Remote Access - Angriffsmöglichkeiten

Transcription

Whitepaper
REMOTE ACCESS - ANGRIFFSMÖGLICHKEITEN
Aktuelle Bedrohungen & geeignete Gegenmaßnahmen
Inhalt
Übersicht
3
Bedrohungen für Remote-Verbindungen
3
Beispiele für Sicherheitslücken
4
Ursachen
5
Beispiele für Schwachstellen
6
Informationslecks
6
Caching und Duplizierung
7
Denial of Service (DoS)
7
Sicherheitsoptionen für Remote-Verbindungen
Authentifizierung
8
Autorisierung
8
Auditing
8
Verfügbarkeit
9
Integrität
9
Vertraulichkeit
9
Rethink Remote Access mit NCP
2
8
9
NCP Secure Management System
10
NCP Secure Enterprise Server
10
NCP Secure Enterprise Client
10
Copyright ©2010 NCP engineering, Inc.
Übersicht
Mobile Geräte in Firmennetzwerken haben einerseits die externe Kommunikation auch
über große Distanzen hinweg erleichtert, aber andererseits die Risiken für das zentrale
Datennetz erhöht. Unternehmen, die sensitive Daten austauschen und mit
kostengünstigen, fremden Infrastrukturen wie dem Internet arbeiten, sehen sich mit
intelligenten Angreifern konfrontiert., Das führt dazu, dass sich die
Bedrohungsszenarien ständig ändern. Um jederzeit gewappnet zu sein, ist eine
kontinuierliche Überwachung der Remote Access-Infrastruktur verbunden mit aktuellen
Software- Updates erforderlich.
Dieses Whitepaper bietet eine neue Sichtweise auf Bedrohungen und bietet Konzepte,
um Unternehmensdaten in der sich stetig verändernden Welt von Remote Access und
Sicherheits-Technologien zu sichern. Es beschreibt Beispiele realer Attacken, die
Sicherheitsprotokolle erfolgreich umgangen haben und stellt einige der neuesten VPNSchwachstellen, Mängel und Ursachen vor. Das Whitepaper soll auch als Leitfaden für
Konfiguration und Management von VPNs dienen, mit dessen Hilfe Sicherheitslücken
geschlossen werden können.
Bedrohungen für Remote-Verbindungen
VPNs sind heute fester Bestandteil in der externen Datenkommunikation. Nahezu
jedes Unternehmen bindet Mitarbeiter und Geschäftspartner mittels dieser SicherheitsTechnologie an ihr zentrales Datennetz an. Ein attraktives Ziel für Angreifer und das
aus zwei Gründen:
Zunächst tunnelt und transportiert ein VPN sensible Daten über öffentliche Netzwerke.
Die Erweiterung des Unternehmens-Netzwerks über seine Grenzen hinaus erlaubt den
Angreifern, leichter auf die Daten zuzugreifen. Hacker brauchen zum Auffinden
sensibler Daten keine räumlichen Distanzen mehr zu überwinden. Sie werden von
VPNs fast magisch angezogen. Nur eine einzige Schwachstelle im Remote Access
Betrieb reicht aus, um in das System einzudringen.
Firewalls, Intrusion Detection Systeme, Proxy Server und andere Kontrolleinrichtungen
sind die bekannten Filtermaßnahmen im eingehenden Datenverkehr - aus öffentlichen
in private Netze. Sie stellen auch Filter für den ausgehenden Datenverkehr bereit. Ein
VPN verfügt oft nicht über diese Kontrollen und ein internes System kann über ein
privates Netzwerk mit einem fremden System außerhalb kommunizieren. Im Vergleich
zu Systemen, die den Datenverkehr aus öffentlichen Netzen verarbeiten, befinden sich
in internen Netzwerken oft schwächer abgesicherte Systeme. Damit werden VPNbasierte Angriffe, die eine Abwehrmaßnahme umgehen weitaus attraktiver, als solche,
die direkt auf die diese abzielen.
Vor dem Hintergrund dieser beiden Faktoren müssen VPNs eine Vielzahl von
Schwachstellen berücksichtigen. Angreifer suchen ständig nach Wegen, um Hard- und
Software für ihre Zwecke zu nutzen. Oft werden ihre Attacken dabei von einer
fehlerhaften Konfiguration und/oder einem schlechten Implementierungsmanagement
unterstützt. Aus diesen Gründen sind VPNs auch heute noch Gegenstand ernster
Sicherheitslücken.
