Karteikarten
IT-Sicherheit2 - VL3.2
Karten in diesem Stapel (56)
- 1Systemintegritätstellt sicher, dass Systeme vertrauenswürdig sind und hinsichtlich Software, Daten und Kommunikation wie vorgesehen funktionieren
Allg. Use Cases: Daten auf Festplatten korrekt, PC frei von Bugs...
Use Cases IoT: Produktion - Kommando für funktionale Sicherheit ok...
Typ. Abwehrmaßnahmen: Antiviren-Software, IDS...
Typ. Angriffe: Malware, MITM, Injection - 2Malware"bösartige Software"
Oberbegriff, der jedes bösartige Programm oder jeden bösartigen Code beschreibt, der für Systeme schädlich ist
umfasst: Viren, Wrümer, Trojaner, Ransomware, Spyware...
kann potenziell alle Systeme treffen
oft konzipiert für bestimmte (weit verbreitete) Anwendungen/Betriebssysteme - 3Infektionen1. Malware vom Benutzer ausgeführt (z.B. Installieren, Ausführen eines Programms)
Benutzer hat viel Einfluss
=> Awareness Training
2. Angreifer nutzen Sicherheitslücken zur Ausführung aus (schlimmster Fall: RCE)
Benutzer wenig, aber Admin viel Einfluss
=> Sicherheitsschulung - 4Zero-Day-Angriff
- 5Computer-Virus - Prinzipinfiziertes Programm wird ausgeführt und springt in Virencode (i.d.R. am Anfang)
sucht nach nicht-infizierten Programmen (setzt Markierungen)
kopiert sich in alle gefundenen Programme
führt eigentlichen payload aus
führt Originalprogramm aus (damit Programmausführung normal aussieht) - 6Computer-Viren - AufbauEntschlüsselungsroutine (bei verschlüsselten Viren)
Vermehrungsteil (jeder Virus)
Erkennungsteil (kennzeichnet bereits Infizierte, Vermeidung doppelter Arbeit)
Schadensteil (nicht bei jedem Virus)
Bedingungsteil (für Ausführung des Payloads)
Tarnungsteil (Veränderung des Virus vor Weiterverbreitung) - 7Viren der 1. GenerationVerbreitung durch Kopieren von Daten über Disketten, manuelle Installationen
infiziert ausführbare Dateien
wird bei Programmstart als erstes ausgeführt - 8Überschreibender Virusüberschreibt Originalcode
=> Wirtsdatei irreparabel beschädigt
(sehr auffällig)
- 9Companion-Viruszweite Datei, die vor Original ausgeführt wird (Name wird an Original angepasst)
kein Virus im eigentlichen Sinne
- 10Appending-Virushinter dem Original-Code
Änderung von Header-Daten & Adressen notwendig
Methode abhängig vom Dateientyp
- 11Prepending-Virusnistet sich vor Original-Code ein
dadurch wird Original-Code verschoben
Änderung von Header-Daten und Adressen notwendig
Methode abhängig von Dateityp - 12EPO-Virus (Entry Point Obscuring)verschleiert Einsprung (Header und jump-Befehl am Anfang des Codes würde von Virenscannern erkannt werden)
Virusaufruf nistet sich irgendwo im Originalprogramm ein
Viruscode i.d.R. hinter Originalprogramm
wird beim Ablauf des Wirtsprogramms aufgerufen - 13Boot-Virusinfiziert Boot-Code des Dateisystems
auf Festplatten oder Disketten
vorher ausgeführt, dann Laden des eigentlichen Betriebssystems
kann Betriebssystem manipulieren/ umgehen, sich selbst kopieren
Problem: Sektorgröße beschränkt Viren - 14Viren der 2. Generationvernetzte, offene Systeme -> mehr Kanäle zur Verbreitung (z.B. Dateianhänge in Mails, Skripte auf Websites)
oft automatische Ausführung
Grenzen zwischen Viren und Würmern verschwimmen - 15Makrokleine Code-Teile
in Daten-Dokumente eingebettet
