ISLAB

Die beiden Mechanismen können in Kombination verwendet werden, um die Sicherheit zu erhöhen. Capabilities können verwendet werden, um die Root-Rechte von Prozessen einzuschränken und privilegierte Aktionen auf ein Minimum zu beschränken. Seccomp kann dann angewendet werden, um die Ausführung bestimmter Systemaufrufe weiter einzuschränken und zu kontrollieren, selbst wenn ein Prozess noch über gewisse privilegierte Berechtigungen verfügt.

Ein Prozess ruf immer wieder Forks von sich selbst auf um eine große Anzahl von Kindprozessen zu erzeugen. Kann dazu führen, dass das System durch die große Anzahl von Prozessen überlastet wird, da jeder Prozess Ressourcen wie CPU-Zeit und Speicher benötigt. Ressourcenbeschränkungen, seccomp-Filter, Capabilities und Überwachungsmechanismen können in Kombination eingesetzt werden, um eine robuste Sicherheitslage zu schaffen und die Auswirkungen von Forkbombs zu begrenzen. (cgroups)
 

Zentraler Bestandteil eines Betriebssystems. Software, die als Vermittler zwischen der Hardware und Anwendungsprogrammen fungiert. Verantwortlich für die Verwaltung von Ressourcen. CAP_SYS_MODULE ist eine spezielle Berechtigung in Linux-Systemen, die einem Prozess erweiterte Rechte zum Laden und Entladen von Kernelmodulen gewährt.  Durch das Laden von bösartigen Kernelmodulen kann ein Angreifer Kontrolle über den gesamten Kernel und damit über das gesamte System erlangen. 

Suricata ist eine leistungsstarke Open-Source-Netzwerküberwachungs- und Intrusion-Detection-Engine. Es wurde entwickelt, um Netzwerkverkehr in Echtzeit zu überwachen, Bedrohungen zu erkennen und darauf zu reagieren. 

IDS, IPS, Überwachung und Analyse, 

Die grundlegende Funktionsweise einer Firewall besteht darin, den Datenverkehr zu überwachen und zu kontrollieren, basierend auf vordefinierten Regeln und Richtlinien.

Paketfilterung, Regelbasierte Entscheidungen, Unterscheidung inbound/outbound, Logging/Protokollierung

Ein IDS (Intrusion Detection System) ist ein Sicherheitssystem, das darauf abzielt, verdächtige Aktivitäten oder potenzielle Sicherheitsverletzungen in einem Netzwerk oder Computersystem zu erkennen. 

Vorteile: Früherkennung, Erkennung von bekannten Angriffsmuster, Netzwerk- und Hostebene, Warnungen und Benachrichtigungen      Nachteile: False Positive und False Negative, Verwaltungsaufwand, Verschlüsselter Datenverkehr

• Prävention vs. Erkennung: Eine der grundlegendsten Unterschiede besteht darin, dass Firewalls in erster Linie dazu dienen, Angriffe zu verhindern, indem sie den Netzwerkverkehr auf der Grundlage von Sicherheitsrichtlinien filtern und kontrollieren. Ein IDS hingegen dient dazu, Angriffe zu erkennen, indem es den Netzwerkverkehr überwacht und analysiert, um verdächtige Aktivitäten zu identifizieren.
• Aktive vs. passive Rolle: Eine Firewall spielt eine aktive Rolle beim Schutz eines Netzwerks, indem sie den ein- und ausgehenden Verkehr aktiv blockiert oder zulässt. Ein IDS spielt hingegen eine eher passive Rolle, indem es verdächtige Aktivitäten erkennt und Alarme auslöst, aber in der Regel keine Maßnahmen ergreift, um den Verkehr zu blockieren (obwohl einige fortschrittlichere IDS, bekannt als Intrusion Prevention Systems (IPS), in der Lage sind, verdächtigen Verkehr zu blockieren).
• Art der erkannten Bedrohungen: Firewalls sind in der Regel gut darin, bekannte Bedrohungen abzuwehren, die auf der Grundlage von IP-Adressen, Ports und Protokollen identifiziert werden können. Ein IDS kann jedoch auch unbekannte Bedrohungen und ausgefeiltere Angriffe erkennen, die durch das normale Firewall-Filtering hindurchgelangen könnten, indem es Verhaltensmuster und Anomalien im Netzwerkverkehr analysiert.
• Management und Wartung: Firewalls und IDS erfordern unterschiedliche Arten von Management und Wartung. Firewalls müssen so konfiguriert werden, dass sie die richtige Balance zwischen Sicherheit und Zugänglichkeit finden, und ihre Regeln müssen regelmäßig aktualisiert und überprüft werden. IDS erfordern eine ständige Überwachung und Analyse der Alarme und erfordern oft auch regelmäßige Updates der Angriffssignaturen und/oder des "normalen" Netzwerkverhaltens.

