LE 3 Bedrohungen und Angriffsvektoren Flashcards
(39 cards)
1
Q
Unterscheidung Angriffe
A
Passive und Aktiv
Unterscheidung nach Systemkomponenten
2
Q
Passive Angriffe
A
- Mitlesen des Datenverkehrs
- keine Veränderungen an Systemen oder Daten
Beispiele:
Mitlesen von
- gespeicherten oder übertragenen Informationen, z. B. E-Mails
- Authentifizierungsdaten, z. B. beim unverschlüsselten Übertragen von Login-Daten
- Analysieren des Kommunikationsverhaltens, z. B. über Tracking.
3
Q
Aktive Angriffe
A
solche, bei denen aktiv Veränderungen vorgenommen werden.
- Manipulation von Daten
- Unterbrechen des Datenverkehrs bzw. der Systemerreichbarkeit, z. B. dDOS
- Zusenden bzw. Download von Schadsoftware,
- Entfernen von Daten, z. B. direkt auf einem System oder während der Datenübertragung,
4
Q
Grundprinzipien des ethischen Hackens
A
- greifen Systeme an, um sie besser zu machen, nicht um Schaden anzurichten
- Die Privatsphäre respektieren
- Keine Systeme zum Absturz bringen
5
Q
Viren Definition
A
- Programme, die sich in andere Programme einschleusen
- können Veränderungen am infizierten System vornehmen
- Befehlsfolge, die selbst nicht ausführbar ist, sondern ein Wirtsprogramm benötigt
6
Q
Typen von Viren
A
- Programmviren
- Bootviren
- Makroviren
7
Q
Würmer Definition
A
- Schadprogramme, die sich selbst replizieren können
- brauchen kein Wirtsprogramm
- selbstständig ablauffähig
- braucht Hilfsprogramme wie z. B. Mailprogramme oder Netzwerkdienste
8
Q
Arten von Würmern
A
- Emailwürmer
- IM- Würmer Instant Messengern (IM)
- P2P Würrmer
- Netzwerkwürmer
9
Q
Trojaner
A
- Schadprogramme, die sich als nützliches Programm tarnen, aber tatsächlich im Verborgenen Schaden anrichten
10
Q
Rootkits
A
- Schadprogramme, spezieller als trojaner
- dauerhaft Administrationsrechte verschaffen
- tief im Betriebssystem versteckt/integriert
- Nicht Malware per se, sondernn Sammlung von tools
11
Q
Spyware
A
- Software, die Daten auf dem infizierten Rechner sammelt und zu einem bestimmten System übermittelt
12
Q
Keylogger
A
- rogramme, die die Tastaturanschläge der Nutzer protokollieren
- permanent und umfassend
oder selektiv (Passwort-Feldern)
13
Q
Backdoors
A
- keine eigenständigen Programme, sondern heimlich integrierte Programmteile, die z. B. Sicherheitsvorkehrungen umgehen
14
Q
Angriff: Unterscheidung nach Systemkomponenten
A
- Software: z. B. Manipulation von Anwendungssoftware oder des Betriebssystems, oder auch, wenn Verschlüsselungssysteme kompromittiert werden;
- Netze: z. B. Ausnutzen von Schwachstellen, um über Netze in andere Systeme einzudringen; Unterbrechung oder Umleitung der Kommunikation;
- Daten und Informationen: z. B. Abgreifen, verändern, löschen, hinzufügen von Informationen; dies kann sich wiederum auf inhaltliche Daten als auch auf Meta- oder Systemdaten beziehen, die sich ihrerseits in Anwendungen befinden oder auf Transportwegen;
- Hardware: Manipulation einzelner Hardware-Komponenten, zum Beispiel von Kameras in Rechnern oder von USB-Geräten; aber auch Störung von Anlagen durch Manipulation von Steuerungssystemen wie bei Stuxnet;
- Identität: Angriffe können sich auch auf die Identität beziehen, z. B. wenn Authentifizierungsmechanismen ausgehebelt werden.
