Sicherheit - Abwehrmechanismen

Motivation

Eine bessere Motivation als diese Geschichte kann ich nicht liefern. Durch die Verbreitung des Internet haben sich Viren, Würmer, Trojaner, ... rasant verbreitet und es kommt eigentlich kein Anwender mehr an dem Thema Sicherheit vorbei. Das Problem lässt sich durch Nict-Nutzung des Internet sicherlich eindämmen, aber wer will schon in die Steinzeit zurück. Der Mehrwert durch Internet ist das Risiko in den meisten Fällen wert. Kein System wird jemals sicher sein, aber man darf auch nicht fahrlässig handeln. Während sich Security mit a-priori-Massnahmen beschäftigt (dass erst gar keine Probleme auftreten) beschäftigt sich Backup damit, die Auswirkungen (Kosten) zu minimieren, wenn die Sicherheit umgangen worden ist. Die beiden Themen sind also untrennbar miteinander verbunden und geniessen bei den meisten Anwendern keine grosse Aufmerksamkeit (und ich gehöre auch dazu). Es geht ja auch so oft gut.

Was kann ein Virus anrichten?

• an der Hardware Schäden verursachen. Es gab schon mal einen Virus, der das BIOS manipuliert hat und dadurch Hardwareschäden verursacht hat. Denkbar wäre auch, dass er an dem Monitorsignal herumspielt und dadurch den Bildschirm zerstört
  
• Dateien (oder die gesamte Festplatte) löschen
• Dateien manipulieren (was vielleicht sogar schlimmer als das Löschen ist)
  
• Computer langsamer machen
• die tägliche Arbeit behindern (Rechnerauslastung, verschieben von Buttons, verschieben von Dateien)
  
• sich weiterverbreiten, indem er eMails an alle Leute im Adress-Buch versendet. Der Publicity-Schaden sollte nicht unterschätzt werden. Gerade im geschäftlichen Bereich ist Vertrauen unbezahlbar und es dauert lange welches aufzubauen. Eine virenverseuchte eMail kann hier die Arbeit mehrer Jahre zunichte machen
• störende Werbung einblenden
  

Was können Trojaner anrichten?

• Usernamen, Passwörter, PINs und TANs ausspionieren und an den Angreifer versenden, der damit dann Überweisungen (auf sein Konto) durchführen kann, Zugriff auf eMails des Opfers hat. Der Angreifer kann sich damit gut als das Opfer ausgeben, denn er kennt durch die eMails ja auch das persönliche Umfeld und kann Intrigen spinnen, Leute beleidigen, etc.
• kann als Plattform für einen getarnten Angriff dienen. Beispielsweise kann ein Angriff auf das Pentagon so erfolgen, dass der Angreifer den Trojaner steuert (sog. Backdoor Trojaner) und der Trojaner vom Rechner des Opfers einen Angriff auf das Pentagon startet. Sollte das ganze auffliegen, wird sich der Trojaner zurückziehen und das Opfer wird Besuch vom CIA bekommen. Keine wirklich schönen Aussichten. Der Nachweis, dass man selbst Opfer ist, wird ziemlich schwierig, schätze ich
• Die lokale Routing-Tabelle manipulieren, so dass man bei Eingabe von http://www.sparda-hessen.de in Wirklichkeit auf einem anderen Rechner landet und das ganze evtl. nicht mal bemerkt (wenn es gut gemacht ist)
• über das Programm "netstat" kann man die Verbindungen des Rechners sehen. Wenn dort die IP-Adresse eines Fremden steht, kann man über http://www.ripe.net/perl/whois und die IP-Adresse des Angreifers den Provider ermitteln und sich dort beschweren (auch wenns vermutlich nichts nutzen wird). Manche Provide speichern die Nutzung der dynamisch vergebenen IP-Adressen und so könnte man an die Identität des Angreifers kommen (funktioniert wahrscheinich in den seltensten Fällen - ich kann mir nicht vorstellen, dass z. B. die Telekom erfreut über solche Anfragen ist und bereitwillig Auskunft gibt)
  

Es gibt auch Leute, die ein System von aussen nach bekannten (Standard-) Trojanern scannen. Wenn sie dann einen bekannten gefunden haben, werden sie versuchen, ihn zu benutzen. Der Angreifer kann also wechseln.

