Mobile-Menu

Netzwerk-Schwachstellen finden Google Nogotofail und andere Security-Testing-Tools

Von Thomas Joos |

Anbieter zum Thema

FTAPI Software GmbH
Pathlock Deutschland | akquinet enterprise solutions GmbH

Google nutzt ein Tool namens „Nogotofail“, um das eigene Netzwerk auf bekannte Schwachstellen zu testen. Das Werkzeug bekämpft vor allem Sicherheitslücken wie Heartbleed. Vor diesem Hintergrund gibt es aber noch andere Tools, mit denen sich Administratoren auseinandersetzen sollten.

Mehrere große Web-Service-Anbieter stellen ihre eigenen Security-Testing-Werkzeuge zum Download bereit.
Mehrere große Web-Service-Anbieter stellen ihre eigenen Security-Testing-Werkzeuge zum Download bereit.
(Bild: Archiv)

Nogotofail wurde vom Android-Sicherheitsteam entwickelt und steht der Allgemeinheit mittlerweile kostenlos zur Verfügung. Mit dem Tool will Google dafür sorgen, dass IT-Spezialisten die Webdienste und -Prozesse im Internet sicherer zur Verfügung stellen können. Hintergrund der Freigabe der Google-internen Anwendung sind drei Dinge:

  • 1. Aufdecken von Sicherheitslücken.
  • 2. Sicherstellen, dass Webdienste so sicher wie möglich konfiguriert sind.
  • 3. Verstehen, welcher Netzwerkverkehr beim Zugreifen auf Webdienste stattfindet.

Google Nogotofail lässt sich kostenlos über Github herunterladen. Damit Administratoren Netzwerke und Webseite auf Sicherheitslücken testen können, wird Linux benötigt. Außerdem müssen Administratoren Python 2.7 und pyOpenSSL ab Version 0.13 auf dem Server zur Verfügung haben. Zusätzlich nutzt das Tool auch IPTables auf dem Server. Ein Linux-Server ist also Voraussetzung.

Nogotofail nutzt Man-in-the-Middle-Attacken (MITM) auf Webseiten, Router und Rechnern im Netzwerk. Auch VPN-, Proxy- und Exchange-Server lassen sich testen. Im Grunde genommen gibt es keinerlei Einschränkungen, welche Dienste oder Betriebssysteme getestet werden. Das Tool überprüft, ob auf den Geräten und Webdiensten Sicherheitslücken vorhanden sind. Für die Nutzung sind allerdings einige Linux-Kenntnisse vonnöten.

Nogotofail kann alle mit dem Internet verbundenen Geräte auf Sicherheitslücken testen. Entwickler und Administratoren können also sicherstellen, dass interne Netze und mit dem Internet verbundene Geräte nicht durch gravierende Sicherheitslücken gefährdet sind. Daher ist der Einsatz vor allem in Netzwerken sinnvoll, in denen verstärkt auf die Zusammenarbeit mit dem Internet gesetzt wird.

Mit Nogotofail mehr Sicherheit im Netzwerk

Nogotofail ist kein einfaches Port-Testing-Tool, sondern verwendet Deep Packet Inspection. Das Tool unterbricht aber keine Dienste, sondern testet den Datenverkehr nur sporadisch auf Angriffspunkte, genauso wie es Angreifer machen. Geübte Administratoren können die Angriffe aber auch intensivieren. Dabei kann es aber passieren, dass Anwender von den getesteten Geräten getrennt werden.

Um Nogotofail nutzen zu können, müssen Administratoren also zunächst den entsprechenden Rechner aktualisieren. Hierzu dient unter CentOS beispielsweise der Befehl „yum -y update“. Bei diesem Vorgang werden auf dem Test-Linux-Rechner zunächst alle wichtigen Systembereiche und Apps aktualisiert.

Nogotofail benötigt für den Betrieb ein Zertifikat.
Nogotofail benötigt für den Betrieb ein Zertifikat.
(Bild: Thomas Joos)

Für den Betrieb von Nogotofail wird außerdem ein Zertifikat benötigt. Hier besteht die Möglichkeit, auf ein selbst signiertes Zertifikat zu setzen. Die generelle Vorgehensweise dazu zeigt Google in der Anleitung zu Notgotofail.