3
Beispiele für Lücken
Das unrühmlichste Beispiel für eine VPN-Schwachstelle war der Zwischenfall bei
Heartland Payment Systems im Jahr 2008. Das Zahlungssystem mit äußerst sensiblen
Daten wurde teilweise über ein VPN gehackt. Zunächst erlaubte ein SQL-InjectionAngriff den Hackern, die Kontrolle über das System bei Heartland zu übernehmen.
Dies gelang jedoch nicht für die Umgebung, welche die Zahlungstransaktionen
verarbeitet. 1 Die Angreifer nutzten das interne System um ihre Zugriffsberechtigung
auszuweiten. Da Systeme wie beispielsweise Workstations nicht in gleichem Umfang
abgesichert waren, wie Systeme mit sensiblen Daten, war dies relativ einfach. Über
diese Workstations drangen nun die Angreifer in die Systeme für die
Zahlungstransaktionen ein und bemächtigten sich der gewünschten Daten.
Ein ähnlicher Zwischenfall traf Google im Januar 2010. 2 Als Folge der technisch
ausgefeilten und zielgerichteten Angriffe - die vermutlich aus China kamen – wies
Google seine Nutzer an, Notfalländerungen an den VPN-Einstellungen vorzunehmen.3
Später hieß es die Angriffe wären auf nicht gepatchte Browserschwachstellen gerichtet
gewesen 4. Das Timing der Konfigurationsänderung konnte darauf schließen lassen,
dass es einen Zusammenhang zwischen den internen Systemen mit ungepatchter
Software und einem VPN-Zugriff auf interne Netzwerke und sensible Daten gab. 5
Segmentierung, Proxies und Filter, wie auch Monitoring hätten diesen Zwischenfall
möglicherweise verhindern können. Einspielen von Patches (Upgrade des
Browsers)hätten es wahrscheinlich ebenfalls verhindern können. Die vorgeschlagenen
Änderungen zeigen, wie wichtig mehrstufige Sicherheit und durchdachtes Management
– und nicht nur Konfigurationseinstellungen - für die Sicherheit eines VPN sind.
Ironischerweise schlug Google 3 Monate nach dem Angriff seinen Nutzern in China vor,
VPN-Technologie zum Umgehen der Kontrollmaßnahmen und zur Sicherstellung des
weiteren Zugriffs auf die Google-Dienste auf dem chinesischen Festland einzusetzen.6
Ein weiteres Beispiel unzureichenden VPN-Managements geht auf einen gekündigten
Mitarbeiter eines Versorgungsunternehmens, der Energy Future Holdings, zurück. Der
Mitarbeiter konnte das VPN auch nach seiner Entlassung nutzen, um auf die
unternehmensinternen Systeme zur Vorhersage des Verbraucherbedarfs zuzugreifen.7
Der ehemalige Mitarbeiter nutzte seinen Zugang zur Datenkorruption, was einen
Schaden in Höhe von USD 26.000 allein an entgangenen Geschäften verursachte.
Diese Verletzung zeigt, dass es absolut notwendig ist, den VPN-Zugang für gekündigte
und ehemalige Mitarbeiter so schnell wie möglich zu sperren. Der beste Weg dazu ist,
das Benutzermanagement und die Identitätssysteme mit der VPN-Administration zu
verbinden.
