untersuchungen soweit dies der Vorbeugung dient bzw. für die Überprüfung von Hinweisen notwendig ist. Prüfung und ggfs. Reaktion auf Urheberrechtsverletzungen. Bearbeitung von staatsanwaltlichen und polizeilichen Anfragen. Betrieb von Intrusion Detection und Intrusion Prevention Systemen (IDS/IPS). Entwicklung und Betrieb eines Web-Systems für die Vorfallsbearbeitung und Anpassung an die sich verändernde Infrastruktur im ZIV (CERT_online).

7 Sicherheitslage Information über aktuelle Bedrohungen BSI ( DFN-CERT ( Heise Security ( Größte Bedrohung 2009: Conficker-Wurm Verbreitet sich über Schwachstelle in Windows, für die bereits seit Ende Oktober 2008 ein Sicherheitsupdate (MS08-067) von Microsoft bereit steht. Weitere Infektionsquelle sind Wechsel-Laufwerke wie zum Beispiel USB-Sticks, MP3-Player, iphone, da beim Anschließen eines Datenträgers durch die "Autorun"-Funktion automatisch das darauf befindliche Schadprogramm gestartet und installiert wird.

8 Entwicklung der CERT-Fälle pro Monat (Jan 2007 Aug 2009) 200 Conficker SDBot

9 CERT-Fälle pro Kategorie (bis ) Copyright 16% 1% 21% Spam 7% 1% Polizei/Beratung/Sonstig es SSH-Scans Virus 54% Portscans

10 Womit arbeitet das WWU-CERT? Früher: Sammlung von Shellskripten CERT_online Web-basiertes System, das alle zur Fallbearbeitung benötigten Informationen zur Verfügung stellt Informationen aus Rechner- und Nutzer-Datenbanken für Fallerzeugung Verbindung zum NOC zum Sperren von Rechnern, Trennen von Einwahlnutzern Mustertexte für verkehr

11

12 IPS Erkennen von Vorfällen Screenshot Kurz vorführen

13 Vorgehensweise - Intranet Hinweis auf Vorfall Versuch: Mitarbeiter telefonisch zu erreichen um Abschaltung des Rechners abzusprechen Rechner wird netzseitig getrennt Verantwortlicher erhält eine mit Informationen zum Vorfall sowie den zu ergreifenden Maßnahmen

14 Vorgehensweise - Einwahlbereich Hinweis auf Vorfall Einwahl-Sperre des Nutzers Trennung einer evtl. bestehenden Verbindung Verantwortlicher erhält eine mit Informationen zum Vorfall sowie den zu ergreifenden Maßnahmen

15 Rechts- bzw. Handlungsgrundlage Das CERT muss sich über die sich ständig verändernde Rechtslage informieren, speziell Telemediengesetz (TMG), Telekommunikationsgesetz (TKG) und auch Datenschutzgesetz (DSG, DSG-NRW). Regelungen der WWU Münster, insbesondere die Nutzungsordnung des ZIV und der IVVen (vorläufige Fassung): Neu ist die Administratorenregelung ( ): Weitere Informationsquellen sind DFN-Recht ( Zendas.de ( BMJ und Juris.de (

16 Wann werden Daten herausgegeben? Bei Anfrage der Polizei oder des Staatsanwaltes (seit wird keine richterliche Anordnung benötigt! Siehe TKG 113). Dokumentation und Sicherung der angefragten Daten. Per Telefon keine Informationen, außer: wir haben Daten oder nicht (Aufbewahrungszeit, Einwahlrechner, öffentlicher Rechner, z.b. ULB). Per Fax oder Post: Herkunft überprüfen durch Anruf bei Dienststelle über Nummer aus Telefonbuch. ZIV kann nur Name, Kennung und Matrikelnummer herausgeben. Verweis auf Studierendensekretariat, um Adresse und weitere persönliche Daten zu erhalten.

