ISLAB

- Geteiltes Betriebssystem vs. eigenes Betriebssystem
- weniger Resssourcen / mehr Resssourcen
- schneller Start / langsamerer Start
- weniger gut isoliert, jedoch meist genügend mit den entsprechenden Mechanismen / besser isoliert
- bessere Skalierbarkeit / schlechtere Skalierbarkeit

- bessere Portabilität / schlechtere Portabilität

• Docker Swarm:mehrere Docker-Container Orchestrierung Verwalten, Skalieren, Überwachen, Verfügbarkeit/Load Balancing
• Docker Hub: Registry für Images, Speicher/Verwalten/Teilen von Images
• Docker Compose: Config welche YAML Format daher kommt. Datei für komplexere Anwendungen mit mehreren Container (Netzwerk, Volumes etc)
• Dockerfile: Config für Dockerimage, erstellt Image und dient zum starten des Containers

Docker Compose File erstellen welches das gleiche Netzwerk zuweist 

• Volumes: Auf Volumes kann nur durch Docker Prozesse zugegriffen werden. Somit haben User ausserhalb der Gruppen docker und root keinen Zugriff. Sie befinden sich im Docker Ordner ”/var/lib/docker/volumes”.

• Bind Mount: Das Anbinden eines beliebigen Ordners an den Container. Diese Ordner sind über normale Dateisystempfade auf dem Host zugänglich. Die darin enthaltenen Dateien können, auch nachdem der Container beendet wurde, eingesehen werden.

• tmpfs Mount: Dieser Mount ist während der Laufzeit eines Containers über den Host zugänglich wird jedoch nach dem Beenden des Containers wieder abgeräumt. Somit sind alle Daten danach verloren. tmpfs gehört somit nicht zu den persistenten Optionen. Wenn jedoch Daten schnell geschrieben werden müssen, sind Schreiboperationen in Dateien zu langsam. tmpfs schreibt direkt in den temporären Zwischenspeicher (Memory) und ist so schneller.

- Image Donwload und Extrahierung
- Initialisierungs- und Konfigurationsaufwand 
- Caching Effekte (Teile sind eventuell über Cache abrufbar und dadurch schneller)

- Local Privilege Escalation
- Remote Code Execution
- Unbekannte Container aus Drittquellen
- Fehlerhafte Configs
- Backdoors, Crypto Miners

Der Linux Kernel ist in der Lage, die Rechte des root Users in verschiedene Einheiten zu unterteilen. Diese Einheiten
werden als Capabilities bezeichnet. Zum Beispiel erlaubt die Capability CAP_CHOWN die Verwendung des Befehls
”chown” um UID und GID von Dateien zu ändern. 

Verwendung von AppArmor oder SELinux (Einschränken/Blockieren von privilegierten Operationen, auch mit root Rechten im Container)
Einschränkung/Deaktivierung von Kernelfunktionen mit sysctl
User Namespaces (Root Rechte innerhalb des Containers die aber nicht gleichbedeutend mit root Rechten auf dem Host sind)

Das Löschen eines Containers mit einem angehängten Volume, löscht das Volume nicht. Das hat zur Folge, dass ungenutzte Volumes auf dem Host System verbleiben. Die Idee hinter diesem Angriff ist, dass diese noch herumschwirrenden Volumes gegebenenfalls wieder an einen neuen Container angebunden werden können. 
 
Volumes müssen separat auch noch abegräumt werden (dangling=true)

• Host-Konfiguration: Diese Kategorie behandelt die Konfiguration des Host-Betriebssystems, auf dem Docker ausgeführt wird. Sie umfasst Empfehlungen zur Begrenzung der Netzwerkzugriffskontrolle, zur Aktualisierung des Betriebssystems und zur Begrenzung der verfügbaren Linux-Kernelmodule.
• Docker-Daemon-Konfiguration: Diese Kategorie behandelt die Konfiguration des Docker-Daemons selbst, einschließlich der Verwendung von sicheren Kommunikationskanälen und der Einschränkung der Berechtigungen des Daemons.
• Docker-Daemon-Konfigurationsdateien: Diese Kategorie betrifft die Sicherheit der Docker-Daemon-Konfigurationsdateien und deren korrekte Berechtigungen.
• Container-Images und -Builds: Hier werden Best Practices für die Erstellung sicherer Docker-Images behandelt, einschließlich der Verwendung von vertrauenswürdigen Basis-Images und der Minimierung der Anzahl von Prozessen, die in jedem Container ausgeführt werden.
• Container-Runtime: Diese Kategorie bezieht sich auf die Ausführung von Containern und behandelt Empfehlungen wie das Ausführen von Containern als Nicht-Root-Benutzer, das Deaktivieren von nicht benötigten Containerfunktionen und das Beschränken des Netzwerkzugriffs.
• Docker-Swarm-Konfiguration: Wenn Docker im Swarm-Modus betrieben wird, gibt es spezifische Empfehlungen zur sicheren Konfiguration des Swarms, einschließlich der Verwendung von sicheren Kommunikationskanälen und der Beschränkung der Netzwerkkonnektivität zwischen Containern.