Auch Einzelhandelsketten sollten über umfangreiche Kenntnisse im Remote AccessManagement verfügen, da gerade dort die Fluktuation sehr hoch ist. Trotzdem ließ
Walmart, eine der weltweit größten Einzelhandelsketten, den VPN-Zugang eines
Mitarbeiters, der nicht mehr für das Unternehmen arbeitete, im Jahr 2005 offen. 8
Anders als bei der vorher beschriebenen Lücke, die nur einen Tag bestand, lief der
Missbrauch bei Walmart über einen Zeitraum von 17 Monaten! In dieser Zeit griff der
gekündigte Mitarbeiter auf Zahlungskartensysteme zu. Der Angriff wurde nur durch die
fehlgeschlagene Installation eines Password Dump Tools entdeckt, die dazu führte,
1
http://www.wired.com/images_blogs/threatlevel/2009/08/gonzalez.pdf
http://chenxiwang.wordpress.com/2010/01/21/ok-there-is-more-or-may-be-less-to-the-vpn-story-google-says/
http://www.sophos.com/security/topic/operation-aurora.html
4
http://www.microsoft.com/technet/security/advisory/979352.mspx
5
http://googleblog.blogspot.com/2010/01/new-approach-to-china.html
6
http://knol.google.com/k/circumventing-the-great-firewall-of-china#Tools_for_Circumventing_the_GFW
7
http://www.wired.com/threatlevel/2009/05/efh/
8
http://www.wired.com/threatlevel/2009/10/walmart-hack/
2
3
4
dass ein System offline ging. Erst durch diesen Ausfall wurden Mitarbeiter des Betriebs
alarmiert. Ein Angriff dieses Ausmaßes war nötig, um letztlich den VPN-Zugang des
Mitarbeiters zu schließen. Jedoch war es dem Angreifer noch immer möglich auf das
System zuzugreifen. Noch einmal, der beste Weg zur Vermeidung einer solchen Krise
die Verbindung von Benutzermanagement und Identitätssystemen mit der VPNAdministration. Eine weitere Möglichkeit wäre eine Segmentierung, die zusätzliche
Kontrollen für den VPN-Zugriff auf sensible Daten schafft.
Walmart sollte eigentlich ein warnendes Beispiel für andere Einzelhändler darstellen.
Dennoch kam es 3 Jahre später zu einem ähnlichen Zwischenfall bei Stryker
Instruments, einem Hersteller für medizinische Geräte. 9 Der Angreifer, verdächtigt
wurde ein gekündigter Mitarbeiter, nutzte über mehrere Monate mehrfach VPNVerbindungen. Als das Unternehmen den Angriff entdeckte, musste es natürlich seine
Kunden (in 48 Staaten) davon unterrichten. Das offizielle Schreiben des Unternehmens
wies auf Schwachstellen im VPN-Management und die Notwendigkeit zum Wechsel
auf eine sicherere VPN-Lösung hin.
Obwohl Stryker einen gekündigten Mitarbeiter verdächtigte, konnte der Schuldige nicht
eindeutig identifiziert werden. Das kann auch an unsachgemäßer Entsorgung von
VPN-Equipment liegen, so geschehen bei Kirklees Council.10 In diesem Fall kaufte ein
IT-Sicherheitsfachmann ein gebrauchtes VPN-Gateway für unter 2$. Nach der
Installation des Geräts stellte sich heraus, dass es immer noch für den Zugriff auf das
interne Netzwerk des vorherigen Eigentümers konfiguriert war.
Ursachen
Die genaue Betrachtung der Angriffe auf die oben beschriebenen Sicherheitslücken
kann in drei Kategorien unterteilt werden.
Qualität: VPN-Systeme müssen komplexen Sicherheitsanforderungen in einer nicht
vertrauenswürdigen Umgebung genügen, insbesondere wenn sie als erweiterte Form
der Datensicherheit im Netzwerk angeboten werden. Es sind Schwachstellen zu
erwarten, wenn nicht schon beim Engineering besonders sorgfältig vorgegangen wird
und ausführliche Tests durchgeführt werden. Das heißt, dass nicht alle VPN-Produkte
auf gleiche Art und Weise erstellt werden und man könnte eine Differenzierung
vornehmen, welcher Wert auf Qualität und Sicherheit gelegt wird.
Design: Die Sicherheitsanforderungen sind von Kunde zu Kunde verschieden. Einige
benötigen strengere Kontrolle und Überwachung als andere. Deshalb stehen bei
Standardkonfigurationen eher der leichte Einsatz und die Konnektivität als die
Sicherheit im Vordergrund. Das Ziel einiger VPN-Produkte ist, private Netzwerke über
große Distanzen auszudehnen, um Kosten im Vergleich mit physikalischen Leitungen
einzusparen. Sicherheit steht optional zur Verfügung. Deshalb werden nicht alle VPNProdukte nach den gleichen Grundeinstellungen installiert oder verfügen über
dieselben Optionen.
