Planung und Aufbau eines virtuellen Honeynetzwerkes
Planung und Aufbau eines virtuellen Honeynetzwerkes
Planung und Aufbau eines virtuellen Honeynetzwerkes
Erfolgreiche ePaper selbst erstellen
Machen Sie aus Ihren PDF Publikationen ein blätterbares Flipbook mit unserer einzigartigen Google optimierten e-Paper Software.
<strong>Planung</strong> <strong>und</strong> <strong>Aufbau</strong> <strong>eines</strong><br />
<strong>virtuellen</strong> <strong>Honeynetzwerkes</strong><br />
Diplomarbeit<br />
Sebastian Reitenbach<br />
reitenba@fh-brandenburg.de<br />
<strong>Planung</strong> <strong>und</strong> <strong>Aufbau</strong> <strong>eines</strong> <strong>virtuellen</strong> <strong>Honeynetzwerkes</strong> – p.1/30
Agenda<br />
• “traditionelle” Sicherheitstechnologien<br />
• Klassifizierung von Honeypots <strong>und</strong> -netzen<br />
• Architekturelle Anforderungen<br />
• Risiko durch Honeypots, rechtliche<br />
Gr<strong>und</strong>lagen<br />
• Erfahrungen beim <strong>Aufbau</strong> des <strong>virtuellen</strong><br />
<strong>Honeynetzwerkes</strong><br />
• Datenanalyse aus Testbetrieb<br />
• Erkenntnisse <strong>und</strong> Ausblick, Diskussion<br />
<strong>Planung</strong> <strong>und</strong> <strong>Aufbau</strong> <strong>eines</strong> <strong>virtuellen</strong> <strong>Honeynetzwerkes</strong> – p.2/30
Traditionelle Sicherheitstechnologien<br />
• Firewall: stoppt Eindringlinge an den<br />
Grenzen des Netzwerkes<br />
• IDS: anomalie-, behaviour- oder<br />
patternbasierte Überwachung des<br />
produktiven Netzwerkverkehr<br />
• IPS: Arbeitsweise wie IDS, zusätzlich<br />
automatische Abwehrmaßnahmen<br />
• Viren-, Spyware-, Malware-Scanner: aktives<br />
Suchen auf Festplatten <strong>und</strong> im Netzwerk<br />
<strong>Planung</strong> <strong>und</strong> <strong>Aufbau</strong> <strong>eines</strong> <strong>virtuellen</strong> <strong>Honeynetzwerkes</strong> – p.3/30
Definition: Honeypot<br />
• A honeypot is a security resource whose<br />
value lies in being probed, attacked, or<br />
compromised.<br />
• Ein Honeypot ist eine Sicherheitsresource,<br />
deren Wert darin liegt, untersucht,<br />
angegriffen <strong>und</strong> kompromittiert zu werden.<br />
• Honeypot ist kein produktives System<br />
• Anomaliebasiert: jede Verbindung zum<br />
Honeypot ist Angriff<br />
<strong>Planung</strong> <strong>und</strong> <strong>Aufbau</strong> <strong>eines</strong> <strong>virtuellen</strong> <strong>Honeynetzwerkes</strong> – p.4/30
Definition: Honeynet<br />
• Nicht produktives Netzwerk<br />
(unterschiedlicher) Honeypots<br />
• Befindet sich hinter “umgekehrter” Firewall<br />
• Ausgehender Verkehr wird gefiltert<br />
• Detailliertes Aufzeichnen der Vorgänge im<br />
Honeynet<br />
• Honeynetze der 1. <strong>und</strong> 2. Generation<br />
• Auch als virtuelle Architektur implementierbar<br />
<strong>Planung</strong> <strong>und</strong> <strong>Aufbau</strong> <strong>eines</strong> <strong>virtuellen</strong> <strong>Honeynetzwerkes</strong> – p.5/30
Low-Interaction Honeypots<br />
• Simuliert nur einige Teile <strong>eines</strong><br />
Betriebssystems<br />
• Simulierte Dienste können nicht exploited<br />
werden<br />
• Eingeschränkte<br />
Datenaufzeichnungsfunktionen<br />
• Geeignet, um Netzwerkproben <strong>und</strong><br />
Wurmaktivitäten zu erkennen<br />
• Beispiel: honeyd, Port-Listener<br />
<strong>Planung</strong> <strong>und</strong> <strong>Aufbau</strong> <strong>eines</strong> <strong>virtuellen</strong> <strong>Honeynetzwerkes</strong> – p.6/30
Medium-Interaction Honeypots<br />
• Installation <strong>und</strong> Management komplex wie bei<br />
High-Interaction, gesammelte Informationen<br />