17 Auskunftspflicht auf zivilrechtlichem Wege Seit mit der Umsetzung der Enforcement-Richtlinie besteht in bestimmten Fällen eine Auskunftspflicht gegenüber dem Rechteinhaber (UrhG 101). Siehe dazu 6_09.pdf

18 Was machen bei Missbrauch von Pool-Rechnern (z.b. illegalen Downloads)? Nutzer ist auffällig durch unverhältnismäßig hohe Downloads, viele USB-Sticks (evtl. liefert EPO oder Sophos-Konsole eine Warnung wegen Viren oder zu großer Dateien >4GB). Nach (neuer) Nutzungsordnung 7 (5) sind das ZIV und die IVVen berechtigt Einsicht in Benutzerdateien zu nehmen, um Störungen und Missbrauch aufzuklären und zu unterbinden. Nutzer kann nach Nutzungsordnung 6 (1) von der Pool-Nutzung o.ä. vorübergehend ausgeschlossen werden (durch lokale Richtlinie). Zentrale Sperrung des Active Directory-Accounts ist nicht möglich (nur in Ausnahmefällen, da Auswirkungen nicht absehbar). CERT kann Nutzer anschreiben und zur Einhaltung der Nutzungsordnung mahnen.

19 Wie lange müssen oder dürfen Log-Daten gespeichert werden (Vorratsdatenspeicherung)? Die Vorratsdatenspeicherung verlangt die Speicherung von Einwahldaten (IP- Adresse und Zeitpunkt) und Verkehrsdaten zu s und Internet-Telefonie von mindestens 6 bis zu maximal 24 Monaten. Laut aktueller Anfrage bei der Forschungsstelle Recht im DFN (30. Jan 2009): Der DFN-Verein und seine Teilnehmer bilden eine geschlossene Nutzergruppe (nur wer eine Nutzerkennung besitzt, hat Zugriff auf das Uni-Netz). Daher sind die Hochschulen als Provider nicht zur Speicherung auf Vorrat verpflichtet (TKG 113a). Unabhängig von der Vorratsdatenspeicherung besteht das Recht, Verbindungsdaten bis zu ca. sieben Tage zur Erkennung und Beseitigung von Störungen und Missbrauch zu speichern (TKG 100 (3)).

20 Ist eine Sperrung von Nutzern zur Einwahl rechtens? Die Hochschule trifft als Access-Provider eine Störerhaftung (TMG 7 (2)). Sie muss zumutbare Maßnahmen ergreifen, um Rechtsverletzungen und Angriffe zu stoppen. Wenn möglich muss der Nutzer identifiziert und gemäß Nutzungsordnung abgemahnt werden. Eine Sperrung des Netzzugangs ist nach Nutzungsordnung 6 (1) möglich. Die Maßnahme muss verhältnismäßig zur Störung sein. Der Nutzer darf nicht am ordnungsgemäßen Studium gehindert werden.

21 Tatbestände Generell sollte sich jeder im Internet wie im täglichen Leben verhalten (Nettiquette) Internet ist kein rechtsfreier Raum StGB, 184b (Verbreitung, Erwerb und Besitz kinderpornographischer Schriften) StGB, 185 (Beleidigung) Wer wider besseres Wissen in Beziehung auf einen anderen eine unwahre Tatsache behauptet oder verbreitet, welche denselben verächtlich zu machen oder in der öffentlichen Meinung herabzuwürdigen oder dessen Kredit zu gefährden geeignet ist, macht sich möglicherweise strafbar nach StGB, 187 (Verleumdung). Wer wissentlich über seinen Rechner Viren oder Spam verbreitet, macht sich möglicherweise strafbar nach StGB, 303 a, b (Datenveränderung, Computersabotage) und schadensersatzpflichtig nach BGB, 823 (1). UrhG, 106 (Unerlaubte Verwertung urheberrechtlich geschützter Werke)

22 Beispiele Einwahl Conficker-Bot Spam-Beschwerde Urheberrechtsverletzung Polizeiliche Anfrage / Auskunftsersuchen Intranet SSH-Scan