Ziel: Automatisierung von sich wiederholenden Abläufen - 16Makro-Virus / Daten-VirusVorher: Dokumente reine Daten-Objekte
Mit Makros: Daten-Objekte mit ausführbarem Code (Öffnen kann Verbreitung initiieren, nicht immer ersichtlich)
Email-Attachments (Ausführen durch Anklicken oder automatisch), pdf - 17WürmerSchadprogramme, ähnlich einem Virus, die sich selbst reproduzieren und sich durch Ausnutzung der Kommunikationsschnittstellen selbstständig verbreiten
- 18Computer-Würmerverbreiten sich ohne fremde Dateien oder Bootsektoren zu infizieren
stattdessen über Netzwerke oder Wechselmedien (dabei Nutzung von Hilfsprogrammen ohne diese zu infizieren)
Ausführung durch Benutzer, Autostart, Ausnutzung von Schwachstellen... - 19Email-Würmerauch ohne Schwachstellen nutzbar (ausführbarer Anhang, Hyperlink)
Weiterverbreitung durch Ausnutzung bereits installierter Mailprogramme, eigenes SMTP-Unterprogramm
neue Adressaten werden über Adressbücher gefunden - 20Email-Würmer - Strategiea) Interesse am Anhang wecken (z.B. Drohungen, Geldstrafen)
b) unauffällig aussehender Anhang (Extension verschleiern durch z.B. lange Dateinamen, typfremd, komprimiert) - 21Instant-Messaging-WürmerInstant-Messaging-Programme oft Web-Anbindung
Wurm über Link
verpackt im laufenden Chat
Schwachstellenausnutzung
Verbreitung über Adressbuch - 22P2P-Würmer - Verbreitungsarten1. Wurm in freigegebenen Ordnern
2. Imitation von P2P-Protokoll-Antworten auf Suchanfragen (Wurm- statt angefragte Datei wird gesendet)
3. Ausnutzung von Schwachstellen des P2P-Netzes (besonders effizient, wenn kein Benutzer benötigt wird) - 23Würmer für Wechseldatenträgerkopieren sich selbstständig auf Datenträger (USB-Sticks, Speicherkarten, CDs...) um sich auf Computern zu verbreiten
keine Verbreitung über Netzwerk, dadurch mühsamer (Transfer manuell durch Benutzer)
Ausführung oft automatisch - 24Handy-WürmerVerbreitung über Bluetooth, SMS, WLAN, Mobilfunk...
Ausführung durch Hyperlinks, Schwachstellen... - 25Wirtschaftlicher Schaden durch WürmerFinanzieller Schaden höher als durch Viren
erheblicher Verbrauch von Netzwerkressourcen
Schäden vor allem durch Ausfall von Systemen - 26Trojanisches Pferd (auch: Trojaner)Programm mit verdeckter, nicht dokumentierter Funktion oder Wirkung
verbreitet sich nicht selbst, sondern wirbt mit seiner Nützlichkeit um den Benutzer zur Installation zu bringen - 27Trojanisches Pferd - Entwicklung & VerbreitungEntwicklung: Verknüpfung zweier unabhängiger Programme (bösartig & nützlich)
bei Start des nützlichen Programms auch Ausführung des bösartigen
Verteilung: alle Kanäle, über die Programme installiert werden können (Internet, Speichermedien...) - 28Software-SchwachstellenSW meist komplex, dadurch fehleranfällig
Fehler ausnutzbar => Schwachstelle
Ausnutzung von Schwachstellen mithilfe von Angriffsvektoren durch Bedrohungsakteure
Ergebnis: RCE, Diebstahl, Privilege Escalation
Ziel: oft weit verbreitete SW, Server, Datenbanken, Anwendungen, Betriebssysteme, IoT-Geräte - 29Ausnutzen (Exploit)Malware, die eine SW-Schwachstelle mit der Absicht ausnutzt, einen Computer zu infizieren oder eine andere schädliche Aktion auszuführen
- 30Exploit-Variantengängige Angriffsverktoren z.B.
Puffer-, Heap-Überlaufe, Injektionen, XSS - 31Pufferüberlaufeinige Programmiersprachen (z.B. C/C++) erlauben Schreiben von Strings in Felder ohne Prüfung der Feldgrenzen -> Daten können über reservierten Bereich hinaus in den Speicher geschrieben werden
=> ändert Speicher & Programm (Absturz, bösartiges Verhalten) - 32Pufferüberlauf - SpeichersegmenteProgramme legen beim Start Speicherplatz an
Codesegmente (enthält Programmcode)
Heapsegmente (globale & statische Variablen)
Stacksegmente (lokale Variablen, Übergabeparamter, Rücksprungadressen)
- 33Pufferüberlauf - Schwachstellen ausnutzenAngreifer überschreibt Daten des Stacks mit eigenem Code über Feldgrenzen eines Strings hinaus
dabei muss die Rücksprungadresse richtig überschrieben werden (Nutzung von NOP) - 34Pufferüberlauf - Probleme & LösungenProblem: Wert 0 im Code markiert Ende des Strings -> Einlesen bricht ab
Lösung: ersetze 0 durch geeignete Ersatzkommandos
Problem: Zugriff auf eigene Daten über absolute (unbekannte) Adressen
Lösung: Finden mit relativen Sprüngen außerhalb des eigenen Codes
Problem: Schadcode benötigt viele Funktionen
Lösung: nutze Betriebssystem-Funktionen des Opfers - 35Heap-Überlaufähnelt Pufferüberlauf
Speicher auf Heap wird angefordert und reserviert
Angreifer schreibt mehr in den Speicher als reserviert wurde
dadurch kann Schadcode in den Speicher des Programms gelangen - 36Formatstring-Angriffegegebene Formatzeichen werden über Parameter gefüllt z.B. printf(,,%s", buffer);
vergessener Formatstring (printf(buffer);) interpretiert buffer als diesen
Ziel: eigenen Formatstring ohne Parameter einschleusen (dann wird nächster Wert vom Stack genommen) und damit beliebige Werte Byte für Byte in den Speicher zu schreiben - 37InjektionsangriffAngreifer liefert nicht vertrauenswürdige Eingaben an ein Programm, das diese verarbeitet und schädliche Effekt hervorruft
Eingaben werden ohne (ausreichende) Validierung weiterverarbeitet
z.B. SQL Injection, XSS - 38SQL Injectionsfügen SQL-ähnliche Strings in Website-Formulare ein, um Datenbankbefehle zu manipulieren
- 39Cross Site Scripting (XSS)injiziert Skripte in Websites, die von Benutzern aufgerufen werden
- 40XSS - non-persistentBenutzereingabe wird sofort vom Server reflektiert dadurch Veränderung des Links
-> Ausführung auf anfragendem Client
modifizierter Link wird dann weitergegeben -> Ausführung im Client-Browser - 41XSS - persistentschädliches Skript wird auf vertrauenswürdigem Webserver gespeichert (speichern z.B. über Gästebücher, Verkaufsanzeigen, Foren)
Aufruf durch Benutzer führt zur Ausführung des Schadcodes - 42Drive-by-Download (Drive-by-Infection)Client wird mit Malware infiziert, indem er eine bösartige Website aufruft
1. Drive-by-Website vorbereiten (Besitz einer Website oder Aneignung legitimer Webserver)
2. Client-Schwachstellen ausnutzen (Aufruf der Website durch Client infiziert Client-Computer mit Exploit-Kit und lädt Payload herunter) - 43Watering Hole AttackWebsites, die von bestimmten Branchen oder Interessengruppen genutzt werden (gezielt)
anders als Commodity: Websites, die von vielen Leuten genutzt werden - 44Exploit-KitsSammlungen von Exploits für Kommerz
Auflistung von Exploits für verschiedene Schwachstellen in gängigen Webbrowsern und Browser-Add-ons
fehlende clientseitige Sicherheitsupdates können zu Drive-by-Download-Angriffen führen - 45Spywarebösartige SW, die darauf ausgelegt ist, in ein System einzudringen, Daten zu sammeln und diese ohne Zustimmung des Besitzers an Dritte weiterzuleiten
Häufig: sicherheitsrelevante oder geschäftskritische Daten
Manchmal: legitime SW, die Daten für kommerzielle Zwecke (Werbung) überwacht - 46Ransomwaresich ständig weiterentwickelnde Malware, die darauf ausgelegt ist, Dateien auf einem Gerät zu verschlüsseln, wodurch alle Dateien und Systeme, die auf ihnen basieren, unbrauchbar werden.