gering wie Low-Interaction Honeypots<br />
• Selten eingesetzt, in Spezialfällen<br />
• Unix-Konzepte: chroot <strong>und</strong> Jail<br />
<strong>Planung</strong> <strong>und</strong> <strong>Aufbau</strong> <strong>eines</strong> <strong>virtuellen</strong> <strong>Honeynetzwerkes</strong> – p.7/30
High-Interaction Honeypots<br />
• Bietet alle Aspekte <strong>eines</strong> Betriebssystems<br />
• Eindringlinge können unter nahezu realen<br />
Bedingungen beobachtet werden<br />
• Erhöhtes Risiko aufgr<strong>und</strong> der Komplexität<br />
• Beispiel: Honeynetzwerke 1. <strong>und</strong> 2.<br />
Generation<br />
<strong>Planung</strong> <strong>und</strong> <strong>Aufbau</strong> <strong>eines</strong> <strong>virtuellen</strong> <strong>Honeynetzwerkes</strong> – p.8/30
Produktionshoneypot<br />
• Low-Interaction Honeypots<br />
• Einfache Installation<br />
• Gesammelte Daten bestehen meist nur aus<br />
Meta-Daten der Verbindungen<br />
• Einsatz als “Detektor”, Alarmfunktion<br />
• Zur Unterstützung traditioneller<br />
Sicherheitstechnologien<br />
<strong>Planung</strong> <strong>und</strong> <strong>Aufbau</strong> <strong>eines</strong> <strong>virtuellen</strong> <strong>Honeynetzwerkes</strong> – p.9/30
Forschungshoneypot<br />
• High-Interaction Honeypots<br />
• Komplexe Technologie, Installation in der<br />
Regel aufwändig<br />
• Zeichnet während Angriff große Menge an<br />
Informationen auf<br />
• Hauptsächlicher Einsatz zu Lehrzwecken <strong>und</strong><br />
in Sicherheitsorganisationen<br />
• Ziel: Entdeckung <strong>und</strong> Erforschung neuer<br />
Angriffstechniken <strong>und</strong> Programme<br />
<strong>Planung</strong> <strong>und</strong> <strong>Aufbau</strong> <strong>eines</strong> <strong>virtuellen</strong> <strong>Honeynetzwerkes</strong> – p.10/30
Anforderungen an die Architektur<br />
• Honeynet Definitions, Requirements, and<br />
Standards, ver 1.5.3<br />
• Datenkontrolle: Eingrenzung der potenziell<br />
vom Honeynet ausgehenden Gefahr<br />
• Datenaufzeichnung: Erfassung aller<br />
Vorgänge im Honeynetz<br />
• Datensammlung <strong>und</strong> Korrelation: in verteilten<br />
Honeynetzen<br />
<strong>Planung</strong> <strong>und</strong> <strong>Aufbau</strong> <strong>eines</strong> <strong>virtuellen</strong> <strong>Honeynetzwerkes</strong> – p.11/30
Risiken<br />
• Gefährdung von Nicht-Honeypot Systemen,<br />
Honeynet dient als Ausgangsplattform für<br />
weitere Angriffe<br />
• Gefahr der Erkennung, Fingerprinting<br />
• Angriffe gegen Honeynetze, DoS, Hijacking<br />
• Missbrauch, Warez-Server<br />
• Risiko lässt sich nur minimieren, nicht<br />
eliminieren<br />
<strong>Planung</strong> <strong>und</strong> <strong>Aufbau</strong> <strong>eines</strong> <strong>virtuellen</strong> <strong>Honeynetzwerkes</strong> – p.12/30
Erkennung von Honeypots<br />
• Blackhats analysieren Honeypot Technologie<br />
• Fingerprinting von Honeypots<br />
• Gegensätze: Betriebssystem Solaris aber<br />
Web-Server IIS<br />
• VMware Erkennung<br />
• Erkennung von Honeynetzwerken<br />
• Erkennung von SEBEK<br />
<strong>Planung</strong> <strong>und</strong> <strong>Aufbau</strong> <strong>eines</strong> <strong>virtuellen</strong> <strong>Honeynetzwerkes</strong> – p.13/30
Rechtliche Gr<strong>und</strong>lagen<br />
• Zivil- <strong>und</strong> strafrechtliche Überlegungen<br />
• Datenschutz<br />
• Ethische Bedenken?<br />
• Kein Präjudiz, in dem sich<br />
Honeynetbetreiber vor Gericht<br />
verantworten musste<br />
<strong>Planung</strong> <strong>und</strong> <strong>Aufbau</strong> <strong>eines</strong> <strong>virtuellen</strong> <strong>Honeynetzwerkes</strong> – p.14/30
