Netzwerksicherheit
Netzwerksicherheit ist kein einzelner feststehender Begriff, sondern umfaßt eine Menge von Teilbereichen, die sich mit folgenden Dingen beschäftigen:
Teilbereiche
- Firewall/DMZ
- Autorisierung
- Authentifizierung
- Freigabe/Vergabe von Ressourcen
- Sicherung von Ressourcen
- Transport von Daten
- Zugangskontrolle
- Überwachung von Rechnern
- Konsistenz von Daten und Diensten
- Software-Updates
Weil die Vernetzung des Internets immer mehr zunimmt, spielt das Thema Netzwerksicherheit auch eine immer größere Rolle. Die Infrastrukturen von Firmen werden komplizierter, immer mehr Informationen müssen online verfügbar sind.
Angriffsmöglichkeiten
So vielfältig wie Netze sind, so vielfältig sind auch die Angriffsmöglichkeiten, auf ein Netzwerk. Hier eine nicht vollständige Liste:
- Angriffe auf bestimmte Software Versionen (Apache, Microsoft IIS) sind mit Hilfe von Buffer Overflows möglich.
- SSH ist in der Version 1 anfällig für Man-In-The-Middle-Attack.
- Fehlerhafte Implementierungen von TCP/IP-Stacks sind anfällig für Fragmentierung-Angriffsmöglichkeiten.
- Programme, die Passwörter im Klarttext übertragen (FTP, HTTP, Telnet, pop3) sind anfällig für Password-Sniffer.
- Dienste können durch einen massiven Einsatz von Netzkapazitäten durch die bloße Bewältigung von Anfragen in die Knie gezwungen werden (DOS oder DDOS Angriffe.)
- Social Enginieering wird die Vorgehensweise, gennant, wenn man eine Person dazu bringt, ein Passwort zu verraten.
- Passwörter können gehackt werden, man spricht in diesem Fall von einer Brute Force Attacke.
- Aus der Außenwelt kommende Daten werden nicht auf ihre Validät überprüft, sondern als "richtig" hingenommen (Tainted Data oder Cross-Site Scripting).
- Wenn Programme ungeachtet ihrer Rechte Dateien überschreiben, ohne vorher die Rechte genau zu überprüfen, dann kann das eine Angriffsfläche für einen Symlink bug sein.
- Mangelhafte Installationen können einen Angriff mit Standard-Passwörtern erfolgreich machen.
- Überflutung mit sinnlosen oder nicht angeforderten Informationen wird entweder als UCE ("unsolicited commercial eMail") oder, wenn ein nicht-kommerzieller Hintergrund vorliegt, als UBE ("unsolicited bulk eMail") bezeichnet. Der allgemeine Begriff dafür ist SPAM.
- Fortschreitende "featuritis" oder allgemeine konzeptionelle Mangel im Sicherheitskonzept von (Teil-)Systemen können einen nährhaften Boden für Würmer, Trojaner, 0190-Dialer oder Viren darstellen.
Ebenso wie der Begriff Netzwerksicherheit nicht festehend ist, ist die Netzwerksicherheit an sich auch kein fester Zustand, sondern etwas, was sich mit dem Anforderungen weiter entwickeln muss.
Vorsorge
Die Vorsorge-Maßnahmen sind ebenso vielfältig, wie die Angriffsmöglichkeiten. Mit Hilfe von Authentifizierung werden die Rechte von Benutzern eingeschränkt und zugewiesen Authorisierung. Aufgrund der unterschiedlichen Teilsysteme eines Netzwerkes sind allerdings eine Vielzahl von Identifikationen nötig. Die Authentifizierung an einen Computer gibt einem verschiedene Zugriffsrechte auf die Dateien des Rechners, aber die im Netzwerk vorhandene Datenbank verlangt eine andere Art von Authentifizierung. Dies erhöht einerseits natürlich die Sicherheit (jemand der sich Zugang zu einem Rechner verschafft, hat damit nicht automatisch auch noch Zugang zu der Datenbank), der User ist jedoch gezwungen, sich mehrere Passwörter zu merken. Firewalls bzw. Packet-Filter und DMZs nehmen eine Autorisierung anhand der TCP/IP-Adresse vor und unterbinden eine Kontaktebene auf der Ebene von TCP/IP.