IT Security DE

NIST steht für National Institute of Standards and Technology und entwickelt Standards und Richtlinien, um die Sicherheit von Informationen und Systemen zu gewährleisten.

Ein Risikobehandlungsplan sollte folgende Elemente enthalten:

Zusammenfassungen der Identifizierten Risiken:

• Was es ist: Kurze Beschreibungen der während der Bewertung identifizierten Risiken.

Zu Implementierende Kontrollen oder Aktivitäten:

• Was es ist: Spezifische Maßnahmen zur Minderung der Risiken, unter Bezugnahme auf relevante Kontrollen aus ISO 27001 Anhang A.

Verantwortliche Parteien:

• Was es ist: Einzelpersonen oder Teams, die für die Umsetzung der Kontrollen verantwortlich sind.

Fristen:

• Was es ist: Zeitpläne für den Abschluss der Risikobehandlungsaktivitäten.

Benötigte Ressourcen:

• Was es ist: Menschliche und finanzielle Ressourcen, die für die Umsetzung erforderlich sind.

Erfolgskriterien:

• Was es ist: Methoden zur Bewertung, ob die Risikobehandlung erfolgreich war.

Der Risikomanagementprozess in ISO 27000 umfasst mehrere wichtige Phasen:

Risikoidentifikation:

• Was es ist: Identifizierung potenzieller Risiken, die das Unternehmen beeinflussen könnten.
• Wie es funktioniert: Informationen werden durch Techniken wie Brainstorming, SWOT-Analyse und Expertenkonsultationen gesammelt.

Risikoanalyse:

• Was es ist: Bewertung der Wahrscheinlichkeit und Auswirkungen der identifizierten Risiken.
• Ziel: Verstehen der Schwere und möglichen Konsequenzen der Risiken.

Risikobewertung:

• Was es ist: Priorisierung der Risiken basierend auf der Analyse.
• Ziel: Entscheiden, welche Risiken behandelt werden müssen.

Risikobehandlung:

• Was es ist: Umsetzung von Maßnahmen zur Minderung, Übertragung, Vermeidung oder Akzeptanz von Risiken.
• Wie es funktioniert: Erstellung eines Risiko-Behandlungsplans und Dokumentation der Anwendbarkeitserklärung (Statement of Applicability, SoA).

Risikobewachung:

• Was es ist: Kontinuierliche Überwachung und Überprüfung der Risiken.
• Ziel: Sicherstellen, dass die Minderungsstrategien effektiv und aktuell sind.

Prozessorientiert, Risikoorientiert und continuous Improvement

Spurenbeseitigung in Penetrationstests

Ziel: Das Hauptziel ist es, alle Protokolle, Artefakte oder Änderungen zu entfernen, die auf die Anwesenheit des Penetrationstesters im System hinweisen könnten.

Techniken und Überlegungen:

• Protokollmanipulation:

  • Was es ist: Identifizieren und Ändern oder Löschen von Protokolleinträgen, die die Aktivitäten des Penetrationstests aufzeichnen.
  • Wichtigkeit: Sorgfältige Durchführung, um keine Unstimmigkeiten zu hinterlassen, die Systemadministratoren alarmieren könnten.

• Artefaktbereinigung:

  • Was es ist: Entfernen von Tools, Skripten oder Dateien, die während des Tests eingeführt wurden.
  • Ziel: Sicherstellen, dass das System sauber bleibt und zukünftige Tests nicht durch Überreste vergangener Penetrationstests beeinflusst werden.

• Systemwiederherstellungspunkte:

  • Was es ist: Nutzung von Systemwiederherstellungspunkten, um Systeme auf den Zustand vor dem Penetrationstest zurückzusetzen.
  • Vorteil: Hilft, alle während des Tests vorgenommenen Änderungen vollständig rückgängig zu machen.

Herausforderungen:

• Gleichgewicht: Spuren zu entfernen und gleichzeitig die Systemstabilität und -funktionalität zu erhalten.
• Verständnis: Tiefes Verständnis der Systemprotokollierungsmechanismen und forensischen Rückverfolgbarkeit, um Spuren effektiv zu löschen, ohne Hinweise auf Manipulationen zu hinterlassen.

Aufrechterhaltung des Zugriffs in Penetrationstests

Ziel: Das Hauptziel ist es, unbefugten Zugriff innerhalb eines Netzwerks oder Systems aufrechtzuerhalten, um das mögliche Schadensausmaß von Exploits zu demonstrieren.

