Windows Server 2008 Sicherheit – Die technische Referenz - Gattner

Angriffe auf Dienste 163
Update Services/Windows Server Update Services) für Unternehmen zur Verfügung, die
keine anderen Patchverwaltungslösungen einsetzten. Microsoft machte es auch einfacher,
neue Betriebssysteme zu installieren und zu aktualisieren. Dabei wurde die Gefahr durch
eine Infektion über das Netzwerk deutlich verringert, indem der Netzwerkzugriff so stark
wie möglich beschränkt wurde, bis alle Updates installiert waren.
Die wichtigste Lehre, die Computersicherheitsanalysten aus dem Blaster-Vorfall zogen, war,
dass Grenzfirewalls nicht ausreichen, um Sicherheit zu gewährleisten. Die »knusprige Hülle
mit dem weichen, saftigen Kern«, die Bill Cheswick und Hal Burch (http://www.cheswick.
com/ches/papers/index.html) in ihrem berühmten Werk über Grenzfirewalls beschrieben,
war endlich ins Rampenlicht gerückt. Windows XP Service Pack 2 (SP2) und neuere Windows-Clientcomputer
aktivieren die hostbasierte Windows-Firewall in der Standardeinstellung.
Diese Maßnahme soll verhindern, dass Millionen von Computern durch verschiedene
böswillige Remoteangriffe kompromittiert werden. Microsoft begann außerdem, die Dienste
besser zu schützen (mehr dazu im Abschnitt »Diensthärtung« weiter unten in diesem Kapitel).
Verbreitete Angriffsmethoden
Jeder installierte und aktive Dienst bietet einem böswilligen Hacker eine weitere Angriffsfläche.
Dieser Abschnitt fasst die häufigsten Bedrohungen zusammen.
Pufferüberläufe
Wie bereits erwähnt, stellen praktisch alle Dienste einen eingehenden Kanal für Remotezugriff
zur Verfügung. Pufferüberläufe (engl. buffer overflow) werden ausgelöst, wenn ein
Dienst in einer Routine die Eingaben ungeprüft übernimmt und auf diese Weise längere
Daten in den Speicher geschrieben werden, als Pufferplatz reserviert wurde. Verwundbare
Dienste können kompromittiert werden, sodass der Dienst unterbrochen wird. Im schlimmsten
Fall erhält der Angreifer Zugriff auf das befallene System, der unter dem Sicherheitskontext
des Anmeldekontos läuft, das der Dienst verwendet. Falls dieses Konto SYSTEM oder
ein Administrator ist, können Angreifer in ihrem Programm beliebige Aktionen auf dem
befallenen System ausführen, zum Beispiel das System steuern, Daten herunterladen, mehr
Malware installieren und Remotesteuerungsshells nachladen.
Denial-of-Service
Falls ein Dienst einen Programmierfehler enthält, kann er daran gehindert werden, seine
normalen Aufgaben zu erfüllen. Diese Unterbrechung kann temporär oder »dauerhaft« sein
(bis der Dienst oder der Computer neu gestartet wird). Manchmal ist dazu ein raffinierter
Pufferüberlaufangriff nötig, manchmal genügt ein einziges Netzwerkpaket oder ein eingegebenes
Zeichen. Zum Beispiel konnte eine alte Version des Microsoft SQL Server-Auflösungsdienstes
durch ein einziges unerwartetes ASCII-Zeichen mit dem Wert 0x04 lahmgelegt
werden (http://www.iss.net/security_center/reference/2106151.html). Ein einziges manipuliertes
Netzwerkpaket bildete den Kern des XP-SP2-LAND-Angriffs (http://seclists.org/
bugtraq/2005/Mar/0112.html). Denial-of-Service-Angriffe verhindern den normalen Betrieb
und können Unterbrechungen der Systemverarbeitung, außer Kontrolle geratenen Ressourcenverbrauch
und unerwartete Computerneustarts auslösen.