15
Q
Arten von Angreifern
A
- Sicherheitsprüfer
- Hacker
- böswillige Hacker
- InnentäterInnen
- Cracker, Hacktisiten, script kiddies
16
Q
Nutzung von Standard- Schutz Technologien bei speziellen Industrien
A
- “Virenscanner sind bei SCADA-Systemen unüblich: SCADA-Systeme arbeiten im Echtzeitbetrieb, d. h. sie müssen nahezu verzögerungsfrei in die Steuerungssysteme von Industrieanlagen eingreifen. Virenscanner reduzieren die Performance und werden deshalb bei SCADA-Systemen typischerweise nicht eingesetzt. Schadsoftware kann sich daher einfacher ausbreiten.
- Patchmanagement ist lückenhaft: SCADA-Systeme arbeiten typischerweise ohne Unterbrechungen (24 Stunden am Tag an 7 Tagen in der Woche) und häufig ohne Wartungsfenster für die Software. Als Konsequenz werden Softwareaktualisierungen seltener oder gar nicht durchgeführt. Entsprechend alt und mit öffentlich bekannten Sicherheitslücken behaftet sind die eingesetzten Betriebssysteme und Applikationen.
- Penetrationstests sind riskant und daher unüblich: Diese bei Computersystemen etablierte Methode zur Identifikation von Schwachstellen birgt bei SCADA-Systemen das Risiko massiver Fehlfunktionen mit schwer abzuschätzenden Konsequenzen. Sie wird daher nur sporadisch angewandt.
- Authentifizierung ist schwach: Wenn Netzwerkzugriffe auf Systemkomponenten möglich sind, ist die Implementierung einer starken Authentifizierung ein essenzielles Sicherheitsmerkmal. Passwörter sind allerdings bei Maschine-zu- Maschine-Kommunikation ein ungeeignetes Mittel. Fest einprogrammierte Passwörter wurden z. B. von Stuxnet zur Infektion ausgenutzt.
- Daten werden unverschlüsselt übertragen: Verschlüsselung ist eine Standardtechnik bei der Kommunikation von kritischen Komponenten. Typische SCADA-Systeme nutzen Verschlüsselung nicht einmal bei der Übertragung von Passwörtern.”
17
Q
Probing
A
- hat den Zweck, etwas über den Zustand eines Netzwerkes zu lernen
- Methode: beispielsweise: Portscann
18
Q
Aktive Hosts finden
Fragegstellung: Welche möglichen Angriffsziele gibt es?
A
- Ping
- Ping sweeps
- wardiving ( das Suchen nach ungeschützten WLANs in der Umgebung)
19
Q
Offene Türen finden
Fragestellung: In welche Hosts kommt man rein?
A
- Portscan:
- Prüfung offener Ports
- Tests erfolgen über die Netzwerkprotokolle TCP und UDP
20
Q
Ports Definition
A
- Ports sind im Prinzip Tore oder Türen auf einem System, durch welche Daten hinaus- oder hineinbefördert werden können.
- Für bestimmte Daten werden normalerweise ganz bestimmte Ports benutzt. So gehen z. B. Datenpakete, die zu Webseiten gehören, normalerweise durch den Port Nr. 80, und Mails, die Sie verschicken, durch den Port 25.
21
Q
Betriebssysteme erkennen
Fragestestllung: Was für ein System verbirgt sich hinter einem Port?
A
- Fingerprinting durch Portscans
Über die Port Scans lassen sich auch Rückschlüsse auf das jeweilige Betriebssystem der gescannten Rechner ziehen (das sog. Fingerprinting). Möglich werden diese Rückschlüsse dadurch, dass Netzwerkprotokolle auf Betriebssystemen unterschiedlich implementiert sind.
22
Q
Finger printing, Methodenunterscheidung
A
- Passive Methoden beobachten den Netzwerkverkehr und analysieren die Datenpakete, die ohnehin an das Zielsystem gesendet bzw. von ihm zurückgeschickt werden.
