20

Netzwerke (Fach) / D. Vertiefung (Lektion)

Diese Lektion wurde von Segetown86 erstellt.

Lektion lernen

Diese Lektion ist leider nicht zum lernen freigegeben.

zurück  |  weiter 1 / 1

• Firewall -Eine Firewall wird in der Regel eingesetzt, um ein privates Netz von einem öffentlichen Netz zu trennen. Sie kann aber auch genutzt werden, um Teile eines LAN voneinander zu trennen, z.B. das allgemeine Büronetz und das Netz der Personalabteilung.-Sie überwacht den durch sie hindurchgehenden Datenverkehr und entscheidet anhand festgelegter Regeln, welche Datenpakete durchgelassen und welche blockiert werden.-Es ist nicht ihre Aufgabe, Angriffe oder Eindringversuche zu erkennen. Dafür sind Intrusion Detection Systeme(IDS) zuständig.-IDS können auf einer Firewall aufsetzen, gehören aber nicht zum eigentlichen Funktionsumfang.
• Firewall-Typen -Eine Personal Firewallist eine Software, die lokal auf dem zu schützenden Rechner installiert wird. Sie kontrolliert den gesamten Datenverkehr zwischen dem Rechnern und dem Netzwerk, an das er angeschlossen ist.-Eine Hardware Firewallist ein dediziertes Gerät, das mindestens zwei Netzwerksegmente voneinander trennt. Man unterscheidet weiter in:+Routing Firewall, der am häufigsten eingesetzte Typ, bei der ein Router mit einer Firewall kombiniert wird. Diese Geräte können auch Adress-umsetzungenvornehmen. Allerdings brauchen sie eine eigene IP-Adresse und sind damit potentiell angreifbar (Layer 3).+BridgingFirewall, bei der die Firewall praktisch nicht in Erscheinung tritt, sondern nur den Datenverkehr kontrolliert (Layer 2).+Proxy Firewall, bei der ein Proxy als Kommunikationspartner gegenüber Externen auftritt. Verbindungen sind allerdings auf beiden Seiten terminiert, es handelt sich also um zwei eigenständige Verbindungen.
• Hardware-Firewall -Die Hardware einer Firewall ist ein Rechner, der auf die Aufgabe hin optimiert ist, IP-Datenpakete zu untersuchen und weiterzuleiten. Sie besitzt mindestens zwei, häufig aber mehr Netzwerkschnittstellen.-Sie kann auf handelsüblichen Rechnern mit ebenso üblichen Betriebssystemen aufsetzen. Meist wird aber eine eigene Hardware mit einem spezialisierten Betriebssystem verwendet, z.B.:+Cisco Adaptive Security Appliances(ASA-Serie, früher PIX)+Checkpoint Security Appliances(Office, Enterprise, Data Center))+Sophos XG-Serie+…-Die Software ist die Anwendung, die Datenpakete untersucht, manipuliert und freigibt oder blockiert. Bei dedizierten Firewalls ist sie häufig mit dem Betriebssystem verschmolzen. -Die Netzwerkschnittstellen werden in so genannte Vertrauens-oder Sicherheitszonen (securitylevels) eingeteilt.-Grundsätzlich gilt: je schutzwürdiger die jeweilige Zone ist, desto strenger sind die Restriktionen bei Zugriff auf das zugeordnete Interface. Häufige Grundeinstellung:+jeder Datenverkehr zwischen den Interfaces ist verboten+manchmal ist auch der Datenverkehr von einem Interface höherer Sicherheit zu einem niedrigerer Sicherheit erlaubt, aber nicht umgekehrt-Die Interfaces werden häufig unterschieden nach+internes Netz (inside, LAN): das zu schützende Netz+externes Netz (outside, WAN): das öffentliche Netz+optional eine oder mehrere DMZ (demilitiarisierteZone)
• Demilitarisierte Zone - Die Demilitarisierte Zone (DMZ) ist ein eigenständiges Subnetz, das daslokale Netzwerk (LAN) vom WAN trennt. Es gibt dann keine direkteVerbindung vom LAN z.B. zum Internet. Klassisch wird eine DMZ mitzwei Firewalls aufgebaut.- Diese werden heute oft in einem Gerät mit drei oder mehrNetzwerkkarten zusammengefasst. -Die Kosten für eine zweite oder erweiterte Firewall und der Konfigura-tionsaufwandsind nicht unerheblich. Wer hier sparen will, kann auch einen DMZ-Host im LAN einrichten.-In vielen einfachen Routern wird das als DMZ bezeichnet. Es handelt sich aber um keine echte Demilitarisierte Zone, sondern um einen "ExposedHost", der alle eingehenden Daten erhält, was als sicherheitskritischanzusehen ist.
