Netzwerk/Sicherheit

Netzwerksicherheit - Sicherheit von Rechnernetzwerken

Beschreibung

Netzsicherheit (network security)

In seiner allgemeinen Form betrifft der Begriffsinhalt der Netzwerksicherheit auch andere Netzwerke, wie beispielsweise

• Verkehrsnetz/Verkehrssicherheit
• Energienetz/Energiesicherheit
• Stromnetz
  • wird davon ausgegangen, dass der Ausfall eines beliebigen Netzwerkelements nicht zu einer Versorgungsunterbrechung führt
  • Fallen mindestens zwei Elemente aus, ist ein Stromausfall möglich
  • Für Redundanz können Notstromaggregate sorgen

Abgrenzung

Netzwerksicherheit ist Teil der umfassenderen Informationssicherheit

• technischen oder nicht-technischen Systemen zur Informationsverarbeitung, -speicherung und -lagerung, die Schutzziele Vertraulichkeit, Verfügbarkeit und Integrität sicherstellen soll.

Rechnernetzwerke

Sicherheit an sich ist dabei stets nur relativ zu verstehen und kein unverändert bleibender Zustand.

• Einerseits muss überlegt werden, wie wertvoll die Daten sind, die im Netzwerk kursieren, und andererseits ist das Netzwerk durch Ausbau und technische Weiterentwicklung permanenten Veränderungen unterworfen, die sich auch in geänderter Sicherheitsarchitektur widerspiegeln müssen.
• Steigerungen im Bereich der Sicherheit sind oft mit größer werdenden Hürden bei der Benutzung einhergehend.

Bei Rechnernetzwerken zielt die Netzwerksicherheit darauf ab, die durch das Internet auf Computer einwirkenden Bedrohungen durch eine geeignete Kombination des Schutzes der Endgeräte, Peripheriegeräte, Wiedergabegeräte, von Teilnetzen und der Daten auszugleichen oder zu vermeiden.

• Netzwerksicherheit ist in Netzwerken die Gewährleistung des Netzbetreibers, Netzstörungen zu vermeiden und die Verfügbarkeit des Netzes dauerhaft aufrechtzuerhalten.
• Netzwerksicherheit soll insbesondere vor jeder Art von Computerkriminalität und Internetkriminalität schützen.

Betroffene Netzwerkkarten

Zu unterscheiden sind nach

• Art der Übertragungstechnik: Direktverbindung oder Broadcast,
• Art des Übertragungsmediums: kabelgebunden oder Funk,
• Ausdehnung:
  • LAN: Local Area Network,
  • MAN: Metropolitan Area Network,
  • PAN: Personal Area Network,
  • WAN: Wide Area Network.

Alle Arten sind sicherheitsrelevant

• So besitzt beispielsweise ein Broadcast-Funk-LAN mehr Angriffsrisiken als eine drahtgebundene Direktverbindung

Aspekte

• Systemsoftware härtet gegen Sicherheitslücken
• Passwortschutz
• Verschlüsselung
• Einsatz von Firewalls/DMZ
• Verwendung von VPN
• Einsatz drahtloser Netze
• Einbruchserkennung

Schwachstellen

Die Netzwerkarchitektur befasst sich insbesondere mit Fragen zur Netzwerksicherheit gegen den Ausfall von einzelnen Netzwerkelelementen, gegen Krisen oder gegen Cyberangriffe. Schwachstellen sind Betriebssysteme (Programmfehler in Betriebssystemen und Anwendungsprogrammen).

• Die ISO/IEC-27033 stellt Unternehmen Richtlinien zur Verfügung, um Netzwerksicherheit zu planen, entwerfen, implementieren und dokumentieren, wobei auch Netzwerkelemente einbezogen sind.

Angriffe

• So vielfältig wie Netze sind, so vielfältig sind auch die Angriffsmöglichkeiten auf ein Netz.
• In vielen Fällen werden mehrere Angriffe kombiniert, um ein Ziel zu erreichen.

Angriffe auf Software

Angriffe auf Software(-implementierungen)

Da Kommunikationsnetze stets aus einer (großen) Menge von Systemen bestehen, werden sehr oft genau diese Systeme über das Kommunikationsnetz angegriffen.

• Hierbei zielen viele Angriffe auf Schwächen in Software(-implementierungen):
• Pufferüberlauf: vor allem in Programmen in der Programmiersprache C findet man häufig den Fehler, dass über einen Puffer hinausgeschrieben wird und hierbei andere Daten oder Kontrollinformationen überschrieben werden;
• Stack Smashing: hierbei überschreibt z. B. ein Pufferüberlauf den Stack eines Programmes, hierdurch können Schadroutinen eingeschleust und ausgeführt werden (Exploit);
• Formatstring-Angriffe: Ausgaberoutinen, wie printf, nutzen einen Format-String um eine Ausgabe zu modifizieren.
• Durch die Nutzung sehr spezieller Formatierungsanweisung können hierbei Speicherbereiche überschrieben werden.