Backdoors z.B. Reverse Shell Aufbau -->  Verified Publisher Durch Docker geprüft aber auf Registry eines vertrauenswürdigen Anbieters und nicht auf
Docker Hub.         Official Image Durch Docker geprüft und Open Source. Somit ist der Code für alle einsehbar.        Certified Image Images, die zusätzliche Anforderungen, Best Practices und Support Anforderungen erfüllen.

Wirken DDos Attack und fork bombs vor. 
• CPU Cores (Wieviele Cores soll ein Prozess belegen dürfen)
• CPU Core Affinitäten (auf welchem Core nicht‑paralellisierbare Arbeiten ausgeführt werden)
• maximale Anzahl Prozesse die im Container gestartet werden können
• maximale Arbeitsspeicher Auslastung

Seccomp (Secure computing mode) ist ein Linux Kernel Feature. Es verhält sich wie eine Art Firewall für System Aufrufe (syscalls) indem es die System Aufrufe filtert und kontrolliert, wie diese verwendet werden sollen. Dadurch wird das Angriffsrisiko und die potenzielle Schadenswirkung von bösartigem oder unsicherem Code reduziert.

Die beiden Mechanismen können in Kombination verwendet werden, um die Sicherheit zu erhöhen. Capabilities können verwendet werden, um die Root-Rechte von Prozessen einzuschränken und privilegierte Aktionen auf ein Minimum zu beschränken. Seccomp kann dann angewendet werden, um die Ausführung bestimmter Systemaufrufe weiter einzuschränken und zu kontrollieren, selbst wenn ein Prozess noch über gewisse privilegierte Berechtigungen verfügt.

Ein Prozess ruf immer wieder Forks von sich selbst auf um eine große Anzahl von Kindprozessen zu erzeugen. Kann dazu führen, dass das System durch die große Anzahl von Prozessen überlastet wird, da jeder Prozess Ressourcen wie CPU-Zeit und Speicher benötigt. Ressourcenbeschränkungen, seccomp-Filter, Capabilities und Überwachungsmechanismen können in Kombination eingesetzt werden, um eine robuste Sicherheitslage zu schaffen und die Auswirkungen von Forkbombs zu begrenzen. (cgroups)
 

Zentraler Bestandteil eines Betriebssystems. Software, die als Vermittler zwischen der Hardware und Anwendungsprogrammen fungiert. Verantwortlich für die Verwaltung von Ressourcen. CAP_SYS_MODULE ist eine spezielle Berechtigung in Linux-Systemen, die einem Prozess erweiterte Rechte zum Laden und Entladen von Kernelmodulen gewährt.  Durch das Laden von bösartigen Kernelmodulen kann ein Angreifer Kontrolle über den gesamten Kernel und damit über das gesamte System erlangen. 

Suricata ist eine leistungsstarke Open-Source-Netzwerküberwachungs- und Intrusion-Detection-Engine. Es wurde entwickelt, um Netzwerkverkehr in Echtzeit zu überwachen, Bedrohungen zu erkennen und darauf zu reagieren. 

IDS, IPS, Überwachung und Analyse, 

Die grundlegende Funktionsweise einer Firewall besteht darin, den Datenverkehr zu überwachen und zu kontrollieren, basierend auf vordefinierten Regeln und Richtlinien.

Paketfilterung, Regelbasierte Entscheidungen, Unterscheidung inbound/outbound, Logging/Protokollierung

Ein IDS (Intrusion Detection System) ist ein Sicherheitssystem, das darauf abzielt, verdächtige Aktivitäten oder potenzielle Sicherheitsverletzungen in einem Netzwerk oder Computersystem zu erkennen. 