- Ein IDS kann am Eingangspunkt des Netzwerks platziert werden, typischerweise hinter der Firewall oder dem Router. 

- Internes Netzwerk für interne Ressourcen¨

- in DMZ

- Als HIDS auf einzelnen Hosts

Indem es sich auf bösartigen Datenverkehr konzentriert, den die Firewall übersehen hat, hilft das IDS dabei, Angriffe zu erkennen und darauf zu reagieren, selbst wenn die Firewall nicht in der Lage war, sie zu blockieren. Es ermöglicht eine zusätzliche Schicht der Erkennung und Reaktion auf potenzielle Bedrohungen in der Netzwerkinfrastruktur.

Host-basierte IDS (HIDS)

Netzwerk-basierte IDS (NIDS)

Signaturbasierte 

Anomaliebasierte

Verhaltensbasierte

• Header
• Source/Dest Adressen
• Protokoll
• Bedingungen
• Aktionen
• Optionen

Signaturbasierte IDS (Intrusion Detection Systems) sind Sicherheitssysteme, die auf vordefinierten Signaturen oder Mustern von bekannten Angriffen basieren, um verdächtigen Datenverkehr oder Aktivitäten zu erkennen. Diese Signaturen werden auch als Regeln bezeichnet und enthalten Informationen über spezifische Angriffsmerkmale wie Protokolltypen, Portnummern, Zeichenketten oder Verhaltensmuster.

Anomaliebasierte IDS (Intrusion Detection Systems) sind Sicherheitssysteme, die das normale Verhalten von Systemen, Netzwerken oder Benutzern überwachen und Abweichungen von diesem Normalzustand als potenziell verdächtige Aktivitäten identifizieren. Im Gegensatz zu signaturbasierten IDS, die nach spezifischen Angriffsmustern suchen, suchen anomaliebasierte IDS nach Abweichungen vom erwarteten Verhalten.

- Kenntnisse über die Funktionen des IDS

- Tarnen von Angriffsmustern

- Umgehen von Signaturen

- Verschleiern mittels Verschlüsselung, Tunneling etc.

Früherkennung

Reaktionszeit minimiert

Compliance und Auditing

Expertise und Erfahrung

24/7 Service

Aktualisierung und Wartung

Keine eigene Infrastruktur notwendig

Fokus auf Kerngeschäft

Malware Analyse

Forensische Untersuchungen

Reverse Engineerin

Src/Dest Adressen/Ports

Sequenznummern, Acks, Flags

Payload Daten

Grössern des Datenstroms

Firewalls operieren auf Netzwerkebene (IPs/Ports)

SQL ist auf höhrer auf dem Application Layer angesiedelt für was die FW nichts bringt

spezielle Firewall notwendig --> WAF oder IDS IPS

Vorkehrungen treffen damit die Malware mithilfe der Sicherheitsstruktur geblockt wird und es zu keinem neuen Angriff mehr kommen kann.

Analysieren der Malware in einer isolierten Umgebung und prüfen ob etwas passiert ist beim System aus der Aufzeichnung bzw auch bei anderen Systemen.