23 Conficker-Bot (WWU-CERT#09-180) Liebe Kolleginnen und Kollegen, dies ist eine automatische Warnmeldung des DFN-CERT. In den letzten Tagen erhielten wir Informationen über mögliche Sicherheitsprobleme auf Systemen in ihrem Netzwerk. Netzblock: /16 Kontakte: Meldungen: IP Meldungstyp Zuletzt gesehen Bot :57: Angriff :07:54

24 Conficker-Bot (WWU-CERT#09-180) Bitte beachten Sie, dass der Zeitstempel unter 'zuletzt gesehen' sich auf die Zeitzone GMT+01 (Winterzeit) bezieht und dass wir die Daten oft erst deutlich später als dort angegeben erhalten haben. Weitere Informationen zu den Meldungstypen und den Dienst allgemein sind auf den Seiten des DFN zu finden: Wir bearbeiten den Vorfall als DFN-CERT#48707 und stehen natürlich für Rückfragen unter zur Verfügung. Mit freundlichen Grüßen, Ihr DFN-CERT Incident Response Team

25 Conficker-Bot (WWU-CERT#09-180) Details zu den Meldungen pro IP: System: Meldungstyp: Bot Zeitstempel: :57:23 GMT+01 (Winterzeit) Beschreibung: Auf dem System scheint eine Bot-Software betrieben zu werden, die versucht, einen IRC-basierten Bot-Netz Control-Server zu erreichen. Wenn es sich dabei um eine Infektion mit dem Conficker Wurm handelt, ist dieser als Malwaretyp ausgewiesen. Das System ist aufgefallen durch ausgehende HTTP-Anfragen der Form: (%d = Zahl) TCP Quellport Malwaretyp Zeitstempel(GMT+00) unbekannt Conficker :57:23 unbekannt Conficker :54:50 unbekannt Conficker :54:47 unbekannt Conficker :34:18 [ ]

26 Spam-Beschwerde (WWU-CERT#09-191) System: Meldungstyp: SPAM-Beschwerde Zeitstempel: :44:17 GMT+01 (Winterzeit) Beschreibung: Das System ist durch das Verschicken von unerwünschter Werb (sog. SPAM) aufgefallen und wurde evtl. auf einer Blacklist eingetragen

27 Urheberrechtsverletzung (WWU-CERT#09-099) -----BEGIN PGP SIGNED MESSAGE----- Hash: SHA1 9 Feb :25:05 GMT Universitaet Muenster RE: Unauthorized Distribution of the following copyrighted computer program(s): Dear Sir/Madam: The Business Software Alliance (BSA) has determined that the connection listed below, which appears to be using an Internet account under your control, is using a P2P network seen below to offer unlicensed copies of copyrighted computer programs published by the BSA's member companies.

28 Urheberrechtsverletzung (WWU-CERT#09-099) Evidentiary Information: Notice ID: Asset: The MathWorks Matlab Protocol: BitTorrent IP Address: DNS: WL-POOL-W-391.UNI-MUENSTER.DE File Name: Mathworks.Matlab.R2008a.UNIX.DVD.ISO-TBE File Size: Timestamp: 9 Feb :25:15 GMT Last Seen Date: 9 Feb :25:15 GMT Username (if available): Port ID: [ ]

29 Urheberrechtsverletzung (WWU-CERT#09-099) The above computer program(s) is/are being made available for copying, through downloading, at the above location without authorization from the copyright owner(s). Based upon BSA's representation of the copyright owners in anti-piracy matters, we have a good faith belief that none of the materials or activities listed above have been authorized by the rightholders, their agents, or the law. BSA represents that the information in this notification is accurate and states, under penalty of perjury, that it is authorized to act in this matter on behalf of the copyright owners listed above. We hereby give notice of these activities to you and request that you take expeditious action to remove or disable access to the materials described above, and thereby prevent the illegal reproduction and distribution of pirated software via your company's network. As you know, illegal on-line activities can result in 50 million people on the Internet accessing and downloading a copyrighted product worldwide without authorization - a highly damaging activity for the copyright holder.

