Verlässliche Verteilte Systeme 1. Prof. Dr. Felix Gärtner. Teil 19: Auditing und Logging

Transkript

1 Verlässliche Verteilte Systeme 1 Angewandte IT Robustheit und IT Sicherheit Vorlesung im Wintersemester 2004/2005 Prof. Dr. Felix Gärtner Teil 19: Auditing und Logging Lehr und Forschungsgebiet Informatik 4, RWTH Aachen,

2 Ankündigungen aus: Marburger Magazin Express, 2/2005, Prüfungstermine Vorlesungsplan

3 Motivation und Übersicht Bisher behandelt: Heimwerkzeuge für sichere Server sicheres Setup, Schutz während des Betriebs (monitoring, patch management) Beim Lesen vieler Security Bücher hat man oft den Eindruck, dass nichts schiefgehen kann, wenn man nur gut genug aufpasst! Aber: es geht immer etwas schief! Auch sehr gut gesicherte Systeme werden kompromittiert Als Administrator sollte man jederzeit davon ausgehen, dass das eigene System kompromittiert werden kann Vorkehrungen für diesen Fall treffen (Notfallprozeduren) Auditing und Logging helfen bei der Überprüfung, ob und ggf. was passiert ist. Literatur heute: Garfinkel, Spafford, Schwartz, Kapitel 21

4 Auditing und Logging Auditing = process of monitoring the behavior of a system Gebräuchlichste Art des Auditing bei Unixen ist eine systematische Durchsicht von Log Dateien Log Datei = Datei mit Log Ereignissen Log Ereigniss = spezielles Ereignis, das vom jeweiligen Programm Autor als aufzeichnungswürdig erachtet wurde Log Dateien enthalten eine aufgezeichnete Vergangenheit des Systems Audit trail erleichtern die Analyse von Ereignissen in der Vergangenheit Verhindern keinen Schaden, machen es aber einfacher herauszubekommen, wie es zu dem Schaden kam Log Dateien enthalten nur aufzeichnungswürdige Ereignisse Computer Forensik = Analyse von Log Dateien und allen anderen Spuren, die jemand in einem System hinterlässt

5 Unix Log Dateien Unix war von Anfang an ein time sharing Betriebssystem enthielt von Anfang an einen Aufzeichnungsmechanismus, wer wann angemeldet war heute wird sehr viel mehr aufgezeichnet Zwei Arten, wie man in Log Dateien schreiben kann: das Programm schreibt die Information direkt in die Log Datei das Programm benutzt den Unix syslog Dienst Log Dateien können an unterschiedlichen Orten stehen: Auf dem System, auf dem das Log Ereignis passiert normalerweise in /var/log oder /var/adm Auf einem anderen Computer (Log Server) normalerweise ein dezidierter Rechner, der besonders geschützt ist Verwendung eines Log Servers hat viele Vorteile Angreifer haben es schwerer ihre Spuren zu verwischen Log Server ist idealer Ort für ein IDS, welches auf Log Dateien arbeitet

6 Log Server Entweder speziell gesicherter Log Server nur eingehender Verkehr erlaubt Oder gar ein Sicherer Log Server Verbindung über serielles Kabel (Daten Einbahnstrasse)

7 Sicherheit von Log Dateien Integrität von Log Dateien muss gewährleistet werden: append only Dateien gesicherter Log Server write once media (z.b. CD RW) Zeilendrucker Je sicherer, desto schwerer ist die automatisierte Analyse

8 Wichtige Log Dateien In /var/log finden sich viele Log Dateien Log Dateien für spezielle Programme Beispiele: lastlog : letzte Login Zeit für jeden Benutzer messages : Ausgaben auf der Systemkonsole und von syslog Dienst wtmp : komplette Login/Logout Historie für alle Benutzer Beispiel Eintrag aus /var/login/messages: Jan 27 00:39:40 explorer -- MARK -- Jan 27 00:59:00 explorer /USR/SBIN/CRON[2445]: (root) CMD ( rm -f /var/spool/cron/lastrun/cron.hourly) Jan 27 01:19:40 explorer -- MARK -- Jan 27 01:29:30 explorer su: (to root) gaertner on /dev/pts/2 Jan 27 01:29:30 explorer su: pam_unix2: session started for user root, service su

9 Der Unix syslog Dienst syslog : allgemeiner Logging Dienst von Unix, besteht aus /etc/syslog.conf : Konfigurationsdatei syslogd : Server Daemon, der Log Ereignisse verarbeitet Log Dateien in /var/log Unix Socket /dev/log : nimmt Ereignisse entgegen und schickt sie an syslogd UDP Socket, normalerweise an Port 514, nimmt über's Netz Ereignisse entgegen und gibt sie an syslogd syslog library : C Bibliothek mit Funktionen zum Schreiben von Log Dateien (z.b. syslog(), openlog(), closelog() usw.) logger : Programm zum Erzeugen von Log Einträgen aus Skripten etc.