Management: Die Komplexität der Netzwerke verlangt spezialisierte und
professionelle Installation, Konfiguration und Management aller Komponenten. Ein
VPN ist Teil eines Netzwerks und benötigt ebenfalls Befugnisse in Sachen
Domainsicherheit mit Authentifizierung und Autorisierungssystemen, die mit
Protokollen wie SSL und IPsec gekoppelt sind. Die Unterschiede zwischen der Diffie
9
http://www.wired.com/threatlevel/2009/10/walmart-hack/
http://doj.nh.gov/consumer/pdf/stryker_instruments.pdf
10
5
Hellman 11 Gruppe 1 und Gruppe 2 beispielsweise werden zumeist unbekannt sein,
obwohl die Wahl der falschen Gruppe bei einem einfachen Schwachstellen-Scan eines
IPsec VPNs sichtbar wird. Ein weiteres Beispiel ist ein versehentlich aktiviert
gebliebenes VPN-Gerät oder ein nach der Kündigung eines Mitarbeiters weiter
bestehender Zugang. Ein System kann, wenn es mit einem VPN verbunden ist, genutzt
werden um Angreifern den Zugang zum privaten Netzwerk zu erlauben. Der Einsatz
eines VPN kann reichlich komplex sein. Es bedarf einer guten und durchdachten
Verwaltung, um ein angemessenes Sicherheitsniveau zu gewährleisten.
Obwohl die überwiegende Mehrheit dieser Angriffe auch auf Managementprobleme
zurückzuführen ist, bleiben Design und Qualität die besten Merkmale, anhand derer
VPN-Produkte und Lösungen unterschieden werden können.
Beispiele für Schwachstellen
Schwachstellen in VPNs können beispielsweise den Supportseiten der Hersteller oder
Sicherheitsmitteilungen wie denen von Secunia12 oder US NVD13 entnommen werden.
Hersteller informieren ihre Kunden über Schwächen, nachdem der Fix erstellt wurde.
Manchmal besteht die Möglichkeit, bereits vorher durch Monitoring entsprechender
Sicherheitsforen Informationen darüber zu erhalten.14 Eine Vorabinformation ist immer
dann sinnvoll, wenn es sich um Schwachstellen mit hohem Dringlichkeits- und
Schweregrad handelt, die sofortige Gegenmaßnahmen erfordern.
Informationslecks
Nach Installation der VPN-Software kann der Netzwerkverkehr noch immer über
andere Schnittstellen erfolgen. Im Jahr 2010 wurde eine wesentliche Schwachstelle,
die durch die Kombination von IPv6 und PPTP-basiertem VPN entstand, bekannt
gegeben. Diese Schwachstelle offenbarte die IP-Adresse, MAC-Adresse und den
Namen des Computers von Anwendern. 15 Das Findnot.com-VPN leitete 2006 den
Datenverkehr unverschlüsselt in das öffentliche Netz, sobald seine Server überlastet
waren - ohne seine Nutzer darüber zu informieren. Ein ähnliches Problem kann nach
der Installation mehrerer, nicht reibungslos zusammen arbeitender VPNs entstehen.
Wird der Datenverkehr nicht sauber getrennt, kann es zu Informationslecks innerhalb
der VPNs kommen. Das war bei Cisco der Fall, deren VPNs einen Fehler beim
Verarbeiten großer Communities hatten. 16 Die Cisco VPNs verwendeten
fälschlicherweise ein korruptes Route Target (RT), um den Datenverkehr weiterzuleiten,
was zu einem Leck - von einem VPN auf ein anderes - führte. Die Lösung zur
Schließung solcher Lecks, abgesehen von den Patches des Herstellers, ist ein System
speziell zur Vermeidung von Routing-Fehlern, DNS- und IP-Lecks außerhalb einer
VPN-Verbindung zu konfigurieren, das auch nach Ausfall der bevorzugten VPNVerbindung arbeitet.
Eine weitere, kürzlich bekannt gewordene Schwachstelle in diesem Bereich bezieht
sich auf Client lose VPN-Produkte. Diese Systeme beziehen Inhalte von verschiedenen
Webseiten und liefern dann entsprechende Daten. Dabei scheint es so, als ob diese
Daten aus dem SSL VPN stammen würden. Dadurch werden Beschränkungen gemäß
der „Same-Origin-Policy“ umgangen. Eine "Same Origin Policy" zielt darauf ab,
vertrauenswürdige Domains durchzusetzen und bösartige Skripte zu blockieren. Das
11
http://news.bbc.co.uk/2/hi/technology/7635622.stm
http://www.rfc-archive.org/getrfc.php?rfc=2409
13
http://secunia.com/community/
14
http://nvd.nist.gov/
15
http://seclists.org/fulldisclosure/; http://oss-security.openwall.org/wiki/mailing-lists/vendor-sec
16
http://www.wired.co.uk/news/archive/2010-06/18/huge-privacy-flaw-found-in-vpn-systems
12
6
Design von SSL VPN durchbricht dies in dem es versucht, Daten von Remote-Seiten
mit unterschiedlichen Domains als eigene darzustellen. Ein Angreifer, der im Besitz
einer bösartigen Webseite ist, die über ein clientless VPN aufgerufen wird, kann die
Sitzung des Anwenders übernehmen oder die Tastaturanschläge mitschneiden. Man
sollte daher SSL VPN Clients so konfigurieren, dass sie nur auf vertrauenswürdige
Domains zugreifen können.
