Forside Profil IT sikkerhed Søgemaskineoptimering Reference Ressourcer

Midlertidige links: vidensbank

IT sikkerhed

Sårbarhedsanalyse

Er dit net sikkert? Har du huller i dine systemer? Hvor er hullerne og kan der gøres noget ved dem? Hvor meget afsløre mit system egentligt ud mod verden for den som kikker efter? hvad kan jeg selv gøre? Det er blot nogle af de gode spørgsmål man kunne stille andre og sig selv og desværre er der ikke mange der kan svare med blot nogenlunde fasthed i stemmen på disse spørgsmål.

Sårbarhedsanalyse er svaret på spørgsmålene.

Sårbarhedsanalyse er, som navnet antyder, en analyse af, hvilke sårbarheder der måtte findes på et system. Men det er også en analyse af hvordan et system præsenterer sig ud mod verden, hvilke sårbarheder en evt. hacker kan identificerer samt en prioritering af de fundne sårbarheders alvorlighed samt , hvis analysen gennemføres ordentlig, en beskrivelse af hvordan de lukkes/omgås i en prioriteret rækkefølge.

Før du begynder.

En sårbarhedsanalyse arbejder naturligvis med sårbarheder. Man gennemføre tests og validering af om disse er tilstede på et system. Dette indebær en risiko, idet sårbarheder kan have forskellig effekter på et system, alt efter hvordan de udnyttes og dermed efter hvordan de testes og valideres. Hvis man er uforsigtig, eller ikke helt har styr på hvad man laver, kan man meget let komme til at lave uoprettelig skade, ødelægge systemer, slette data, lukke services ned, ændre på konfigurationer og meget mere, Der er derfor nogle ting man skal sikre sig før man starter.

Tilladelse fra ejeren, skriftligt med underskrift.

Det er altid klogt at være på sikker grund når der er økonomi involveret og det er sket at web site ejere pludselig ikke har kunne huske at de da havde givet tilladelse til at der kunne gennemføres en sårbarhedsanalyse, ja at de faktisk selv havde bedt om det, og denne situation opstår mærkeligt nok altid når sårbarhedsanalysen har betydet at web site ejeren har mistet penge enten oftest i forbindelse med erstatning til andre fordi data er blevet ødelagt, eller fordi services ikke har været tilgængelig. Derfor er det meget vigtigt at man altid sørger for at have en klar kontrakt, der viser at man har tilladelse. Kontrakten skal altid indeholde rammerne for sårbarhedsanalysen, samt en meget klar ansvarsfraskrivelse og den skal være underskrevet af virksomhedsejeren.

Vær sikker på ejerens identitet.

Nu er dette ingen James Bond film, men vær nu sikker på at han der underskriver dine kontrakter virkelig er ejerne og virkelig har kompetence til at underskrive disse kontrakter, ellers risikerer du at stå med nogle ubrugelige papirer samt en politianmeldelse for hacking og et erstatningskrav for ødelagt data samt andre mindre behagelige ting. Det er dumt og dyrt at undlade at tænke sig om, men det er let.

Værktøjerne (Hardware plus).

Vi kan lige så godt tage fat i det med det samme, du kommer ikke uden om Linux. Dels er der nødvendige værktøjer der kun fås til Linux, dels er der værktøjer der køre uacceptabelt på Windows i forhold til Linux og endeligt er der værktøjer der koster kassen til Windows mens de er gratis til Linux. Du har tre muligheder for at implementerer disse værktøjer:

En Linux maskine. Hvis du har en maskine i overskud, kan du bruge denne som analysemaskine ved at installerer Linux på den. Det behøver ikke være en ny kraftig maskine, da de værktøjer vi skal anvende for det meste er kommandolinie værktøjer, der ikke kræver det helt stor. Husk blot, at hvis du vælger en lidt ældre maskine, så skal du vælge en distribution der passer til det og hvilken distribution du vælger har heller ikke den store betydning, da det for det meste er standard Linux værktøjer vi skal bruges. Det er klart at en ret ny maskine med masser af ram og en helt ny distribution er lettest og kræver mindst viden på forhånd, men der er hjælp at hente til det hele. Fordelen er, at tingene er adskilt, Ulempen er at det kræver en separat maskine.

Dual Boot. Hvis du har disk plads på din nuværende maskine, eller kan isætte en ny disk, så kan du installerer Linux som dual boot sammen med din Windows. Dette vil give dig mulighed for at vælge om maskinen skal starte som Windows maskine eller som Lnux maskine. Valget af distribution følger overvejelserne ovenfor. Fordele er at du kun har en maskine, at dine Windows filer kan nås fra din Linux maskine og at dine Linux filer kan placeres så Windows maskinen kan nå dem. Ulempen er at du skal vælge hvilken maskine du vil arbejde på og lukke ned når du vil skifte.

Virtuelle maskiner. Hvis du har en relativt ny maskine, men masser af ram, Mindst 2 Gb, og relativt store (og også gerne hurtige) diske så kan du vælge at køre med VMWare og dermed arbejde med virtuelle maskiner. Denne løsning masser af fordele som vil blive beskrevet i artiklen IT sikkerhed med VMWare. her kan vi nøjes med at nævne at du kan køre med flere maskine samtidig både Windows og Linux fra samme fysiske maskine. Ulempen er at løsningen kræver en del ressourcer af maskinen hvorfor der skal være relativt ny.

Sådan gøres det

Nu har vi kikker lidt på forudsætningerne for at kunne komme i gang, så nu er det vel på tide at vi kikker på det praktiske, på hvad for nogle programmer man bruger og hvordan de bruges.