10 syslog Nachrichten Jedes Programm kann syslog Nachrichten erzeugen, die zu Log Einträgen führen können: Zeit, zu der die Nachricht erzeugt wurde syslog facility syslog priority Name des verursachenden Programmes PID des verursachenden Programmes Name des Rechners, auf dem das Verursacherprogramm läuft ein beliebiger Text Beispiel: Jan 27 01:53:09 explorer kernel: hub.c: new USB device 00:1f.2-1, assigned address 3 Jan 27 01:53:09 explorer kernel: input: USB HID v1.10 Mouse [Logitech USB-PS/2 Optical Mouse] on usb1:3.0 Jan 27 01:55:34 explorer gaertner: Hallo Felix

11 syslog facilities und priorities facilities: Verschiedene syslog Untersysteme: auth : Authorisierungsprogramme (login, su,...) console : Nachrichten für die Konsole cron : der cron Daemon lpr : Druckersystem kern : Betriebssystemkern mail : Mail System syslog : interne syslogd Nachrichten priorities: Prioritäten der einzelnen Nachrichten (Beispiele) emerg : Notfall, z.b. kurz vor einem Systemcrash, wird allen Benutzern auf der Konsole angezeigt crit : Kritischer Fehler, z.b. Hardware Fehler err : normaler Fehler warning : Warnung info : Informationsnachricht debug : Informationen zur Fehlersuche in Programmen

12 /etc/syslog.conf Wenn syslog eine Nachricht erhält, wird in der Konfigurationsdatei nachgeschaut, was damit geschehen soll enthält Infos, ob etwas gespeichert werden soll und falls ja wo Zeilen enthalten Selektor und Aktion Selektor: Muster, das auf Nachrichten passen kann Zwei Bestandteile: facility und priority Beispiel: kern.debug (alle debug Nachrichten des Kerns) Aktion: was mit der Nachricht passieren soll, falls sie auf das Muster passt Mögliche Aktionen: Nachricht in eine Datei schreiben Nachricht an ein Benutzerterminal weiterleiten Nachricht an alle Benutzerterminals weiterleiten Nachricht an ein Programm übergeben Nachricht an einen syslog auf einem entfernten Rechner weiterleiten Details: siehe man syslog.conf

13 Beispiel # print most on tty10 and on the xconsole pipe # kern.warning;*.err;authpriv.none /dev/tty10 kern.warning;*.err;authpriv.none /dev/xconsole *.emerg * # enable this, if you want that root is informed # immediately, e.g. of logins #*.alert root # all -messages in one file # mail.* -/var/log/mail mail.info -/var/log/mail.info mail.warning -/var/log/mail.warn mail.err /var/log/mail.err # save the rest in one file # *.*;mail.none;news.none -/var/log/messages

14 syslog über das Netz Man kann syslog Nachrichten auch direkt über'snetz an einen anderen Rechner schicken Beispiel: Schickt alle auth Nachrichten direkt an den angegebenen Rechner syslog überprüft die Einträge nicht nimmt einfach alles entgegen kann abgeschaltet werden, aber nur ganz oder gar nicht Möglichkeit von Denial of Service! Schutzmöglichkeit: Port 514 mit Paketfilter versehen nur UDP Pakete von "guten" Rechnern durchlassen Log Nachrichten sind unverschl ü sselt Schutz: mittels netcat UDP in TCP umwandeln und durch SSH Verbindung tunneln

