 |
|
|
|
Galileo Computing. Wissen, wie’s geht.
|
 |
Praxisbuch Netzwerk-Sicherheit
Risikoanalyse, Methoden und Umsetzung
978-3-89842-571-1 |
| Inhaltsverzeichnis |
|---|
Einleitung ... 21
1.1 ... Nicht aufgeben! ... 22
1.2 ... 100 % Sicherheit ... 23
1.3 ... Betriebssysteme und deren
Software ... 24
1.4 ... Was ist IT-Sicherheit? ... 25
1.5 ... Die Kapitel im Überblick ...
27
1.6 ... Die Icons in diesem Buch ...
29
2 ... Gefahrenanalyse ... 31
2.1 ... Die Räumlichkeiten ... 31
...2.1.1 ... Der Serverraum ... 31
...2.1.2 ... Die Computerarbeitsplätze
... 32
2.2 ... Social Engineering ... 33
2.3 ... Handys, PDAs & Co. 34
...2.3.1 ... PDAs ... 34
...2.3.2 ... Handys ... 36
...2.3.3 ... Speichermedien ... 37
2.4 ... Hacker, Cracker & Spione ...
37
...2.4.1 ... Hacker und Cracker ... 37
...2.4.2 ... Industriespionage ... 39
2.5 ... Viren, Würmer & Trojaner ...
40
...2.5.1 ... Schädlinge ... 41
...2.5.2 ... Botnetze ... 43
2.6 ... Spam ... 43
2.7 ... Selbst in der Verantwortung
stehen ... 44
...2.7.1 ... Ansprechpartner ... 44
...2.7.2 ... Information ... 46
3 ... Einführung in die
Kryptographie ... 49
3.1 ... Motivation ... 49
...3.1.1 ... Kryptographie ... 49
...3.1.2 ... Kryptoanalyse ... 50
...3.1.3 ... Kryptologie ... 54
...3.1.4 ... Steganographie ... 54
3.2 ... Grundlagen ... 56
...3.2.1 ... Symmetrische
Verschlüsselungen ... 56
...3.2.2 ... Asymmetrische
Verschlüsselungen ... 63
...3.2.3 ... Hashes ... 65
...3.2.4 ... Digitale Signaturen ...
66
3.3 ... DES ... 68
...3.3.1 ... Die Geschichte ... 69
...3.3.2 ... Der Algorithmus selbst ...
69
...3.3.3 ... Sicherheitsfragen ... 71
...3.3.4 ... Und doch: DES in der Praxis
... 72
...3.3.5 ... Weitere wichtige
symmetrische Algorithmen ... 73
3.4 ... RSA ... 74
...3.4.1 ... Schlüsselerzeugung ... 75
...3.4.2 ... Ver- und Entschlüsseln mit
RSA ... 76
...3.4.3 ... Die Sicherheit von RSA ...
78
...3.4.4 ... RSA in der Praxis ... 78
...3.4.5 ... Weitere wichtige
asymmetrische Algorithmen ... 78
3.5 ... MD5 ... 79
...3.5.1 ... Das Verfahren ... 79
...3.5.2 ... Sicherheit von MD5 ... 80
...3.5.3 ... MD5 in der Praxis ... 81
...3.5.4 ... Weitere populäre
Hashverfahren ... 81
3.6 ... Kryptographie und Politik ...
82
...3.6.1 ... USA ... 83
...3.6.2 ... Wassenaar ... 85
...3.6.3 ... Kryptographie in
Deutschland ... 86
3.7 ... Zusammenfassung ... 87
4 ... TCP/IP ... 89
4.1 ... Grundlegendes zu TCP/IP ... 89
...4.1.1 ... Network Access-Layer ...
91
...4.1.2 ... Internet-Layer ... 91
...4.1.3 ... Transport-Layer ... 93
...4.1.4 ... Application-Layer ... 94
4.2 ... Das OSI-Modell ... 95
4.3 ... Die wichtigen Protokolle ...