IKE Aggressive Mode (AM) besitzt eine Schwachstelle, die zu schwerwiegenden
Sicherheitslücken führen kann. Angreifer können Passwort-Hashes auslesen und die
Brute-Force-Methode anhand der ausgegebenen gültigen und ungültigen
Benutzernamen anwenden. Dies wird dadurch vermieden, indem Geräte so konfiguriert
werden, dass sie IKE AM Verbindungen grundsätzlich zurückweisen und niemals
aktivieren.
Caching und Duplizierung
VPN Clients speichern oft Authentifizierungsdaten (z. B. Benutzername und Passwort),
um den Zugriff auf das Firmennetz bequemer zu machen. Dies ist in einigen VPNProdukten eine Standardeinstellung, was zu einer starken Gefährdung sensibler Daten
führt. Ein Angreifer kann nach lokal gespeicherten Daten suchen, um in das VPN
einzudringen. Das kann so einfach sein wie das Aufspüren von Klartextpasswörtern im
Speicher oder in der Registry. So hatte im Jahr 2007 eine Schwachstelle mit der
CheckPoint VPN-1 SecuRemote/Secure Client Auto-Login-Funktion zu tun.
Authentifizierungsdaten waren in der Windows Registry (Subkey "Credentials" unter
HKLM\Software\Checkpoint\SecuRemote) gespeichert. Ein lokaler Nutzer konnte leicht
auf diese Daten zugreifen und sich im VPN als Zielnutzer authentifizieren. 17 Ein
ähnliches Problem entsteht, wenn viele VPN Clients unverschlüsselte ("verschleierte")
Passwörter verwenden, die ein Hacker sehr leicht finden kann. Weiter besteht die
Gefahr, dass sensible Daten nach Beendigung einer VPN-Sitzung auf dem System
zurückgelassen werden. Passwörter müssen immer geschützt und der Cache eines
Endgerätes, über das ein VPN-Zugriff erfolgt ist, nach jeder Sitzung geleert werden.
Vervielfältigung oder erneutes Wiedereinspielen (Replay) des VPN-Verkehrs ist
ebenfalls noch immer eine wesentliche Schwachstelle. Daten können für die
Kommunikation verschlüsselt und Signaturen zur Authentifizierung der einzelnen
Pakete verwendet werden. Für einen guten Hacker besteht jedoch weiterhin die
Möglichkeit den Datenverkehr erfolgreich zu wiederholen. IPsec VPNImplementierungen weisen deshalb jedem Paket mit Encapsulated Security Payload
(ESP) eine laufende Nummer zu. Eine entsprechende Tabelle wird vom Zielhost
gepflegt und für die Suche nach duplizierten Paketen und unerlaubtem Datenverkehr
verwendet. Das System funktioniert nur, wenn die laufende Nummer zusätzlich
verschlüsselt oder signiert ist. Andernfalls, wäre es für einen Hacker ein Leichtes, die
Sequenzmuster auszulesen.
Die beiden geschilderten Schwachstellen demonstrieren den hohen Stellenwert, den
die Qualität und das sorgfältige Design von VPN-Produkten einnehmen.
Denial of Service
Vorsätzlich fehlerhaft geformte Pakete oder solche, die den RFC-Spezifikationen nicht
entsprechen, können sich in Buffern stauen und den Service durch Überlastung der
Ressource zum Erliegen bringen. Ein VPN ist davon genauso betroffen, wie alle
anderen Netzwerksysteme.
17
7
http://www.cisco.com/warp/public/707/cisco-sa-20080924-vpn.shtml
SSL-basierte VPNs können auf Standard-TCP-Verbindungen basieren. Sie können
jedoch auch für UDP konfiguriert werden, um möglicherweise eine bessere
Performance zu erzielen. UDP erschwert jedoch das Blockieren und Auffinden eines
Denial of Service-Angriffs. Ebenso erlaubt UDP das leichte Auffinden eines VPN in
einem Netzwerk (TCP-basierter Verkehr kann leichter verschleiert werden - Verkehr
auf Port 443 sieht aus wie HTTPS). Ein Angriff auf Nortel-VPNs konnte aufgrund eines
fehlerhaft geformten ISAKMP-Headers erfolgen, der von Intrusion-Detection-Systemen
nicht gefunden werden konnte, da er einem Standard-IKE-Header ähnlich war.18 Die
versteckten Angriffspakete verursachten einen sofortigen Absturz, der das Gerät
entweder zum Neustart zwang (5 Minuten Ausfall) oder das Gerät hing für
unbestimmte Zeit. Eine andere Form eines Denial of Service Angriffes ist die
Überlastung der Ressource durch viele Daten-Pakete, die dazu führen, dass dem
VPN-Server keine Übertragungsslots mehr zur Verfügung stehen. Dadurch kann der
Server keine legitimen Verbindungen mehr verarbeiten. Cisco‘s VPN 3000 war anfällig,
wenn schädlicher Verkehr auf einen bestimmten Port, in diesem Fall der Port 80,
gesendet wurde. Bereits ein kleiner Stream von weniger als 50 Pakete reichte aus, um
das System in eine Endlosschleife zu zwingen.19
Sicherheitsoptionen für Remote-Verbindungen
Jedes Unternehmen das in einer gemeinsamen Netzwerkumgebung ein VPN für WideArea-Verbindungen, insbesondere mit unternehmenskritischen Applikationen, einsetzt,
profitiert von einer Reihe Basissicherheitsanforderungen, die unabhängig von der für
den VPN-Aufbau eingesetzten Technologie Gültigkeit haben.
Authentifizierung
Die Authentifizierung des VPN-Clients durch den VPN-Server ist für eine effiziente
Sicherheit unerlässlich. Die Authentifizierung geschieht normalerweise auf zwei
Ebenen: einem Zertifikat oder einem Password. Die Authentifizierung per Zertifikat wird
über den Austausch von Zertifikaten und/oder vorher festgelegter, gemeinsamer
Schlüssel für die VPN-Endpunkte geregelt. Passwörter können über eine Datenbank
authentifiziert werden oder über ein zentrales Verzeichnis wie Microsoft Active
Directory, RADIUS oder LDAP geregelt werden.
ZweiFaktoren-Authentifizierung ist in Umgebungen, die besonders hohen
Sicherheitsanforderungen genügen müssen, erforderlich. Die Kombination aus etwas,
das der Nutzer kennt (Passwort) und einem Authentifizierungszertifikat oder Token (im
Besitz des Anwenders) verhindert viele VPN-Angriffe, die auf preisgegebenen
Passwörtern basieren. Viele VPNs unterstützen Tokens, die ein einmal zu
verwendendes Passwort generieren. Starke Message-Digest-Algorithmen wie SHA
sind ebenfalls erforderlich, um die Gültigkeit der Authentifizierungsdaten der Nutzer zu
prüfen (darauf wird im Abschnitt „Integrität“ eingegangen).
Autorisierung
Ein Anwender oder ein System werden für den Zugriff auf bestimmte
Netzwerkressourcen erst dann zugelassen, nachdem sie die Authentifizierung
erfolgreich abgeschlossen haben. Die üblichen Freigabesysteme zur Integration sind
Microsoft Active Directory und RADIUS. Der Einsatz eines zentralisierten Systems darf
nicht unterschätzt werden. Es ermöglicht ein besseres VPN-Management und den
leichteren Zugriff. Umgekehrt müssen die Freigaben regelmäßig geprüft und so schnell
wie möglich entfernt werden, um ein System vor einem Angriff wie oben beschrieben,
zu schützen.