Techniken:

• Antivirus-Umgehung:

  • Werkzeuge: Nutzung von Tools wie msfvenom, um kodierte Payloads zu erzeugen, die Antivirus-Programme umgehen können.
  • Wichtigkeit: Hervorheben der Bedeutung von Kodierungs- und Verschlüsselungstechniken, um eine Erkennung durch Antivirus-Software zu verhindern.

• Hintertüren und Payloads:

  • Hintertüren: Installation von Backdoors, um den Zugang zu sichern, durch Manipulation von Autostart-Programmen und Austausch von Systembibliotheken gegen bösartige Versionen.
  • Werkzeuge: Nutzung von msfvenom, um Backdoors in legitime Programme oder Bibliotheken zu integrieren und so die Erkennung zu erschweren.

• Auto-Start-Techniken:

  • Methoden: Hintertüren funktionsfähig halten, indem manipulierte Programme in Autostart-Verzeichnissen platziert oder Task-Scheduler verwendet werden.

Antivirus-Umgehungsstrategien:

• Herausforderung: Aufrechterhaltung einer Backdoor auf der Festplatte ohne Erkennung durch Antivirus-Programme, die Autostart-Einträge und Bibliotheken genau überwachen.
• Best Practices: Nutzung von Programmvorlagen und Verschlüsselung, um bösartigen Code zu verschleiern.

Nutzung von Schwachstellen in der Penetrationstests

Ziel: Verwendet Schwachstellen, die während des Scannens entdeckt wurden, um Passwörter zu knacken oder bekannte Schwachstellen auszunutzen, anstatt nach unbekannten (Zero-Day) Schwachstellen zu suchen.

Werkzeuge und Ansätze:

• Metasploit: Ein wichtiges Werkzeug in dieser Phase, das viele bekannte Schwachstellen zur Ausnutzung enthält.
• Automatisierte Credential-Angriffe: Techniken wie das Verwenden von Hydra, um Passwörter mit Benutzernamen, die in der Erkundungsphase gesammelt wurden, durch Ausprobieren zu knacken.

Methodik:

• Startpunkt: Penetrationstester beginnen oft mit Tests basierend auf den Ergebnissen der Scann-Phase und zielen auf spezifische Dienste und Versionen ab.
• Ergänzende Methoden: Neben der Ausnutzung bekannter Schwachstellen können auch Phishing-Kampagnen genutzt werden, die Informationen aus der Erkundungsphase verwenden.

Ausführung:

• Ziel: Befehle auf dem Server ausführen, was schwache oder geleakte Zugangsdaten und bekannte Exploits beinhalten kann.
• Nächste Phase: Erfolgreiche Befehlsausführung ermöglicht es dem Penetrationstester, zur nächsten Phase des Zugangsmanagements überzugehen.

Herausforderungen und Überlegungen:

• Iterativer Prozess: Es kann erforderlich sein, mehrere Exploits auszuprobieren, um eine Schwachstelle zu finden, die den Systemzugriff ermöglicht.
• Diskretion: Diese Aktivitäten müssen durchgeführt werden, ohne die Incident-Response-Teams zu alarmieren, daher sind Vorsicht und Präzision wichtig.

Scanning Phase in der Penetrationstests

Ziel: Nutzt die während der Erkundungsphase gesammelten Informationen, um das Zielsystem aktiv zu scannen. Ziel ist es, das Netzwerk zu kartieren, aktive Geräte zu identifizieren, offene Ports zu bestimmen und potenzielle Schwachstellen aufzudecken.

Arten von Scans:

• Discovery Scanning: Identifiziert aktive Geräte im Netzwerk.
• Vulnerability Scanning: Sucht nach einer Vielzahl bekannter Schwachstellen.
• Port Scanning: Bestimmt offene Ports und Dienste, die auf den Geräten laufen.

Werkzeuge und Techniken:

• Nmap: Ein grundlegendes Werkzeug für Netzwerkscans, bietet verschiedene Befehle für umfassende Scans, einschließlich Dienst-Erkennung und Betriebssystem-Detektion.
• Zenmap: Eine grafische Benutzeroberfläche für Nmap, die die Nutzung und Interpretation der Scan-Ergebnisse erleichtert.
• Metasploit: Integriert sich mit Nmap für tiefere Schwachstellenanalysen und bietet Module zur Ausnutzung identifizierter Schwachstellen.

