<!-- CVS revision of original english document "1.18" -->

<chapt id="after-compromise">Nach einer Kompromittierung (Reaktion auf einem
Vorfall)

<sect>Allgemeines Verhalten

<p>Wenn Sie während eines Angriffs physisch anwesend sind, sollte Ihre erste
Reaktion sein, den Rechner vom Netzwerk zu trennen, indem Sie das Kabel aus der
Netzwerkkarte ziehen (wenn das keinen nachteiligen Einfluss auf Ihre Geschäfte
hat). Das Netzwerk auf Schicht 1 abzuschalten ist der einzig wirklich
erfolgreiche Weg, um den Angreifer aus dem gehackten Rechner herauszuhalten
(weiser Ratschlag von Phillip Hofmeister).

<p>Allerdings können einige Werkzeuge, die durch Rootkits, Trojaner oder sogar
unehrlichen Benutzern über eine Hintertür installiert wurden, diesen Vorgang
erkennen und auf ihn reagieren. Es ist nicht wirklich lustig, wenn Sie sehen,
dass <tt>rm -rf /</tt> ausgeführt wird, wenn Sie das Netzwerkkabel ziehen. Wenn
Sie nicht bereit sind, dieses Risiko einzugehen, und Sie sich sicher sind, dass
in das System eingebrochen wurde, sollten Sie <em>das Stromkabel
herausziehen</em> (alle, wenn es mehr als eines gibt) und Ihre Daumen
drücken. Das hört sich zwar extrem an, verhindert aber tatsächlich eine
Logikbombe, die ein Eindringling programmiert haben könnte. Auf jeden Fall
sollte ein kompromittiertes System <em>nicht neugestartet</em> werden. Entweder
sollten die Festplatten in einem anderen System analysiert werden, oder Sie
sollten ein anderen Medium (eine CD-ROM) benutzen, um das System zu booten und
analysieren. Sie sollten <em>nicht</em> die Rettungsdisk von Debian verwenden,
um das System zu starten. Sie <em>können</em> aber die Shell auf der
Installationsdisk benutzen (wie Sie wissen, erreichen Sie sie mit Alt+F2), um
das System zu analysieren.
<footnote>
Wenn Sie abenteuerlustig sind, sollten Sie sich am System anmelden und die
Informationen aller laufenden Prozesse speichern (Sie bekommen eine Menge aus
/proc/nnn/). Es ist möglich, den gesamten ausführbaren Code aus dem
Arbeitsspeicher zu ziehen, sogar dann, wenn der Angreifer die ausführbaren
Dateien von der Festplatte gelöscht hat. Ziehen Sie danach das Stromkabel.
</footnote>

<p>Die beste Methode, um ein gehacktes System wiederherzustellen, ist, ein
Live-Dateisystem auf einer CD-ROM mit allen Programmen (und Kernel-Modulen)
verwenden, die Sie brauchen, um auf das eingebrochene System zugreifen zu
können. Sie können das Paket <package>mkinitrd-cd</package> benutzen, um eine
solche CD-ROM zu erstellen
<footnote>
Das ist auch das Werkzeug, mit dem die CD-ROMs für das Projekt <url
id="http://www.gibraltar.at/" name="Gibraltar"> erstellt werden. Das ist eine
Firewall auf einer Live-CD-ROM, die auf der Debian-Distribution beruht.
</footnote>.
Auch die CD-ROM von <url id="http://biatchux.dmzs.com/" name="FIRE"> (früher
als Biatchux bekannt) könnte hilfreich sein, da diese Live-CD-ROM forensische
Werkzeuge enthält, die in solchen Situationen nützlich sind. Es gibt (noch)
kein Programm wie dieses, das auf Debian basiert. Es gibt auch keinen leichten
Weg, eine CD-ROM mit Ihrer Auswahl von Debian-Paketen und
<package>mkinitrd-cd</package> zu erstellen. Daher werden Sie die Dokumentation
lesen müssen, wie Sie Ihre eigenen CD-ROMs machen.

<p>Wenn Sie eine Kompromittierung wirklich schnell reparieren wollen,
sollten Sie den kompromittierten Rechner aus dem Netzwerk entfernen und
das Betriebssystem von Grund auf neu installieren. Dies könnte
natürlich nicht sehr wirkungsvoll sein, da Sie nicht erfahren, wie der
Eindringling zuvor Root-Rechte bekommen hat. Um das herauszufinden,  müssen Sie
alles prüfen: Firewall, Integrität der Dateien, Log-Host, Log-Dateien
und so weiter. Weitere Informationen, was Sie nach einem Einbruch
unternehmen sollten, finden Sie in <url
id="http://www.cert.org/tech_tips/root_compromise.html"
name="CERT's Steps for Recovering from a UNIX or NT System Compromise"> oder in
Sans' <url name="Incident Handling Guide"
id="http://www.sans.org/y2k/DDoS.htm">.

<p>Einige häufige Fragen, wie mit einem gehackten Debian-GNU/Linux-System
umzugehen ist, sind unter <ref id="vulnerable-system"> zu finden.


