![[Illustration]](04-4-070-1.jpg)
Das rapide Ansteigen von Angriffen auf Port 135/tcp lässt auf ein automatisiertes Werkzeug schließen – hier den Blaster-Wurm.
In der heutigen Zeit mit immer neuen Viren und Würmern benötigen Anwender und Unternehmen sicherheitsrelevante Updates noch schneller und vollständiger als bislang üblich. Aber mit der immer geringer werdenden Reaktionszeit zwischen dem Bekanntwerden eines neuen Sicherheitsproblems bis zu einer globalen Ausnutzung befinden sich auch die Computer-Notfallteams in einer Zwickmühle: "Soll ich – oder soll ich nicht?" Es wird immer wichtiger, schnell zu warnen, aber die Angst vor Fehlalarmen, die in der Folge das Vertrauen der Anwender und versorgten Unternehmen kosten, zwingt zu einer vorsichtigen Vorgehensweise. In dieser Situation hilft nur, noch mehr und noch bessere Informationen zu haben. Sensornetze sind eine Möglichkeit hierfür.
Bereits bei der Gründung des ersten CERTs 1988 stand die Überwachung und Bewertung der aktuellen Gefährdungssituation mit in der Aufgabenbeschreibung. Viele CERTs haben dies folgerichtig auch für sich übernommen und in den USA mit den Information Sharing and Analysis Centers (ISACs) Sammelstellen geschaffen, die Informationen von Betroffenen auswerten und zu einem Lagebild zusammenfügen.
Auch sonst überwachen CERTs die aktuelle Situation und bewerten die ihnen zur Verfügung stehenden Informationen. Neben der fortlaufenden Diskussion in Expertenkreisen sind dies auch die eingehenden Berichte über Angriffe und Vorfälle – von gelungenen Einbrüchen bis hin zu anderen Ereignissen, die nicht sofort von den Betroffenen als ungefährlich eingestuft werden können. Mit den gesammelten Kenntnissen über existierende Sicherheitslücken auf der einen Seite und den Erkenntnissen über Betroffene auf der anderen Seite können CERTs beispielsweise herausfinden, dass bestimmte Sicherheitslücken nicht mehr nur manuell ausgenutzt werden, sondern dass ein neu entwickeltes Cracker-Tool den Angriff automatisiert. Damit steigt die Gefährdung, der die Anwender und Unternehmen ausgesetzt sind – und es wird Zeit, die bisherigen Einschätzungen zu überdenken und eventuell ein Update der ursprünglichen Sicherheitsmeldung zu veröffentlichen.
Die Beobachtung der Netze, zum Beispiel mit Netzwerken aus Intrusion-Detection-(IDS-)Sensoren, die an verteilten Stellen den Datenverkehr aufzeichen und an zentrale Auswertungsrechner weitermelden, ist dabei ein wirksames Mittel – nicht nur für ein Unternehmen, sondern auch für CERTs. Besonders dann, wenn übergreifende Informationen gewonnen werden können: Der Schlüssel für den Erfolg ist gerade die Kombination von vorhandenem Wissen mit einer Information über Angriffe oder Vorfälle, die schneller kommt als dies der Fall wäre, wenn Administratoren erst "manuell" solche Ereignisse melden.
Damit sind die Sensor-Netzwerke allerdings bereits als das eingeordnet, was sie darstellen: ein weiteres Hilfsmittel, aber kein Allheilmittel. Im Vordergrund muss die Analyse durch den Experten stehen, wobei sich durchaus zwei unterschiedliche Herangehensweisen anbieten.
Die eine Herangehensweise, welche die Analyse in den Vordergrund stellt, benutzt Sensor-Netzwerke, um aufgestellte Hypothesen bezüglich neuer Sicherheitslücken und Angriffe zu überprüfen. Die Experten versuchen also, anhand der verfügbaren Informationen über Sicherheitslücken und Angriffe abzuleiten, wie eine konkrete Ausnutzung sich (im Sensor-Netzwerk) bemerkbar machen würde. Typische Fragestellungen am Beispiel von Blaster: Wann zeichnet sich ein verstärkter Verkehr auf Port 135/tcp ab? (Ausnutzung einer Sicherheitslücke) – Von welchen Adressen kommen Pakete mit einer Paketlänge von 123 Bytes von Port 45454/tcp? (Hinweis auf ein bestimmtes Angriffswerkzeug)
Die andere, eher experimentelle, Herangehensweise versucht, aus dem Netzwerkverkehr eine Bedeutung abzuleiten. Typische Fragestellungen hierbei wären: Was kann es bedeuten, dass der Verkehr für Port 61111/tcp zunimmt? – Gibt es einen neuen Trojaner?
Die Experten können so gezielt beobachten, ob ihre Hypothesen eintreten – und wann dies der Fall ist. Beide Ansätze schließen sich nicht gegenseitig aus; die notwendige Datenbasis ist weitgehend gleich und ermöglicht durch unterschiedliche Recherchestrategien die Beantwortung der verschiedenen Fragestellungen.
Das rapide Ansteigen von Angriffen auf Port 135/tcp lässt auf ein automatisiertes Werkzeug schließen – hier den Blaster-Wurm.
Den Erfolg einer analytischen Herangehensweise zeigt das folgende Beispiel: Für den Zeitraum vom 7. bis 14. August 2003 wurden die IP-Adressen, welche die drei Ports 135/tcp, 445/tcp und 1434/udp angesprochen haben, aufaddiert (s. Grafik). Dabei wurde eine IP-Adresse jeweils nur einmal gezählt, jede neue Verbindung erhöht die jeweilige Summe. Zum Verständnis ist wichtig, dass die Systeme, die hier angesprochen wurden, definitiv diese Ports nicht unterstützen. Es handelt sich daher eindeutig um unautorisierte Zugriffe.
Für die zwei Ports 445/tcp und 1434/udp zeigt sich ein eher typisches Verhalten: stetiges Ansteigen in einem bestimmten Grad, mit kleinen Sprüngen. Die Kurve für 135/tcp zeigt jedoch ein vollkommen anderes Bild: Während es am 7., 8. und 9. August kaum Zugriffe gab, steigt ab dem 10. die Zahl deutlich an – Spiegelbild des Blaster-Wurms.
Die Anstrengungen der Experten laufen derzeit in die Richtung, effektive Sensor-Netzwerke aufzubauen und ihre Auswertung voranzutreiben, um früher als heute warnen zu können. Links zu öffentlich bekannten Projekten sammelt ![[externer Link]](../../../../images/link.gif)
https://www.ecsirt.net/service/statistics.html
Die <kes>-Rubrik CERT News berichtet über aktuelle Entwicklungen aus dem Umfeld von Computer Emergency bzw. Security Incident Response Teams (CERTs/CSIRTs). Betreuer dieser Kolumne ist Klaus-Peter Kossakowski ( www.kossakowski.de), der bereits ab 1992 mit dem Aufbau des ersten CERTs in Deutschland betraut war und seit Juni 2003 Vorsitzender des internationalen Dachverbands FIRST ( www.first.org) ist.
© SecuMedia-Verlags-GmbH, 55205 Ingelheim (DE),
<kes> 2004#4, Seite 70
| 