Schlicht und einfach ist man nicht mehr Herr über das System, sondern ohnmächtig und muss unter den Launen eines unberechenbaren Gegners leiden. Niemand kann voraussagen wie sich die Malware in Zukunft verhält. Sie kann gar nichts anrichten, sie kann monatelang schlummern, um dann irgendwann aktiv zu werden. Sie kann aber auch gleich zuschlagen und immense Schäden anrichten.

Noch ein wenig platischer:

• ein Virus kann Dateien, z. B. die Diestein-Datenbank zerstören. Damit gehen Informationen über Aufträge und Rechnungen verloren. Das ist ein sofort sichtbarer Schaden, der sich auf mehrere tausend Euro belaufen kann
• die Neuinstallation eines Rechner dauert 10 Stunden. Bei einem Stundensatz von nur 50 Euro sind das 500 Euro
• Hinzu kommt die Ausfallzeit (Rechnungen konnten nicht geschrieben werden)
• Fragwürdige Datenintegrität - hat der Virus vielleicht Daten manupuliert (vielleicht einie Rechnungen gelöscht oder die Summe erhöht/reduziert?
• Hat er vielleicht schon eMails verschickt und Kunden beleidigt oder eMail-Korrespondenz weitergeleitet (an Kunden)
  

Einen guten Überblick über das Thema Computersicherheit gibt www.comsafe.de.

Prävention

10 Goldene Regeln siehe hier: http://www.comsafe.de/regeln.html

Hier ist meine persönliche Liste, die ich aus vielen Quellen zusammengetragen habe:

• Schutz ohne Technologie:

• Misstrauen gegenüber Programmen und Dokumenten, die man erhält. Auch wenn der Absender ein guter Freund ist, muss man misstrauisch sein, denn evtl. hat sich der Freund mit einem Virus infiziert, der sich selbst per Mail verteilt (z. B. Melissa) oder er weiss gar nicht, dass das Programm/Dokument virenverseucht ist. Es muss also keine böse Absicht sein. Deshalb entweder gar nicht öffnen oder die Programme/Dokumente von einem aktuellen Virenscanner (on-demand oder on-access) prüfen lassen

• Software nur von der offiziellen Website downloaden und dann auch noch die Checksumme prüfen. Unter Windows z. B. mit dem Programm DPASHA von Dirk Paehl unter Linux per Kommandozeile md5sum.
  
• Niemals CDs von unzuverlässigen Quellen (z. B. von Messen) installieren
• So wenig Software wie nötig installieren
• Betriebssystem so einstellen, dass Dateiendungen immer angezeigt werden (darauf achten, dass die Einstellungen für alle Ordner gelten - also "Ansichtsoptionen für jeden Ordner speichern" darf nicht angehakt sein). Bei exe, com, bat, doc, xls muss müssen die Alarmglocken schrillen
• eMails niemals als HTML empfangen, denn darin versteckte Links (z. B. auf Bank-Portale) können gefaked sein, d. h. es wird http://www.sparda-hessen.de angezeigt, aber in Wirklichkeit kommt man auf eine Cracker-Seite, die zufällig so aussieht wie die Seite der Sparda-Bank. Dann gibt man dort Username und Passwort ein. Man denkt - alles in bester Ordnung - das System antwortet auch immer korrekt. Dann will man eine Überweisung machen, gibt seine TAN ein und das System meint die TAN ist schon gebraucht. Man denkt dann, man hat beim letzten Mal wohl vergessen die TAN durchzustreichen und verwendet die nächste. Das System meldet, alles ok. Und man wundert sich dann, dass die angeblich durchgeführte Überweisung niemals erscheint, dafür aber das Konto leer ist. DENN: Die Cracker-Seite hat jetzt den User, das Passwort und zwei gültige unverbrauchte TANs, mit denen das Konto leergeräumt wurde. DUMM GELAUFEN!!!
• niemals auf meheren Systemen das gleiche Passwort verwenden. Klar kann man auf unwichtigen und vollkommen unkritischen Systemen ein einfaches, unsichers Passwort verwenden (und auch immer das gleiche). ABER: es darf niemals ein Passwort sein, das auch für wichtige Systeme verwendet wird. Angenommen in einem unkritischen Forum verwendest Du das gleiche Passwort wie für deinen Mailaccount und im Forum hast Du Deine Mailadresse eingegeben. Es ist ein leichtes den Mailserver zu erraten (bzw. aus den Regeln des Hosters abzuleiten) und Deine eMails können vom Betreiber des Forums gelesen werden. Deshalb folgende Regeln:
• für unwichtige, unkritische Systeme: einfaches Passwort (und überall das gleiche)
• für kritische Systeme: sichers Passwort und für jedes System ein eigenes!!!
• niemals einen elektronische Passwort-Manager verwenden. Fragt der Browser, ob das Passwort gespeichert werden soll: NO, NEVER, NIEMALS
• sich über aktuelle Viren informieren (hier gibt es zahlreiche Newsletter). u. a. bei http://www.trojaner-info.de
  

