Auch Hacker hinterlassen Spuren im System!

Anbieter zum Thema

PresseBox - unn | UNITED NEWS NETWORK GmbH

Aagon GmbH

sysob IT-Distribution GmbH & Co. KG

Angriffsmöglichkeiten und deren Spuren

Oftmals bietet ein Portscan die Möglichkeit, Informationen zu einem zukünftigen Opfersystem zu erfahren. Dabei ist es durchaus denkbar, dass ein Wurm, der für Apache Server konfiguriert wurde, auf die Reise geschickt wird, um ein System zu kompromittieren. Diese Informationen sind mit diversen Security Scannern (z.B. nmap) zu erfahren und bieten Angreifern aber auch Administratoren die Chance, mehr über das eigene oder über ein Opfersystem in Erfahrung zu bringen.

So sind z.B. falsch konfigurierte Samba Shares oder gar Dienste wie Telnet offene Einfallstore und können von außen durch offene Ports erkannt werden. Ein Angreifer hat nun die Möglichkeit, dazu passend einen Exploit aus dem Internet zu laden und diesen auf dem Opfersystem zu benutzen. Mittels eines Buffer Overflow gelangt ein Angreifer in das Privileg, höhere Rechte auf einem betroffenen System zu erlangen. Damit ist bereits der Status erreicht, in dem sich der Angreifer ungehindert in einem System bewegen und es auskundschaften kann. Angreifer nutzen sehr häufig die Möglichkeit eines so genannten OS-Fingerprint, um an Details zu gelangen. Ein mögliches Beispiel ist:

~# nmap -O 213.33x.3x.xx.

Der Angreifer kann damit Details über das Opfersystem erhalten und sich gezielt auf die Suche nach Schwachstellen machen, die auf dem System vorhanden sein können.

Bei der Hacker-Jagd sollte man nie von der Dummheit des Angreifers ausgehen

Grundsätzlich sei hier zu beachten, dass ein System zunächst einmal von der Verbindung zum Netzwerk und/oder Internet getrennt sein sollte. Somit ist gewährleistet, dass im Falle eines erfolgreichen Angriffes niemand mehr außer Sie Zugriff hat. Angreifer haben genau wie Sie selbst die Möglichkeit, ein System zu manipulieren, um Spuren zu verwischen. Ein Angreifer hat natürlich das wesentlich größere Interesse daran.

Man sollte niemals mit der „Dummheit“ eines Angreifers rechnen und nicht davon ausgehen, dass dieser auch entsprechende Spuren im System hinterlässt. Generell jedoch darf man unterstellen, dass ein attackiertes System sich anders verhält als unter normalen Betriebsumständen. Es gibt spürbare und sichtbare Anzeichen, auf die man bereits im Leerlaufbetrieb achten kann. Beispielsweise könnte die Prozessorlast deutlich über einem Normalwert liegen oder die Festplatte deutlich mehr Aktivität als im normalen Betriebszustand zeigen.

Oftmals verwenden Angreifer den internen Mailserver, um sich Daten nach außen zu senden, die dann über /var/spool/mail/user einzusehen sind. Hier ist zu prüfen, in wie fern dort Mails hinterlegt oder gesendet wurden, die definitiv nicht durch den Admin oder User versendet wurden. Auch ein ständiger Traffic auf der aktiven Netzwerkschnittstelle (eth0, eth1 etc.) kann ein Anzeichen eines erfolgreichen Angriffs sein. Hierbei ist davon auszugehen, dass der Angreifer das System noch aktiv nutzt.

Seite 3: Einbruchserkennung: Logfiles verraten den Angreifer

(ID:2012403)