• Firewalltechniken -(Statischer) PaketfilterJedes Paket, das den Paketfilter passieren will, wird untersucht. Anhand der in jedem Paket vorhanden Daten wie Absender-und Empfänger-Adresse, Quell-und Zielport, ggf. auch Protokoll einer höheren Schicht, entscheidet der Paketfilter aufgrund von Filterregeln was mit diesem Paket geschieht. Dies ist die einfachste Art der Filterung. -StatefulPacket Inspection(zustandsgesteuerte Filterung) ist eine Methode zur Erweiterung der Funktion eines Paketfilters. StatefulInspectionmerkt sich den Status einer Verbindung und kann ein Datenpaket einer bestehenden Verbindung (Sitzung) zuordnen. Sitzungen können nur von innen nach außen initiiert werden, z.B. durch eine Anfrage an einen Web-Server. Eingehende Datenpakete, die einer Sitzung zugeordnet werden können, werden durchgelassen, alle anderen verworfen. -ApplicationLayer FirewallAuf dieser Ebene sind verschiedene Konzepte möglich. So kann man zum Beispiel Authentifizierungsverfahren mit berücksichtigen, kann über Proxy-Firewalls die Kommunikation detailliert steuern oder als Content-Filter Malwareund Angriffe ausschließen, z.B. durch Überprüfung der höheren Protokolle auf erlaubte Befehle. -ContentfilterEine Firewall kann nicht nur auf der niedrigen Ebene des Paketfilters arbeiten, sondern auch komplexere Aufgaben übernehmen. Ein Content-Filter überprüft die Inhalte der Pakete z.B. auf:+ActiveX-und Java-Script-Anteile+unerwünschte Schlüsselwörter in Web-Seiten
• Intrusion-Detection -AlsIntrusion-Detectionwird die aktive Überwachung von Computersystemen und/oder -netzen mit dem Ziel der Erkennung von Angriffen und Missbrauch bezeichnet.-Das Ziel von Intrusion-Detection besteht darin, aus allen im Überwachungsbereich stattfindenden Ereignissen diejenigen herauszufiltern, die auf Angriffe, Missbrauchsversuche oder Sicherheitsverletzungen hindeuten, um diese anschließend vertieft zu untersuchen. Ereignisse sollen dabei zeitnah erkannt und gemeldet werden.-Intrusion-Detection ist als Prozess zu verstehen und bedarf einer geeigneten organisatorischen Einbindung sowie der technischen Unterstützung durch geeignete Werkzeuge. -Intrusion-Detectionbedarf einer technischen Grundlage, um überhaupt Ereignisse aufnehmen und sie dann nach interessierenden Kriterien bewerten zu können. Eine werkzeugbasierte Unterstützung kann zur Generierung von Ereignissen, zur Filterung von Ereignissen, zur Auswertung und Alarmierung sowie zur Archivierung der gefundenen Ergebnisse erfolgen.-Ein wirksames Intrusion-Detectionbedarf einer angepassten und zusammenpassenden Auswahl geeigneter Hilfsmittel.
