Dirk Wetter @ Dr. Wetter IT-Consulting, ()

Open Source und IT-SicherheitHamburg
Secure Linux Administration Conference 2, Berlin, 6.-7.12.2007
3/353/52
I. Einleitung II. Begriffe+Arbeitsweise III. Verdacht erkennen + erhärten IV. Beweissicherung V. Vorbeugen ist besser als...
Incident Response d. CF = bis vor P.M.-Analyse
Methodik
einfache Problemstellung kein RAID, DB, ATA-HPA/DCO, -SE keine Tatortsicherung
Um was geht's?
Unterscheidet:
Live-Forensik
Post-Mortem-Forensik
Forensik allgemein a. Begriffe
systematisch
kriminell
identifizieren
Es geht um Digitale Beweise
gerichtliche Verwertbarkeit
Schaden
Jeder und alles am Tatort
nimmt etwas mit und lässt
etwas zurück.
Disclaimer: Ich bin kein Anwalt
Freistellungsauftrag ;-) a. Begriffe
sorgfältig! Flüchtiges zuerst sichern
Umgang mit Beweisen b. Arbeitsweise
10/3510/52
Dokumentation, Hintergrund
Beschuldigten/Angeklagten
Dokumentation, technisch
digital: date(1) [2x]
script(1), screen(1): log*
Einen Plan/Strategie haben (ggf. machen!)
Firma (Sicherheitsrichtlinien, Notfallkonzept)
Notfallkonzept
Sicherheitsvorfällen
erstes RK: 1990 für SunOS 4.1.1
Rootkit manipuliert:
A) häufig Kernel-RK:
B) seltener reines User-Level-RK
a. Verdachtserkennung
Artenvielfalt Rootkits
Erkennung nicht trivial
IDS (Host, Netzwerk)
Mirror Port
„Hubbing out“
b. Verdachtserhärtung
Timeline-Analyse: Rekonstruktion: wann was passiert ist atime, mtime, ctime
...
19/3519/52
... ist die Mutter des Forensikers find / | xargs strings h8ckm3 >/sbin/datei.log
mount o remount,noatime <dir>
Libs
Kernel
20/3520/52
→ Externe Tools!
statisch gelinkt:
hacked:/mnt/StaticBinaries/linux_x86 0# ldd uptime
not a dynamic executable
uptime: [...], statically linked, stripped
keine Solaris-Bins mehr (Windows: ja)
procget, pcat, pd
evtl. selbst erweitern!
mount <HelixCD> /mnt
unset LD_LIBRARY_PATH (LD_PRELOAD)
last aix / who a / ps efwly
fehlt MARK im Syslog (läuft Dämon?), dmesg anschauen
ls la /root/.*history* (Länge Null? Link /dev/null? Anschauen!)
ls la /home/*/.*history*, u.a. Benutzer wie www*
ifconfig | grep PROMISC
(debsums s für Debian-Dialekte)
Log-Dateien im Netz:
24/3524/52
ok. Jetzt weiß ich: Rechner ist kompromittiert.
Und nun?
CERT involvieren
Daten sichern
i.e. „Dead Acquisition“
Prinzipiell auch möglich:
Erst forensische Duplikation
Dann außer Betrieb
Skepsis wegen Kernel
Beweissicherung
was one of the reasons why the snug pla-
stic cover it fitted into had the words
DON'T PANIC printed on it in large friendly
letters. The other reason was that this de-
vice was in fact that most remarkable of all
books ever to come out of the great pu-
blishing corporations of Ursa Minor - The Hitchhiker's Guide to the Galaxy.
a. Vorgehensweise
b. Flüchtige Daten sichern
Tools:
Info + Status
Verschlüsselte Dateisysteme (!)
(ggf. Swap)
USB/Firewire (ext. Platte, -Stick: /dev/kcore)
Einfach
netcat: „Schweizer Forensikmesser I“ fws:/forensik/case1 0# netcat lp 42 >datei.txt
hacked:~ 0# cat /proc/version | netcat fws 42
