CERT.at. Ein Computer Emergency Response Team für Österreich. Robert Schischka CERT Computer Emergency Response Team

Größe: px

Ab Seite anzeigen:

Download "CERT.at. Ein Computer Emergency Response Team für Österreich. Robert Schischka <schisch@cert.at> CERT Computer Emergency Response Team"

Otto Weiner
vor 8 Jahren
Abrufe

1 CERT.at Ein Computer Emergency Response Team für Österreich Robert Schischka Begriffe CERT Computer Emergency Response Team Oft auch: CSIRT Computer Security Incident Response Team Hat nichts mit Cert im Sinne von X.509 Zertifikaten oder Zertifizierung nach Normen zu tun! 2 1

at> Begriffe CERT Computer Emergency Response Team Oft auch: CSIRT

2 Die Pflicht Incident-Handling Triage Liegt ein Incident vor? Sind wir zuständig? Bewerten und Priorisieren. Analyse des Vorfalls Ergreifen, Vorschlagen, Veranlassen von Maßnahmen Durchführung und Wirksamkeit kontrollieren Nachbereitung 3 Die Kür Analog zu Nebengeschäften der Feuerwehr Vermeidung von Vorfällen Mechanismen zur Erkennung Vorbereitung von Gegenmaßnahmen Organisieren von Ansprechpersonen Öffentlichkeitsarbeit Beratung 4 2

kontrollieren Nachbereitung 3 Die Kür Analog zu Nebengeschäften der Feuerwehr Vermeidung von Vorfällen

3 Arten von CERTs In Firmen: IT Sicherheitsverantwortlicher (+Team) In ISPs: klassisches abuse-handling Network / Server Security Übergreifend: Nationales CERT Government CERT 5 Warum? (Stand 2007) 6 3

4 Ziele eines nationalen CERTs in.at Kontaktpunkt für sicherheitsrelevante IKT- Ereignisse in Österreich Vertrauenswürdige, anerkannte Informationsdrehscheibe für diese Themen Der international sichtbare Partner für ausländische CERTs Koordination von Security-Incidents Öffentliche Informationen / Awareness 7 Was ist ein nationales CERT nicht. Ermittlungsbehörde / Strafverfolgung Wunderwaffe gegen alle Sicherheitsprobleme Etwas was man einschaltet und sofort wirksam ist Eine Einrichtung die ISOLIERT arbeiten kann Eine rein technische Angelegenheit. 8 4

Themen Der international sichtbare Partner für ausländische CERTs Koordination von Security-Incidents Öffentliche Informationen /

5 Was haben wir gemacht? (Sozial-)Networking Incident Coordination Primär Phishing, Malware Hosting Botnet tracking Warnungen bei ernsten Problemen Untersuchung zu DNS Resolvern re: Kaminsky Bug Defacement-Monitoring, Behandlung von Phishing / Identity-Diebstahl conficker (!) 9 Networking Zahlreiche Gespräche in Österreich Workshop mit KAV / HEALIX Internationale Vernetzung: Akkreditierung TI/TF-CSIRT im März Mitgliedschaft FIRST im Juni CERT-Verbund Arbeitstreffen Diverse Konferenzen Partnerschaften mit div. Internationalen Teams 2 Transit Trainings in Wien TF-CSIRT Ende September in Wien 10 5

Resolvern re: Kaminsky Bug Defacement-Monitoring, Behandlung von Phishing / Identity-Diebstahl conficker (!

6 Incident Coordination Typisch: Please deal with Ebay phishing at is hosting Malware AusCERT Reports zu stolen credentials 11 Botnet Tracking neuer USB-Stick mit Malware infiziert. Per autostart aktiviert, lädt code nach. IRC-basierte Command&Control server in China Hat /who erlaubt, daher konnten wir mitschauen, von woher Zombies sich gemeldet haben. Paper, Rohdaten für nsp-sec 12 6

infiziert. Per autostart aktiviert, lädt code nach.