Angriffe auf Netzwerkprotokolle

• Man-In-The-Middle-Angriff: falls keine gegenseitige Authentifizierung durchgeführt wird, täuscht ein Angreifer den Kommunikationspartnern jeweils den anderen vor (z. B. telnet, rlogin, SSH, GSM, Ciscos XAUTH).
• Unerlaubte Ressourcennutzung: falls keine sichere Authentifizierung bzw. sichere Autorisierung vorhanden (z. B. rlogin) ist.
• Mitlesen von Daten und Kontrollinformationen: alle unverschlüsselten Protokolle, wie POP3, IMAP, SMTP, Telnet, rlogin, http sind betroffen.
• Einschleusen von Daten oder Informationen: alle Protokolle ohne ausreichende Nachrichtenauthentifizierung wie POP3, SMTP, Telnet, rlogin, http.
• Tunnel können verwendet werden, um Datenverkehr in zugelassene Protokolle (z. B. Http) einzubetten.
• Dadurch können Firewallregeln unterlaufen werden.
  • Beispiel: Der SSH-Client baut über HTTPS und den Proxy eine Verbindung zu einem Server außerhalb des internen Netzes auf.
• Dadurch umgeht er die Regeln, die den SSH-Verkehr nach außen kontrollieren.
• Diese Verbindung kann auch umgedreht werden, wodurch eine Verbindung von außen in das interne Netz geschaltet wird.
  • Die Bekämpfung erfordert entsprechende Regeln im Proxy, die eine Einschränkung der Methoden CONNECT bzw. 
• POST bewirken.
• Der Url-Filter UfdbGuard ermöglicht es, Https-Tunnel zu erkennen und zu blockieren.

Angriffe auf die Netzstruktur

• Die Überlastung von Diensten wird als Denial-of-Service-Angriff (DoS) bezeichnet.
• Besonders verteilte DoS-Angriffe werden auch als Distributed-Denial-of-Service-Angriffe (DDoS) bezeichnet.
• Sehr effektiv sind Angriffe, die mit nur einem Datenpaket auskommen, wie z. B. der TCP-SYN-Angriff, da hierbei die Absenderadresse und somit die Herkunft gefälscht werden kann.

Tarnung von Angriffen

• Die Fragmentierung von Datenpaketen, vor allem bei überlappenden Fragmenten, kann genutzt werden, um Angriffe vor Angriffserkennern zu verstecken,
• Spoofing: das Fälschen von meist Absendeadressen zum Verschleiern der Herkunft von Datenpaketen (siehe auch Firewall).

Verwandte Angriffe

Verwandte Angriffe werden durch die verteilte Struktur eher begünstigt

• Social Engineering wird die Vorgehensweise genannt, soziale Aspekte auszunutzen, um bestimmte Ziele, z. B. das Umgehen einer Passwortabfrage, zu erreichen.
• Passwörter können erlangt werden, um Zugang zu Diensten zu erhalten.
• Geschieht dies durch Ausprobieren aller Möglichkeiten, spricht man von einer Brute-Force-Attacke.
• Mangelhafte Installationen können einen Angriff mit Standard-Passwörtern erfolgreich machen.
• Aus der Außenwelt kommende Daten werden nicht auf ihre Validität überprüft, sondern als „korrekt“ hingenommen (Tainted Data oder Cross-Site Scripting und SQL Injection).
• Überflutung mit sinnlosen oder nicht angeforderten E-Mails wird als UBE () und insbesondere, wenn es sich um Werbung handelt, als UCE () bezeichnet.
• Würmer, Trojanische Pferde, Dialer oder Viren.
• Leichtgläubigkeit und die leichte technische Möglichkeit zum Vorspiegeln falscher Webseiten können durch Phishing ausgenutzt werden.
• Leichtgläubigkeit lässt Anwender auch unbekannte Programme ausführen, die per Mail versandt wurden.

Vorsorge

Die Vorsorge-Maßnahmen sind ebenso vielfältig und veränderlich wie die Angriffsmöglichkeiten.

• Mit Hilfe einer Authentifizierung wird der Benutzer erkannt, und es werden die ihm zustehenden Rechte zugewiesen (Autorisierung).
• Man spricht von einem Single-Sign-On, hierbei sollte nur eine einmalige Anmeldung notwendig sein, um alle erlaubten Ressourcen zu nutzen.
• Sehr verbreitet ist hierbei Kerberos, welches mittlerweile die Basis für die Windows-Netze bildet.
• Ursprünglich wurde es vom MIT entwickelt.

Die Sicherheit von Computernetzen ist Gegenstand internationaler Normen zur Qualitätssicherung.