• Sensoren -Netzsensorenüberwachen den Netzverkehr eines Rechners oder eines ganzen Teilnetzes auf verdächtige Ereignisse. Zum Betrieb jedes Netzsensors wird typischerweise ein separater Rechner eingesetzt, so dass andere Applikationen nicht gestört werden können. Teilweise liefern Hersteller Netzsensoren nur noch in Kombination mit der zugehörigen Hardware/Software-Plattform, als sogenanntes Appliance.-Hostsensorenwerden auf dem zu überwachenden System betrieben. Sie werden typischerweise eingesetzt, um Angriffe zu erkennen, die auf Anwendungs-oder Betriebssystemebene durchgeführt werden. Beispiele für derartige Angriffe sind Rechteüberschreitungen von Nutzern, Login-Fehlversuche oder Trojaner. Manche Hostsensoren erlauben die Überwachung des hostspezifischen Netzverkehrs.
• Datenbankkomponenten -Intrusion-Detection-Systeme (IDS) erzeugen bei der Angriffserkennung Ereignisdaten, die zur späteren Weiterverarbeitung gespeichert werden müssen. Abhängig davon, wie diese Ereignisdaten weiterverwendet werden sollen, müssen sie in entsprechender Detailtiefe und über einen möglicherweise langen Zeitraum gespeichert werden.-Bei geringen Datenmengen ist eine Speicherung in Dateiform ausreichend.-Es können aber auch sehr große Datenmengen anfallen, die die Nutzung eines Datenbanksystems notwendig machen, um die anfallende Datenmenge aufzunehmen und zuverlässig zu verwalten sowie andererseits Zugriffszeiten zu minimieren.
• Managementkomponenten -Über die Managementstation erfolgt die Konfiguration und Kalibrierung des IDS. Dies umfasst in der Regel die folgenden Funktionalitäten:+Aufnahme der IDS-Komponenten (Sensoren, Datenbanken, Managementstationen) in das IDS.+Einstellen der Kommunikationsparameter der IDS-Komponenten untereinander (IP-Adressen, Namensgebung, Kryptoschlüssel, Lebenszeichen-Intervall).+Aufnahme der zu überwachenden Objekte (Netze, IT-Systeme) in das IDS.+Erstellung und Anpassung von Überwachungsregeln und Gruppierung dieser zu "IDS-Policies".+Gruppierung von IDS-Sensoren.+Zuweisung der "IDS-Policies" zu Sensoren oder Sensorengruppen.
• Auswertungsstation -Die Analysefunktionalität dient primär der Erkennung und Erstanalyse eingehender IDS-Ereignismeldungen, im Einzelnen der+Anzeige eingehender Meldungen+Sortierung der Ereignisse+Klassifikation der Ereignisse+Reaktion und Alarmierung+Ablage der Ereignisdaten zur späteren Weiterverarbeitung-Ein IDS erkennt Angriffe z.B. durch+Erkennung von Angriffsmustern+Anomalieerkennung•durch Protokollanalyse•auf Basis statistischer Daten•auf Basis von Künstlicher Intelligenz•auf Basis von Honeypots+Korrelation von Ereignisdaten
• Anzeige
• Virtual Private Networks -Netzwerke, die sich an zwei verschiedenen Orten befinden, lassen sich z.B. über eine angemietete direkte Standleitung verbinden. Die Unterhaltung solcher Festverbindungen ist in der Regel recht teuer.-Die Idee: Ein Virtual Private Network (VPN) transportiert private Daten über ein vorhandenes öffentliches Netz (zum Beispiel das Internet). Teilnehmer eines VPN können Daten wie in einem internen, in sich geschlossenen LAN austauschen. Die einzelnen Teilnehmer selbst müssen hierzu nicht direkt verbunden sein.-Die Übertragung über das öffentliche Netz sollte gesichert werden. Die Verbindung wird deshalb üblicherweise verschlüsselt. Der Begriff „Private“ impliziert jedoch nicht, wie vielfach angenommen, dass es sich immerum eine verschlüsselte Übertragung handelt. -Daraus folgen zwei Aspekte für den Betrieb eines VPN:+Transportvon Daten für private Netze über das öffentliche Netz+Ergänzend Sicherungder Vertraulichkeit der übertragenen Daten-Das Prinzip des Transports ist recht einfach:+Ein VPN-Gateway kennt das andere private Netz und die öffentliche Adresse der Gegenstelle. Daten für dieses Netz werden per Routingtabelle zum Gateway geleitet.+Das Gateway macht aus privaten Datenpaketen öffentliche Pakete und schickt sie an die öffentliche Adresse der bekannten Gegenstelle.+Die Gegenstelle stellt die privaten Datenpakete wieder her und leitet sie in das private Netz weiter.-Die Sicherung eigentlich auch:+Vor dem Transport werden die privaten Daten zusätzlich noch gesichert oder verschlüsselt, inklusive der diversen Header.