• Schutz durch Technologie:

• BIOS-Passwort vergeben
• BIOS so konfigurieren, dass Booten nur von Festplatte möglich ist (sonst kann man beispielsweise Peter Nordahls Linux-Boot-CD verwenden [u. a. Bestandteil der Ultimate Boot CD], um das Administrator-Passwort auf einen beliebigen Wert zurückzusetzen)
  
• Betriebssystem von einer nicht-beschreibbaren CD starten und das Mounten von Festplatten/USB-Sticks verbieten:
• die Knoppix-basierte Linux-Distribution Bankix (heise-Verlag in Zusammenarbeit mit Klaus Knopper [Knoppix]) geht diesen Weg) - Test siehe eigener Abschnitt)
  
• Betriebssystem immer auf dem sicherheitstechnisch aktuellsten Stand halten, d. h. im nach Security-Patches des Herstellers Ausschau halten (am besten automatisch) und installieren.
• Windows 2000: http://www.microsoft.com/germany/technet/sicherheit/prodtech/windows2000.mspx
  

• Windows Service Packs: http://www.mircosoft.com/windows2000/downloads/servicepacks/default.mspx
• Windows-Update: http://update.microsoft.com/windowsupdate/v6/default.aspx?ln=de

• Debian-Linux:

deb http://security.debian.org/ stable/updates main contrib non-free

• Unter Linux:
• Shadow-Passwords verwenden
• Passwörter per MD5 verschlüsseln
• eigene Erweiterungen der PATH-Variable immer hinten anhängen - wäre beispielsweise das $HOME/bin Verzeichnis eines normalen Benutzers (der zum Surfen genutzt wird) vor den Systemverzeichnissen in der PATH-Variable, so könnte ein Angreifer das ls-Kommando (normalerweise total unkritisch) durch Hinterlegung eines ls-Skripts in $HOME/bin austauschen ...
  
• Sicherheitspatches für Anwendungen installieren:

• Office Updates: http://www.microsoft.com/de-de/officeupdate/default.aspx
• Firefox-Updates
• Thunderbird-Updates

• Filesystem mit ausreichender Rechtevergabe-Möglichkeit verwenden, d. h. unter Windows NTFS statt FAT32 verwenden
  
• Verwendung mindestestens eines Virenscanners (evtl. sogar mehrere), den man immer auf dem neuesten Stand (z. B. Update der Virendefinitionen) halten muss
  
• Firewall:
  

• am besten: Hardware-Firewall
• ansonsten: Software-Firewall

• in regelmässigen Abständen das System von einer Boot-CD zu starten und ein Virenscann durchzuführen. Hier gibt es z. B. die Knoppicillin-CD aus der c't, die in regelmässigen Abständen auch dem Heft beiliegt.
  
• Internet-Browser sicher konfigurieren: ActiveX und JavaScript verbieten (und Java-Applets?!?). Cookies sind nicht wirklich gefährlich, aber sie können sensible Informationen preisgeben (z. B. über das Surfverhalten/Interessen). Weitere Security-Einstellungen lassen sich vornehmen.
• keine Office-Pakete installieren (sonst können sich Makro-Viren verbreiten), sondern einfache MS Office Viewer installieren, die keine Makros unterstützen
• nicht dauerhaft mit einem User mit Administrator-Rechten arbeiten
• alle nicht benötigten Dienste abschalten (deaktivieren), dadurch werden dann viele Ports geschlossen
  
• Netzwerkeinstellungen: keine Freigabe von Dokumenten und Druckern (die Dienste am besten deaktivieren)
  
• Windows-Script-Host ausschalten (http://www.sophos.com/support/faqs/wsh.html)
  

Bei allen Regeln handelt es sich um Einschränkungen, die man macht. Manche Programme oder Internet-Seiten werden anschliessend vielleicht nicht mehr so gut oder gar nicht funktionieren, aber Du tust es zu Deinem Schutz. Du kannst sie auch wieder einschalten, wenn es Dir das wert ist.
Man benötigt eine schnelle Internet-Verbindung, um das System auf dem neuesten Stand zu halten. Virendefinitionen benötigen zwar nicht viel Platz, aber die Windows-Updates sind schnell über 10MB. Ausserdem jagt ein Windows-Update das nächste, d. h. man spielt ein Security-Patch ein, rebootet und fragt erneut nach "Windows Update" (man sollte hier automatisches Windows Update einstellen) und dann müssen weitere Patches eingespielt werden. Ich musste 5 oder 6 Patches hintereinander einspielen (Reboot nach jedem Patch) bis "Windows Update" endlich mal keine fehlenden Patches geliefert hat. Der Mechanismus ist also wenig intelligent.
Eine Bereitstellung der Patches auf CD (Ausweg bei fehlender Breitband-Internet-Verbindung) ist somit schlecht möglich.

Bankix

Dieser Abschnitt wurde verschoben: siehe hier

FAQ

Wie prüfe ich, ob mein System "sicher" ist?

 

Woran erkenne ich, dass ich mir eine Malware (Virus, Trojaner, ...) eingefangen habe?

• Im besten Fall meldet es der Virenscanner (der muss natürlich regelmäßig/täglich aktualisiert werden)
  
• bei Trojanern kann es die Firewall erkennen, bei Hardware-Firewalls sollte man hier hin- und wieder ins Log-File schauen (das man irgendwohin streamen sollte), bei Software-Firewalls sollte man über Regelverstösse informiert werden.
• das Backup-System Bacula kann bei der Entdeckung von Malware auch behilflich sein - es kann nämlich Veränderungen an Dateien aufspüren
  
• Rechner verhält sich merkwürdig: Mausbewegungen, hohe Rechnerlast, Netzwerktraffic ohne Grund, witzige Meldungen am Bildschrim, man hat plötzlich keine Rechte mehr, man kann nicht mehr kopieren
  

Was tun, wenn ich Malware feststelle?

• nicht auf die leichte Schulter nehmen, das ist kein Spass (auch wenn die meisten Viren unkritisch sind)
  
• Internetverbindung kappen (ein Trojaner kann dann wenigstens schon mal nicht mehr mit dem Angreifer kommunizieren und auch der Angreifer kann den Rechner nicht mehr fernbedienen)
• Unbedingt auf einem sicheren Rechner hier nachlesen: http://www.comsafe.de/desinfektion.html
• der Virus kann dafür sorgen, dass er lange Sicht auch vom Antiviren-Programm unentdeckt bleibt (durch Löschen der Virendefinitionen. Ausserdem kann er die Firewall beeinflussen, um sich so den Weg nach aussen zu ebnen.
  
• Rescue-Boot-CD mit einem aktuellen Virenscanner starten und das System analysieren und Viren beseitigen lassen. Es genügt nicht, den Rechner im abgesicherten Modus oder über die Festplatte im DOS-Modus zu starten, denn der Virus könnte im Bootsektor stecken und dann würde er beim Starten von Festplatte geladen und könnte seine Entdeckung verhindern. Einige Hersteller von Anti-Viren-Software bieten so etwas an. Auf diese Weise hat man auch Schreibrechte auf ALLE Dateien, was nicht der Fall ist, wenn man die Viren innerhalb des befallenen Systems beseitigen will.
• Leider ist das Vertrauen nach einem Zwischenfall eigentlich komplett zerstört. Da man i. a. nicht weiss, wann der Angreifer auf das System geschleust wurde (das kann wesentlich vor den Auswirkungen gewesen sein - weshalb es unbedingt erforderlich, dass ständig ein Virenscanner mit aktuellen Virendefinitionen im Hintergrund läuft), kann man auch seinen Daten eigentlich nicht mehr trauen. Vielleicht wurden sie verändert, vielleicht enthalten sie aber auch Backdoors, über die der Angreifer sich wieder Zugang zum System verschaffen kann. Dann hilft einem auch das Neuaufsetzen des Systems nicht mehr, denn über die Daten infiziert man es immer wieder erneut. Weitere Infos: http://www.micosoft.com/technet/community/columns/secmgmt/sm0504.mspx.
  

Sollte das nicht möglich sein ist die zweitbeste Möglichkeit ein paralleles System (am besten Linux), das auch auf dem Rechner betrieben wird und über den Boot-Manager auswählbar ist und mit dem man ein System auf einer bestimmten Partition scannen und fixen kann.
Sollte auch das nicht möglich sein, sollte man den Rechner im abgesicherten Modus starten (beim System-Start die F8-Taste mehrfach drücken), denn viele Viren sind in diesem Modus mangels nicht-geladener Treiber nicht aktiv.
Sollte auch das nicht möglich sein, bleibt wohl nur eine Beseitigung durch Starten des befallenen Systems. Aber das ist natürlich die schlechteste denkbare Variante :-(

Wie sieht eine Phishing-Mail aus?

Ich selbst habe bis Anfang 2006 noch keine Phishing-Mail bekommen, aber ein Kollege bekam eine Mail, die nur folgendes Bild enthielt:


Dieses Bild war mit nicht mit der angegebenen URL verknüpft (http://www.volksbank.de/...), sondern mit http://164.41.57.42/rpm/. Man landet auf einer Seite, die eine Laie für eine Volksbank-Seite halten könnte (sie ist eigentlich schlecht gemacht, aber es gibt bestimmt auch bessere). Auf der Seite wird man aufgefordert die PIN und ein paar TANs einzugeben. Viel Spass beim Ausfüllen von Blankoschecks.

Umsetzung R.

Da hier eine Firma betrieben wird, gelten andere Security-Anforderungen als bei einem Privat-Anwender. Rechnerausfälle (durch Viren) sind schon teuer, Datenverluste können zur Insolvenz führen. Das muss ALLEN bewusst sein.
Nur zur Verdeutlichung:

• ein Virus kann Dateien, z. B. die Diestein-Datenbank zerstören. Damit gehen Informationen über Aufträge und Rechnungen verloren. Das ist ein sofort sichtbarer Schaden, der sich auf mehrere tausend Euro belaufen kann
• die Neuinstallation eines Rechner dauert 8 Stunden. Bei einem Stundensatz von nur 50 Euro sind das 400 Euro

Wer jetzt also die Regeln nicht befolgt, muss 400 Euro auf mein Konto überweisen. Das ist kein Spass.

Wir brauchen drei Rechner:

• Workstation (evtl. kleiner neuer Rechner) Windows 2000 (XP scheidet wohl Stairs aus, das einen benötigt)
  
• hier wird gearbeitet (als normaler User, nicht mit dem Administrator)
• super sicher
• Datensicherung:
  
• automatische Sicherung der Benutzer- und Konfigurationsdaten
• System-Partitions-Image
  
• darf die (später immer mal wieder als Image zu sichernde) Partitionen nur so gross sein, dass sie auf eine DVD passt?
  

• Internet (evtl. alter Rechner oder neuer Laptop?): Windows 2000 oder Win98
• zum Surfen, eMailen, eBanking
• super sicher (denn hier wird eBanking gemacht)
  
• keine Netzwerkverbindung zu den anderen Rechnern - totale Isolation
  
• eine Partition
• keine Sicherung, denn alle Daten sind online oder nicht so wichtig (geht das???)
  