97
4.4 ... ARP ... 97
...4.4.1 ... ARP-Spoofing ... 99
...4.4.2 ... Reverse-ARP ... 99
...4.4.3 ... Proxy-ARP ... 99
4.5 ... IP ... 100
...4.5.1 ... Length ... 102
...4.5.2 ... ID ... 102
...4.5.3 ... Flags ... 103
...4.5.4 ... Fragment Offset ... 103
...4.5.5 ... TTL ... 103
...4.5.6 ... Protocol ... 104
...4.5.7 ... Checksum ... 105
...4.5.8 ... Source/Destination Address
... 105
...4.5.9 ... Options ... 106
...4.5.10 ... Fragmentierung ... 107
...4.5.11 ... MTU ... 108
...4.5.12 ... Sicherheit ... 110
4.6 ... ICMP ... 110
...4.6.1 ... ICMP Type 0 und 8 ... 111
...4.6.2 ... ICMP Type 3 ... 112
...4.6.3 ... ICMP Type 4 ... 114
...4.6.4 ... ICMP Type 5 ... 114
...4.6.5 ... ICMP Type 9 und 10 ...
114
...4.6.6 ... ICMP Type 11 ... 114
...4.6.7 ... ICMP Type 12 ... 115
...4.6.8 ... Weitere ICMP-Typen ...
115
4.7 ... IGMP ... 116
...4.7.1 ... Der IGMPv2-Header ... 116
...4.7.2 ... IGMPv3 ... 117
4.8 ... IPv6 ... 117
...4.8.1 ... Die Verbreitungsproblematik
... 118
...4.8.2 ... Der IPv6-Header ... 118
...4.8.3 ... Extension-Header ... 120
4.9 ... ICMPv6 ... 121
...4.9.1 ... ICMPv6-Typen ... 122
4.10 ... Das UDP-Protokoll ... 123
...4.10.1 ... Der UDP-Header ... 124
...4.10.2 ... Sicherheitsaspekte ...
124
4.11 ... Das TCP-Protokoll ... 125
...4.11.1 ... Reliability ... 126
...4.11.2 ... Sende- und Empfangspuffer
... 127
...4.11.3 ... Flow-Control ... 127
...4.11.4 ... Header ... 128
...4.11.5 ... Grundlegendes zur
Datenkommunikation ... 130
...4.11.6 ... TCP: Sicherheitsaspekte
... 133
4.12 ... Weitere Protokolle ... 135
4.13 ... Routing ... 135
4.14 ... Zusammenfassung ... 135
5 ... Physikalische Sicherheit ...
137
5.1 ... Ein klassisches
Unternehmensnetzwerk ... 138
...5.1.1 ... Zugangskontrollen ... 138
...5.1.2 ... Das Netzwerk ... 140
5.2 ... Wireless LAN ... 140
...5.2.1 ... Der Standard ... 141
...5.2.2 ... Sicherheit ... 142
...5.2.3 ... WEP ... 142
...5.2.4 ... WPA und VPN ... 146
5.3 ... Bluetooth ... 147
...5.3.1 ... Die Funktionsweise ...
147
...5.3.2 ... Sicherheitsaspekte ...
148
5.4 ... Mobilgeräte ... 150
...5.4.1 ... Datenverlust durch
Diebstahl ... 150
...5.4.2 ... Gefahr durch Handys ...
150
5.5 ... Zusammenfassung ... 151
6 ... VPN-Grundlagen ... 153
6.1 ... VPN-Typen ... 153
...6.1.1 ... Site-to-Site ... 154
...6.1.2 ... Remote-Access ... 154
...6.1.3 ... Extranet ... 155
...6.1.4 ... Intranet ... 155
6.2 ... Datenverschlüsselung ... 155
6.3 ... Tunneling ... 155
...6.3.1 ... IPIP ... 156
...6.3.2 ... GRE ... 157
...6.3.3 ... PPTP ... 157
...6.3.4 ... L2TP ... 157
...6.3.5 ... IPSec ... 158
6.4 ... Zusammenfassung ... 164
7 ... Firewalls und Proxys ... 167
7.1 ... Grundlagen und Konzepte ...
167
...7.1.1 ... Default Deny ... 168
...7.1.2 ... Firewalls ... 168
...7.1.3 ... NAT und Masquerading ...
170
7.2 ... Paketfilter ... 173
...7.2.1 ... Typische Einsatzgebiete ...