7 Warnungen Anspruch: Vermeidung von Redundanz (heise, ) Nicht umfassend Low Frequency Kein Microsoft Patchday Beispiele Debian openssl Kaminsky DNS exploit 13 DNS Poisoning Reloaded Altes Problem Bailiwick checking (cf. Kashpureff) Predictable QID Siehe draft-ietf-dnsext-forgery-resilience Neuer Twist Ungeschützte Server fast trivial verwundbar Quick fix: Source Port Randomization Koordinierter Release am 8. Juli Implikationen sind ernsthaft bösartig. 14 7

Kashpureff) Predictable QID Siehe draft-ietf-dnsext-forgery-resilience Neuer Twist Ungeschützte Server fast

8 Wie hat Österreich reagiert? Normalerweise kann ein CERT selten nachprüfen, ob Advisories befolgt wurden. Der Patch verändert das Muster der Fragen an autoritative Server. Unser Vorteil: Resolver in Österreich fragen nach Domains unter.at Wir haben die Query-logs der Nameserver für.at Wichtige Resolver fragen nach vielen Domains Wir können überprüfen, welche der Nameserver in Österreich wann gepatcht wurden. Und daher auch: Nachhaken bei Betreibern, die nicht gepatcht haben. 15 8

Unser Vorteil: Resolver in Österreich fragen nach Domains unter.at Wir haben die Query-logs der Nameserver für.

9 9

10 Was wurde getan? 100% 80% % % % % Es ist nicht so schlimm 100% % 60% % 20% 0%

05 19 Es ist nicht so schlimm 100% 0.95 80% 60% 0.85 0.75 0.65 40% 20% 0% 04.07.08 11.07.08 18.

11 Was hat man konkret davon? Beispiel conficker Wurm Nützt mehrer Verbreitungsmethoden Zahlreiche Varianten Entfernen sehr schwierig Massiver Befall (auch) in.at Ausfälle eher Nebeneffekt als Ziel des Angriffes daher Teilweise nicht sofort erkannt Kommunikation mit Control-Servern ermöglicht externe Identifikation von Opfern 21 Was hat man konkret davon? CERT.at erhält aus internationalen Kooperationen Daten über österreichische Netze Vertrauliche Warnung der Betroffenen möglich bevor das Problem in der Öffentlichkeit auffällt unabhängige Unterstützung der Betroffen Analyse Malware internationale Koordinationt Direkte Kontakte zu Herstellern (Labs nicht Sales) Beratung bei Massnahmen / Best Practice Erfahrungsaustausch Weitergabe technisch relevanter aber anonymisierter Infos zur Vorbeugung 22 11

CERT.at erhält aus internationalen Kooperationen Daten über österreichische Netze Vertrauliche Warnung der Betroffenen möglich bevor das Problem in der Öffentlichkeit auffällt unabhängige

12 Nächste Schritte Eigene Quellen: Sensornetze Scans z.b. Debian SSL keys, open DNS resolver Mehr externe Quellen: Sensornetze befreundeter CERTs Shadowserver, dshield Arbor, zone-h XSSed, Phishtank, 23 Frühwarnsystem Aufbau eines Sensornetzwerkes Zusammenarbeit mit FH Gelsenkirchen und FH Hagenberg Offene Architektur / keine Blackbox Ausschließlich verdichtete Statistikdaten Ziel: System lernt Normalverhalten und alarmiert bei auffälligen Abweichungen Internationale Kooperationen Mitwirkung gewünscht 24 12

XSSed, Phishtank, 23 Frühwarnsystem Aufbau eines Sensornetzwerkes Zusammenarbeit mit FH Gelsenkirchen und FH Hagenberg Offene

Zusammenfassung: Das CERT unterstützt lokale Kompetenz legt Focus auf Funktionsfähigkeit der IT Wiederanlauf wichtiger als Täterverfolgung

13 Zusammenfassung: Das CERT unterstützt lokale Kompetenz legt Focus auf Funktionsfähigkeit der IT Wiederanlauf wichtiger als Täterverfolgung ist ein Angebot ist auf Ihre Kooperation angewiesen kann isoliert nicht funktionieren wird niemand Arbeit wegnehmen 25 Kontakt:

ist ein Angebot ist auf Ihre Kooperation angewiesen kann isoliert

Ähnliche Dokumente

SWITCH-CERT Christoph Graf Head of Network Security SWITCH <graf@switch.ch>

SWITCH-CERT Christoph Graf Head of Network Security SWITCH 2004 SWITCH Begriffe CERT: Computer Emergency Response Team Generische Begriffsbezeichnung für Computersicherheitsteams Aber: