IT-Sec-Netzwerke

• sichere Festverbindung mit Nutzung von IPsec Protokoll
• providerunabhängig

1. Physical Layer (Bitübertragungsschicht)
   Aufgabe: Übertragung des Datenstromes über das physikalische Medium
   Einheiten: physikalische Datengrößen
   Protokoll: Ethernet, TokenRing
   Kopplungssegment: Hub, Repeater

2. Data Link Layer (Sicherungsschicht)
   Aufgabe: Zuverlässiger Paketdatenaustausch durch Daten-Aufteilung in Frames, Reihenfolge der Frames steuern, Verbindungen aktivieren/überwachen/deaktivieren, Übertragungsfehler erkennen,
   Einheiten: Frames, Aufteilung nach MAC oder LLC
   Protokoll: Ethernet, TokenRing, Adressierung
   Kopplungssegment: Bridge, Switch

3. Network Layer (Netzwerkschicht)
   Aufgabe: Vermittlungsschicht, Binärdatenpaketaustausch zwischen den Stationen, Überlast- und Flusskontrolle, verbindungslos und verbindungsorientiert
   Einheiten: Pakete
   Protokoll: IP, ARP, ICMP
   Kopplungssegment: Router, Layer-3-Switsch

4. Transport Layer (Transportschicht)
   Aufgabe: sicherer Datentransport zwischen Endgeräten
   Einheiten: Segmente (TCP) oder Datagramme (UDP)
   Protokoll: TCP, UDP, DNS
   Kopplungssegment: Gateway, Contentswitch

5. Session Layer (Sitzungsschicht)
   Aufgabe: Eröffnung/Durchführung/Beendigung einer geordneten Kommunikation
   Einheiten: Daten
   Protokoll: HTTP, SMTP, Telnet, FTP
   Kopplungssegment: Gateway, Contentswitch

6. Presentation Layer (Darstellungsschicht)
   Aufgabe: Umwandlung von Code/Formate für die GUI
   Einheiten: Daten
   Protokoll: http, ftp, Telnet, SMTP
   Kopplungssegment: Gateway, Contentswitch

7. Application Layer (Applikationsschicht)
   Aufgabe: sorgt für Daten vom Programm/GUI
   Einheiten: ftp, http, smtp, telnet
   Protokoll: Daten
   Kopplungssegment: Gateway, Contentswitch

• Sicherheit für Daten und Netze
• Globalisierung
• Dezentralisierung und Ausbau der Telearbeit
• günstig für zunehmenden Kostendruck
• zentrales Management von Daten und Applikationen
• Konvergenz der Netze, alles (Daten, Video, Sprache) über ein Netz
• Integration von Lieferanten und Partner in die eigenen Unternehmensprozesse

Layer 2: L2TP

Layer 3: IPSec

Layer 5 - 7: SSL, TLS

• Sichere Verbindungen innerhalb eines öffentlichen IP-Netzes

• Offen nur am Anfang und am Ende, dazwischen perfekt abgeschirmt

• VPN-Tunnel über Festverbindung, Wählverbindung und IP-Netzwerk

• Authentifizierung der Teilnehmer

• Erkennen und Ablehnen „nachgespielter“ Pakete (Antireplay)

= Komponentenzusammenstellung, die an zentraler Stelle zwischen 2 Netzwerken den Datenaustausch überwach

Aufgaben:
- Überprüfung der Datenpakete nach Regeln/Richtlinien
- Protokollierung und Alarmierung
- Erkennen und Abwehr von Einbruchsversuchen (Intrusion Prevention / Intrusion Detection)
- Schutz vor DOS
- IP-Masquerading (durchKombination aus PAT und NAT)
 