18
http://supportcenter.checkpoint.com/supportcenter/PublicLoginRedirect.jsp?toURL=eventSubmit_doGoviewsolutiondetai
ls=%26solutionid=sk34315
19
http://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2005-1802
8
Auditing
VPN-Protokolle sind nicht nur zur Fehlersuche hilfreich, sondern auch beim Auffinden
und Beheben von Zwischenfällen. Eine Liste erleichtert die Konfiguration der
spezifischen Ereignisse, die gesammelt, geprüft und archiviert werden sollen. Sie
beinhaltet beispielsweise Informationen über:
1. Benutzer
2. Datum, Uhrzeit und Befehl
3. Systemstandort
4. Authentifizierung erfolgreich/fehlgeschlagen
5. Autorisierung erfolgreich/fehlgeschlagen
6. Konfigurationsänderung, insbesondere zum Schutz (Anti-Virus und Intrusion
Detection)
7. Privilegierter Zugang
8. Netzwerkadressen und Protokolle
Da die Daten der einzelnen Bereiche wichtig sind, erfolgt die Untersuchung eines VPNAngriffs anhand von Prüfprotokollen, um festzustellen, wer, was, wann und wo
durchgeführt hat.
Verfügbarkeit
Die Verfügbarkeit oder Uptime bezieht sich auf den Prozentsatz der Zeit, während der
ein VPN-Service arbeitet. Verbindungen, die nicht mehr genutzt werden können,
bergen das Risiko eines Informationslecks oder Denial of Service. Es wird empfohlen,
ein VPN-System sich selbst überwachen zu lassen und im Falle eines Fehlers die
Verbindungen automatisch d.h. ohne den Eingriff eines Administrators, auf ein anderes
VPN-System zu migrieren. Ein solches Failover erlaubt den Anwendern, ihre Arbeit
ohne Datenkorruption oder sich erneut authentifizieren zu müssen, fortzusetzen.
Integrität
Die Integrität wird durch Kontrollen, die eine Modifizierung der Daten verhindern,
sichergestellt. VPNs verwenden drei Methoden zur Integritätskontrolle.
Die erste Methode ist eine unidirektionale Hash-Funktion, die Eingaben jeder
beliebigen Länge aufnimmt und einen Ausgabewert mit fester Länge erstellt. Dieser
Wert lässt sich für eine Datei leicht berechnen, aber es ist schwer, eine Datei zu
erstellen, die zu genau demselben Wert führt. Es wird daher erschwert Daten
unbemerkt zu modifizieren. Der Empfänger einer Datei kann deren Integrität durch das
Erstellen eines Hash prüfen, den er mit dem vom Absender erstellten und mit der Datei
versendeten, vergleicht. Ein VPN kann integrierte Hash-Mechanismen zur Generierung
einer einmaligen Signatur für die zu übertragenden Daten bereitstellen - wenn diese
Daten modifiziert werden, gleicht ihre Signatur nicht mehr den ursprünglichen Daten.
Die beiden oft von VPN genutzten Algorithmen zur Datenprüfung sind MD5 und SHA.
MD5 hat sich allerdings inzwischen als unzuverlässig erwiesen, so dass der letztere
die bessere Option darstellt.
Die zweite Methode verwendet Message-Authentification-Codes (MACs), die einer
Hash-Funktion einen Schlüssel zuordnen. Die MAC wird mit einem von Sender und
Empfänger gemeinsam genutzten Schlüssel berechnet. Der Absender generiert die
MAC aus einer Datei und sendet sie mit der Datei an den Empfänger.
Auch digitale Signaturen können die Datenintegrität in einem VPN gewährleisten. Die
digitalen Signaturen arbeiten mit der Kryptographie öffentlicher Schlüssel. Ein
Dokument wird vom Absender mit einem privaten Schlüssel digital "unterschrieben",
der Empfänger verwendet den öffentlichen Schlüssel des Absenders, um das
Dokument zu verifizieren.
9
Vertraulichkeit
Die Daten werden von einem VPN verschlüsselt, um deren Offenlegung während der
Übertragung auf einem gemeinsamen oder öffentlichen Übertragungsnetz zu
verhindern. Das Schlüssel-Management und ein starker Verschlüsselungs-Algorithmus
bilden die Basis für eine effektive Verschlüsselung. Dabei ist die Länge des Schlüssels
von besonderer Wichtigkeit. Es wird empfohlen, immer den längsten vertretbaren
Schlüssel zu wählen.