Vorteile: Früherkennung, Erkennung von bekannten Angriffsmuster, Netzwerk- und Hostebene, Warnungen und Benachrichtigungen      Nachteile: False Positive und False Negative, Verwaltungsaufwand, Verschlüsselter Datenverkehr

• Prävention vs. Erkennung: Eine der grundlegendsten Unterschiede besteht darin, dass Firewalls in erster Linie dazu dienen, Angriffe zu verhindern, indem sie den Netzwerkverkehr auf der Grundlage von Sicherheitsrichtlinien filtern und kontrollieren. Ein IDS hingegen dient dazu, Angriffe zu erkennen, indem es den Netzwerkverkehr überwacht und analysiert, um verdächtige Aktivitäten zu identifizieren.
• Aktive vs. passive Rolle: Eine Firewall spielt eine aktive Rolle beim Schutz eines Netzwerks, indem sie den ein- und ausgehenden Verkehr aktiv blockiert oder zulässt. Ein IDS spielt hingegen eine eher passive Rolle, indem es verdächtige Aktivitäten erkennt und Alarme auslöst, aber in der Regel keine Maßnahmen ergreift, um den Verkehr zu blockieren (obwohl einige fortschrittlichere IDS, bekannt als Intrusion Prevention Systems (IPS), in der Lage sind, verdächtigen Verkehr zu blockieren).
• Art der erkannten Bedrohungen: Firewalls sind in der Regel gut darin, bekannte Bedrohungen abzuwehren, die auf der Grundlage von IP-Adressen, Ports und Protokollen identifiziert werden können. Ein IDS kann jedoch auch unbekannte Bedrohungen und ausgefeiltere Angriffe erkennen, die durch das normale Firewall-Filtering hindurchgelangen könnten, indem es Verhaltensmuster und Anomalien im Netzwerkverkehr analysiert.
• Management und Wartung: Firewalls und IDS erfordern unterschiedliche Arten von Management und Wartung. Firewalls müssen so konfiguriert werden, dass sie die richtige Balance zwischen Sicherheit und Zugänglichkeit finden, und ihre Regeln müssen regelmäßig aktualisiert und überprüft werden. IDS erfordern eine ständige Überwachung und Analyse der Alarme und erfordern oft auch regelmäßige Updates der Angriffssignaturen und/oder des "normalen" Netzwerkverhaltens.

- Ein IDS kann am Eingangspunkt des Netzwerks platziert werden, typischerweise hinter der Firewall oder dem Router. 

- Internes Netzwerk für interne Ressourcen¨

- in DMZ

- Als HIDS auf einzelnen Hosts

Indem es sich auf bösartigen Datenverkehr konzentriert, den die Firewall übersehen hat, hilft das IDS dabei, Angriffe zu erkennen und darauf zu reagieren, selbst wenn die Firewall nicht in der Lage war, sie zu blockieren. Es ermöglicht eine zusätzliche Schicht der Erkennung und Reaktion auf potenzielle Bedrohungen in der Netzwerkinfrastruktur.

Host-basierte IDS (HIDS)

Netzwerk-basierte IDS (NIDS)

Signaturbasierte 

Anomaliebasierte

Verhaltensbasierte

• Header
• Source/Dest Adressen
• Protokoll
• Bedingungen
• Aktionen
• Optionen

Signaturbasierte IDS (Intrusion Detection Systems) sind Sicherheitssysteme, die auf vordefinierten Signaturen oder Mustern von bekannten Angriffen basieren, um verdächtigen Datenverkehr oder Aktivitäten zu erkennen. Diese Signaturen werden auch als Regeln bezeichnet und enthalten Informationen über spezifische Angriffsmerkmale wie Protokolltypen, Portnummern, Zeichenketten oder Verhaltensmuster.

Anomaliebasierte IDS (Intrusion Detection Systems) sind Sicherheitssysteme, die das normale Verhalten von Systemen, Netzwerken oder Benutzern überwachen und Abweichungen von diesem Normalzustand als potenziell verdächtige Aktivitäten identifizieren. Im Gegensatz zu signaturbasierten IDS, die nach spezifischen Angriffsmustern suchen, suchen anomaliebasierte IDS nach Abweichungen vom erwarteten Verhalten.

- Kenntnisse über die Funktionen des IDS

- Tarnen von Angriffsmustern

- Umgehen von Signaturen

- Verschleiern mittels Verschlüsselung, Tunneling etc.

Früherkennung

Reaktionszeit minimiert

Compliance und Auditing

Expertise und Erfahrung

24/7 Service

Aktualisierung und Wartung

Keine eigene Infrastruktur notwendig

Fokus auf Kerngeschäft

Malware Analyse

Forensische Untersuchungen

Reverse Engineerin

Src/Dest Adressen/Ports

Sequenznummern, Acks, Flags

Payload Daten

Grössern des Datenstroms

Firewalls operieren auf Netzwerkebene (IPs/Ports)

SQL ist auf höhrer auf dem Application Layer angesiedelt für was die FW nichts bringt

spezielle Firewall notwendig --> WAF oder IDS IPS

Vorkehrungen treffen damit die Malware mithilfe der Sicherheitsstruktur geblockt wird und es zu keinem neuen Angriff mehr kommen kann.

Analysieren der Malware in einer isolierten Umgebung und prüfen ob etwas passiert ist beim System aus der Aufzeichnung bzw auch bei anderen Systemen.