Praktische Anwendungen:

• Nmap: Wird für verschiedene Scan-Ziele verwendet, von einfachen Netzwerksweeps bis hin zu detaillierten Dienst-Scans.
• Metasploit: Nutzt Scan-Daten zur Ausnutzung von Schwachstellen und unterstreicht die sequenzielle Natur von Penetrationstests, von der Informationssammlung bis zur Schwachstellenausnutzung.

Zusammenfassung:

• Scanning: Ein direkter, aktiver Ansatz nach der Erkundung, der entscheidend für die Entwicklung einer Angriffsstrategie ist.
• Kombination von Werkzeugen: Nmap und Metasploit bieten eine starke Methode zur Identifizierung und Ausnutzung von Schwachstellen.
• Verständnis der Zielstruktur: Ermöglicht Testern, realitätsnahe Angriffe genauer zu simulieren und die allgemeine Sicherheitslage zu verbessern.

Erkundungsphase (Reconnaissance) in der Penetrationstests

Die Erkundungsphase legt den Grundstein für erfolgreiche Penetrationstests, indem sie potenzielle Schwachstellen identifiziert, ohne das Ziel zu alarmieren.

Passive Erkundung:

• Was es ist: Sammeln von Daten, ohne direkt mit dem Zielsystem zu interagieren.
• Wie es funktioniert: Nutzt Open Source Intelligence (OSINT) für öffentlich verfügbare Informationen.
• Quellen: Google, regionale Internetregister, DNS, Jobseiten wie LinkedIn, soziale Medien, spezialisierte Websites (z.B. Shodan.io, hunter.io).

Aktive Erkundung:

• Was es ist: Direkte Interaktion mit dem Ziel, um Informationen zu sammeln, was von Sicherheitsteams entdeckt werden könnte.
• Wie es funktioniert: Methoden wie Portscanning, Netzwerksniffing und Ausnutzung bekannter Schwachstellen, um detaillierte Informationen über die Infrastruktur des Ziels zu sammeln.

Sub-Domain-Entdeckung:

• Was es ist: Identifizierung weniger sicherer, älterer Sub-Domains, die leichteren Zugang zum Netzwerk des Ziels bieten können.
• Werkzeuge: 'theHarvester' und 'recon-ng' helfen bei der Entdeckung von E-Mails, Subdomains und anderen wertvollen Informationen auf passive Weise.

Nutzung von Shodan.io:

• Was es ist: Ein wichtiges Werkzeug zur Entdeckung von Geräten und Schwachstellen durch Abfragen von internetverbundenen Geräten und Analysieren der Antwort-Header.
• Wie es funktioniert: Suche nach anfälligen Softwareversionen oder nicht authentifizierten Datenbanken, die potenzielle Einstiegspunkte für Angreifer darstellen.

Zusammenfassung:

• Ziel: Finden von Informationen, von denen das Unternehmen nicht erwartet, dass sie existieren.
• Nutzen: Diese Daten können genutzt werden, um das Sicherheitsmodell des Unternehmens zu umgehen.
• Herausforderung: Die meisten IT-Systeme sind schwach gegen unerwartete Angriffe.

1. Erkundung: Auffinden von IPs, aktiven Diensten, Mitarbeiternamen, alten Passwörtern usw.

2. Scannen: Port-Scanning, Netzwerk-Sniffing, Suche nach Schwachstellen

3. Zugang erlangen: Erlangung des Zugangs durch Nutzung der gesammelten Informationen.

4. Aufrechterhaltung des Zugangs: z. B. Installation einer Hintertür, Reverse Proxy, um den Zugang aufrechtzuerhalten.

5. Spuren beseitigen: Bereinigung der Protokolle usw., um verborgen zu bleiben

• Vor 20 Jahren: Jeder arbeitete im Büro, das Firmennetzwerk wurde von außen geschützt, intern wurde vertraut.
• Heute: Homeoffice, komplexe Lieferketten usw.

Prinzipien:

• Niemals vertrauen, immer überprüfen: Überprüfen Sie alle Benutzer und Geräte mit Multi-Faktor-Authentifizierung und Verschlüsselung.
• Minimaler Zugriff: Gewähren Sie nur die notwendigsten Zugriffsrechte, um Risiken zu minimieren.
• Von einer Verletzung ausgehen: Gehen Sie davon aus, dass Verstöße unvermeidlich sind, und konzentrieren Sie sich auf Bedrohungserkennung und Eindämmung.