15 Erzeugen eigener syslog Nachrichten syslog ist der de facto Standard für Logging im Internet viele Switches und Router senden syslog Nachrichten es gibt sogar syslog Server für Windows Das logger Programm logger -p user.notice "wrong arguments" logger -p emerg "April, April!" Aufrufe verwendbar in C Programmen: openlog(), syslog(), etc. Beispiel: #include <syslog.h> #include <stdarg.h> int main(int argc, char** argv) { openlog(argv[0], LOG_PID, LOG_LOCAL0); syslog(log_info, "Hi Mom!"); return(0); }

16 Vorsicht bei syslog Mit syslog kann jeder Benutzer beliebige Log Einträge schreiben Mit dem folgenden Kommando können Sie den Administrator in Furcht und Schrecken versetzen: logger -p kern.warning -t Warning successful SU to root by gaertner erzeugt: Jan 27 02:34:14 explorer Warning: successful SU to root by gaertner

17 Rotierende Log Dateien Log Dateien wachsen mit der Zeit früher mussten die Administratoren regelmäßig die Log Dateien verkleinern (sichern und alte Sicherungen löschen) Programm newsyslog oder logrotate (Linux) löst das Problem Konfigurationsdatei legt fest, wann und wie eine Log Datei "rotiert" werden soll Bei einer bestimmten Größe wird die aktuelle Log Datei logfile in eine Datei logfile.x umbenannt logfile wird zu logfile.0, logfile.0 wird zu logfile.1, usw. Rechte der rotierten Dateien können automatisch gesetzt werden rotierte Dateien können komprimiert werden bestimmte Prozesse können ein Signal geschickt bekommen, falls rotiert wird

18 Beispiel: /etc/logrotate.conf # see "man logrotate" for details # rotate log files weekly weekly # keep 4 weeks worth of backlogs rotate 4 # create new (empty) log files after rotating old ones create # uncomment this if you want your log files compressed #compress # uncomment these to switch compression to bzip2 #compresscmd /usr/bin/bzip2 #uncompresscmd /usr/bin/bunzip2

19 Log Datei Analyse Log Dateien können sehr groß werden Werkzeuge bei der Analyse hilfreich Beispiele: grep : klassisches Unix Pattern Matchin Tool swatch : System Watchdog kann Log Dateien in Echtzeit analysieren (liest Einträge sobald sie dazukommen) kann Muster in Log Dateien erkennen und z.b. Benachrichtigungen generieren selbstgeschriebene Tools in Perl oder Python

20 utmp und wtmp Dateien /var/log/utmp : wer ist gerade angemeldet /var/log/wtmp : wer hat sich wann an oder abgemeldet Einträge enthalten: Name des login Terminals, Benutzername Name des Rechners, von dem die Verbindung erfolgte (bei Anmeldungen über das Netz), Zeitpunkt des Ereignisses Dateien sind im Binärformat können mit den Kommandos who, w, users, finger gelesen werden write findet heraus, ob und an welchem Terminal ein user angemeldet ist ps zeigt auch Benutzer an, die nicht angemeldet sind, aber noch Prozesse laufen haben /bin/su wird nicht in utmp und wtmp registriert (keine login shell) last zeigt an, wann jemand zuletzt angemeldet war

21 Zusammenfassung Log Dateien helfen bei der Untersuchung von Vorfällen auf einem Rechner Log Dateien müssen geschützt werden (z.b. Log Server) Log Dateien muss man lesen können Log Dateien wachsen (Denial of Service) Log Nachrichten können manipuliert werden Syslog ist ein flexibler Dienst zum Logging kann auch über's Netz benutzt werden kann mit inetd, TCP wrappers und Paketfilter zusammenspielen Wichtige Fragen: was loggen? wie loggen? wo loggen? Handgeschriebene Log Bücher sind gute Ergänzung für online Log Dateien schwerer zu manipulieren wirken "echter" vor Gericht

22 Themenrückblick Terminologie Hardware Fehlertoleranz Fehlertoleranz Metriken Backups und RAID Hochverfügbare Systeme security metrics Basiswissen Kryptographie Authentisierung und Zugangskontrolle Physische Sicherheit Privilegeskalation: Angriffstechniken, TCP/IP Schwächen Sicherer System Setup Sicheres System Management, Software Updates, Integritätsmanagement, Logging

23 Ausblick Was wir nicht in dieser Vorlesung besprochen haben: Zertifizierung, rechtliche Grundlagen social engineering nächste Woche noch ein paar Schmankerl aus der aktuellen Forschung: Anatomie von Malware Jagd auf die Botnets