- Bei aktiven Methoden werden selbst bestimmte Datenpakete an das Zielsystem geschickt, um das spezifische Antwortverhalten zu analysieren. Zum Beispiel sieht das TCP-Protokoll vor, dass ein Host, der nur ein FIN-Paket erhält, keine Antwort zurücksendet. Ein unter Windows NT laufender Host antwortete aber mit einem FIN/ACK-Paket.
23
Q
Botnetze
A
- bestehen aus Rechnern, die mit einem sog. Bot-Programm infiziert sind
- Bot = Programm, das automatisiert Befehle ausführt bzw. ferngesteuert werden kann
- meistens unbemerkt
- zentraler Server: Command-and-Control-Server (C&C-Server)
24
Q
Technische und gesellschaftliche Relevanz botnetze
A
- eine der größten Bedrohungen bezüglich IT-Sicherheit
- Botnetze machen die kontrollierten Opfer-Rechner zu unwissenden Tätern
- Abwehr von Angriffen umso aufwändiger und teurer, je größer die Botnetze
25
Denial of Service
- Angriffe mit dem Ziel, dass Dienste ihren Dienst verweigern und damit Services oder Daten nicht mehr zugänglich sind
- Distributed DoS, DDoS) : verschiedene Systeme führen gleichzeitig einen DoS-Angriff aus
- Arten:
- - SYN-Flooding (Pakete werden verschickt, Server antwortet, jedoch keine ACK Segmente zurück, sodass lange Warteschlange)
26
Angriffsarten bei Kommunikation zwischen verbundenen Geräten
- Das Mithören und Analysieren der Kommunikation (passiver Angriff)
- Manipulation der Kommunikation (aktiver Angriff).
27
Netzwerkverkehr abhören
- tools: sniffer wie Wireshark
- -> Beispielsweise TCP Pakete auslesen, wenn nicht durch durch andere Anwendung Verschlüsselung
- HTTP Paktets können mitgelesen werden, nicht aber HTTPS
28
Spoofing
| Angriffsart:
- Absender- oder Ziel-Adressen fälschen
| - Schutzziel Authentizität verletzt werden kann: die Echtheit der Quelle der Nachricht ist nicht mehr gegeben.
29
Spoofing-Varianten
- Web-Spoofing
- E-Mail-Spoofing
- IP-Spoofing
- Beispiel Mobilfunk: Kommunikation kann mitgehört werden. Authentifizierung nur einseitig erfolgt
30
Kommunikation umleiten
- Router dazu zu bringen, Datenverkehr falsch weiterzuleiten
- gefälschte Routing-Informationen an Router senden mit falschen Routing Tabellen
-Umleitungen funktionieren auch auf der Ebene der IP-Adressen und Domain-Namen: Ein DHCP-Server sorgt in einem lokalen Netz dafür, den Geräten dynamisch IP-Adressen zuzuweisen
30
Kommunikation umleiten
- Router dazu zu bringen, Datenverkehr falsch weiterzuleiten
- gefälschte Routing-Informationen an Router senden mit falschen Routing Tabellen
-Umleitungen funktionieren auch auf der Ebene der IP-Adressen und Domain-Namen: Ein DHCP-Server sorgt in einem lokalen Netz dafür, den Geräten dynamisch IP-Adressen zuzuweisen
31
Webanwendungen Schwachstellen
Webanwendungen weisen Schwachstellen auf, die sich auf die Authentifizierung und Autorisierung beziehen:
- das Umleiten der Nutzer auf nicht-originale Webseiten
- das unbefugte Abgreifen von Daten (insb. Authentifizierungsdaten oder Inhalte von Datenbanken),
- das Einfangen von Schadsoftware beim Konsumieren von Webseiten.
32
typische Angriffe auf Webanwendungen
Cross-Site-Scripting und SQL-Injection
33
Cross-Site-Scripting XSS
- im Browser werden Scripte ausgeführt, die vom Webseitenbetreiber nicht vorgesehen wurden.
