Automatisierung des Abgleichs von Software-Paketen Unix-ähnlicher Systeme mit Security-Advisory-Feeds

Transkript

1 Automatisierung des Abgleichs von Software-Paketen Unix-ähnlicher Systeme mit Security-Advisory-Feeds Ein Werkzeug zur effizienten Feststellung von Schwachstellen in der IT-Infrastruktur eines Unternehmens Dipl.-Ing. Alexander Weidinger

2 Motivation Manuelle Triage... ist langweilig ist ermüdend ist insgesamt ungenau bindet wertvolle Ressourcen Ubuntu Debian NIST USCERT Fokus der Arbeit liegt auf unixoiden Systemen Genügend Dienstleister sind intensiv um die M$-Welt bemüht. 2/30

3 % dpkg -l grep '^[a-z]' sed 's#^\([^ ]*[ ]*[^ ]*[ ]*[^ ] *[ ]*\).*$#\1#g' accountsservice acl acpi acpi-support acpid adduser adium-theme-ubuntu aircrack-ng akonadi-backend-mysql alacarte alsa-base alsa-oss alsa-utils alsaplayer-alsa alsaplayer-common alsaplayer-gtk amarok-common anacron ant ant-optional apache2 apache2-mpm-prefork apache2-utils apache2.2-bin apache2.2-common ubuntu ubuntu : ubuntu ubuntu ubuntu1 1: ubuntu ubuntu dfsg-0ubuntu ubuntu build build build1 2: ubuntu ubuntu build build ubuntu ubuntu ubuntu ubuntu ubuntu1 3/30

4 % apt-get -s -u upgrade 2>/dev/null grep ^Inst Inst base-files [6.5ubuntu6.2] (6.5ubuntu6.4 Ubuntu:12.04/precise-updates [amd64]) Inst libudev0 [175-0ubuntu9.1] (175-0ubuntu9.2 Ubuntu:12.04/precise-updates [amd64]) Inst bridge-utils [1.5-2ubuntu6] (1.5-2ubuntu7 Ubuntu:12.04/precise-updates [amd64]) Inst libcolord1 [ ] ( ubuntu0.1 Ubuntu:12.04/precise-updates [amd64]) Inst libgudev [1:175-0ubuntu9.1] (1:175-0ubuntu9.2 Ubuntu:12.04/precise-updates [amd Inst colord [ ] ( ubuntu0.1 Ubuntu:12.04/precise-updates [amd64]) Inst libgnomecanvas2-common [ ubuntu1] ( ubuntu1.1 Ubuntu:12.04/precise-upda Inst libgnomecanvas2-0 [ ubuntu1] ( ubuntu1.1 Ubuntu:12.04/precise-updates [ Inst udev [175-0ubuntu9.1] (175-0ubuntu9.2 Ubuntu:12.04/precise-updates [amd64]) Inst gnome-power-manager [ ubuntu1] ( ubuntu1.1 Ubuntu:12.04/precise-updates [ Inst libnautilus-extension1a [1: ubuntu4] (1: ubuntu5 Ubuntu:12.04/precise-upd Inst nautilus-data [1: ubuntu4] (1: ubuntu5 Ubuntu:12.04/precise-updates [all] Inst nautilus [1: ubuntu4] (1: ubuntu5 Ubuntu:12.04/precise-updates [amd64]) Inst postfix-mysql [ ~ ] ( ~ Ubuntu:12.04/precise-updates [amd64] Inst sshfs [2.3-1] (2.3-1ubuntu0.1 Ubuntu:12.04/precise-updates [amd64]) 4/30

5 5/30

6 6/30

7 NIST / NVD 7/30

8 USCERT 8/30

9 Forschungsleitende Fragestellung Wie können die Informationen aus Paket-Managern unixoider Systeme (z.b. apt, yum, etc.) mit den Daten von Security-Advisory-Feeds (RSS, Websites, etc.) abgeglichen werden, sodass eine Übersicht über die aktuelle Bedrohungslage und die notwendigen Patches/Changes der unternehmenseigenen Infrastruktur entsteht? 9/30

10 Forschungsleitende Fragestellung Wie können die Informationen aus Paket-Managern unixoider Systeme (z.b. apt, yum, etc.) mit den Daten von Security-Advisory-Feeds (RSS, Websites, etc.) Agent Crawler abgeglichen werden, sodass eine Übersicht über die aktuelle Bedrohungslage und die notwendigen Patches/Changes der unternehmenseigenen Infrastruktur entsteht? Server 10/30

11 11/30

12 Extraktion und Normalisierung von Security-Advisories und Paketlisten 12/30

13 Datenquellen Paket-Manager > Agent > Paket-Inventar Implementierung ist beinahe trivial; alles maschinenlesbar Security-Advisory-Feeds > Crawler > Auswertung Technisch: oft Analyse von Prosa-Text, selten maschinenlesbar Ungenauigkeit ist mit Paketnamen aus dem Inventar beherrschbar. False-Negatives unbedingt vermeiden! Rechtlich: Erlaubnis des Herausgebers erforderlich Debian, Ubuntu, NIST (NVD), US-CERT OSVDB, RedHat, CentOS Secunia, VUPEN (dient dem Schutz des Geschäftsmodells) 13/30