173
...7.2.2 ... Funktion ... 173
...7.2.3 ... NAT ... 174
7.3 ... Personal Firewalls ... 175
...7.3.1 ... Szenario 1: auf den Clients
eines Firmen-LANs ... 175
...7.3.2 ... Szenario 2: auf einem
Heimrechner ... 176
...7.3.3 ... Absicherung von Clients und
Heimrechnern ... 177
...7.3.4 ... Gefahren ... 178
7.4 ... iptables/netfilter für Linux ...
178
...7.4.1 ... Support im Kernel ... 180
...7.4.2 ... Die Funktionsweise ...
180
...7.4.3 ... Beispiele für den Einsatz
... 182
...7.4.4 ... Iptables im Detail ...
186
7.5 ... pf für OpenBSD ... 196
...7.5.1 ... pf aktivieren ... 196
...7.5.2 ... pfctl ... 196
...7.5.3 ... Regeln erstellen ... 197
7.6 ... Firewallkonfiguration mit
fwbuilder ... 203
7.7 ... Proxyserver ... 205
...7.7.1 ... Funktion ... 205
...7.7.2 ... Einsatz ... 207
...7.7.3 ... Beispiel: Squid unter Linux
... 207
7.8 ... Zusammenfassung ... 212
8 ... Topologien ... 213
8.1 ... Switches vs. Router ... 213
...8.1.1 ... Hubs ... 213
...8.1.2 ... Switches ... 214
...8.1.3 ... Repeater ... 215
...8.1.4 ... Bridges ... 216
...8.1.5 ... Router ... 216
8.2 ... Bastion Hosts ... 217
8.3 ... DMZ ... 218
...8.3.1 ... Aufbau ... 218
...8.3.2 ... Ein Beispiel ... 220
8.4 ... Terminal Server vs. Desktops ...
221
8.5 ... Honeypots ... 223
...8.5.1 ... Argumentation ... 224
...8.5.2 ... Honeypot Farm ... 226
8.6 ... Zusammenfassung ... 226
9 ... Einbruchserkennung ... 227
9.1 ... Honeypots in der Praxis ...
227
...9.1.1 ... Honeyd ... 227
...9.1.2 ... Honeytokens ... 231
9.2 ... Linux Syslog Server ... 233
...9.2.1 ... Motivation ... 233
...9.2.2 ... syslogd ... 234
...9.2.3 ... Konfiguration des Servers
... 236
...9.2.4 ... Konfiguration der Clients
... 236
...9.2.5 ... logrotate ... 237
...9.2.6 ... logcheck ... 238
...9.2.7 ... Sicherheitsaspekte ...
239
...9.2.8 ... Ausblick: syslogd-ng ...
241
9.3 ... Intrusion Detection ... 241
...9.3.1 ... Mögliche Implementierungen
von IDS ... 243
9.4 ... Snort ... 245
...9.4.1 ... Aufbau der Intrusion
Detection ... 248
...9.4.2 ... snort.conf ... 249
9.5 ... Dateisystem Intrusion Detection
... 257
9.6 ... mtree ... 258
...9.6.1 ... Ein Abbild des Dateisystems
erstellen ... 258
...9.6.2 ... Auf Veränderungen
überprüfen ... 261
9.7 ... Intrusion Prevention ... 261
9.8 ... systrace ... 262
9.9 ... Intrusion Response ... 264
9.10 ... Zusammenfassung ... 265
10 ... Netzwerksicherheit überwachen
... 267
10.1 ... Netzwerkmonitoring mit Nagios
... 269
...10.1.1 ... Die Installation ... 270
...10.1.2 ... Die Konfiguration ...
274
...10.1.3 ... Die Plugins ... 282
10.2 ... Nmap: Der wichtigste
Portscanner ... 284
...10.2.1 ... Prinzip eines Portscanners
... 284
...10.2.2 ... Techniken des Scannens ...
285
...10.2.3 ... Weiterer
Informationsgewinn ... 291
...10.2.4 ... Nmap in der Praxis ...
293
10.3 ... Nessus: Ein Security-Scanner
... 298
...10.3.1 ... Die Installation ... 298
...10.3.2 ... Die Konfiguration ...
299
...10.3.3 ... Nessus benutzen ... 300
10.4 ... Sniffer ... 301
...10.4.1 ... tcpdump ... 302
...10.4.2 ... ethereal ... 303
...10.4.3 ... dsniff ... 304
10.5 ... Zusammenfassung ... 304
11 ... Remote-Access auf Netzwerke
... 305
11.1 ... Remote-Authentifizierung ...