- Schwachstelle bei XSS: Fähigkeit der Browser, Code auszuführen (meist JavaScript)
34
SQL-Injection
- Ziel: Datenbank von Webanwendungen
- SQL-Code wird so in eine Anwendung geschleust, dass Daten ausgelesen oder auch vorhandene Daten manipuliert oder gelöscht werden können.
35
Verbreitung von Schadsoftware
Webseiten und Webanwendungen werden dazu genutzt , Schadsoftware unter Nutzer:innen zu verbreiten:
- Ein Angreifer betreibt eine entsprechende Website selbst und bringt die Nutzer über attraktive Angebote dazu, seine Seite zu besuchen
- ein Angreifer kompromittiert Webanwendungen, z. B. über XSS oder SQLi, um dort seine Schadsoftware zu platzieren;
- ein Angreifer benutzt Werbebanner, die über die unterschiedlichsten Webseiten ausgespielt werden können.
36
Typische Sicherheitsprobleme IoT Bereich
Authentifizierung
- Standard-Passwörter: Geräte nutzen zur gegenseitigen Authentifizierung Passwörter, die von den Betreibern nicht geändert werden oder sogar nicht geändert werden können.
- Unzureichende Passwörter: Passwörter oder Schlüssel sind sehr kurz (oft nur 6 Zeichen lang) und ergeben sich aus Gerätenamen.
- Fehlende oder unzureichende Authentifizierung: Es erfolgt keine sichere Authentifizierung der Geräte vor einer Kommunikation untereinander.
Netzwerkkommunikation
- Keine verschlüsselte Datenübertragung: Es werden Standard-Technologien benutzt, die keine Verschlüsselung vorsehen; oder keine zusätzliche Verschlüsselung konfiguriert.
- Offene Ports: Ports, die für die Funktionalität des Geräts gar nicht notwendig sind, werden nicht geschlossen.
Wartung
-Mangelnde Updates für Firmware: Geräte-Hersteller produzieren Geräte, für die sie keine Updates bereitstellen. Für manche Geräte ist ein Update-Prozess, der von Nutzern durchgeführt wird, nicht einmal vorgesehen.
Datensparsamkeit
- Mangelnde Datensparsamkeit: Bei der Konfiguration oder im Betrieb werden mehr Daten erhoben, als für die Funktionalität notwendig sind.
- Mangelnde Datensicherung: Datenbanken werden nicht ausreichend gegen Datenausleitung geschützt und/oder Daten werden ohne Einwilligung weitergegeben.
37
Organisatorische Ursachen Sicherheitmängel IoT
Ökonomische und organisatorische Ursachen
- Sicherheit als Kosten- und Wettbewerbsfaktor: Wer mehr Sicherheit implementiert, muss seine Angebote teurer machen; sicherere Angebote verschwinden damit ggf. wieder
- Verantwortung nicht bei IT-Experten: Die Verantwortung für vernetzte Geräte liegt in manchen Fällen nicht bei der IT, sondern bei Gewerken, die originär mit den jeweiligen Geräten hantieren (z. B. werden vernetzte Aufzüge von der Haustechnik betreut statt von der Unternehmens-IT)
- Fehlende Expertise/Awareness: Häufig sind Personen mit der technischen Umsetzung der Vernetzung betraut, die nicht das Wissen um die Risiken und Maßnahmen zur IT-Sicherheit haben.
38
Same-Origin-Policy
untersagt client-seitigen Scriptsprachen, dass sie auf Objekte zugreifen dürfen, die von anderen Webseiten stammen als der, von der der Script-Code ursprünglich stammt. Dieses Konzept wird standardmäßig von Browsern implementiert.
Wird sie umgangen, so ist es möglich, dass Scripte im Browser, die von einer Quelle stammen, auch auf Objekte zugreifen können, die von anderen Quellen stammen.
IoT: Für die Bridge ist es ja notwendig, Anfragen von verschiedenen Quellen zu erlauben. Dies stellt aber eine Schwachstelle für das System dar, weil dadurch im Prinzip eine beliebige Website grundlegende Informationen der Geräte auslesen kann
