Network Intrusion Detection

Transkript

1 Stephen Northcutt, Judy Novak Network Intrusion Detection Übersetzung und Überarbeitung aus dem Amerikanischen von Marc Ruef Hüthig

2 Widmung 11 Über die Autoren 12 Vorwort zur deutschen Neuauflage 13 Einführung 15 Teil I TCP/IP 17 1 IP-Konzepte Das TCP/IP-Internet-Modell Verpackung (Mehr als Papier und Plastik) Adressen Dienst-Ports IP-Protokolle Domain Name System Routing: Wie kommt man von hier nach da? / Zusammenfassung 37 2 Einführung in TCPdump und TCP TCPdump Einführung in TCP TCP auf Abwegen Zusammenfassung 58 3 Fragmentierung Theorie der Fragmentierung Bösartige Fragmentierung Zusammenfassung 74 4 ICMP ICMP-Theorie Mapping-Techniken Gewöhnliche ICMP-Aktivität 83

3 4.4 Bösartige ICMP-Aktivität Blockieren oder nicht blockieren Zusammenfassung 97 5 Reiz und Reaktion Das Erwartete Eine Tour durch die Protokolle Ungewöhnliche Reize Zusammenfassung DNS Zurück zu den Grundlagen: DNS-Theorie : DNS zur Informationsgewinnung Bösartige DNS-Antworten Zusammenfassung 142 Teil II Traffic Analysis Pakete zerlegen mittels TCPdump Wieso Paket-Analyse lernen? Sidestep DNS-Abfragen Einführung in das Zerlegen von Paketen mittels TCPdump Wo hört IP auf und wo beginnt das eingebettete Protokoll? Andere Längen-Felder Die Snaplen vergrößern Das gesamte Paket zerlegen Freeware-Tools für die Paket-Zerlegung Zusammenfassung Felder des IP-Headers analysieren Insertion- und Ausweich-Angriffe Felder des IP-Headers Die More Fragments(-MF)-Flagge Zusammenfassung Felder des Headers des eingebetteten Protokolls analysieren TCP UDP 200

4 9.3 ICMP Zusammenfassung Echte Analyse Sie sind gehackt worden NetBus-Scan Wie langsam können Sie gehen? RingZero-Wurm Zusammenfassung Mysteriöser Verkehr Die Ereignisse Der Verkehr DDoS oder Scan Fingerprinting benachbarter Hosts Zusammenfassung 236 Teil IM Filter/Regeln für die Netzwerk-Überwachung TCPdump-Filter schreiben Der Vorgang des Schreibens eines TCPdump-Filters Bit-Maskierung TCPdump IP-Filter \ TCPdump-UDP-Filter TCPdump TCP-Filter Zusammenfassung Einführung in Snort und Snort-Regeln Überblick : der Betrieb von Snort Snort-Regeln Zusammenfassung Snort-Regeln - Teil II Format der Snort-Optionen Regel-Optionen Alles zusammenführen Zusammenfassung 288

5 Teil IV Intrusion Infrastructure Mitnick-Angriff Die Ausnutzung von TCP Die Entdeckung des Mitnick-Angriffs Netzwerkbasierte Intrusion-Detection-Systeme Hostbasierte Intrusion-Detection-Systeme Prävention des Mitnick-Angriffs Zusammenfassung Architektur-Aspekte Interessante Vorkommnisse - Events of Interest Grenzen der Beobachtung Das Paradigma der niedrig hängenden Früchte Menschliche Faktoren schränken Entdeckungen ein Schweregrad Gegenmaßnahmen Berechnung des Schweregrades Sensor-Platzierung Außerhalb der Firewall Push/Pull Die Konsole des Analysten Host- oder netzwerkbasierte Intrusion Detection Zusammenfassung Organisatorische Überlegungen Betriebliches Sicherheitsmodell Bestimmung der Risiken Risiko Bestimmung der Gefahren Risikomanagement hängt vom Geld ab Wie risikoreich ist ein Risiko? Zusammenfassung Automatisierte und manuelle Reaktionen Automatisierte Reaktionen Honeypot Manuelle Reaktionen Zusammenfassung 383

6 19 Business Case für Intrusion Detection Teil eins: Management-Entscheidung Teil zwei: Bedrohungen und Verwundbarkeiten Teil drei: Kompromisse und empfohlene Lösung Wiederholen der Aufgabenübersicht Zusammenfassung Richtungen für die Zukunft Zunahme der Gefahren Sich gegen Übergriffe verteidigen Verteidigung im Detail Neue Techniken Zusammenfassung 424 Teil V Anhänge 425 A Angriffe und Scans, die Angriffe vorbereiten 427 A.i False Positives 427 A.2 IMAP-Exploits 436 A.3 Scans, um Angriffe durchzuführen 439 A.4 Einfacher Angriff, Portmap 443 A.5 Zusammenfassung 451 B Denial of Service 453 B.i Brute-Force Denial-of-Service Traces 453 B.2 Elegant Kills 458 B.3 nmap 461 B.4 Distributed Denial of Service-Angriffe 462 B.5 Zusammenfassung 465 C Erkennung von Informationsgewinnungsversuchen 467 C.i Netzwerk- und Host-Mapping 467 C.2 NetBIOS-spezifische Traces 478 C.3 Stealth-Angriffe 481 C.4 Messen der Antwortzeiten 485 C.5 Viren als Informationssammler 488 C.6 Zusammenfassung 492