<strong>Planung</strong> des Honeynets<br />
• Welchen Zweck soll das Honeynet haben?<br />
• Was für Hardware steht zur Verfügung?<br />
• Welches Virtualisierungskonzept?<br />
• Sicherheitsrichtlinie entwerfen!<br />
• Systemtests, um Funktionalität <strong>und</strong><br />
Einhaltung der Sicherheitsrichtlinie zu<br />
überprüfen!<br />
• Vorbereitung auf Kompromittierung: Incident<br />
Response Plan!<br />
<strong>Planung</strong> <strong>und</strong> <strong>Aufbau</strong> <strong>eines</strong> <strong>virtuellen</strong> <strong>Honeynetzwerkes</strong> – p.15/30
Das virtuelle Honeynet<br />
<strong>Planung</strong> <strong>und</strong> <strong>Aufbau</strong> <strong>eines</strong> <strong>virtuellen</strong> <strong>Honeynetzwerkes</strong> – p.16/30
Sicherheitsrichtlinie<br />
• Richlinien <strong>und</strong> Vorschriften zur Sicherheit <strong>und</strong><br />
Funktionsweise des <strong>Honeynetzwerkes</strong><br />
• Muss sich in Richtlinien der Organisation<br />
eingliedern, darf diesen nicht widersprechen<br />
• Erstellung <strong>eines</strong> CSIRT<br />
• Rolleneinteilung <strong>und</strong> Aufgabenverteilung<br />
• Gr<strong>und</strong>lage für Implementierung, Tests, IRP<br />
• Beinhaltet Incident Response Plan<br />
<strong>Planung</strong> <strong>und</strong> <strong>Aufbau</strong> <strong>eines</strong> <strong>virtuellen</strong> <strong>Honeynetzwerkes</strong> – p.17/30
Datenkontrolle<br />
• Honeywall<br />
• Sicherheitsüberwachungsscript<br />
• snort_inline<br />
• SWATCH-Firewallüberwachung<br />
<strong>Planung</strong> <strong>und</strong> <strong>Aufbau</strong> <strong>eines</strong> <strong>virtuellen</strong> <strong>Honeynetzwerkes</strong> – p.18/30
Datenaufzeichnung<br />
• SEBEK Clients <strong>und</strong> Server<br />
• Promiscous-Mode Syslog Server<br />
• TcpDump zeichnet Netzwerkverkehr auf<br />
• p0f Passive OS-Fingerprinting<br />
<strong>Planung</strong> <strong>und</strong> <strong>Aufbau</strong> <strong>eines</strong> <strong>virtuellen</strong> <strong>Honeynetzwerkes</strong> – p.19/30
Datenanalyse<br />
• SEBEK-Web<br />
• Syslog-Web<br />
• SNORT, ACID <strong>und</strong> SnortSnarf<br />
• Scripte zur statistischen Analyse der<br />
TcpDump LOG-Dateien<br />
• Forensische Analyse: sleuthkit <strong>und</strong> Autopsy<br />
<strong>Planung</strong> <strong>und</strong> <strong>Aufbau</strong> <strong>eines</strong> <strong>virtuellen</strong> <strong>Honeynetzwerkes</strong> – p.20/30
Funktionstests<br />
• Entwicklung einer Checkliste mit Tests<br />
• Sicherheitsrichtlinie ist Gr<strong>und</strong>lage<br />
• Separierung der Tests nach Komponenten<br />
• Einzelne Tests der Komponenten nach deren<br />
Installation<br />
• Abschließender Test aller Komponenten, um<br />
Wechselwirkungen zu erkennen<br />
• Einsatztest - Kann es sich bewähren?<br />
<strong>Planung</strong> <strong>und</strong> <strong>Aufbau</strong> <strong>eines</strong> <strong>virtuellen</strong> <strong>Honeynetzwerkes</strong> – p.21/30
Incident Response Plan<br />
• Sicherheitsrichtlinie ist Gr<strong>und</strong>lage<br />
• Vorschriften <strong>und</strong> Richtlinien zur Untersuchung<br />
kompromittierter Honeypots<br />
• Hinweise zum Abschalten des Honeypots <strong>und</strong><br />
Reaktivieren <strong>eines</strong> neuen<br />
• Hinweise zum weiteren Vorgehen in der<br />
Untersuchung des Vorfalles<br />
<strong>Planung</strong> <strong>und</strong> <strong>Aufbau</strong> <strong>eines</strong> <strong>virtuellen</strong> <strong>Honeynetzwerkes</strong> – p.22/30
Aufgetretene Probleme<br />
• OpenBSD SEBEK-Client hatte BUGs<br />
• SEBEK-Server hatte BUGs<br />