• Protokolle für VPNs -Ein VPN ist im Prinzip ein reines Softwareprodukt. VPNs können auf verschiedenen Protokollen aufsetzen, z.B.:+L2TP (Layer-2 Tunneling Protokoll)Layer 2+PPTP (Point-to-Point Tunneling Protokoll)Layer 2+IPsec(IP Security) Layer 3+TLS(Transport Layer Security)Layer 4-Ab hier wird im weiteren IPsecbetrachtet.-IPseckennt zwei Betriebsarten:+Transport-Mode, Daten werden zwischen Knoten ausgetauscht+Tunnel-Mode, Daten werden zwischen Netzen ausgetauschtund zwei Sicherungsarten mit entsprechende Protokollen:+AH(Authentication Header) stellt Integrität und Echtheit der Daten sicher+ESP(EncapsulatingSecurity Payload) verschlüsselt die Daten+AH hat die eigene Protokollnummer 51, ESP die Nummer 50.
• Transport-Mode Tunnel-Mode -Im Transport-Mode kommunizieren zwei VPN-Endpunkte (Gateway oder Client) direkt miteinander, z.B. via Internet oder LAN. Der IP-Header ist der des Kommunikationsendpunktes.WS -Im Tunnel-Mode dienen die VPN-Endpunkte (Gateway oder Client) nur als kryptografische Endpunkte mit eigenem IP-Header (IPneu). Die eigentlichen Daten werden komplett verpackt und vom Endpunkt an den ursprünglichen Empfänger weitergeleitet.
• Internet Key Exchange -AH benutzt einen keyed-hashmessageauthenticationcode(HMAC). Das ist ein Algorithmus, der eine Hash-Funktion in Kombination mit einem Schlüssel verwendet, um die Integrität und Authentizität einer Nachricht zu gewährleisten.-ESP verschlüsselt die Datenpakete mit symmetrischen Verfahren, z.B.+DES+3DES+AESdie ebenfalls Schlüssel benötigen.-Um diese Schlüssel nicht vorab austauschen zu müssen, handelt das Internet-Key-Exchange-Protokoll (IKE) diese beim Aufbau der Verbindung dynamisch aus und verwaltet sie. IKE benutzt wiederum das Internet Security AssociationandKey Management Protocol (ISAKMP) -ISAKMP verwendet den Diffie-Hellman-Schlüsselaustausch für einen sicheren Austausch von Schlüsseln. Mit ihm erzeugen zwei Kommunikationspartner einen geheimen Schlüssel, den nur sie kennen, über einen unsicheren Kommunikationskanal ohne Zertifikate.-Bei der Einrichtung von DH müssen Gruppen angegeben, die die Länge der verwendeten Primzahlen und das Verfahren bei der Schlüssel-berechnung vorgeben, z.B.:+DH-Group 1/5:768/1536 Bit (MODP, veraltet, nicht mehr sicher!)