Felix von Eye, Wolfgang Hommel, Stefan Metzger DR. TOPSCAN. Ein Werkzeug für die automatisierte Portscanauswertung in komplexen Netzinfrastrukturen

Transkript

1 Felix von Eye, Wolfgang Hommel, Stefan Metzger DR. TOPSCAN Ein Werkzeug für die automatisierte Portscanauswertung in komplexen Netzinfrastrukturen

2 Felix von Eye, Wolfgang Hommel, Stefan Metzger DR. TOPSCAN Ein Werkzeug für die automatisierte Portscanauswertung in komplexen Netzinfrastrukturen

3 Felix von Eye, Wolfgang Hommel, Stefan Metzger DR. PORTSCAN Ein Werkzeug für die automatisierte Portscanauswertung in komplexen Netzinfrastrukturen

4 Worum geht es? Portscans als proaktive Sicherheitsmaßnahme Ca eigene Systeme Einfache Portscans ergeben > offene Ports Räumliche und zeitliche Verteilung der eingesetzten Portscanner mit unterschiedlichen Ergebnissen Manuell nicht mehr händelbar!!! Daher Delta Reporting Portscan Tool (Dr. Portscan) benötigt. 19./ DFN Workshop Sicherheit in vernetzten Systemen : Dr. Portscan 4

5 Ausgangssituation

6 Das Münchner Wissenschaftsnetz (MWN) Ca Benutzer Ca Geräte Mehr als 500 Gebäude Bayernweite Ausdehnung Dezentrale Administration und Systemverantwortung ABER: Das LRZ ist erster Ansprechpartner bei externen Beschwerden 19./ DFN Workshop Sicherheit in vernetzten Systemen : Dr. Portscan 6

7 Ausgangssituation

8 DFN-CERT Netzwerkprüfer Eigenes Netz kann von außen gescannt werden Scanintervall: Alle 28 Tage Ca TCP- und einige UDP-Ports Ergebnisse über das DFN-CERT Portal DFN-CERT 19./ DFN Workshop Sicherheit in vernetzten Systemen : Dr. Portscan 8

9 Ausgangssituation

10 Ausgangssituation

11 Erfahrungen mit Portscans Abweichungen in den Ergebnissen Vergleichsscan liegt zu weit in der Vergangenheit Unterschiedliche Platzierung der Scanner Zuverlässigkeit von Scannern Determinismus? (z.b. DSL-Anschluss) Scanner auf virtuellen Servern? Dynamisch geöffnete Ports bei bestimmten Diensten CORBA-basierte Serverdienste (nur temporär) Herausforderung: Qualitativ hochwertiger Input 19./ DFN Workshop Sicherheit in vernetzten Systemen : Dr. Portscan 11

12 Ausgangssituation

13 Anforderungen an Dr. Portscan Unterstützung für Beliebig viele beliebig in der Netztopologie verteilte Portscanner Beliebig zeitversetzt ausgeführte Einzelscans Beliebige Portscan-Programme und -Dienste Gesamtübersicht und Delta-Reports Fokus auf Veränderungen: Veränderungen gegenüber dem letzten Scan eines Portscanners Veränderungen in Hinblick auf die Innen/Außen-Sicht Modularer Input und Export 19./ DFN Workshop Sicherheit in vernetzten Systemen : Dr. Portscan 13

14 Implementierung Perl-basierte Implementierung Unabhängig vom Betriebssystem Vorkonfiguriert für Linux Datenbank-basierte Speicherung mit Perl::DBI Perl::DBI unterstützt mehrere Datenbanktypen Vorkonfiguriert für SQLite Git-Repository: Inbetriebnahme im ADMIN-Magazin 01/2013 beschrieben Feedback erwünscht! 19./ DFN Workshop Sicherheit in vernetzten Systemen : Dr. Portscan 14

15 Arbeitsweise

16 Arbeitsweise Beispielhafte Portscanner Externe Scanner DFN-Netzwerkprüfer nmap Interne Scanner Samhain nmap

17 Arbeitsweise Input-Agenten Übertragen die Ergebnisse auf die zentrale Dr. Portscan- Instanz Konvertieren in ein einheitliches Datenformat IP-Adresse Port/Protokoll Zeitstempel

18 Arbeitsweise Ergebnisse des Delta-Reporters Keine Veränderung gegenüber dem letzten Scan-Lauf Neue Maschine (IP-Adresse ist zum ersten Mal auffällig geworden) Maschine läuft nicht mehr Veränderter DNS-Name Neuer offener Port, der vorher noch nie offen war Port inzwischen geschlossen (Port war früher offen) Port wieder geöffnet, nachdem er zwischenzeitlich geschlossen war

19 Arbeitsweise Zentrale Datenbank Durch Nutzung von Perl::DBI flexibel SQLite vorkonfiguriert Historie zum Teil verfügbar Zu jedem Port wird genau ein Eintrag gespeichert Cleanup möglich

20 Arbeitsweise Output-Agenten: Ausgabe möglich über Text Mail Datenbankzugriff Scripte können angestoßen werden (z.b. für eine Erkennung von Open Resolvern bei offenen DNS-Ports)

21 Erweiterungen Mandantenfähigkeit Einstellbare Scanbereiche Individuelles Reporting Weboberfläche oder Script-basierte Steuerung Integration in SIEM-Lösungen IPv6: Auto-Discovery von zu scannenden Systemen Weitere Scripte, um Schwachstellenscanner zu konfigurieren 19./ DFN Workshop Sicherheit in vernetzten Systemen : Dr. Portscan 21

22 Fragen? Sourcecode unter: oder git clone git://git.lrz.de/loginids.git Kontakt: Felix von Eye 19./ DFN Workshop Sicherheit in vernetzten Systemen : Dr. Portscan 22