30 Polizeiliche Anfrage (WWU-CERT#08-330)

31 Polizeiliche Anfrage (WWU-CERT#08-330)

32 SSH-Scans (WWU-CERT#09-179) Dear Sir/Madam, The IP addresses shown are believed to have been involved in a cracking attempt on a server under our administration. Your co-operation in dealing with this abuse would be appreciated. Included is the relevant information to aid you in your investigation. Yours faithfully, Paul Furley

33 SSH-Scans (WWU-CERT#09-179) SSH potential brute-forcing or other break-in attempt reported from IP address XXX.XXX All addresses extracted from WHOIS: Reverse DNS of XXX.XXX: XXX.XXX in-addr.arpa domain name pointer XXX.UNI-MUENSTER.DE.

34 SSH-Scans (WWU-CERT#09-179) Relevant log entries from /var/log/auth.log /var/log/auth.log:feb 15 13:12:12 llama sshd[21521]: Did not receive identification string from XXX.XXX /var/log/auth.log:feb 15 14:49:35 llama sshd[21554]: Invalid user admin from XXX.XXX /var/log/auth.log:feb 15 14:49:36 llama sshd[21558]: Invalid user stud from XXX.XXX /var/log/auth.log:feb 15 14:49:36 llama sshd[21560]: Invalid user trash from XXX.XXX /var/log/auth.log:feb 15 14:49:36 llama sshd[21562]: Invalid user aaron from XXX.XXX /var/log/auth.log:feb 15 14:49:37 llama sshd[21564]: Invalid user gt05 from XXX.XXX /var/log/auth.log:feb 15 14:49:37 llama sshd[21566]: Invalid user william from XXX.XXX /var/log/auth.log:feb 15 14:49:37 llama sshd[21568]: Invalid user stephanie from XXX.XXX [ ]

35 Incident Response Unter Incident Response versteht man die Reaktion auf einen Sicherheitsvorfall. Das DFN-CERT gliedert die Vorfallsbearbeitung in sechs grundlegende Schritte. Diese Schritte sind auf den Seiten des DFN-CERTs ausführlich beschrieben. 1 Vorbereitung 2 Entdeckung 3 Analyse 4 Eindämmung 5 Kontrolle gewinnen 6 Nachbereitung

36 Erkennen von CERT-Fällen Das Entdecken eines Sicherheitsvorfalls ist oft nicht einfach Hinweis durch das CERT / Meldung an CERT Meistens wird man erst von außen auf eine Infektion hingewiesen. Mögliche Hinweise: Fehlermeldungen, schlechte Reaktionszeiten Entdeckung von Rootkits noch schwieriger: zugehörige Dateien und Prozesse werden vor dem Nutzer und Virenscannern versteckt. GMER ist ein Tool, das versucht Rootkits aufzuspüren: Intrusion Detection Systeme (IDS) können infizierte Rechner im Netz aufspüren: Snort: Nepenthes: Hardware IPS: McAfee IntruShield 4010

37 Hilfsmittel (1/2) Bootfähige CDs Idealerweise benutzt man zur Säuberung eines infizierten Rechners eine bootfähige CD. Es ist empfehlenswert ein System mit verschiedenen Virenscannern zu testen, um die größte Erkennungsrate, die je nach Produkt sehr unterschiedlich ist, zu erhalten. Die Computerzeitschrift c't bietet im Knoppicillin-Projekt eine bootfähige Linux-CD auf der Basis von Knoppix mit mehreren Virenscannern an. Ein vergleichbares Projekt auf Open Source Basis ist INSERT von Inside Security. Avira bietet mit dem AntiVir Rescue System ebenfalls eine Linux-basierte Rettungs- CD, die mehrmals täglich aktualisiert wird.

