Intrusion Detection System Evasion durch Angriffsverschleierung in Exploiting Frameworks

Abbildungsverzeichnis

Tabellenverzeichnis

Listingverzeichnis

Abkürzungsverzeichnis

1 Einleitung

1.1 Ausgangssituation

1.2 Forschungsstand

1.3 Zielsetzung der Studie

1.4 Aufbau der Studie

1.5 Notation

2 Grundlagen von Exploiting Frameworks und Intrusion Detection Systemen

2.1 Grundlegende Begriffe

2.1.1 Sicherheitslücke (Vulnerability)

2.1.2 Exploit

2.1.3 Pufferüberlauf (Buffer Overflow)

2.1.4 Shellcode

2.1.5 Spoofing

2.1.6 Denial of Service

2.2 Funktionsweise von Exploiting Frameworks

2.2.1 Aufgaben

2.2.2 Architektur

2.2.3 Metasploit Framework (MSF)

2.2.3.1 Architektur

2.2.3.2 Benutzerschnittstellen

2.3 Funktionsweise von Intrusion Detection Systemen (IDS)

2.3.1 Definition Intrusion Detection

2.3.2 Definition Intrusion Detection System

2.3.3 Taxonomie von IDS

2.3.4 Komponenten eines IDS

2.3.4.1 Netz-basierte Sensoren

2.3.4.2 Host-basierte Sensoren

2.3.5 Methoden der Angriffserkennung

2.3.5.1 Erkennung von Angriffsmustern

2.3.5.2 Anomalieerkennung

2.3.6 Intrusion Protection Systeme (IPS)

2.3.7 Falschmeldungen (False Positives und False Negatives)

2.3.8 Sourcefire Snort (IDS/IPS)

2.3.8.1 Architektur und Funktionsweise

2.3.8.2 Preprozessoren

2.3.8.3 Signaturen

3 Konzepte zur Verschleierung von Angriffen

3.1 Allgemeine Verschleierungs-Techniken

3.1.1 Insertion / Injection

3.1.2 Evasion

3.1.3 Denial of Service

3.1.4 Obfuscation

3.2 Angriffstechnik der Sicherungsschicht (OSI-Schicht 2)

3.3 Angriffstechniken der Netzwerkschicht (OSI-Schicht 3)

3.3.1 Ungültige IP-Header Felder

3.3.2 IP Optionen

3.3.3 Fragmentierung von IP-Paketen

3.4 Angriffstechniken der Transportschicht (OSI-Schicht 4)

3.4.1 Ungültige TCP-Header Felder

3.4.2 TCP Optionen

3.4.3 TCP Stream Reassembly

3.4.4 TCP Control Block (TCB)

3.5 Angriffstechniken der Anwendungsschicht (OSI-Schicht 5-7)

3.5.1 Coding Evasion

3.5.2 Directory-Traversal Evasion

3.5.3 Evasion durch polymorphen Shellcode

4 Verschleierung von Angriffen in Exploiting Frameworks

4.1 Verschleierung von Angriffen im Metasploit Framework

4.1.1 Implementierte Insertion- und Evasion Techniken

4.1.2 Implementierte Obfuscation Techniken

4.1.2.1 Verschleierung des Angriffscodes

4.1.2.2 Verschleierung des Shellcode

4.1.3 Filterung von erkennbaren Angriffen auf Clientseite (IPS-Filter Plugin)

4.2 Verschleierung von Angriffen in Core Impact

4.3 Verschleierung von Angriffen in SAINT exploit

5 Bewertung von NIDS unter dem Gesichtspunkt von Evasion Techniken

5.1 Bewertungsparameter für Network Intrusion Detection Systeme

5.2 Entwurf der Testumgebung

5.2.1 Anforderungsanalyse

5.2.2 Auswahl der zu evaluierenden Network Intrusion Detection Systeme

5.2.3 Auswahl der Testverfahren

5.2.3.1 Tests der Evasion Techniken der Netzwerk- und Transportschicht

5.2.3.2 Tests der Obfuscation Techniken der Anwendungsschicht

5.2.4 Konfiguration der Testumgebung

5.3 Realisierung der Testumgebung

5.3.1 Einrichtung der Virtuellen Maschinen in VirtualBox

5.3.1.1 Einrichtung des Metasploit Exploiting Frameworks

5.3.1.2 Einrichtung der Netzwerkkomponenten (Hub, Router)

5.3.1.3 Einrichtung des NIDS Snort

5.3.1.4 Einrichtung des NIDS / IPS Untangle

5.3.1.5 Einrichtung des NIDS Bro

5.3.1.6 Einrichtung des NIDS Securepoint

5.3.1.7 Einrichtung der Zielsysteme

5.3.2 Integration der Cisco Appliances

5.3.2.1 Einrichtung des Cisco 2620 Routers (IP Plus)

5.3.2.2 Einrichtung des Cisco 4215 Sensors

5.4 Durchführung der Tests

5.5 Auswertung der Testergebnisse

5.5.1 Auswertung der Protokolldateien

5.5.2 Darstellung der Testergebnisse

5.5.3 Zusammenfassende Bewertung der NIDS

5.5.4 Zusammenfassung

6 Ansätze zur verbesserten Erkennung von verschleierten Angriffen

6.1 Maschinelles Lernen für Echtzeit-Intrusion-Detection

6.2 Verbesserung von NIDS durch Host-basierte Informationen

6.3 Verwendung von Grafikprozessoren zur Mustererkennung

6.4 Dynamische Taint-Analyse zur Erkennung von Angriffen

6.5 Normalisierung von Netzverkehr zur Beseitigung von Mehrdeutigkeiten

6.6 Active Mapping

7 Zusammenfassung und Fazit

Literaturverzeichnis

A Bewertungsparameter der evaluierten NIDS

B Konfigurationen

B.1 Snort Version 2.8.4.1 - Konfigurationsdatei snort.conf

B.2 Cisco 4215 IDS Sensor - Konfiguration

C Quellcode

C.1 Metasploit Framework Obfuscation Test Script (msfauto.sh)

C.2 Metasploit IDS Filter Plugin (ids_filter.rb)

C.3 Metasploit Exploit ms08_067_netapi Modulinformationen

C.4 Metasploit Verschleierungs-Optionen des Moduls ms08_067_netapi

Stichwortverzeichnis

Autorenprofil