• Wichtige Normen in diesem Zusammenhang sind vor allem die amerikanische TCSEC und die europäische ITSEC-Standards sowie der neuere Common Criteria Standard.
• Die Zertifizierung der Sicherheit erfolgt in Deutschland in der Regel durch das Bundesamt für Sicherheit in der Informationstechnik.

Zuständigkeit

Weite Teile der öffentlichen Verwaltung, Krankenhäuser, ganze kritische Infrastrukturen und kleine und mittlere Unternehmen sind in Deutschland nicht ausreichend gegen Cyberangriffe und Spionage geschützt.

Das Bundesamt für Sicherheit in der Informationstechnik ist für die Informationssicherheit auf der Grundlage des BSI-Gesetzes zuständig.

• Danach sind gemäß Vorlage:§ Abs. 2 BSIG „Informationen sowie informationsverarbeitende Systeme, Komponenten und Prozesse besonders schützenswert.
• Der Zugriff auf diese darf ausschließlich durch autorisierte Personen oder Programme erfolgen.
• Die Sicherheit in der Informationstechnik und der damit verbundene Schutz von Informationen und informationsverarbeitenden Systemen vor Angriffen und unautorisierten Zugriffen im Sinne dieses Gesetzes erfordert die Einhaltung bestimmter Sicherheitsstandards zur Gewährleistung der informationstechnischen Grundwerte und Schutzziele.
• Sicherheit in der Informationstechnik im Sinne dieses Gesetzes bedeutet die Einhaltung bestimmter Sicherheitsstandards“.
• Die Aufgaben des Bundesamtes sind abschließend in Vorlage:§ Abs. 1 BSIG geregelt.

Protokolle, Architekturen und Komponenten

Option	Beschreibung
Kerberos	Authentifizierung, Autorisierung und Abrechnung
X.509	Standard für Zertifikate und deren Infrastruktur
IPsec	Protokoll zum Schutz von Verbindungen
SSL/TLS	Schützt beispielsweise http, welches dann mit https bezeichnet wird
S/MIME, PGP	Schutz von E-Mails
EAP	Authentifizierung in z. B. WPA, TLS und IPsec
Firewalls	Filtern von Paketen
IDS	Angriffe erkennen
Honeypot	Ermittlung von Sicherheitslücken und Angriffsvektoren

Zahlungsverkehrsnetze

Am Beispiel der Zahlungsverkehrsnetze (insbesondere Echtzeit-Bruttoabwicklungssystem, SWIFT, TARGET2) kann deren Vulnerabilität erklärt werden.

• Gerät ein Netzteilnehmer (etwa ein Zahlungspflichtiger als Netzwerkelement) wegen einer allgemeinen Finanzkrise in Zahlungsunfähigkeit, so erleidet der Zahlungsempfänger einen Forderungsausfall (Gegenparteiausfallrisiko) und wird möglicherweise selbst zahlungsunfähig.
• Dadurch kann sich über den Contagion-Effekt die Zahlungsunfähigkeit eines Einzelnen auf den gesamten Zahlungsverkehr erstrecken; das Zahlungsnetz kann zusammenbrechen.

Gegen eine derartige Netzstörung wird im Interbankenhandel und Zahlungsverkehr beim Clearing das Prinzip des Zug-um-Zug-Verfahrens () eingesetzt, wobei ein Clearinghaus eine Zahlung nur dann an den Zahlungsempfänger weiterleitet, wenn dieser seine Gegenleistung an den Zahlungspflichtigen über das Clearinghaus erbracht hat.

• Der Zahlungsverkehr zwischen Nichtbanken kann von dieser Netzwerksicherheit jedoch nicht profitieren, weil die Zahlung meist eine Gegenleistung für den Kauf von Gütern und Dienstleistungen auf dem Gütermarkt darstellt und auf diesem der Schutz vor einem Ausfallrisiko vom Gläubiger selbst übernommen werden muss.
• Das kann geschehen insbesondere durch Verminderung oder Ausschaltung des Zahlungsrisikos beim Lieferanten und durch Verminderung oder Ausschaltung des Erfüllungsrisikos beim Kunden.

Anhang

Siehe auch

• Netzwerk/Sicherheit

• Datensicherheit
• K-Fall
• X.800
• Cyberspace

Links

Weblinks

1. https://de.wikipedia.org/wiki/Netzwerksicherheit
2. http://www.opensecurityarchitecture.org Offene Community für die Entwicklung einer standard-basierten Sicherheitsarchitektur
3. http://www.securityfocus.com/
4. IT-Grundschutz (Bundesamt für Informationstechnik)
5. http://www.sans.org/
6. Vorlesung Netzsicherheit an der TU Ilmenau
7. Vorlesung Netzsicherheit an dem Karlsruher institut für Technologie (KIT)