• snort_inline hatte BUG<br />
• Modifizierung vom SEBEK-Server als<br />
Syslog-Server mit DB-Anbindung<br />
• Tuning der Konfiguration von SWATCH<br />
• Anti-Fingerprint: in vmware-vmx VMware<br />
MAC-Adressen geändert<br />
<strong>Planung</strong> <strong>und</strong> <strong>Aufbau</strong> <strong>eines</strong> <strong>virtuellen</strong> <strong>Honeynetzwerkes</strong> – p.23/30
Übertragene Datenmengen<br />
• 28 Tage Einsatztest<br />
• 1x CRUX 1.3, 2x OpenBSD 3.4<br />
Protokoll Anzahl Pakete Prozent Übertragenes Volumen Prozent<br />
TCP 365999 76,55 % 68 MB 89,0 %<br />
UDP 14087 2,95 % 1,3 MB 1,7 %<br />
ICMP 11228 2,35 % 995 KB 1.3 %<br />
Sonstiges 86768 18,15 % 6 MB 8,0 %<br />
<strong>Planung</strong> <strong>und</strong> <strong>Aufbau</strong> <strong>eines</strong> <strong>virtuellen</strong> <strong>Honeynetzwerkes</strong> – p.24/30
Top-10 der TCP- <strong>und</strong> UDP-Ports<br />
Platz TCP-Port Verbindungen UDP-Port Verbindungen<br />
1. 80 3251 137 200<br />
2. 135 2449 32789 181<br />
3. 445 2228 1434 155<br />
4. 443 1225 1026 151<br />
5. 9898 489 1027 109<br />
6. 5554 372 500 62<br />
7. 1023 364 53 40<br />
8. 3127 260 520 23<br />
9. 1433 227 1701 18<br />
10. 17300 220 135 18<br />
<strong>Planung</strong> <strong>und</strong> <strong>Aufbau</strong> <strong>eines</strong> <strong>virtuellen</strong> <strong>Honeynetzwerkes</strong> – p.25/30
Erkenntnisse aus Testlauf<br />
• Scans von Viren <strong>und</strong> Würmer, <strong>und</strong> nach<br />
deren Backdoors<br />
• Windows PopUp Spam<br />
• SSH Login Versuche<br />
• Proxy Scans<br />
• Warez Upload auf Anonymous FTP Server<br />
• Fast alle beobachteten Angriffe können<br />
durch geeignete Maßnahmen an Grenzen<br />
des Netzwerkes abgewehrt werden<br />
<strong>Planung</strong> <strong>und</strong> <strong>Aufbau</strong> <strong>eines</strong> <strong>virtuellen</strong> <strong>Honeynetzwerkes</strong> – p.26/30
Vorteile von Honeynetzwerken<br />
• Kann umfassend Daten von Angriffen<br />
sammeln<br />
• Beobachtungen von Angreifern <strong>und</strong><br />
Sicherstellung der Tools möglich<br />
• Bekommt nur die “Nadeln” im “Heuhaufen”<br />
• Detektor von Bedrohungen<br />
• Vielfältige Einsatzmöglichkeiten in Lehre <strong>und</strong><br />
Forschung<br />
<strong>Planung</strong> <strong>und</strong> <strong>Aufbau</strong> <strong>eines</strong> <strong>virtuellen</strong> <strong>Honeynetzwerkes</strong> – p.27/30
Nachteile von Honeynetzwerken<br />
• Angreifer sind sich deren Existenz bewusst<br />
• Erkennt nur direkt gegen ihn selbst gerichtete<br />
Angriffe<br />
• Risiko, kann nur begrenzt, aber nicht ganz<br />
eliminiert werden<br />
• Hoher Aufwand bei Installation <strong>und</strong><br />
Administration<br />
<strong>Planung</strong> <strong>und</strong> <strong>Aufbau</strong> <strong>eines</strong> <strong>virtuellen</strong> <strong>Honeynetzwerkes</strong> – p.28/30
Ausblick<br />
• Korrelation der Daten aller Sensoren<br />
• Intelligentere Alarmierungsfunktionen mit<br />
Triggern<br />
• Unterscheidung zwischen “spitzen” <strong>und</strong><br />
“stumpfen” Nadeln<br />
• Multicast Honeypot<br />
• P2P-Honeypots, Kommunikation<br />
untereinander über geheime, verschlüsselte<br />
Kanäle, Simulation von Netzwerkverkehr zur<br />
Tarnung<br />
<strong>Planung</strong> <strong>und</strong> <strong>Aufbau</strong> <strong>eines</strong> <strong>virtuellen</strong> <strong>Honeynetzwerkes</strong> – p.29/30
Ende<br />
• Haben Sie noch Fragen?<br />
<strong>Planung</strong> <strong>und</strong> <strong>Aufbau</strong> <strong>eines</strong> <strong>virtuellen</strong> <strong>Honeynetzwerkes</strong> – p.30/30
Change language