Portscanning
Formålet med portscanningen er at se hvilke porte systemet præsenterer som åbne, samt at sige noget om hvad der ligger bag ved disse porte. Portscanning bør foretages både udefra mod systemet, ligesom en hacker ville gøre det men også, hvis det er muligt, mod systemet uden at dette er beskyttet af firewalls og andre sikkerhedssystemer. En scanning mod et beskyttet system vil kun afsløre hvilke huller og sårbarheder der er synlige, hvis vi skal identificerer hvilke sårbarheder og huller der er til rådighed, er vi nødt til også at scanne uden beskyttelse. Pointen er at man opnår den højeste form for sikkerhed, hvis der er så få sårbarheder, huller og muligheder tilstede på systemet og at de få der er der, er det fordi der ikke er noget andet valg.

Programmet vi anvender er Nmap og vi foretager et antal forskellige scanninger med forskelligt formål:

Den grundlæggende Nmap syntax ser således ud

Nmap -sT -p 1-65535 target ip

Vi kan foretage følgende relevante forskellige scanninger

-sS TCP SYN stealth port scan. Half scan/incomplete handshake
-sT TCP connect port scan. Full 3-way handshake
-sU UDP port scan
-sP ping scan (Find any reachable machines)

Og vi kan bruge følgende relevante options (der kan kombineres)

-O Use TCP/IP fingerprinting to guess remote operating system*
-p <range> ports to scan. Example range: '1-1024, 1080, 6666, 31337'
-F Only scans ports listed in nmap-services
-v Verbose. Its use is recommended. Use twice for greater effect.
-P0 Don't ping hosts (needed to scan www.microsoft.com and others)

Sårbarhedsscanning Nessus.

Formålet med en sårbarhedsscanning med Nessus og andre sårbarhedsscannere er at identificerer specifikke sårbarheder. Dette betyder at Nessus i mange tilfælde går ind og udnytter sårbarheden via et exploit og opfanger resultatet af dette exploit for at validerer tilstedeværelsen af sårbarheder. I andre tilfælde kan Nessus kun sandsynliggøre tilstedeværelsen af en sårbarhed. Dette sker f.eks. når vi taler om Denial of service sårbarheder, hvor et exploit jo ville få serveren til at gå ned, hvorefter det ville være umuligt for Nessus at teste for flere sårbarheder.

Ovenstående forhold gælder for de fleste sårbarhedsscannere og betyder grundlæggende to ting. For det første er det ikke helt ufarligt at scanne. Ting kan gå galt, eller have en utilsigtet virkning, hvorfor man altid skal foretage disse scanninger i samarbejde med drifts folk for den server man scannet, så de kan genstarte hvis uheldet er ude. For det andet er de rapporter Nessus og andre sårbarheds scannere laver totalt ubrugelige i deres rå form. En sårbarhedsscanning skal altid manuelt valideres, den kan ikke stå alene.

Den manuelle validering af sårbarheder.

Det er den manuelle validering af sårbarheder, der viser om en sårbarhedsanalyse er nået værd eller om den bare er ubrugeligt varm luft. Man skal huske at valideringen tjener flere formål. Dels skal man selvfølgelig validerer om sårbarheder faktisk er til stede på systemer, eller om der er tale om en falsk positiv, Dels skal man validerer at en evt. hacker, udefra, uden forkendskab til systemet bagved, ville kunne validerer sig frem til værdifulde oplysninger og endeligt skal man gennem sin validering finde det fulde scope af sårbarheden, dvs. finde ud af hvad sårbarheden kan udnyttes til og gøre det på en sådan måde at det kan præsenteres overfor system ejeren på en praktisk anvendelseorienteret måde.

Den praktiske validering kan gøres på mange forskellige måder og selve Nessus rapporten giver os en del hints til hvordan denne validering kan gennemføre

Sikringsanbefalinger

Når den manuelle validering af alle de fundne sårbarheder er afsluttet, så står man med et relativt godt billede af hvad der findes af huller og muligheder. Dette skulle gerne munde ud i en række forskellige forslag til hvordan de fundne sårbarheder og huller lukkes og fjernes.

Det man skal huske er at der er næsten altid er mere end en mulighed for at komme af med huller og sårbarheder. Det kan være at man kan lukke hullet i firewallen, eller gøre hullet mindre, læs i denne forbindelse artiklen IT sikkerhed - Firewall regler der beskriver nogle af de overvejelser man her kan gøre. Det kan også være at der kan etableres forskellige løsninger der på anden vis filtrere sårbarheden for, F.eks. IIS Lockdown Tool, installerer en URL scanner, der filtrere en række kendte exploit URL's fra inden de bliver kørt således at sårbarheden godt nok findes på maskinen, man kan bare ikke udnytte den da de nødvendige URL'er bliver filtreret fra enden de når hullet. Mange sårbarheder har man mulighed for at opdaterer sig ud af, eller man kan helt fjerne servicen. hvis man f.eks. har en sårbarhed i en FTP server og ikke skal bruge den, så kunne man måske afinstallerer FTP serveren helt og dermed fjerne sårbarheden. En anden løsning kunne være at bruge alternativer. Hvis det f.eks. er IIS der er sårbar, så kunne man måske anvende Apache i stedet.

Pointen er at der altid er mange muligheder. Prøv at finde den mest elegante eller den billigste og hav altid alternativer klar når resultatet skal fremlægges

Kontakt Os

Bufferzone.DK
C.F:Richsvej 90
2000 Frederiksberg
Denmark

e-mail
info@bufferzone.dk

Zones

- GraficZone
- ScriptZone
- LinkZone
- BannerZone

FocusZones

- webpromotion
- søgemaskineoptimering
- søgemaskinepositionering
Søgemaskinemarkedsføring
- SEO
- Hacking
-Google