Nachteil: Empfänger weiß nichts von Senderdateiname netcat: unverschlüsselt/-authenifiziert besser:
• cryptcat (k passphrase) (Blowfish)
• [sbd, aesnetcat, ncat (Proxy, AES, ...)]
Netz: ifconfig a, arp a, arp n, netstat atunp,
lsof i Pn, iptablessave
Status: uptime, dmesg, sysctl A, (evtl. who, last)
33/3533/52
/proc:
devices, uptime, diskstats, misc, ...
geht immer & spart Platz: gzip c
ggf.: Krypto-Dateisysteme sichern
34/3534/52
Runterfahren:
Modifiziert nicht wenige (*.pid, *log, ..)
Unvorhersagbar: Reallozierung Platz gelöschter Dateien
Ausschalten:
ggf: SYSRQ-[S,S,U,B*] (ggf sysctl w kernel.sysrq=1)
SYSRQ-[T,M,P] via Konsole
c. Rechner außer Betrieb
d. Forensische Kopie
In-situ (am Objekt)
Platte (=Beweis) ausbauen+mitnehmen
(Profis: Write-Blocker)
Die ganze Platte!
fws:~ 0# mmls /dev/sdb
Slot Start End Length Description
00: 0000000000 0000000000 0000000001 Primary Table (#0)
[...]
22: 07:00 0196780248 0213552044 0016771797 Linux LVol.Manager (0x8e)
23: 0213552045 0234441647 0020889603 Unallocated
fws:~ 0# fdisk u l /dev/sdb
[...]
/dev/sdb8 188956593 196780184 3911796 83 Linux
/dev/sdb9 196780248 213552044 8385898+ 8e Linux LVM
Partition table entries are not in disk order
frnsws:~ 0# dd if=/dev/sdb skip=213552045 count=1 | xxd
1+0 records in
1+0 records out
[...]
Frisches Dateisystem auf Sicherungsplatte
$sum /dev/hdX >/mnt/hdX.$sum
$dd (disk dump):
„Standard-dd“ (fileutils): conv=noerror
dd_rescue: besser bei Lesefehler und Spulen (Kurt Garloff @ Suse)
dcfldd
Forensik Acquisition dd: Zeitstempel plus Prüfsumme leider kein Quellcode, Linux-Support?
Schweizer Forensik-Messer II
dcfldd host:~|0% dcfldd if=/dev/urandom of=/dev/null \
count=768 hash=sha256
256 blocks (8Mb) written.
512 blocks (16Mb) written.
d45da2b9de6ba3fe8661c8d75af8aa61d65b479f6143284f55
Eigene „Imager“ (u.v.m.)
EnCase (prop. Format)
(Linux P.M.-Tools
)
Nun:
Zeitgleich/danach:
Patch-Policy:
Firma
Admin
aptget dryrun upgrade 2>&1
Suse/SLES: zypper patches | grep "| Needed"
RedHat/Fedora: yum update (update u RHEL2-4)
Nicht 4200 Hosts zur selben Zeit ;-)
Nachsicht
Patches!
45/3545/52
KISS: Automatisieren (Installationen, Maintenance, Checks, ...)
Wenig „selbstgeb(r)autes“
Bastion-Host für Logs (Backups)
zentrales Host-IDS (file integrity)
AIDE, Tripwire von Bastian-Host: Master-DB: Remote (oder CD) Remote Execution (SSH-Key)
Weniger ist mehr: SUID-root-Dateien find / perm +4000 Eintrittsvektor-Binaries (Server-Dienste) übliche User-RK-Verdächtige: ps, ls, netstat, ldlinux.so,
libc, top, kill(all) (lsof, strace ...) wichtige configs u.a.: /etc/{hosts,shadow,
modprobe.conf,ssh/,syslogng/, ...}
Nachsicht
47/3547/52
für exponierte Rechner/Dienste:
Applikationsebene
z.B. Suhosin, Quellcode-Audit-Werkzeuge
beagle und Freunde:
atime
www.forensicswiki.org
www.forinsect.de/forensics/forensics-tools.html
www.dfrws.org (Forensik-Konferenz)
www.porcupine.org/forensics/forensic-discovery/
Dirk Wetter @ Dr. Wetter IT-Consulting [email protected]
Sicherheitsanalysen, Digitale Forensik