305
...11.1.1 ... Radius und Co. 305
11.2 ... PPP, SLIP und Co. 306
11.3 ... Virtuelle Private Netzwerke ...
307
...11.3.1 ... Solaris ... 307
...11.3.2 ... OpenBSD ... 312
...11.3.3 ... Testen ... 314
...11.3.4 ... Support unter Windows ...
316
11.4 ... Die GUI auf Reise ... 316
11.5 ... Zusammenfassung ... 316
12 ... Serveraufbau ... 319
12.1 ... Der Aufbau der Hardware ...
319
...12.1.1 ... USV ... 319
...12.1.2 ... RAID ... 321
...12.1.3 ... Backups ... 322
12.2 ... Der Serverraum ... 323
...12.2.1 ... Brandschutz ... 323
...12.2.2 ... Klimaanlage ... 323
...12.2.3 ... Zutritt ... 323
12.3 ... Die Entsorgung ... 323
...12.3.1 ... Alte Festplatten ... 324
...12.3.2 ... Kopier- und Faxgeräte ...
324
12.4 ... Zusammenfassung ... 324
13 ... Dienste absichern ... 325
13.1 ... Nameserver Absicherung ...
325
...13.1.1 ... Restricted Zonetransfers
... 326
...13.1.2 ... Hochverfügbarkeit ...
327
...13.1.3 ... Versionsnummer verstecken
... 327
...13.1.4 ... Serverzugriff ... 327
13.2 ... SSH Absicherung ... 328
...13.2.1 ... SSH Devicespezifisch ...
328
...13.2.2 ... Root-Login ... 328
...13.2.3 ... Listen-Port ... 329
...13.2.4 ... Leere Passwörter ... 329
...13.2.5 ... Benutzer-Wrapper ... 330
...13.2.6 ... Group-Wrapper ... 330
...13.2.7 ... Zugriff nur via Key oder
auch via Passwort? ... 330
...13.2.8 ... Weitere Möglichkeiten der
Authentifizierung ... 330
13.3 ... X11-Absicherung ... 331
...13.3.1 ... xhost ... 331
...13.3.2 ... Keine Remoteverbindungen
... 331
...13.3.3 ... Weitere Möglichkeiten ...
332
13.4 ... Absicherung des Network
Filesystems ... 332
...13.4.1 ... Absicherung der zu
exportierenden Verzeichnisse ... 332
...13.4.2 ... Weitere Möglichkeiten zur
Absicherung ... 334
13.5 ... NIS Absicherung ... 335
13.6 ... FTP Absicherung ... 335
...13.6.1 ... Das Protokoll ... 335
...13.6.2 ... chroot ... 337
...13.6.3 ... Quotas und Speicherlimits
... 337
...13.6.4 ... Anonymous Zugriff ...
337
...13.6.5 ... Authentifizierung ...
340
...13.6.6 ... Verschlüsselung ... 340
13.7 ... DHCP Absicherung ... 341
...13.7.1 ... Maßnahmen zur Absicherung
... 341
13.8 ... Webserver Absicherung ... 342
...13.8.1 ... Authentifizierung via
htaccess ... 343
...13.8.2 ... Verwendung von HTTPS ...
344
13.9 ... E-Mail Absicherung ... 346
...13.9.1 ... Authentifizierung ...
347
...13.9.2 ... SMTP, POP3, IMAP ... 348
13.10 ... Zusammenfassung ... 349
14 ... Secure Shell ... 351
14.1 ... Das Protokoll ... 352
...14.1.1 ... SSH Protokoll 1 ... 352
...14.1.2 ... SSH Protokoll 2 ... 352
14.2 ... Konfiguration eines
OpenSSH-Servers ... 353
...14.2.1 ... Die /etc/ssh/sshd_config
... 353
14.3 ... SSH nutzen ... 357
...14.3.1 ... Remote Login ... 357
...14.3.2 ... Secure Copy ... 359
...14.3.3 ... Authentifizierung über
Public-Key Verfahren ... 361
...14.3.4 ... Secure File Transfer ...
365
...14.3.5 ... X11 Forwarding ... 366
...14.3.6 ... SSH Port Forwarding ...