Rethink Remote Access mit NCPs Next Generation Network Access Technology
NCP bietet eine Software-basierte Remote Access VPN-Lösung, die für Unternehmen
mit mittleren oder großen Netzwerken konzipiert ist. Diese Technologie erlaubt volle
Netzwerktransparenz, Kontrolle und Monitoring aller VPN-Verbindungen von und zu
einem zentralen Punkt im Netzwerk. Sie unterstützt sowohl IPsec als auch SSL und ist
Mittelpunkt für hochsichere Datenkommunikation mit mobilen und stationären Geräten
sowie Remote VPN-Gateways z.B.in Niederlassungen.
Die umfassendste, leicht verwaltbare VPN-Lösung auf dem Weltmarkt wurde komplett
von NCP entwickelt. Reibungslose Interoperabilität mit einer bereits vorhandenen ITInfrastruktur ist gegeben. Die modulare Lösung kombiniert sowohl SSL- als auch
IPsec-Management mit starkem Policy Enforcement. Anwender können sich mit allen
Endgeräten, von beliebigen Standorten, auf dem heimischen Netzwerk über einen
sicheren VPN-Tunnel mit nur einem Klick verbinden, egal, ob sie dies über WLAN-,
LAN- oder Mobilfunk via Internet tun.
Die Software kann problemlos in VPNs von Cisco, Juniper, Check Point, SonicWall
oder anderer wichtiger Hersteller integriert werden, die vorhandenes Equipment
braucht nicht ausgetauscht zu werden. Praktische Unterstützung der NAC-Funktion
und VPN Management werden bei der Installation des Secure Enterprise Systems
bereitgestellt.
NCP Secure Enterprise Management System
Eine zentral gesteuerte Softwarelösung, die Netzwerkadministratoren mit einem Single
Point of Administration für das gesamte IPsec und SSL VPN-Netzwerk des
Unternehmens
und
allen
praktischen
NAC-Funktionen
ausstattet.
Alle
Statusinformationen stehen auf dem Systemmonitor in Echtzeit graphisch zur
Verfügung. Plug-in, Updates und Konfigurationseinstellungen können einfach gesteuert
und verteilt werden. Nutzerdaten können über standardisierte Schnittstellen von
vorhandenen Directory Services und Identify And Access Management Systemen
(IAMs) eingelesen werden. Die High Availability Services stellen die Redundanz der
Systeme sicher und garantiert die hohe Verfügbarkeit des Management Systems.
Kostspielige Ausfallzeiten und der Verlust der Policy-Einstellungen werden vermieden.
NCP Secure Enterprise Server
Ein hybrides IPsec und SSL Gateway, das alle VPN-Verbindung von und zu dem
zentralen Datennetzwerk kontrolliert. Es bietet eine hochverfügbare Clustering-Lösung
zur Aufrechterhaltung der Performance-Geschwindigkeiten des Netzwerks und erlaubt
den Administratoren, mehr als 10.000 VPN-Sessions gleichzeitig zu aktivieren. Der
NCP Secure Enterprise Server unterstützt die in der Branche größte Bandbreite an
Endpoint-Plattformen und jedes IPsec-basierte Gerät, einschließlich des iPhones.
NCP Secure Enterprise Client
Eine VPN Client-Suite, inkl. dynamischer Personal
sichere Connectivity für eine große Anzahl an
Betriebssysteme (7/XP/Vista (alle 32/64 Bit), Mobile
(S60 3rd Edition) und Linux-. Der universelle
10
Firewall und Dialer, erlaubt die
Plattformen: Windows-basierte5/6x, CE); Mac OS X; Symbian
IPsec-Client verfügt über die
Zertifizierungen „FIPS Inside“ und „BSI Einsatzempfehlung“. Er ist kompatibel mit
nahezu jedem auf dem Markt angebotenen IPsec-Gateway. Die benutzerfreundliche
GUI sowie das intelligente Policy Enforcement bieten allen Anwendern eine echte
„One-Click-Solution“ – nur ein Click und man ist im heimischen Netz!
11

Remote Access - Angriffsmöglichkeiten

Transcription

Similar documents

f den Gipfel

2 - Eclipse

Diese Hacker-Tools sind illegal! - KA-IT-Si

Einführung eines Intrusion Prevention/Detection Systems bei der

01 cover - FK Austria Wien

kurzmeldungen it-hardware

Geschäftsbedingungen der Volksbank Bonn Rhein

digipass by vasco

Der Sicherheitsstandard PCI DSS (Grundlagen und