Dirk Wetter @ Dr. Wetter IT-Consulting, ()

Text of Dirk Wetter @ Dr. Wetter IT-Consulting, ()

4a: Meteo : Wetter

STADT WETTER (RUHR)

ITSM Best Practice Day 2015 · ITSM Consulting AG Leiter Education Coming soon Dirk Zimmermann Deutsche Post DHL Vice President myNet Program Management Informationssicherheit –

Von einem, der auszog seinen eigenen SSL/TLS-Checker zu … · 2020-01-17 · eigenen SSL/TLS-Checker zu schreiben Dirk Wetter Von einem, der auszog seinen eigenen SSL/TLS-Checker

Oracle Anlagenspiegel in 11i · PDF fileOracle EBS 11i und deutscher Anlagenspiegel - möglich? DOAG 2011 - Applications, Berlin, 3. Mai.2011 Dirk Blaurock, Dirk Blaurock IT Consulting,

Wetter 12 13

Dr. Wetter IT-Consulting, HamburgEnterprise-Distributionen Achtung, jetzt wird's einfacher ;-) SW-Support 5-7 Jahre Kosten dafür pro Jahr und pro Knoten Zusätzlich Case-Support von

Extremes Wetter – Pass auf Dich auf ! Folie 1 11/2009 EXTREMES WETTER – Kälte

Hinweise zum Wetter-Paket - Unterrichtsmaterial zum … · Wetter-Uhr Wetter-Drehscheibe Wetter-Tagebuch zur Wetterbeobachtung Wetterw rter-Sammlung Lapbook-Elemente Wettersymbole

Von einem, der auszog seinen eigenen SSL/TLS …_der... · be run on my server. ... OWASP-Stammtisch Hamburg 6.10. 2015, © Dirk Wetter, see 1st slide Es wird langsam kompliziert

Wetter in München

Wetter Bilder

Testing SSL - Dr. Wetterdrwetter.eu/talks/testing_SSL-bsideshh2015.pdf · Testing SSL Dirk Wetter (d0rk) Testing SSL ... Pentesting: ... BSidesHH2015 28.12.2015 © Dirk Wetter, see

Wie ist das Wetter? Es regnet.. Wie ist das Wetter? Es schneit

Dr. Dirk Wetter, () Hamburg

EXTREMES WETTER – Kälte

Das Wetter Wie ist das Wetter heute? Es ist windig

Das Wetter

Loudoun County Public Schools€¦ · Wie ist das Wetter in Virginia im Frühling? Wie findest du kaltes Wetter? Wie findest du sonniges Wetter? Wie findest du windiges Wetter? Wie

WETTER JAHRESZEITEN

Das Wetter Von Milian, Ozzy, Rodi, Julian. Wetter oder Klima Wetter…. ist der Augenblickliche Zustand von Luftdruck, Niederschläge, Temperatur, Wind und

EXTREMES WETTER – Hitze Stand: 12/2010 EXTREMES WETTER – Hitze

Oracle EBS Rollout auf Amerikanisch...Oracle EBS Rollout auf Amerikanisch DOAG 2011 - Applications, Berlin, 4. Mai.2011 Dirk Blaurock, Dirk Blaurock IT Consulting, Pinneberg Stream:

Das WETTER in PARIS by parisinfo.de Paris Wetter und Wettervorhersage © parisinfo.de

Docker Threat Modeling und OWASP Docker Top 10OWASP_KA Stammtisch, 1.7.2019 © Dirk Wetter CC 4.0 BY-NC-SA 2nd: Network / Orchestration – CoreOS, etcd @ tcp/2379 Threat modeling

Jahreszeiten und Wetter

Das Wetter Wie ist das Wetter ?

Fotografieren mit Wind und Wetter – Wetter verstehen und

Salt wetter, swiet wetter, over zoetwatervoorziening vroeger, met name in Noordoost Friesland

Erfahrungsbericht Agile/Scrumin ERP Projekten · Erfahrungsbericht Agile/Scrumin ERP Projekten Dirk Blaurock Dirk Blaurock IT Consulting, Pinneberg Nürnberg 21.11.2017

Documents

Dirk Wetter @ Dr. Wetter IT-Consulting, ()

Text of Dirk Wetter @ Dr. Wetter IT-Consulting, ()