Böswillige Akteure fordern dann Lösegeld im Austausch für die Entschlüsselung
Trend: von Commodity zu gezielten Angriffen - 47CryptominingLösen eines komplexen mathematischen Problems, welches viel Rechenleistung erfordert und mit Kryptowährung vergütet wird
- 48Bösartiger CryptominerMalware, die darauf ausgelegt ist, die ungenutzte Rechenleistung des Geräts eines Opfers zu kapern und zum Mining von Kryptowährung zu nutzen. Die Opfer sind sich der Malware auf ihrem Gerät möglicherweise nicht bewusst.
- 49Scarewaredarauf ausgelegt, den Benutzer zu verunsichern und ihn dazu zu verleiten, schädliche Software zu installieren oder für ein unnützes Produkt zu bezahlen
- 50Antiviren-Software (AV)Programme, die Systeme vor Infektionen/ Installation von Malware schützen
Verwendung: scannen, erkennen, löschen von Viren auf Computern
Name irreführend, da AV auf jede Art von Malware abzielt
für infizierte Systeme oft nutzlos (stattdessen z.B. Entfernungssoftware) - 51AV - ErkennungsmechanismenSignaturen (nur bei bekannten Signaturen)
Heuristiken (verdächtige Muster -> kann unbekannte Malware erkennen, aber auch falsch liegen mit Einschätzung)
Verhalten (Überwachung, Blockieren bei verdächtigem Verhalten)
Sandboxing (Ausführung in sicherer Sandbox, z.B. virtueller Umgebung)
Problem: Angreifer testen ihre Malware gegen weit verbreitete AV - 52Allow & Block ListsBlock List: Listen unerwünschter Software
Allow List: Liste akzeptierter SW, alles andere wird abgelehnt - 53Patcheswerden installiert, um Fehler zu beheben, Sicherheitsprobleme zu lösen oder den Betrieb von Softwaresystemen zu verbessern
- 54Patch-ManagementProzess der Verwaltung von SW-Updates/ Patches für SW-Anwendungen oder
-Systeme
kein einfacher Prozess (braucht Zeit, Absturz oder Nicht-Verfügbarkeit von Systemen, erneute Prüfung nach Patching, zeitabhängig, Patching unzulässig) - 55Patch-Management-Prozess1. Patch-Management als Priorität etablieren
2. Genaue Bestandsaufnahme (alle Komponenten)
3. Wissen über Sicherheitslücken, Schweregrad und Patches (jede Sicherheitslücke könnte ausgenutzt werden, CVE-Websites regelmäßig prüfen)
4. Entwickeln eines Testverfahrens (Patches testen)
5. Verantwortlichkeiten zuweisen
6. Dokumentieren (Tests, Fertigstellung) - 56Schwachstellen-SchweregradCommon Vulnerability Scoring System
Berechnung des Schweregrads einer Schwachstelle
Informationen
- Beschreibung
- Der Nutzer hat seine Fachbereichs-Information gelöscht. Karteikarten am IT-Sicherheit2 - VL3.2, erstellt von Gelöschter Nutzer am 10/07/2024.
- Erstellt von
- Gelöschter Nutzer
- Aufrufe
- 16
- Verlauf
-
- Erstellt von B erry · 9 Jul 2024
- Kopiert von B erry · 10 Jul 2024
- Bewertung