<sect>Anlegen von Sicherheitskopien Ihres Systems

<p>wenn Sie sich sicher sind, dass das System kompromittiert wurde, vergessen
Sie nicht, dass Sie weder der installierten Software noch
irgendwelchen Informationen, die es an Sie liefert, vertrauen
können. Anwendungen könnten von einem Trojaner befallen sein,
Kernel-Module könnten installiert worden sein, usw.

<p>Am besten ist es, eine komplette Sicherheitskopie Ihres Dateisystems
(mittels <prgn>dd</prgn>) zu erstellen, nachdem Sie von einem sicheren Medium
gebootet haben. Debian GNU/Linux CD-ROMs können dazu nützlich sein, da sie auf
Konsole zwei eine Shell anbieten, nachdem die Installation gestartet wurde (mit
Alt+2 und Enter aktivieren Sie sie). Von dieser Shell aus sollten Sie eine
Sicherheitskopie möglichst auf einem anderen Host erstellen (vielleicht auf
einen Netzwerk-File-Server über NFS/FTP). Dadurch kann eine Analyse des
Einbruchs oder eine Neuinstallation durchgeführt werden, während das betroffene
System offline ist.

<p>Wenn Sie sich sicher sind, dass es sich lediglich um ein trojanisiertes
Kernel-Modul handelt, können Sie versuchen, das Kernel-Image von der
Debian-CD-ROM im <em>rescue</em>-Modus zu laden. Stellen Sie sicher, dass Sie im
<em>single</em>-Modus starten, so dass nach dem Kernel keine weiteren
Trojaner-Prozesse gestartet werden.


<sect>Setzen Sie sich mit dem lokal CERT in Verbindung

<p>Das CERT (Computer and Emergency Response Team) ist eine Organisation, die
Ihnen helfen kann, Ihr System nach einem Einbruch wiederherzustellen. Es gibt
CERTs weltweit
<footnote>
Dies ist eine Liste einiger CERTs. Ein vollständige Liste erhalten Sie unter
<url id="http://www.first.org/about/organization/teams/index.html" name="FIRST
Member Team information"> (FIRST ist das Forum von Incident Response and
Security Teams):
<url id="http://www.auscert.org.au" name="AusCERT"> (Australien),
<url id="http://www.unam-cert.unam.mx/" name="UNAM-CERT"> (Mexiko)
<url id="http://www.cert.funet.fi" name="CERT-Funet"> (Finnland),
<url id="http://www.dfn-cert.de" name="DFN-CERT"> (Deutschland), 
<url id="http://cert.uni-stuttgart.de/" name="RUS-CERT"> (Deutschland),
<!--FIXME URL -->
<url id="http://security.dico.unimi.it/" name="CERT-IT"> (Italien),
<url id="http://www.jpcert.or.jp/" name="JPCERT/CC"> (Japan),
<url id="http://cert.uninett.no" name="UNINETT CERT"> (Norwegen),
<url id="http://www.cert.hr" name="HR-CERT"> (Kroatien)
<url id="http://www.cert.pl" name="CERT Polskay"> (Polen),
<url id="http://www.cert.ru" name="RU-CERT"> (Russland),
<url id="http://www.arnes.si/si-cert/" name="SI-CERT"> (Slowenien)
<url id="http://www.rediris.es/cert/" name="IRIS-CERT"> (Spanien),
<url id="http://www.switch.ch/cert/" name="SWITCH-CERT"> (Schweiz),
<url id="http://www.cert.org.tw" name="TWCERT/CC"> (Taiwan), 
und
<url id="http://www.cert.org" name="CERT/CC"> (USA).
</footnote>.
Sie sollten mit dem lokalen CERT Verbindung aufnehmen, wenn sich ein
sicherheitsrelevanter Vorfall ereignet hat, der zu einem Einbruch in Ihr System
geführt hat. Die Menschen in der lokalen CERT können Ihnen helfen, Ihr System
wiederherzustellen.

<p>Selbst wenn Sie keine Hilfe benötigen, kann es anderen helfen, wenn Sie dem
lokalen CERT (oder dem Koordinationszentrum des CERTs) Informationen des
Einbruchs zur Verfügung stellen. Die gesammelten Informationen von gemeldeten
Vorfällen werden verwendet, um herauszufinden, ob eine bestimmte Verwundbarkeit
weit verbreitet ist, ob sich ein neuer Wurm ausbreitet oder welche neuen
Angriffswerkzeuge eingesetzt werden. Diese Informationen werden benutzt, um die
Internet-Gemeinschaft mit Informationen über die <url
id="http://www.cert.org/current/" name="aktuellen Sicherheitsvorkommnisse"> zu
versorgen und um <url id="http://www.cert.org/incident_notes/" name="Hinweise
zu Vorfällen"> und sogar <url id="http://www.cert.org/advisories/"
name="Anweisungen"> zu veröffentlichen. Ausführliche Informationen, wie (und
warum) ein Vorfall gemeldet wird, können Sie auf <url
id="http://www.cert.org/tech_tips/incident_reporting.html" name="CERT's
Incident Reporting Guidelines"> nachlesen.