14 Auswertung von Security-Advisory-Feeds 1. Crawler holt Liste der Paketnamen vom Server 2. Herunterladen des jeweiligen Index (oder was dem am nächsten kommt...) Syndication-Feed vs. Web-Index vs. vollständiges Archiv 3. Bestimmung relevanter Einträge (Kleine) Feeds: alle Advisories verwenden (Große) Archive: mit regulären Ausdrücken nach relevanten Einträgen suchen (Volltextsuche) Kein relevantes Security-Advisory darf verworfen werden! 4. Senden von normalisierten Advisories an den Server 14/30

15 Normalisierung [DSA ] Der Crawler verfügt über die originalen Advisories und extrahiert alle Versionsinformationen. [vulnerable_package_versions] => Array ( [squeeze] => Array ( [openssl] => Array ( [0] => <0.9.8o-4squeeze13 )) [wheezy] => Array ( [openssl] => Array ( [0] => <1.0.1c-1 )) [sid] => Array ( [openssl] => Array ( [0] => <1.0.1c-1 ))) 15/30

16 Rechtliche Aspekte Gesamtheit aller Pflichten: Schnittmenge an Rechten: Setzen von Copyright- und Lizenzverweisen Fair Use (gem. USRechtssprechung): Texte, URLs Nicht-kommerzielle, interne Nutzung weitere Hinweispflichten je nach Herausgeber/Lizenz zum Zweck des Lernens und der Fortbildung benötigt keine Zustimmung des Copyright-Inhabers. 16/30

17 SAF-Herausgeber Debian MIT (Expat) / GPLv2 NIST's NVD freie Nutzung vor : OPL v1.0 OSVDB Ubuntu persönliche, nicht-kommerzielle Nutzung zur (Fort-)Bildung Marken und CopyrightVermerke beibehalten max. 100 Anfragen pro Tag überaltert USCERT interne Nutzung produced by 17/30

18 SAF-Herausgeber Security Focus keine Nutzungsbedingungen Secunia no robots allowed! RedHat nur für Kunden CentOS verweist auf RedHat IBM VUPEN keine Weiterverbreitung/verarbeitung von Inhalten geht nicht auf Nutzungsrechte ein 18/30

19 Korrelation von Paket-Inventar und normalisierten Advisories 19/30

20 Die Grundzüge der Auswertung am Server 1. Vergleich von Paketnamen python2.7-minimal --> SELECT WHERE name LIKE 'python2\.7%minimal%' vs. '%python2.7%' usw. Konfigurierbar für jeden Security-Advisory-Feed 2. Vergleich von Versionsnummern PHP's version_compare($v1, $v2, $op) $v1, $v2: '4.3.2RC1' wird z.b. zu '4.3.2.RC.1' $op: <, <=, >, >=, ==,!= Gut geeignet für das (übliche) Format <major>.<minor>.<bugfix> 20/30

21 Details des Abgleichs von Versionsnummern 1. Versionsnummern extrahieren 2. Ableiten von Branches aus Intervallangaben z.b.: < 5.3.x und <= 5.4.y sind verwundbar Branches sind demzufolge 5.4 und 5.3 Branches berücksichtigen parallele Entwicklungszweige. 3. Intervalle verwundbarer Versionen definieren if ( 5.3 <= $version AND $version < 5.3.x OR 5.4 <= $version AND $version <= 5.4.y) { $vulnerable = TRUE; } 21/30

22 Vulnerable? Fixed? False Positive? Pakete/Updates werden über Relationen als verwundbar/das Problem behebend/falsch-positiv gekennzeichnet. Die Markierung gilt auch für jene Hosts, auf denen die jeweilige Software installiert/verfügbar ist. 22/30

23 Ergebnisse Verknüpfungen zwischen Hosts, Paketen und Advisories Verwundbarkeiten Manuelle Kennzeichnung von False-Positives Farbliche Kennzeichnung anhand des VulnerabilityScores Farbe Schweregrad der Schwachstelle Buntheit Zuverlässigkeit des Crawler-Plugins 23/30

24 24/30

25 25/30

26 26/30

27 27/30

28 28/30

29 Ausblick (Noch) zu viele False-Positives Verbessern der Korrelation Automatische Berechnung des CVSS-Score wäre wünschenswert Hinzufügen weiterer Agent- und Crawler-Plugins yum/rpm; FreeBSD pkg_info, portmaster, pkgng; FreeBSD Security Advisories Code-Refactoring Weiterentwicklung unter GPLv2+ unter dem Namen Wizzan 29/30

30 Danke für Ihre Aufmerksamkeit! Illustrationen: Weiterführende Informationen: 30/30