Intrusion Detection System Evasion durch Angriffsverschleierung in Exploiting Frameworks

2 - Abbildungsverzeichnis [Seite 7]
3 - Tabellenverzeichnis [Seite 9]
4 - Listingverzeichnis [Seite 10]
5 - Abkürzungsverzeichnis [Seite 10]
6 - 1 Einleitung [Seite 15]
6.1 - 1.1 Ausgangssituation [Seite 15]
6.2 - 1.2 Forschungsstand [Seite 16]
6.3 - 1.3 Zielsetzung der Studie [Seite 16]
6.4 - 1.4 Aufbau der Studie [Seite 17]
6.5 - 1.5 Notation [Seite 17]
7 - 2 Grundlagen von Exploiting Frameworks und Intrusion Detection Systemen [Seite 18]
7.1 - 2.1 Grundlegende Begriffe [Seite 18]
7.1.1 - 2.1.1 Sicherheitslücke (Vulnerability) [Seite 18]
7.1.2 - 2.1.2 Exploit [Seite 19]
7.1.3 - 2.1.3 Pufferüberlauf (Buffer Overflow) [Seite 21]
7.1.4 - 2.1.4 Shellcode [Seite 23]
7.1.5 - 2.1.5 Spoofing [Seite 24]
7.1.6 - 2.1.6 Denial of Service [Seite 25]
7.2 - 2.2 Funktionsweise von Exploiting Frameworks [Seite 26]
7.2.1 - 2.2.1 Aufgaben [Seite 26]
7.2.2 - 2.2.2 Architektur [Seite 27]
7.2.3 - 2.2.3 Metasploit Framework (MSF) [Seite 28]
7.2.3.1 - 2.2.3.1 Architektur [Seite 29]
7.2.3.2 - 2.2.3.2 Benutzerschnittstellen [Seite 30]
7.3 - 2.3 Funktionsweise von Intrusion Detection Systemen (IDS) [Seite 32]
7.3.1 - 2.3.1 Definition Intrusion Detection [Seite 32]
7.3.2 - 2.3.2 Definition Intrusion Detection System [Seite 32]
7.3.3 - 2.3.3 Taxonomie von IDS [Seite 32]
7.3.4 - 2.3.4 Komponenten eines IDS [Seite 33]
7.3.4.1 - 2.3.4.1 Netz-basierte Sensoren [Seite 33]
7.3.4.2 - 2.3.4.2 Host-basierte Sensoren [Seite 34]
7.3.5 - 2.3.5 Methoden der Angriffserkennung [Seite 35]
7.3.5.1 - 2.3.5.1 Erkennung von Angriffsmustern [Seite 35]
7.3.5.2 - 2.3.5.2 Anomalieerkennung [Seite 35]
7.3.6 - 2.3.6 Intrusion Protection Systeme (IPS) [Seite 35]
7.3.7 - 2.3.7 Falschmeldungen (False Positives und False Negatives) [Seite 35]
7.3.8 - 2.3.8 Sourcefire Snort (IDS/IPS) [Seite 36]
7.3.8.1 - 2.3.8.1 Architektur und Funktionsweise [Seite 36]
7.3.8.2 - 2.3.8.2 Preprozessoren [Seite 37]
7.3.8.3 - 2.3.8.3 Signaturen [Seite 38]
8 - 3 Konzepte zur Verschleierung von Angriffen [Seite 40]
8.1 - 3.1 Allgemeine Verschleierungs-Techniken [Seite 40]
8.1.1 - 3.1.1 Insertion / Injection [Seite 40]
8.1.2 - 3.1.2 Evasion [Seite 42]
8.1.3 - 3.1.3 Denial of Service [Seite 42]
8.1.4 - 3.1.4 Obfuscation [Seite 44]
8.2 - 3.2 Angriffstechnik der Sicherungsschicht (OSI-Schicht 2) [Seite 44]
8.3 - 3.3 Angriffstechniken der Netzwerkschicht (OSI-Schicht 3) [Seite 45]
8.3.1 - 3.3.1 Ungültige IP-Header Felder [Seite 46]
8.3.2 - 3.3.2 IP Optionen [Seite 46]
8.3.3 - 3.3.3 Fragmentierung von IP-Paketen [Seite 47]
8.4 - 3.4 Angriffstechniken der Transportschicht (OSI-Schicht 4) [Seite 49]
8.4.1 - 3.4.1 Ungültige TCP-Header Felder [Seite 50]
8.4.2 - 3.4.2 TCP Optionen [Seite 50]
8.4.3 - 3.4.3 TCP Stream Reassembly [Seite 51]
8.4.4 - 3.4.4 TCP Control Block (TCB) [Seite 51]
8.5 - 3.5 Angriffstechniken der Anwendungsschicht (OSI-Schicht 5-7) [Seite 52]
8.5.1 - 3.5.1 Coding Evasion [Seite 52]
8.5.2 - 3.5.2 Directory-Traversal Evasion [Seite 52]
8.5.3 - 3.5.3 Evasion durch polymorphen Shellcode [Seite 52]
9 - 4 Verschleierung von Angriffen in Exploiting Frameworks [Seite 54]
9.1 - 4.1 Verschleierung von Angriffen im Metasploit Framework [Seite 54]
9.1.1 - 4.1.1 Implementierte Insertion- und Evasion Techniken [Seite 55]
9.1.2 - 4.1.2 Implementierte Obfuscation Techniken [Seite 55]