1. Paketfilter: prüft IP-Adressen/Ports von Quelle und Ziel, Übertragungsprotokolle, MAC-Adressen
   Nachteile: schwierige Listenverwaltung, schwierig bei dynamischer Port/Adressenvergabe (UDP)
2. Statefull-Packet-Inspection: richtungsabhängige dynamische Verbindungsfilterung von Quelle zum Ziel, unaufgeforderter Traffic wird geblockt,
   Verfahren: Erst mal alles dicht, nur geforderte Ports für zulässige Verbindungen werden von Quelle zum Ziel nach Prüfung geöffnet, vom geschützten zum ungeschützten Netzwerk
3. Applicationgateway: prüft Inhalte auf Anwendungsebene durch spezifischen Dienst auf Gateway pro Anwendung,
4. WebApplicationFirewall: durch Analyse/Filterung von http-Inhalten sind Vorgänge zwischen Browser/Server bekannt (= Vorteil ggü. Netzwerkfirewalls)
   Nachteil: Preis, Konfiguration, Updates, statische Whitelist-URLs, logische Fehler erkennen bsp: Berechtigungen, bricht Verschlüsselung auf
5. NextGenerationFirewall: Applikationsklassifizierung und Nutzeridentifizierung über IP/Port, unabhängig von Tunneling/SSL

Firewall: schützt ein Netzwerk vor unbefugtem Zugriff von außen.
VPN: ermöglicht autorisierten, verschlüsselten Zugang von außen in ein Netzwerk

P2P:
- gleichberechtigte (Senden und Empfangen von Daten) ähnliche Systeme kommunizieren direkt untereinander
- sind heterogen, nicht durchgehend verfügbar, signifikant autonom

Alle Priester saufen Tequila nach der Predigt (von 7 nach 1)

- auf Layer 3, Netzwerkschicht
- sicheres Protokoll, Datenstromtransport, Sicherheit auf höherer Ebene, Sicherheit durch Verschlüsselung
- fest in IPV6 implementiert
- Vertraulichkeit, Authentizität und Integrität gewährleisten

• Bridge: Netzwerkbrücke, transportprotokoll-unabhängig, auf Layer2, überträgt Broadcast

• Switch: zentraler Verteiler in einem Netz (sternförmig), dient als Kollisionsvermeidung, kaskadierbar, auf Layer2

• Carrier Sense Multiple Access/Collision Detection

• Mehrfachzugriff mit Trägerprüfung und Kollisionserkennung

• bezeichnet ein asynchrones Protokoll, das den Zugriff verschiedener Stationen auf ein

  gemeinsames Übertragungsmedium regelt

= Commited Information Rate

für Datenintegrität!

Einwegfunktion, die Fingerabdruck aus beliebigen Daten her stellt.

Verändern sich Ausgangsdaten, verändert sich auch der Hash

Daten aus Hash nicht rekonstruierbar

Haben feste Länge für beliebige Ausgangsdatenlänge

Verwendung: Signaturen, Datenintegritäten, Kennwortspeicherung, Prüfsummen bei Downloads, MAC, Virenscanner,

HashAlgos: MD5, SHA1

Schutzbedarf der Anwendungen/Systeme durch Fachbereich nach Verfügbarkeit/Vertraulichkeit/Integrität definiert

Bsp Webshop:
Integrität: Hash und signierte Transaktionen auf RORM-Datenträgern (für Revision)
Verfügbarkeit: Schutz gegen DOS
Vertraulichkeit: Transportverschlüsselung

= elektronischer Ausweis, bestätigt die Assoziation zwischen PublicK, Name, und eMailadresse (mindestens) und werden mit dem PrivateKey der CA verschlüsselt

- gewährleistet Integrität (Unveränderte Form des Dokuments) und Authentifikation (Absender nachvollziehbar)

Vorgehen: Hash wird mit privateK vom Sender verschlüsselt, Empfänger entschlüsselt mit publicK und vergleich den Hash

Bsp: s/MIME

• ist zuständig für die Auslieferung von Datenpaketen an die richtige Zielmaschine

• ist die unterste logische Schicht des TCP/IP-Protokollstapels

• ist wegen der unterschiedlichen Schichten unabhängig vom physikalischen Transportmedium

• setzt auf das Netzwerkprotokoll von Layer 2 auf (z.B. Ethernet, Token Ring)

Verhindern, dass ein Host anhand seiner IPv6-Adresse identifiziert werden kann

Funktionsweise: Der Host wechselt regelmäßig und zufällig seine Adresse.
RFC 4941 definiert "Privacy Extensions for Stateless Address Autoconfiguration in IPv6“

Da die Erzeugung des Interface Identifiers aus der global eindeutigen MAC-Adresse die Nachverfolgung von Benutzern ermöglicht, wurden die Privacy Extensions (RFC 4941) entwickelt, um diese permanente Kopplung der Benutzeridentität an die IPv6-Adressen aufzuheben. Indem der Interface Identifier zufällig generiert wird und regelmäßig wechselt, soll ein Teil der Anonymität von IPv4 wiederhergestellt werden.

