Sicherheit in vernetzten Systemen - RRZ Universität Hamburg

KAPITEL 11. CRACKER-TOOLS AM BEISPIEL
¯ Fragmentierung von Paketen und
¯ TCP-Optionen.
In einer eher scherzhaften Anmerkung befindet [Fyodor 1998], daß man verschiedene Versionen des
Betriebssystems Windows bis auf Patchlevel an der Reaktion auf „Denial of Service“-Angriffe erkennen
könne, die man in einer bestimmten Reihenfolge oder Chronologie anwenden müsse. Er fügt
hinzu, es sei eine gewisse Versuchung, diese Funktionalität in nmap zu integrieren.
Nmap erkennt aber die meisten Betriebssysteme schon zuverlässig genug, um Angreifern die Auswahl
der erforderlichen „Exploits“ zu ermöglichen.
11.6.3 Decoys
Abbildung 11.4 zeigt ein fiktives Netzwerk, in dem ein Rechner „victim“ von einem anderen „h4x0r“
gescannt wird, der mehrere andere Portscanning-Attacken mit falschen Absenderadressen losschickt
(„spooft“).
Für den angegriffenen Rechner sieht es so aus, als würde er von allen Rechnern gescannt, deren
Adressen „h4x0r“ benutzt.
Abbildung 11.4: Nmap Attacke mit gefälschten IP-Adressen
Diese Methode hat auch für den Cracker den Vorteil, daß das Tool „scanlogd“ etwa ab dem fünften
gefundenen Portscan nur noch lakonisch „more possible portscans follow“ in das Systemlog einträgt.
Damit läßt sich die Herkunft des Angriffs (hier Rechner „h4x0R“) verbergen.
Sofern der Angriff aus dem LAN erfolgte, läßt sich allerdings dennoch der wahre Urheber feststellen,
indem mit der Software „argus“ alle ungewöhnlichen IP-Pakete mitsamt den Hardware-Adressen
aufgezeichnet werden. Alle Portscan-Pakete von „h4x0r“ tragen auch seine MAC-Adresse, durch die
er zu identifizieren ist. Allerdings ändert sich die Lage, wenn der angegriffene Rechner außerhalb des
LANs befindlich ist. Sobald die IP-Pakete über eine andere Netzwerkhardware, wie z.B. einen Vermittlungsrechner
(Router), übertragen wurden, kann die ursprüngliche Hardwareadresse nicht mehr
festgestellt werden 25 .
Nmap bietet somit eine wirksame Methode, die Herkunft von Portscannings zu verschleiern.
25 Die Möglichkeit, auch die MAC-Adressen zu fälschen, sofern die Netzwerkhardware diese Möglichkeit zur Verfügung
stellt, bietet nmap nicht. Sie wäre wohl auch, wenn überhaupt, deutlich schwieriger zu implementieren.
184 SS 99, Seminar 18.416: Sicherheit in vernetzten Systemen