Kommentar: Fingerprints
Passive Netzanalyse deckt lautlos die Details im Netzwerk auf
In der Welt der Netzwerksicherheit gehört das Werkzeug "nmap" zu den meistgenutzten Tools zur Ermittlung von so genannten „Fingerprints“ der im Netz eingesetzten Systeme und Services. Allerdings erzeugen aktive Fingerprinting-Systeme durch viele Pakete erheblichen Traffic im Netz. Die Alternative sind passive Tools.
Mit Hilfe von "nmap" lässt sich die Art und die Version der im Netz aktiven Betriebssysteme, die genutzten Anwendungen und Service und sogar Schwachstellen und Sicherheitslücken aufdecken. Das einzige Problem an diesem Werkzeug besteht darin, dass es viel "Lärm" im Netzwerk erzeugt. Da Nmap zu den aktiven Fingerprinting-Tools gehört, erzeugt es zur Abfrage der Systeme viele Pakete im Netz und in puncto Sicherheit verrät es sich dadurch selbst.
Die Alternative besteht in der Nutzung von passiven Fingerprinting-Werkzeugen. Anstatt aktiv Pakete an einen Host oder Service zu übermitteln, analysieren diese Tools passiv den Netzwerkverkehr. Es werden auf Basis der von den Rechnern im Netzwerk übermittelten Datenpakete die individuellen Eigenschaften der Betriebssysteme, der Client-Anwendungen und der Netzwerkservices identifiziert. Die Stärke der passiven Fingerprinting-Werkzeuge basiert auf der Qualität der integrierten Signatur-Datenbank. Aus diesem Grund beschränkte sich die Mehrheit der passiven Fingerprinting-Open-Source-Tools auf das reine Betriebsystem-Fingerprinting.
Das passive Fingerprinting geht inzwischen jedoch weit über die Identifizierung des Betriebssystems hinaus. Auch Web- und Mail-Server geben oft viele Informationen in ihren Kommunikationsströmen preis. Es gilt: Solange die zu überwachenden Verkehrsströme individuelle Merkmale aufweisen, lassen diese sich per Trace ermitteln. Auf Basis dieser Traces können die Informationen jederzeit identifiziert und somit daraus der individuelle Fingerabdruck erstellt werden. Dies gilt auch für Web-Browser, E-Mail-Clients und jede andere Anwendung, die über das Netzwerk kommuniziert. Oft werden die jeweiligen Versionsnummern als Bestanteil der Kommunikation vom Client zum Server weitergegeben. Wird die Versionsinformation mit einer Schwachstellen-Datenbank gekoppelt erhält man schnell eine Liste der im Netz verwundbaren Systeme. Das Gefährliche dabei ist, dass man kriminellen Elementen das "Datenschnüffeln" nur schwer nachweisen kann, da die Tools niemals mit den entdeckten Systemen in eine Interaktion getreten sind.
- Passive Netzanalyse deckt lautlos die Details im Netzwerk auf
- Tools zum passiven Fingerprinting
Lesen Sie mehr zum Thema
