M 2.68 Sicherheitskontrollen durch die Benutzer beim Einsatz von Peer-to-Peer-Diensten
Verantwortlich für Initiierung: Leiter IT, IT-Sicherheitsmanagement
Verantwortlich für Umsetzung: Benutzer
Da beim Einsatz von Peer-to-Peer-Diensten die wesentlichen Sicherheitseigenschaften lediglich dezentral kontrolliert werden können, obliegt es dem einzelnen Benutzer, solche Sicherheitskontrollen durchzuführen. In geeigneten Abständen sollten daher von den Benutzern folgende Kontrollen durchgeführt werden:
- Kontrolle aktiver Verbindungen: Es sollte überprüft werden, welcher Rechner aktuell Zugriff auf den eigenen Rechner hat und wie die Art des Zugriffs erfolgt. Hierzu kann
- unter WfW das Programm Netzwerkmonitor in der Programmgruppe Netzwerk,
- unter Windows 95 das optional installierbare Programm Netzwerkmonitor in der Programmgruppe Zubehör\Systemprogramme,
- unter Windows NT die Systemsteuerungsoption Server und
- unter Windows 2000 das MMC-Snap-in Freigegebene Ordner (Sitzungen und Geöffnete Dateien)
- verwendet werden.
Beispiel:
Abbildung: Netzwerkmonitor
- Erkennbar sind die vom Rechner MUSTER aufgebauten Verbindungen. Dabei bedeutet:
INFOS | Es wird auf das Verzeichnis INFOS schreibend zugegriffen. |
TEMP | Es wird auf das Verzeichnis TEMP lesend zugegriffen. |
HP$ | Auf den lokalen Drucker mit dem Namen HP$ wird zugegriffen. |
CLIPSRV/SYSTEM | Eine Verbindung zur Ablagemappe wurde hergestellt. |
CLIPSRV/$SEITE12 | Auf die Seite mit Namen SEITE12 der Ablagemappe wird zugegriffen. |
- Zeigt sich dabei, dass ein Rechner unberechtigt auf ein Verzeichnis oder den Drucker zugreift, ist die Freigabe rückgängig zu machen. Eventuelle Druckjobs können über den Druckmanager abgebrochen werden. Im Ereignisprotokoll (siehe nächste Grafik) werden die entsprechenden Aktionen dokumentiert. Zeigt sich, dass unberechtigt auf die Ablagemappe zugegriffen wird, ist ebenfalls zu trennen, jedoch empfiehlt es sich vorher mit der Druck-Taste den Fensterinhalt des Netzwerkmonitors in die Zwischenablage zu kopieren, da Zugriffe auf die Ablagemappe nicht dokumentiert werden.
- Kontrolle der Protokolldaten: Sind auf einem Rechner Ressourcen freigegeben, sollte das Ereignisprotokoll aktiviert und regelmäßig ausgewertet werden. Die entsprechenden Optionen finden sich
- unter WfW in der Programmgruppe Systemsteuerung unter Netzwerk bzw. in der Programmgruppe Netzwerk unter Netzwerkmonitor,
- unter Windows NT in der Programmgruppe Verwaltung unter Benutzer-Manager bzw. unter Ereignisanzeige und
- unter Windows 2000 in den MMC-Snap-ins Gruppenrichtlinien und Ereignisanzeige.
Windows 95 bietet standardmäßig keine Möglichkeit zur Ereignisprotokollierung. Daher sollte unter Windows 95 der Netzwerkmonitor offen gehalten werden, falls trotz dieser Schwachstelle die Peer-to-Peer-Funktionalitäten genutzt werden sollen.
Es sollte regelmäßig, beispielsweise wöchentlich, überprüft werden, ob sich unberechtigte Benutzer mit freigegebenen Verzeichnissen verbunden hatten, ob es fehlerhafte Versuche zum Verbinden freigegebener Verzeichnisse gab oder ob das System zu ungewöhnlichen Zeiten gestartet wurde. Da diese Protokolldaten auch personenbezogene Daten beinhalten, sind sie nach ihrer Auswertung, wenn die Notwendigkeit der Speicherung nicht mehr besteht, zu löschen.
Beispiel für ein mögliches Ereignisprotokoll:
Abbildung: Beispiel für ein mögliches Ereignisprotokoll
- Kontrolle automatisch freigegebener Ressourcen: Sporadisch sollten WfW- und Windows 95-Benutzer überprüfen, welche ihrer Ressourcen automatisch nach dem Systemstart ohne ihre direkte Beteiligung freigegeben werden. Dies kann zum Beispiel dadurch erfolgen, dass sie nach Systemstart kontrollieren, welche Verzeichnisse, Drucker und Seiten der Ablagemappe dann freigegeben sind. Ggf. ist die Freigabe zurückzunehmen. Unerklärliche Unregelmäßigkeiten, wie die automatische Freigabe eines Verzeichnisses, das der Benutzer selbst nie freigegeben hat, sind dem Administrator zu melden. Es kann sich hier um Hinweise auf Trojanische Pferde handeln, die unbemerkt Verzeichnisse freigeben.
Besteht Unsicherheit darüber, ob oder was freigegeben wurde, sollte unter WfW die Datei shares.pwl gelöscht werden, die die Einträge für die automatische Freigabe enthält. Unter Windows 95 sind die Freigaben mit Hilfe des Explorers zurückzunehmen. Dieses Problem stellt sich unter Windows NT/2000 nicht, da hier nur Administratoren bzw. Hauptbenutzer Ressourcen freigeben dürfen.
Eine Kontrolle der Rechtevergabe ist in einem Peer-to-Peer-Netz unter WfW nicht auf direktem Wege möglich, da die Kenntnis eines gültigen Passwortes gleichbedeutend mit dem Besitz des Rechtes ist. Lediglich durch einen aufwendigen Passwortwechsel kann eine konsistente Rechteverteilung sichergestellt werden.
Auf IT-Systemen unter Unix oder Linux sollten die Sicherheitskontrollen durch geeignete administrative Maßnahmen unterstützt und vereinfacht werden. Hierzu wird empfohlen, regelmäßig Informationen über die aktiven Netzverbindungen zu sammeln (beispielsweise unter Benutzung des Befehls netstat) und in einer Protokolldatei zu speichern. Es bietet sich an, diesen Vorgang mit Hilfe des cron-Daemons zu automatisieren. Um das Datenvolumen zu minimieren, sollten dabei irrelevante Informationen herausgefiltert werden. Je nach Kenntnisstand der Benutzer sollten die Protokolldaten dann entweder durch die Benutzer selbst kontrolliert oder in regelmäßigen Abständen dem Administrator zur Verfügung gestellt werden. In ähnlicher Weise kann mit anderen Protokolldateien verfahren werden, in denen beispielsweise fehlgeschlagene Login-Versuche oder andere sicherheitsrelevanten Ereignisse festgehalten werden.
Ergänzende Kontrollfragen:
- Werden Unregelmäßigkeiten dem Administrator bekannt gegeben?