VLAN = Netzwerke werden nicht, wie weitgehend verbreitet, nach geografischen Gesichtspunkten, sondern nach logischen Aspekten konstruiert
Unternehmen können beispielsweise ein eigenes VLAN für die Finanz- und die Personalabteilung implementieren

Mögliche Angriffsvektoren

Überfluten mit MAC-Adressen (macof aus dsniff Tools)
o MAC-Tabelle läuft über => Umschalten auf die nächst schlechtere Betriebsart – Switch mutiert zum Hub – o sendet alle Pakete an alle Ports

Ungesicherte Trunking Ports
o Angreifer gibt sich als Switch aus und trunkt seine Ports selbst
o Echter Switch versucht den neuen Switch einzubinden und sendet ihm eine o Liste aller VLANs mit 802.1Q Tags

Manipulation über das Spanning Tree Protokoll
o Angreifer kann sich zur Root-Bridge im Baum ernennen und kann den Netzwerkaufbau ändern

 wd

Vorstands-Ebene

Zentrale Unternehmensebene
Zentraler Beauftragter für Informationssicherheit

Bereichs-Ebene
Zentraler IT-Service-Bereich

Umsetzungsebene
Leitung Informationssicherheit

Bereitstellungsebene
Organisation/Technik

1. Datenschutz = Gesamtheit der gesetzlichen und betrieblichen Maßnahmen zum Schutz der Rechte von Personen vor Verletzung der Vertraulichkeit und der Sicherheit des Informationshaushaltes

2. Datensicherheit

   Verhinderung von Datenverlust, Datendiebstahl, Datenverfälschung
   Gewährleistung von Vollständigkeit, Korrektheit der Daten

• TLS => Layer 5

• IPsec => Layer 3

• L2TP => Layer 2

1. Differentielle Datensicherung

   Datendifferenz (geändert oder neu) zur letzten Komplettsicherung, letzten Komplettsicherung wichtig, Differentielle Sicherungen nicht verkettet
   
   Vorteil: reduzierter Speicherbedarf und Zeitersparnis ggü. Vollsicherung, simple Software, verschied. Sicherungsstände sind verkettet
   
   Nachteil: für Komplettwiederherstellung ist aktuellste Vollsicherung + aktuellste Differenzsicherung nötig

2. Inkrementelle Datensicherung
   zuerst Vollsicherung und dann werden nur noch Inkremente (unterschiede zur letzten Vollsicherung) auf gleichem Medium gesichert
   Vorteile: geringster Speicherplatz und geringste Bearbeitungszeit
   Nachteil: verkettete Inkremente

3. Vollsicherung:
   alle Daten (egal ob neu, unverändert, geändert) werden gesichert.
   Vorteil: schnellste Komplettwiederherstellungszeit, nur ein Wiederherstellungsmedium wird benötigt => zuverlässig
   Nachteil: benötigt den meisten Speicherplatz, längste Sicherungszeitaufwand

DMZ: demilitarisierte Zone als spezieller Bereich zwischen lokalem Netz und Internet, hier sitzen alle Rechner auf die vom unsicheren Internet zugegriffen werden soll

1. FW: Schutz vor DOS, IDS/IPS, Paketfilter, Portfilter

2. FW: WAF (bricht Verschlüsselung auf über DMZ-AD)

3. FW: normale Paketfilter/Portfilter-FW über eigene IP-Adresse, Schutz interner Kundenserver durch VLANs (logische Trennung) => Wireshark bsp. nutzlos

§ Ausspähen der Zugangsdaten (Key-Logger und Spyware)
Umleiten von Anfragen, XSS
§ Hacken von Servern (Backdoors und SQL-Injection)
§ Missbrauch von Zugriffsrechten (Interne Angreifer)
§ Verwendung der Default-Login-Daten eines Systems
§ Schlichtes Erfragen von Zugangsdaten (Social Engineering)
$ Phishing

•  Blacklist (Liste mit gesperrten Servern/Domains)

•  Whitelist (Liste mit erlaubten (vertrauenswürdingen) Servern/Domains

•  Greylist (erste E-Mail wird ignoriert, bei erneuter Anfrage wird angenommen)