+DH-Group 14:2018 Bit (MODP,gem. BSI bis 2022, Stand 10/2017)+DH-Group 19:256 Bit (ECP, gem. BSI ab 2023, Stand 10/2017)-Irgendwann müssen sich zwei Stationen aber gegenüber der jeweils anderen Authentifizieren. ISAKMP benutzt dazu:+Pre-SharedKeys(PSK)+Zertifikate -Beim Verbindungsaufbau durchläuft IKE zwei Phasen:+In Phase 1 tauschen die Partner in vier Nachrichten (Main Mode) Schlüsselmaterial aus, um sich auf einen gemeinsamen symmetrischen Schlüssel (SKEYID) zu einigen. Aus SKEYID werden ein Schlüssel zur Authentisierungund einer zur Verschlüsselung der weiteren IKE-Nachrichten abgeleitet sowie ein Schlüssel für die spätere Phase 2.+Anschließend erfolgt über zwei weitere, nun verschlüsselte Nachrichten die Authentifizierung der VPN-Teilnehmer durch digitale Signaturen, RSA-Schlüssel oder die Pre-SharedKeys(PSK). Letztere sind nichts anderes als geheime Passwörter, die auf beiden Seiten der IPSec-Verbindung identisch sein müssen.-Bei dynamischen IP-Adressen, z.B. Internet-Zugang per üblichem DSL, versagt der Main Mode, weil er eine feste IP-Adresse voraussetzt. Abhilfe schafft der etwas unsicherere, verkürzte Aggressive Mode, der Domainnamen oder Mail-Adressen nutzt.
• Security Associations -Eine Security Association (SA) ist die Zusammenfassung der Vereinbarung, die die zwei kommunizierenden Einheiten getroffen haben. Sie beschreibt, wie die beiden Parteien Sicherheitsdienste anwenden werden, um sicher miteinander kommunizieren zu können. -Die Sicherheitsverbindung beschreibt immer nur genau einen Sicherheitsdienst und auch nur für eine Richtung. Beim Einsatz mehrerer Dienste müssen auch mehrere Sicherheitsverbindungen aufgebaut werden. Für eine IP-Verbindung zwischen zwei LANs sind also zwei SAs erforderlich (eine für jede Richtung).
• IPsec Bekannte Probleme -IPSec hat Probleme mit dem heute in vielen Netzen eingesetzten NAT/PAT, weil dabei das IPSec-Paket verändert wird. Dabei erhält ein Paket eine neue IP-Adresse und gegebenenfalls noch eine neue Quell-Portnummer.+AH, egal ob im Transport-oder Tunnel-Mode, ist hier nicht mehr anwendbar. Weil der Paket-Header verändert wurde, stimmt der HMAC nicht mehr.+Mit ESP im Tunnelmode würde NAT zwar funktionieren, vorher scheitert aber schon IKE an NAT. Denn IKE kommuniziert fest über den UDP-Quell-und Zielport500. Wird der verändert, kommt keine Verbindung zustande.-Abhilfen:+Der VPN-Tunnel terminiert auf dem NAT-Router oder der NAT-Firewall.+Oder man setzt die IPSec-Erweiterung NAT-Traversalein (RFCs 3947 und 3948). Dabei werden ESP-Pakete in UDP-Pakete verpackt und über Port 4500 verschickt. Nun können NAT-Router ohne Probleme sowohl IP-Adressen als auch Ports umschreiben.