• Was und wofür: 
  • Containerobjekte innerhalb der AD Struktur 
  • Logisches organisieren (gruppieren) von Objekten wie Benutzer oder Geräten
• Entwurf wie:
  • Effiziente Logische Struktur (Unternehmensstruktur)
  • Flexibilität (Änderungen, Wachstum)
  • Sicherheit und Berechtigungsanforderungen (Granulare Zugriffskontrollen)
  • Saubere und nachvollziehbare Benennung

• Globale Gruppen: Verwaltung Privilegien/Rechte für Ressourcen in beliebiger Domäne desselben Forests
• Domänen lokale Gruppen: Verwaltung Privilegien/Rechte für Ressourcen in Single Domain Umgebung
• Universale Gruppen: Verwaltung Privilegien/Rechte für Ressourcen in beliebiger Domäne des Forests. Mitglieder von beliebiger Domain können hinzugefügt werden. Wenn möglich nicht verwenden. 

Security: Zugriff auf Ressourcen setzen, Mitglieder (Benutzer und andere Gruppen)
 
Distribution: Hauptsächlich für Mail Verteilerlisten, Normalerweise keine Berechtigungen --> dienen nur zu  
                    Kommunikation

Identity, Global Groups, Domain Local Groups, Access --> Verschachtelung von Gruppen ineinander
 
Identitäten (Benutzer & Computer) sind Mitglieder Globaler Gruppen, welche Businessrollen darstellen. Diese sind wiederum Mitglieder «Domänen lokaler Gruppen», welche den Access zu den Ressourcen bzw. die Benutzerrechtevergabe beschreiben.

- Konfigurationen auf Benutzer- und Computerebene im AD
- Systemeinstellungen, Sicherheitseinstellungen etc.
 
Beispiele: Passwortrichtlinien erstellen, Firewalleinstellungen konfigurieren, Druckerzuordnungen

- Identität welche berechtigt wird
- Operationen welche für eine Ressource freigegeben oder gesperrt wird
- Ressource auf welche Berechtigung vergeben wird

Wer kann was machen mit wem

- Wenn etwas geändert werden (Modify) soll dies auch gespeichert werden können (write)

- Grosser administrativer Aufwand
- Unübersichtlich
- Skalierbarkeit
- Fehleranfälligkeit

- Gezielte Vergabe von Rechten 
- Berechtigung nur auf Ressourcen die zwingend notwending sind (Minimal)
  zur Bearbeitung von Aufgaben

least privilege

Pro: Sicherheit (Breach) Impact kleiner, Passwortwiederverwendung geringer, Compliance Vorschriften
 
Contra: Schwache Passwörter, kleine Variationen, Frustration und Benutzerfreundlichkeit, 
             Passwortmanagement

• Macht in den meisten Fällen keinen Sinn
• Die Verwendung zentral verwalteter Benutzerkonten ermöglicht eine bessere Sicherheit, Zugriffskontrolle und Compliance
• Kann Sinn machen in bestimmten Szenarien --> Lokaler Admin Account mit eingeschränkten Rechten, jedoch z.B. Software installieren (für IT Leute), Testumgebung

- Verantwortung pro Land
- Rechtliche und Regulatorische Anforderungen
- Gewisse Autonomie pro Land

- Zugriffskontrolle (Sensible, Vertrauliche Daten können für alle sichtbar sein)
- Datenschutz
- Übersichtlichkeit

- Passwörter werden nicht oder wenig geändert
- Passwortdiebstahl

Read, Write, Execute

- Fehlende Berechtigungen (Benutzer ist nicht Besitzer des Objekts)
- Konflikt mit übergeordneten Berechtigungen

- Beim Start des Systems bzw. bei Benutzeranmeldung
- durch gpupdate /force
- periodisch

- Owner
- Group
- Others

- User Identifier
- Eindeutige Identifikation
- Zugriffskontrolle (Dateien Verzeichnisse)