367
14.4 ... Zusammenfassung ... 369
15 ... Unix Sicherheit ... 371
15.1 ... Access Control ... 371
15.2 ... Benutzer, Passwörter, Gruppen
... 373
15.3 ... Trojanische Pferde ... 375
15.4 ... Logging ... 375
...15.4.1 ... Zeitsparen bei der Analyse
... 376
15.5 ... Partitionierungen ... 376
15.6 ... Restricted Shells ... 377
15.7 ... su und sudo ... 378
15.8 ... chroot ... 379
15.9 ... Patches ... 379
...15.9.1 ... OpenBSD ... 380
...15.9.2 ... Solaris ... 382
15.10 ... Loadable Kernel Modules ...
384
15.11 ... Stealth Interfaces ... 385
15.12 ... Zusammenfassung ... 385
16 ... Windows Sicherheit ... 387
16.1 ... Patches ... 387
16.2 ... »remove inet.d« für Windows ...
387
16.3 ... Standardfreigaben deaktivieren
... 388
16.4 ... Deaktivieren der
Druckerfreigabe ... 389
16.5 ... Zugriff auf Wechselmedien ...
389
16.6 ... Umbenennen von Konten ... 390
16.7 ... Unterschiedliche Passwörter im
Netzwerk ... 391
16.8 ... Partitionierung ... 391
16.9 ... Sicherheit im Dateisystem ...
391
16.10 ... Sicherheitsfeatures und
Systemversion ... 392
16.11 ... Zusammenfassung ... 393
17 ... Disaster Recovery ... 395
17.1 ... Problemdefinition ... 395
17.2 ... Ursachenanalyse ... 395
...17.2.1 ... Serverprobleme ... 395
...17.2.2 ... Hackerangriffe ... 396
17.3 ... Forensik ... 397
...17.3.1 ... Erste Schritte ... 397
...17.3.2 ... Forensiktools ... 397
...17.3.3 ... Backdoors ... 399
...17.3.4 ... Rootkits ... 401
17.4 ... Server wieder aufsetzen ...
403
...17.4.1 ... Neuinstallation? ... 403
...17.4.2 ... Backups ... 404
17.5 ... Zusammenfassung ... 404
18 ... Websicherheit ... 407
18.1 ... PHP-Sicherheit ... 407
...18.1.1 ... Variablen ... 408
...18.1.2 ... Referer und Co. 410
...18.1.3 ... Cross-Site-Scripting ...
411
...18.1.4 ... CSS und Cookies ... 413
18.2 ... Cookies ... 414
18.3 ... Angriffe auf Proxyserver und
Datenbanken ... 414
18.4 ... Zusammenfassung ... 416
19 ... Security Policys ... 417
19.1 ... Gute Vorsätze für das neue
Jahr! ... 417
19.2 ... Der Inhalt ... 417
...19.2.1 ... Festlegung der
Dokumentationsstruktur ... 418
...19.2.2 ... Überwachungssystem und
-intervalle ... 418
...19.2.3 ... Autorisierungs- und
Authentifizierungsmaßnahmen ... 418
...19.2.4 ... Weitere Möglichkeiten ...
418
19.3 ... Zusammenfassung ... 419
20 ... Backups ... 421
20.1 ... Die Backupstrategie ... 421
20.2 ... Backuparten ... 425
...20.2.1 ... Vollständiges Backup ...
425
...20.2.2 ... Inkrementelles Backup ...
425
...20.2.3 ... Datenbackup ... 425
...20.2.4 ... Systembackup ... 426
...20.2.5 ... Backupmedien ... 426
...20.2.6 ... Komprimieren ... 427
20.3 ... BackupPC ... 427
...20.3.1 ... Das Projekt ... 427
...20.3.2 ... Die Installation ... 430
...20.3.3 ... Die Konfiguration ...
431
...20.3.4 ... Bedienung ... 432
20.4 ... Zusammenfassung ... 433
21 ... Sichere Kommunikation ...
435
21.1 ... Richtige Kommunikation ...
435
...21.1.1 ... Übersehen und Ignorieren
von E-Mails ... 435
...21.1.2 ... Von sich auf andere zu
schließen ... 435
...21.1.3 ... Romane statt kurzer Mails
... 436
...21.1.4 ... Im Ton vergriffen ...