In produktiven Umgebungen sollte darauf geachtet werden, dass das Tool über alle notwendigen Zertifikate verfügt und den entsprechenden Zertifizierungsstellen auch vertraut. Ein selbst signiertes Zertifikat rufen Administratoren zum Beispiel mit folgendem Befehl ab:

openssl req -x509 -newkey rsa:2048 -sha256 -subj "/CN=mitm.nogotofail/" -nodes -keyout server.crt -out server.crt

Nogotofail überprüft mit einem Client die Netzwerkverbindung und informiert direkt über gefundene Schwachstellen. Grundsätzlich ist es empfehlenswert, dass Administratoren, die Serverdienste im Netzwerk einsetzen, mit Nogotfail arbeiten und den Sicherheits-Dienst im Netzwerk installieren. Um die Software zu installieren, zum Beispiel auf einem Ubuntu-Server, gehen Administratoren folgendermaßen vor:

  • 2. Danach wird das Archiv extrahiert und in das Verzeichnis gewechselt.
  • 3. Die folgende Software muss auf dem Server installiert sein: python, python-openssl, python-psutil, und python-setuptools.
  • 4. Danach werden folgende Befehle ausgeführt:
python setup.py buildsudo python setup.py install

Es gibt aber eine Vielzahl weiterer Installationsmöglichkeiten. Hier hilft ein Blick in die Google-Gruppe zu Nogotofail. Wer meint, das Tool sei schnell einmal installiert, der irrt. Selbst erfahrene Administratoren und Entwickler müssen sich erst in Nogotofail einarbeiten, um Tests erstellen zu können. Das Tool ist eher für den dauerhaften Betrieb geeignet, nicht für schnelle Tests.

OSquery, Security Monkeys, Scumblr, Workflowable und Sketchy

Neben Google, arbeiten natürlich auch andere Online-Dienste an Security-Tools, welche die bekannten Sicherheitslücken in SSL-Zertifikaten aufdecken. Facebook stellt das Open-Source-Tool OSquery zur Verfügung, mit dem sich die Sicherheit von Betriebssystemen testen lässt. Allerdings setzt auch dieses Tool einiges an Fachwissen voraus.

Netflix bietet mit Chaos Monkey und Janitor Monkey Tools für die Sicherheits-Analyse an. Darüber hinaus bieten die Netflix-Entwickler noch die Tools Scumblr, Workflowable und sketchy. Auch diese Tools helfen bei der Verwaltung und Verbesserung von Web-Diensten.

Wie Nogotfail setzen die Tools etwas Einarbeitungszeit voraus. Der Einsatz lohnt sich vor allem dann, wenn sichergestellt werden soll, dass Webdienste sicher zur Verfügung stehen und Administratoren für die Tests auch Zeit erhalten. Die Vorteile und Möglichkeiten der Tools zeigt Netflix im unten eingebundenen Video.

Jetzt Newsletter abonnieren

Täglich die wichtigsten Infos zur IT-Sicherheit

Mit Klick auf „Newsletter abonnieren“ erkläre ich mich mit der Verarbeitung und Nutzung meiner Daten gemäß Einwilligungserklärung (bitte aufklappen für Details) einverstanden und akzeptiere die Nutzungsbedingungen. Weitere Informationen finde ich in unserer Datenschutzerklärung.

Aufklappen für Details zu Ihrer Einwilligung

Weitere Heartbleed-Tests online nutzen

Mit Webdiensten lassen sich veröffentlichte Webseiten auf Sicherheitslücken überprüfen.
Mit Webdiensten lassen sich veröffentlichte Webseiten auf Sicherheitslücken überprüfen.
(Bild: Thomas Joos)

Neben Nogotofail sollten Administratoren aber auch mindestens die beiden Onlinedienste Filippo und Possible nutzen. Diese beiden Seiten sind vor allem dann sinnvoll, wenn Unternehmen Webdienste wie Exchange im Internet veröffentlichen. Anwender können wiederum Webseiten auf diese Lücken überprüfen.

Erhalten Anwender die Meldung, dass eine Webseite unsicher ist, sollte sofort das Kennwort auf dieser Seite geändert werden, wenn Benutzerdaten vorhanden sind. Wurden noch keine Benutzerdaten auf dem Rechner gespeichert, sollten Anwender das auch nicht machen. Administratoren und Entwickler sollten solche Seiten sofort vom Netz nehmen und die Sicherheit der Seite überprüfen.

Fazit

Um Webdienste wie eigene Webseiten, Cloud-Dienste, Exchange, SharePoint und andere Server-Anwendungen sicher im Internet zur Verfügung zu stellen, gehört einiges Fachwissen. Tools, wie Nogotofail helfen, dabei das Wissen um den Netzwerkverkehr zu erhöhen, und können gleichzeitig die Sicherheit der Webdienste sicherstellen.

Administratoren muss aber klar sein, dass die Einarbeitung und Einrichtung etwas dauert. Sobald das System in Einsatz ist, lassen sich schnell weitere Dienste anbinden, aber die ersten Schritte mit den hier erwähnten Tools sind langwierig und die Installation ist alles andere als einfach. Der Einsatz lohnt sich aber.

(ID:43479391)

Weiterführende Inhalte