Das Internet bietet längst kein freundliches Umfeld mehr; mit der
zunehmenden Kommerzialisierung ab Mitte der 90er Jahre nahm auch die
Kriminalität zu. Internet-Teilnehmer sehen sich heute einer Vielzahl von
Bedrohungen ausgesetzt, deren Abwehr bereits jetzt viel zu zeitaufwändig
ist; deren wohl harmloseste ist Spam, gefährlicher sind Viren, Trojaner
und Würmer; bedenklich ist das das Aushöhlen der Privatspäre und das
damit verbundene Unterlaufen aller Grundsätze des Datenschutzes. Für
Netzwerk- und Systemadministratoren stellt sich die Situation noch
weitaus kritischer dar: Angriffe aus dem Internet können ganze
Firmenexistenzen zerstören. Zunehmend offensive Awehrmassnahmen,
angefangen von mehrstufigen Firewalls über IDS-/IRS-Systeme und
restiriktive Sicherheitsrichtlinien sind die Folge.
Benutzer von P2P-Anwendungen sehen sich konfrontiert mit einem um ein
Vielfaches potenzierten Risiko: Wer bisher Daten nur von als
vertrauswürdig eingestuften Websites und FTP-Servern herunterlud und die
Signuturen seines Virenscanners regelmässig aktualisierte lebte mit
einem kalkulierbaren Restrisiko. Erfahrene Anwender von Usenet und IRC
haben längere Erfahrungen mit einer anonymen Gruppe von Kommunikations-
und Tauschpartnern; hier haben sich eigene Regeln etabliert, um das
Gegenüber als vertrauenswürdig einzustufen -- oder es doch lieber
bleiben zu lassen. In P2P-Tauschbörsen à la Morpheus und KaZaA weiss man
i.d.R. überhaupt nicht mehr, mit wem man es zu tun hat. Jede
heruntergeladene Datei kann ein Fake sein oder Viren enthalten. Auch
Administratoren wissen ein Lied zu singen von Anwendern im LAN, die sich
über eine Tauschbörse Viren eingefangen haben -- was unter Windows
aussieht wie <dateiname.mp3> muss keine MP3-Datei sein, ohne
entsprechende Konfiguration des Desktops und nähere Prüfung kann es sich
auch um malicious code in <dateiname.mp3.vbs> handeln, falls
standardmässig die Anzeige der Extension deaktiviert ist. Auch einfache
Firewalls helfen hier nur wenig, da mittlerweile nahezu alle
P2P-Anwendungen problemlos über den meist für http freigeschalteten Port
80 gehen können.
Geradezu als perfide erweisen sich P2P-Anwendungen, die Spyware ins
System einschleusen, von denen bisher niemand mit Sicherheit zu sagen
bereit oder in der Lage ist, was sie eigentlich tun. Mittlerweile sind
sogar Fälle bekannt geworden, in denen angeblich nicht einmal der
Anbieter der Software von den verborgenen Funktionen der kleinen
"Add-ons" wusste, die er zur Finanzierung seines Produkts der
Installation beifügte.
Auch nicht viel besser sieht es bei anderen P2P-Anwendungen aus;
Instant Messenger wie ICQ spammen den Benutzer zu mit unerwünschten
Werbemitteilungen und die Arbeit, die ein Distributed-Computation-Client
verrichtet kann der Normalanwender überhaupt nicht nachvollziehen. Lässt
er seinen Rechner für ein gemeinnütziges Projekt zum Finden eines
Wirkstoffs gegen Milzbrand arbeiten, oder hilft er mit, eine neue
Atombombe zu berechnen?
Im Folgenden werden einige Ansätze vorgestellt, um dem Treiben von
P2P-Anwendungen auf die Schliche zu kommen.
Details:
- Tools - Exemplarische Auswahl
einige Tools für Monitoring und Analyse.
- Security -
Detaillierte Informationen über Sicherheit in vernetzten Umgebungen.
"Obskure Anwendungen" sind Programme oder Codefragmente aus
möglicherweise nicht verrtauenswürdigen Quellen.
Es gibt zwei Grundsätze im Umgang mit obskuren Anwendungen:
- Bemerkt der User ungewöhnliche Netzwerkaktivitäten, wird
der "Draht" sofort physikalisch unterbrochen, entweder durch
Abziehen des Netzwerkkabels aus der Netzwerkkarte oder des
Modemkabels aus der Telefonbuchse.
Ohne Netzwerkverbindung kann der Schaden für ein LAN oder durch
einen möglicherweise unwissentlich von dem eigenen Rechner
ausgeführen Angriff auf einen fremden Host im Internet
möglicherweise noch begrenzt werden. Ohne Netzwerkverbindung kann
auch die forensische Analyse gefahrlos durchgeführt werden.
- Bemerkt der User ungewöhnliche Aktivitäten auf seinem Rechner
-- beispielsweise übermässige Festplattenaktivität oder anhaltende
Vollast der CPU -- wird der Rechner ausgeschaltet, notfalls durch
Abziehen des Netzsteckers.
Jetzt kann beispielsweise die Festplatte in einen anderen Rechner
eingebaut und untersucht werden. Falls gerade eine Datenmanipulation
begonen hat, können möglicherweise noch einige Daten gerettet
werden.
Ausnahmen von diesen Regel gibt es nicht, es sei denn, der
betreffende Rechner dient ausschliesslich der Analyse der obskuren
Anwendung (z.B. Honeypot oder Honeynet).