436
...21.1.5 ... Mails an alle ... 436
...21.1.6 ... Grammatik und
Rechtschreibung ... 437
21.2 ... E-Mailstandards ... 437
...21.2.1 ... SMTP ... 437
...21.2.2 ... POP3 ... 440
21.3 ... Sichere Übertragung: SSL/TLS
... 442
...21.3.1 ... Das Protokoll ... 442
...21.3.2 ... SSL in der Praxis: HTTPS
... 443
21.4 ... Mails verschlüsseln: PGP und
S/MIME ... 445
...21.4.1 ... PGP/GPG ... 445
...21.4.2 ... S/MIME ... 448
21.5 ... Zusammenfassung ... 449
22 ... Authentifizierungen ... 451
22.1 ... Die grundlegensten
Möglichkeiten ... 451
22.2 ... Biometrische Authentifizierung
... 452
22.3 ... S/Key ... 453
...22.3.1 ... S/Key aktivieren ... 454
...22.3.2 ... Benutzerinitialisierung
... 455
...22.3.3 ... Anmelden am System ...
456
22.4 ... PAM ... 457
...22.4.1 ... Die Datei /etc/pam.conf
... 459
...22.4.2 ... Die Module ... 462
...22.4.3 ... Linux-PAM ... 462
...22.4.4 ... Entwickeln mit der
PAM-Library ... 462
22.5 ... Authentifizierung via NIS, NIS+
und LDAP ... 466
22.6 ... Zusammenfassung ... 468
23 ... Kerberos ... 469
23.1 ... KDC und Tickets ... 469
23.2 ... Master-Server und Realms ...
471
23.3 ... Konfiguration des
Kerberos-Servers und des KDC ... 471
...23.3.1 ... Konfiguration der
krb5.conf ... 471
...23.3.2 ... Konfiguration der kdc.conf
... 473
...23.3.3 ... Erstellung einer Datenbank
... 474
...23.3.4 ... Administrative Rechte
klären ... 474
...23.3.5 ... Starten des KDC und des
Master-Servers ... 475
...23.3.6 ... Principals hinzufügen ...
475
23.4 ... Konfiguration des Clients ...
476
...23.4.1 ... kinit ... 476
...23.4.2 ... Verwalten von
Kerberos-Tickets ... 477
23.5 ... Kerberos unter Windows ...
477
23.6 ... Zusammenfassung ... 478
24 ... Sichere Software entwickeln
... 479
24.1 ... Sicheres Design ... 479
...24.1.1 ... Der Kreislauf der
Softwaresicherheit ... 480
24.2 ... Buffer-Overflows ... 481
...24.2.1 ... Eine Einleitung ... 481
...24.2.2 ... Begriffserklärungen ...
482
...24.2.3 ... Ein Beispielangriff ...
485
...24.2.4 ... Vermeiden von
Buffer-Overflows ... 489
...24.2.5 ... Weitere Funktionen ...
491
24.3 ... Formatstring-Overflows ...
491
24.4 ... Heap Overflows ... 493
24.5 ... Integer Overflows ... 497
...24.5.1 ... Der Overflow ... 498
24.6 ... Race Conditions ... 499
...24.6.1 ... File-Locking ... 500
...24.6.2 ... Atomare Operationen Teil 1
... 501
...24.6.3 ... Atomare Operationen Teil 2
... 502
24.7 ... Off-by-One ... 503
24.8 ... Abschließende Worte ... 504
...24.8.1 ... (Symbolische) Links ...
505
...24.8.2 ... Signale ... 505
24.9 ... Zusammenfassung ... 505
25 ... Organisationen und
Informationen ... 507
25.1 ... ICANN ... 507
25.2 ... RIPE ... 507
25.3 ... IETF ... 508
25.4 ... ETSI ... 508
25.5 ... BSI ... 508
25.6 ... CERT/CC ... 508
25.7 ... HERT ... 509
25.8 ... Securityfocus ... 509
25.9 ... Newsgroups ... 510
A ... WLAN-Standards nach IEEE
802.11 ... 515
B ... kap23.c ... 517
C ... Das Script vpnstart.sh ...
519
D ... Buffer-Overflow Exploit ...
521
E ... Glossar ... 523
F ... Literatur ... 527
Nachwort ... 531
Index ... 533
 Zurück zu »Praxisbuch Netzwerk-Sicherheit«
|
|
|
|
|
|
|