38 Hilfsmittel (2/2) Eine fertige Windows-basierte Boot-CD gibt es nicht zum Download, lässt sich allerdings mit Hilfe von Bart's PE Builder erstellen. Darauf basierend: Ultimate Boot CD for Windows: Windows Updates/Antivirus Windows Update-Pack (Sammlung aller bisher veröffentlichen Patches): c't Projekt Offline-Update: Winfuture Update Pack: kostenlose Alternative zu den angebotenen Antivirus-Produkten: Avira AntiVir PeronalEdition Classic: ClamAV:

39 Verhindern von CERT-Fällen Verbreitungswege von Malware Aktuelle Schadsoftware (Malware) bedient sich meistens mehrerer Verbreitungswege Sicherheitslücken im Betriebssystem Sicherheitslücken in Browser oder seinen Plugins (Flash/PDF/JPG) -Anhänge Wechseldatenträger (USB-Sticks, Digitalkamera, MP3-Player) Urheberrechtsverletzungen Beim Veröffentlichen von Bildern/Videos auf Webseiten die Rechte an den Dateien klären Up-/Download von geschützter Software/Videos/Musik mittels Tauschbörsen sind kein Kavaliersdelikt

40 Verhindern von CERT-Fällen Analyse des aufkommens Clean (3,2%) Spam, Phishing (96%) Invalid Recipients (0,8%) Virus (< 0%)

41 Minimal erforderliche Maßnahmen zur Absicherung von Microsoft Windows (1/2) Bei der Installation eines Windows Betriebssystems bzw. nach der Säuberung eines kompromittierten Windows Betriebssystems sollten folgenden Maßnahmen zur Absicherung durchgeführt werden. Ein im Internet nicht geschütztes Windows System kann innerhalb von wenigen Minuten infiziert werden! 1. Installieren Sie das neueste Service Pack für Ihre Windows-Version sowie alle verfügbaren Windows Updates. Für die Offline-Installation gibt es sog. Update Packs (s.o.) Alternativ mit dem c't Offline Update selbst eine Update-CD erstellen 2. Aktivieren Sie eine Firewall bevor Sie erstmalig ins Netz gehen.

42 Minimal erforderliche Maßnahmen zur Absicherung von Microsoft Windows (2/2) 3. Installieren und aktivieren Sie ein permanent laufendes Antiviren-Programm (Option "Scan bei Zugriff" / "Scan on access"). 4. Aktivieren Sie die automatischen Updates von Windows und der Virus-Signaturen des Antiviren-Programms. 5. Setzen Sie ein komplexes Passwort für den lokalen Administrator Account. 6. Windows XP: Erstellen Sie mindestens einen lokalen Windows-Users, der keine Administrator-Rechte hat (Internet-User). Andernfalls sind die vorherigen Schritte nutzlos! Windows Vista/7: Durch die User Account Control (UAC), zu deutsch Benutzerkontensteuerung ist dieser Punkt nicht mehr kritisch.

43 Weitere Empfehlungen Microsoft empfiehlt ein kompromittiertes System stets neu zu installieren, da Sie sich nie sicher sein können, dass Sie alle Schadsoftware (insbes. Hintertüren) gefunden haben. Nach der Säuberung eines kompromittierten Systems sollten Sie alle evtl. abgehörten Passwörter ändern. Für Mitarbeiter/-innen und Studierende der Universität Münster werden ein Antiviren- und Firewall-Programm (zur Zeit McAfee VirusScan und Sophos Anti-Virus und Firewall) kostenlos bereitgestellt. Wir empfehlen, auch alternative Internet Browser wie Mozilla Firefox oder Opera zu verwenden, um die Risiken durch schadhafte WWW-Seiten zu minimieren. Sicherheitsrelevante Schwachstellen verlagern sich vom Browser zu externen Plugins, wie Flash, PDF, Windows Media, usw. Achten Sie darauf, auch die Plugins stets aktuell zu halten.

44 Ende Gibt es noch Fragen? Kontakt: Thorsten Küfer