9.1.2.1 - 4.1.2.1 Verschleierung des Angriffscodes [Seite 55]
9.1.2.2 - 4.1.2.2 Verschleierung des Shellcode [Seite 57]
9.1.3 - 4.1.3 Filterung von erkennbaren Angriffen auf Clientseite (IPS-Filter Plugin) [Seite 58]
9.2 - 4.2 Verschleierung von Angriffen in Core Impact [Seite 59]
9.3 - 4.3 Verschleierung von Angriffen in SAINT exploit [Seite 59]
10 - 5 Bewertung von NIDS unter dem Gesichtspunkt von Evasion Techniken [Seite 60]
10.1 - 5.1 Bewertungsparameter für Network Intrusion Detection Systeme [Seite 60]
10.2 - 5.2 Entwurf der Testumgebung [Seite 65]
10.2.1 - 5.2.1 Anforderungsanalyse [Seite 65]
10.2.2 - 5.2.2 Auswahl der zu evaluierenden Network Intrusion Detection Systeme [Seite 65]
10.2.3 - 5.2.3 Auswahl der Testverfahren [Seite 67]
10.2.3.1 - 5.2.3.1 Tests der Evasion Techniken der Netzwerk- und Transportschicht [Seite 68]
10.2.3.2 - 5.2.3.2 Tests der Obfuscation Techniken der Anwendungsschicht [Seite 74]
10.2.4 - 5.2.4 Konfiguration der Testumgebung [Seite 81]
10.3 - 5.3 Realisierung der Testumgebung [Seite 83]
10.3.1 - 5.3.1 Einrichtung der Virtuellen Maschinen in VirtualBox [Seite 83]
10.3.1.1 - 5.3.1.1 Einrichtung des Metasploit Exploiting Frameworks [Seite 83]
10.3.1.2 - 5.3.1.2 Einrichtung der Netzwerkkomponenten (Hub, Router) [Seite 84]
10.3.1.3 - 5.3.1.3 Einrichtung des NIDS Snort [Seite 87]
10.3.1.4 - 5.3.1.4 Einrichtung des NIDS / IPS Untangle [Seite 89]
10.3.1.5 - 5.3.1.5 Einrichtung des NIDS Bro [Seite 91]
10.3.1.6 - 5.3.1.6 Einrichtung des NIDS Securepoint [Seite 92]
10.3.1.7 - 5.3.1.7 Einrichtung der Zielsysteme [Seite 92]
10.3.2 - 5.3.2 Integration der Cisco Appliances [Seite 92]
10.3.2.1 - 5.3.2.1 Einrichtung des Cisco 2620 Routers (IP Plus) [Seite 93]
10.3.2.2 - 5.3.2.2 Einrichtung des Cisco 4215 Sensors [Seite 94]
10.4 - 5.4 Durchführung der Tests [Seite 97]
10.5 - 5.5 Auswertung der Testergebnisse [Seite 98]
10.5.1 - 5.5.1 Auswertung der Protokolldateien [Seite 98]
10.5.2 - 5.5.2 Darstellung der Testergebnisse [Seite 100]
10.5.3 - 5.5.3 Zusammenfassende Bewertung der NIDS [Seite 103]
10.5.4 - 5.5.4 Zusammenfassung [Seite 105]
11 - 6 Ansätze zur verbesserten Erkennung von verschleierten Angriffen [Seite 109]
11.1 - 6.1 Maschinelles Lernen für Echtzeit-Intrusion-Detection [Seite 109]
11.2 - 6.2 Verbesserung von NIDS durch Host-basierte Informationen [Seite 109]
11.3 - 6.3 Verwendung von Grafikprozessoren zur Mustererkennung [Seite 110]
11.4 - 6.4 Dynamische Taint-Analyse zur Erkennung von Angriffen [Seite 111]
11.5 - 6.5 Normalisierung von Netzverkehr zur Beseitigung von Mehrdeutigkeiten [Seite 112]
11.6 - 6.6 Active Mapping [Seite 113]
12 - 7 Zusammenfassung und Fazit [Seite 115]
13 - Literaturverzeichnis [Seite 117]
14 - A Bewertungsparameter der evaluierten NIDS [Seite 122]
15 - B Konfigurationen [Seite 129]
15.1 - B.1 Snort Version 2.8.4.1 - Konfigurationsdatei snort.conf [Seite 129]
15.2 - B.2 Cisco 4215 IDS Sensor - Konfiguration [Seite 133]
16 - C Quellcode [Seite 135]
16.1 - C.1 Metasploit Framework Obfuscation Test Script (msfauto.sh) [Seite 135]
16.2 - C.2 Metasploit IDS Filter Plugin (ids_filter.rb) [Seite 145]
16.3 - C.3 Metasploit Exploit ms08_067_netapi Modulinformationen [Seite 148]
16.4 - C.4 Metasploit Verschleierungs-Optionen des Moduls ms08_067_netapi [Seite 151]
17 - Stichwortverzeichnis [Seite 153]
18 - Autorenprofil [Seite 158]