• Backup: Knoppix
• Sicherung von Rechnern, die über Netzwerk verbunden sind
• evtl. zwei Festplatten
  
• einmal wöchentlich wird eine DVD gebrannt

• neuer Laptop:
• hängt im Netzwerk mit der Workstation und dem Backup-Rechner
• wird gesichert

• Spiele- und Ausprobierrechner (alter Laptop???):
• unsicherer Rechner, keine Anstrengungen, um ihn sicher zu machen
• nicht im Netzwerk - totale Isolation
  
• Nina kann hier spielen
• Rene und Sabine können wir nützliche, aber nicht absolut notwendige Software installieren (z. B. WeightWatcher, Routenplaner)
• hier kann auch Software nur mal zum Ausprobieren installiert werden
• Rechner kann innerhalb von 30 Minuten neu aufgesetzt werden
• wird nicht gesichert, somit gelangen auch keine verseuchten Dateien auf den Backup-Rechner
  

Details:

• Was heisst "super sicher"?
• Grundregel: so wenig Software wie nötig (kein überflüssiger Scheiss)
• keine Internetverbindung
• immer aktuellste Patches
• immer aktuelle Virendefinitionen
  
• Windows-Einstellungen:
• Auf den "sicheren" Windows-Rechnern kommt NTFS als Filesystem zum Einsatz. Für die tägliche Arbeit wird ein normaler User-Account verwendet, kein User mit Administrator-Rechten. Diese beiden Aspekte können die Auswirkungen eines Virus deutlich reduzieren.
  
• Rechner mit Internet-Verbindung nutzen eine Firewall. Am besten wäre eine Hardware-Firewall, die wir aber nicht haben. Es wird eine Software-Firewall verwendet
• Windows-Update regelmässig durchführen
  
• Backup:
• System-Partitions-Images werden einmal im Quartal angefertigt (per Partition Image über die Knoppix-Boot-CD) und auf DVD gebrannt
  
• Benutzer- und Konfigurationsdaten-Sicherungen erfolgen inkrementell, einmal wöchentlich full-Backup mit DVD-Erzeugung, um die Auswirkungen eines Festplatten-Crashes oder eines Virusses (der sich ja doch mal einschleichen kann) möglichst gering zu halten
• einmal im Halbjahr wird am Internet-Rechner getestet, ob sich der Rechner über das Image tatsächlich neu aufsetzen lässt - Notfallübung
  
• Images werden über eine relativ aktuelle Knoppix-CD gezogen (bei jedem Image wird aufgeschrieben mit welchem Knoppix das Image erzeugt wurde, denn damit wird es auch restored)
• Anti-Viren-Software:
• Norton Anti-Virus, da wir eh schon über eine solche Lizenz verfügen und die Software bei Tests gut abgeschnitten hat
• wird so konfiguriert, dass es ständig im Hintergrund läuft
• wird so konfiguriert, dass es sich automatisch regelmässig updated
  
• Knoppix-CD wird als Notfall-System verwendet, um im Bedarfsfall ein Image zu restoren oder Dateien on-demand zu sichern oder, oder, oder ...
  

Probleme:

• Support für Windows 2000 wird eingestellt, so dass irgendwann keine Security-Patches mehr zur Verfügung stehen. Leider können wir wegen Stairs (Dongle) nicht auf XP umsteigen. Es gibt einen kostenpflichtigen Support bis 2010. Für sicherheitskritische Updates soll der Support voraussichtlich bis Mitte 2007 kostenlos sein (http://www.heise.de/newsticker/meldung/60045). Nach dem Service-Pack 4 wird es kein weiteres Service-Pack für Windows 2000 mehr geben. Stattdessen gibt es sog. Update-Rollups (http://www.microsoft.com/windows2000/server/evaluation/news/bulletins/rollup.asp, http://www.heise.de/newsticker/meldung/53733). Dabei enthält ein Update-Rollup i. a. nur sicherheitskritische Updates, die sich seit Service-Pack 4 ergeben haben (Erscheinungstermin: 30. April 2005).
  
• Problematisch ist, dass keine Breitbank-Internet-Verbindung zur Verfügung steht. Somit können Security-Patches nicht mal eben schnell aus dem Internet geladen werden. Papa wird dafür verantwortlich sein, diese Dateien bereitzustellen und R. eine CD zu brennen.
• 
  

Links

• Liste von Antivirenprogrammen: http://www.comsafe.de/antiviren.html
• Vergleich von Virenprogrammen: http://www.av-comparatives.org
• Firewall-Guide: http://www.firewallguide.com