Strategien:

• Überprüfen Sie die Geräte-Compliance durch Endpoint-Management, bevor Netzwerkzugriff gewährt wird.
• Differenzieren Sie den Zugriff basierend auf Geräte-Compliance und organisatorischer Verwaltung.
• Implementieren Sie Sicherheitsmaßnahmen wie Patch-Management und Benutzerschulung.

Vorteile:

• Erhöhte Sicherheit: Durch strenge Zugriffskontrollen und kontinuierliche Überprüfung.
• Verbesserte Bedrohungserkennung und -reaktion: Durch bessere Netzwerktransparenz.
• Unterstützung der Compliance: Durch strikte Datensicherheitsmaßnahmen.

Fokussiert auf fortschrittliche Strategien zur Bekämpfung komplexer Malware-Bedrohungen. Dazu gehören Deepray, Intrusion Detection Systems (IDS), Security Information and Event Management (SIEM), eXtended Detection and Response (XDR) und Zero-Trust-Prinzipien.

Deepray:

• Was es ist: Eine von GData entwickelte Methode zur Malware-Erkennung.
• Wie es funktioniert: Analysiert Malware direkt im Systemspeicher ohne Sandbox, um versteckte Malware zu erkennen und zu löschen.

Intrusion Detection Systems (IDS):

• Was es ist: Systeme zur Überwachung und Analyse des Netzwerkverkehrs auf verdächtige Aktivitäten.
• Wie es funktioniert: Nutzt Signaturen und statistische Analysen, um ungewöhnliche Muster zu erkennen und Bedrohungen frühzeitig zu identifizieren.

Security Information and Event Management (SIEM):

• Was es ist: Ein System, das Daten von verschiedenen Sicherheitswerkzeugen wie Anti-Virus, IDS und Firewalls integriert.
• Wie es funktioniert: Erleichtert die Analyse für Sicherheitspersonal und hilft bei der Erkennung unbekannter Bedrohungen.

eXtended Detection and Response (XDR):

• Was es ist: Eine Plattform, die Bedrohungserkennung über verschiedene Systeme hinweg konsolidiert.
• Wie es funktioniert: Nutzt maschinelles Lernen und cloud-basierte Ereigniserkennung, um Bedrohungen besser zu identifizieren und schneller darauf zu reagieren.

Was ist Ransomware?

• Bösartige Software, die Daten oder Systeme gegen Lösegeld als Geiseln nimmt.
• Dabei werden verschiedene Methoden angewandt, darunter das Sperren und Verschlüsseln von Geräten oder die Drohung, gestohlene Daten zu verkaufen.
• Ransomware-Banden üben Druck durch Taktiken wie Countdown-Timer aus, um den Opfern Angst und Dringlichkeit einzuflößen.

Frühe Ransomware:

• Die ersten Versionen sperrten Computer oder verschlüsselten Daten und forderten Bitcoin-Zahlungen für Entschlüsselungsschlüssel.
• Frühe Angriffe wurden mit einfachen Maßnahmen wie dem Beenden des Task-Managers oder Linux-Live-CDs beendet.

Moderne Ransomware:

• Zielt aufgrund der höheren potenziellen Lösegeldzahlungen eher auf Unternehmen als auf Privatpersonen ab.
• Setzt professionelle Taktiken ein, einschließlich Datenverschlüsselung/-leaking und umfangreiche Verwendung von Bitcoin für Transaktionen.
• Die Schlüssel werden an Command and Control (C&C)-Server gesendet, was die Extraktion erschwert.

Grammar based einfacher erklärt: Zusammengefasst: Grammatik definieren bedeutet, die Regeln aufzuschreiben, wie etwas korrekt aufgebaut sein soll. Diese Regeln helfen uns dann, Testdaten zu erstellen, die wir nutzen, um ein Programm auf Fehler zu testen.

Simple Fuzzer  nur Eingabe aus Samples erzeugen

• Zufallsmutationen der Samples verwenden
• Segfault verfolgen etc.