<p>Sie können auch weniger formale Einrichtungen verwenden, wenn Sie Hilfe
brauchen, um Ihr System wiederherzustellen, oder wenn Sie Informationen des
Vorfalls diskutieren wollen. Dazu zählen die <url
id="http://marc.theaimsgroup.com/?l=incidents" name=" Mailingliste für
Vorfälle"> und die <url id="http://marc.theaimsgroup.com/?l=intrusions" name="
Mailingliste für Einbrüche">.


<sect>Forensische Analyse

<p>Wenn Sie mehr Informationen sammeln wollen, enthält das Paket
<package>tct</package> (The Coroner's Toolkit von Dan Farmer und Wietse
Venema) Werkzeuge für eine <em>post mortem</em>-Analyse des Systems.
<package>tct</package> erlaubt es dem Benutzer, Informationen über
gelöschte Dateien, laufende Prozesse und mehr zu sammeln. Sehen Sie
bitte für weitere Informationen in die mitgelieferte Dokumentation.
Diese und andere Werkzeuge können auch auf <url name="Sleuthkit and Autopsy"
id="http://www.sleuthkit.org/"> von Brian Carrier, welches ein Web-Frontend zur
forensischen Analyse von Disk-Images zur Verfügung stellt, gefunden werden. In
Debian befindet sich sowohl <package>sleuthkit</package> (die Werkzeuge) und
<package>autopsy</package> (die grafische Oberfläche).

<p>Forensische Analysen sollten immer auf einer Sicherheitskopie der Daten
angewendet werden, <em>niemals</em> auf die Daten selbst, da sie durch
diese Analyse beeinflusst werden könnten und so Beweismittel zerstört werden
würden.

<p>Weiterführende Informationen über forensische Analyse können Sie in Dan
Farmers und Wietse Venemas Buch <url
id="http://www.porcupine.org/forensics/forensic-discovery/" name="Forensic
Discovery"> (online verfügbar), in ihrer <url
id="http://www.porcupine.org/forensics/column.html" name="Computer Forensics
Column"> und in ihrem <url
id="http://www.porcupine.org/forensics/handouts.html" name="Computer Forensic
Analysis Class Handouts"> finden. Eine weitere, sehr gute Quelle für Tipps zur
forensischen Analyse ist Brian Carriers Newsletter <url
id="http://www.sleuthkit.org/informer/index.php" name="The Sleuth Kit
Informer">. Auch die <url id="http://www.honeynet.org/misc/chall.html"
name="Honeynet Challenges"> sind eine ausgezeichnete Möglichkeit, Ihre
forensischen Fähigkeiten zu verbessern, da sie echte Angriffe auf
Honigtopfsysteme umfassen und Herausforderungen bieten, die von der
forensischen Analyse von Festplatten bis zu Protokollen der Firewall und
Paketerfassung alles beinhalten.

<p>FIXME: This paragraph will hopefully provide
more information about forensics in a Debian system in the coming future.

<p>FIXME: Talk on how to do a debsums on a stable system with the
MD5sums on CD and with the recovered file system restored on a separate
partition.

<p>FIXME: Add pointers to forensic analysis papers (like the Honeynet's
reverse challenge or <url id="http://staff.washington.edu/dittrich/"
name="David Dittrich's papers">).


<sect1>Analyse der Malware

<p>Einige andere Programme aus der Debian-Distribution, die für forensische
Analyse verwendet werden können, sind:

<list>
<item><package>strace</package>.
<item><package>ltrace</package>.
</list>

<p>Alle diese Pakete können dazu benutzt werden, um Schurkenprogramme (wie
z.B. Hintertüren) zu analysieren, um herauszufinden, wie sie arbeiten und was
sie mit dem System anstellen. Einige andere gebräuchliche Werkzeuge sind
<prgn>ldd</prgn> (in <package>libc6</package>), <prgn>strings</prgn> und
<prgn>objdump</prgn> (beide in <package>binutils</package>).

<p>Wenn Sie eine forensische Analyse von Hintertüren oder verdächtigen
Programmen durchführen, die Sie von gehackten Systemen haben, sollten Sie dies in
einer sicheren Umgebung durchführen, z.B. in einem <package>bochs</package>-,
oder <package>xen</package>-Image oder in einer <prgn>chroot</prgn>-Umgebung
eines Benutzers mit geringen Rechten.<footnote>Seien Sie <em>äußerst</em>
vorsichtig, wenn sie Chroots einsetzen wollen, da das Binary durch Ausnutzung
eines Kernel-Exploits seine Rechte erweitern und es ihm darüber gelingen
könnte, Ihr System zu infizieren.</footnote> Andernfalls könnte auch auf Ihrem
eigenen System eine Hintertür eingerichtet oder Root-Rechte erlangt werden.

<p>Falls Sie an der Analyse von Malware interessiert sind, sollten Sie das
Kapitel <url
id="http://www.porcupine.org/forensics/forensic-discovery/chapter6.html"
name="Malware Analysis Basics"> aus dem Forensik-Buch vom Dan Farmer und Wietse
Venema lesen.