• Transport Layer Security -Als TLSwird ein hybrides Verschlüsselungsprotokoll bezeichnet, das zur sicheren Datenübertragung über das Internet verwendet wird. Manchmal wird auch noch die Bezeichnung SSL (Secure Socket Layer) verwendet, die aber für den Vorgänger von TLS steht. Nach SSL 3.0 wurde das Verfahren mit TLS 1.0 beginnend weiterentwickelt.-Mit Stand 08/2017 ist TLS 1.2 aktuell. Die eigentlich erwartete Freigabe von TLS 1.3, die mit Schwachstellen der älteren Version aufräumen soll, verzögert sich.-TLS ist auf der Schicht 4 (Transport Layer) angesiedelt. Die Anwendungsdaten werden verschlüsselt, bevor sie mit Hilfe von TCP (nicht UDP) übertragen werden. -Ablauf des Verbindungsaufbaus (TLS 1.2):+Der Client baut eine Verbindung zum Server auf und fordert eine sichere Verbindung an (explizit oder implizit über einen bestimmten Port)+Der Server authentifiziert sich mit einem X.509-Zertifikat, das der Client auf Vertrauenswürdigkeit beim Herausgeber überprüfen kann.+Der Client kann dann den Public Key des Servers für die weitere sichere Kommunikation mit dem Server verwenden (RSA). Alternativ kann das Diffie-Hellman-Verfahren genutzt werden (DH, wird Standard bei TLS 1.3).+Darüber gesichert wird ein sog. Session-Key ausgetauscht, der dann für die eigentliche, symmetrisch Verschlüsselung der zu übertragenden Daten genutzt wird.-Hybrid heißt das Verfahren, weil asymmetrisch und symmetrische Verfahren genutzt werden. Der Vorteil: symmetrische Verfahren sind deutlich effizienter, was die Geschwindigkeit bei der Verschlüsselung großer Datenmengen betrifft.
• Secure Shell -Als SSHwird sowohl ein kryptographisches Protokoll als auch eine konkrete Implementierung dieses Protokolls bezeichnet. Es wurde 1995 vom Finnen TatuYlönenentwickelt.-SSH ermöglicht eine kryptographisch gesicherte Kommunikation über unsichere Netze und bietet ein hohes Sicherheitsniveau: zuverlässige gegenseitige Authentifizierung der Partner sowie Integrität und Vertraulichkeit der ausgetauschten Daten.-SSH liefert folgenden Funktionsumfang :+sicheres Remote Login auf einem entfernten Rechner (Ersatz für telnet, rlogin, rsh)+Ausführung von Befehlen auf diesem Rechner+sicherer File-Transfer (Ersatz für ftp, rcp)-SSH ist plattformunabhängig. Es existieren Implementierungen für Windows, Unix, Linux, Mac OS X uns andere.-Die IANA hat dem Protokoll den TCP-Port 22 zugeordnet, andere Konfiguration sind allerdings auch möglich.-Zur Zeit existieren immer noch zwei inkompatibleVersionen des Secure Shell Protokolls: SSH 1.x und SSH 2.x.+Version 1.x des SSH-Protokolls ist nicht international standardisiert und außerdem mit leichten Mängeln behaftet.+Mit der Version 2.x, die durch die Internet Engineering Task Force (IETF) beschrieben ist, wurde dies behoben.
• OpenSSH -OpenSSHist eine Implemetierungdes SSH-Protokolls für OpenBSD, FreeBSD, Linux und andere unix-ähnliche Betriebssysteme bzw. Kernel. Mit Stand 03/2017 ist die aktuelle Version OpenSSH7.5.-Das Paket umfasst mehrere Tools:+Client-Tools:•Fernzugriffe mit ssh, scpund sftp•Schlüsselmanagement mit ssh-add, ssh-keysign, ssh-keyscanund ssh-keygen+Server-Tools:•sshd, sftp-server und aah-agent-Im Gegensatz zu TLS werden bei SSH die Schlüssel selbst verwaltet.-Es ist unter einer BSD-ähnlichen Lizenz verfügbar, Details finden man auf der unteren angegebenen Web-Site.
• PuTTY -PuTTYist ein einfacher aber nützlicher Telnet, SSH und Terminal Client, mit dem man ganz einfach verschlüsselte Verbindungen zu Remote-Rechnern herstellen kann. Die Freeware belegt dabei sehr wenig Speicherplatz.

zurück  |  weiter 1 / 1