Smart Fuzzer kann mehrere Erweiterungen haben

• Abdeckungsbasiertes Fuzzing
  • Verfolgen, ob neue Pfade durch die Eingabe entdeckt wurden
    • Erste Teile konstant halten, um tiefe Verzweigungen zu finden
  • Sanitizer-basierte Fehlererkennung
    • Sanitizer verwenden, um Bugs frühzeitig zu erkennen, nicht nur Abstürze
  • Grammatik-/Struktur-bewusste Fuzzer (z.B. Fuzzer weiß über Prüfsummen Bescheid)
    • Auf maschinellem Lernen basierende Eingabegenerierung

Dynamische Analyse: Automatisches Testen des Programms auf Bugs, Speicherprobleme, Abstürze usw.

Vorteil: Findet Probleme, die durch statische Analyse allein nicht gefunden werden können

Mögliche Probleme:

• Programm wird ausgeführt (gefährlich für unbekannte Programme)
• Nur die ausgeführten Teile des Programms werden geprüft
• Vollständige Abdeckung ist sehr schwer zu archivieren
• Erfordert, dass das Programm für die Profilerstellung kompiliert wird

Sanitizing:

• Aufspüren von Fehlern für die dynamische Analyse
• Verlangsamt die Programmausführung und erhöht den Speicherverbrauch
• Nur zum Testen

Verschiedene Typen:

• AddressSanitizer: Erkennen von Adressierungsproblemen (z. B. Pufferüberläufe, Zugriff auf Befehlszeiger)
• MemorySanitizer: erkennt die Verwendung von nicht initialisiertem Speicher
• ThreadSanitizer: Entdeckung von Deadlocks und Datenrennen

Wenn ein Programm während der dynamischen Analyse ausgeführt wird, erkennt Sanitizer Fehler/Probleme

Compiler: Macht schon viel, eine Menge Prüfungen und Warnungen

CppCheck:

• Code-Analyse, die verschiedene Arten von Fehlern in Ihrem Code aufspürt.
• Schwerpunkt auf der Erkennung von undefiniertem Verhalten
• Tote Zeiger, Division durch Null, Integer-Überläufe, Null-Zeiger-Referenzen, Out of Bounds, ...
• Plugins für viele IDEs
•  

PVS-Studio

• Erkennt verschiedene Fehler, Tippfehler, toten Code, potentielle Sicherheitslücken
• Kommerziell, aber mehr Funktionen als CppCheck

Coverity

• Statische Analyse für Java, C/C++, C#, JavaScript, Ruby, oder Python
• Kommerziell, aber mit mehr Funktionen als CppCheck
• Kostenlos für Open-Source-Projekte

Anti-Malware Signaturen:

Funktion: Signaturen erkennen bekannte Schadsoftware (Malware) durch spezifische Muster, die aus bereits analysierter Malware abgeleitet wurden.

Arten von Signaturen:

• Datei-Hashes: Einzigartige Kennungen für Dateien. Eine kleine Änderung in der Datei ändert den Hash, wodurch die Signaturerkennung umgangen werden kann.
• Teilweise Datei-Hashes: Hashing von Teilen einer Datei, um Varianten bekannter Malware zu erkennen.
• Fuzzy Signaturen: Nutzen Muster und Anomalien im Malware-Code, um verwandte Varianten zu identifizieren.
• String-Matching: Erkennt Malware anhand einzigartiger Zeichenfolgen oder Code-Schnipsel innerhalb des Codes.

Anti-Malware Heuristik:

Zweck: Heuristiken erkennen unbekannte Malware, indem sie Verhalten oder Merkmale analysieren, die verdächtig sind.

Arten von Heuristiken:

• Statische Heuristiken: Untersuchen die Malware-Datei, ohne sie auszuführen, und suchen nach verdächtigen Mustern oder Strukturen.
• Dynamische Heuristiken (Aktive Heuristiken): Beobachten das Verhalten einer Datei in einer kontrollierten Umgebung, um bösartige Aktionen zu identifizieren.

Herausforderungen bei Anti-Malware Techniken:

• Packing und Obfuskation: Malware-Autoren verwenden Techniken wie Packing, um die Signatur der Malware zu ändern, wodurch die signaturbasierte Erkennung erschwert wird.
• Erkennungsevasion: Malware kann heuristische Analysen umgehen, indem sie sich in kontrollierten Umgebungen harmlos verhält oder Methoden verwendet, die ihre wahre Natur verschleiern.