•  SPF (Sender Policy Framework) (Arbeitet mit Reverse DNS Lookup – Nur autorisierte und

  Dokumentierte Mailserver werden angenommen)

• Benutzer sensibilisieren und Verhalten anpassen

Unsicherheit der Signatur, da nicht authentifiziert

Da ein Angreifer, der zwischen den beiden Kommunikationspartnern sitzt, die übertragenen Werte abfangen und seinen Bedürfnissen anpassen kann.
Der Angreifer (Man-in-the-middle) kann somit die folgende symmetrisch verschlüsselte Kommunikation abhören. Alice und Bob bekommen von dem Man in the middle nichts mit, da der Angreifer die Pakete einfach weiterleitet.

Abhilfe: Austausch von CRCs über einen anderen Kanal. Z.B. SMS, Telefon, Post zur Authentisierung der Nachricht und um auszuschließen, dass ein Angreifer die Nachrichten abgefangen hat.

qef

Höhere Ziele

1. Zurechenbarkeit
    Ziel: Protokollierung, welche Benutzer welche Systemressourcen in Anspruch genommen haben
    Verfahren: bauen auf Zugriffskontrolle und Nicht-Abstreitbarkeit auf
2. Datenauthentizität
    Ziel: nachweisliche Garantie von Integrität und Herkunft von Information
    Verfahren: Elektronische Unterschrift
3. Nicht-Abstreitbarkeit
    Ziel: Gewährleistung, dass weder Absender noch Empfänger das Versenden (den Empfang) einer Meldung abstreiten   
            kann
    Verfahren: Kombinierte Verfahren auf Basis von Authentifikation, Integrität und Bestätigungen
4. Zugriffskontrolle
    Ziel: Benutzer dürfen ausschließlich jene Operationen (meist: Lesen/Schreiben/Ausführen von Dateien/Programmen)
            verwenden, zu denen sie berechtigt (autorisiert) sind
    Verfahren: basieren auf korrekter Authentifikation von Benutzern, Bsp: RBAC

Basisziele

1. Vertraulichkeit (Confidentiality) = Lesen des eigentlichen Inhalts für Unbefugte “praktisch” unmöglich machen
2. Authentifizierung (Authentication) = Identitätsbeweis des Senders einer Nachricht gegenüber dem Empfänger
3. Integrität (Integrity) = Eigenschaft, dass die Nachricht nicht verändert wurde
4. Verbindlichkeit (Non-Repudiation) = Der Empfänger kann den Nachweis erbringen, dass der Sender die Nachricht
mit identischem Inhalt abgeschickt hat (Leugnen zwecklos)

Syntaktisch ist HTTPS identisch mit dem Schema für HTTP, die zusätzliche Verschlüsselung der Daten geschieht mittels SSL/TLS:

Unter Verwendung des SSL-Handshake-Protokolls findet zunächst eine geschützte Identifikation und Authentifizierung der Kommunikationspartner statt. Anschließend wird mit Hilfe asymmetrischer Verschlüsselung oder des Diffie-Hellman-Schlüsselaustauschs ein gemeinsamer symmetrischer Sitzungsschlüssel ausgetauscht. Dieser wird schließlich zur Verschlüsselung der Nutzdaten verwendet.

Der Standard-Port für HTTPS-Verbindungen ist 443.

Hybridverschlüsselung

Kombination aus asymmetrischer und symmetrischer Verschlüsselung

1. Generierung eines zufälligen symmetrischen Sitzungs-Schlüssels (Session Key)

2. Der Session Key wird - geschützt mit dem asymmetrischen Schlüssel – übertragen

3. Die Nachricht wird - geschützt mit dem Session Key - übertragen

Problem : Man-in-the-middle Angriffe:

Gehört der öffentliche Schlüssel (Public Key) des Empfänger auch wirklich dem Empfänger?

Lösung: Digitale Zertifikate

Eine zentrale Instanz (z.B. VeriSign, Deutsche Bank PKI), der alle Benutzer trauen, garantiert die Authentizität des Zertifikates und des darin enthaltenen öffentlichen Schlüssels

Hybridverschlüsselung auf Basis von digitalen Zertifikaten ist die Grundlage für sichere elektronische Kommunikation, z.B.:

•  Internet Shopping und Online Banking

•  Sichere eMail