IT-Notfallplan

Veröffentlicht am 27. November 2018 von juergen

Innerhalb eines Notfallplans ist definiert, was nach der Entdeckung eines Angriffs zu tun ist. Wichtig ist vorallem ein besonnes Handeln. Es geht schließlich darum:

schnell, aber richtig zu handeln, wenn der Angriff akut gestoppt werden muss – Unsicherheit und unklare Kompetenzen hätten fatale Folgen.
den Schaden möglichst zu minimieren, statt ihn durch eigenes Handeln zu vergrößern.
einen genauen Überblick über den Schaden und das Ausmaß der notwendigen Reperaturen zu bekommen: man sollte allerdings darauf achten, die Spuren des Angriffs nicht durch sein Handeln zu verwischen. Eine Spurensicherung ist deshalb sinnvoll, da dadurch zum einen der Angriff rekonstruiert werden kann und so vorhandene Schwachstellen geschlossen werden können, und zum anderen ist nur so eine gute Beweissicherung („digitale Forensik“) durchführbar.
sich selbst im betrieblichen Einsatz arbeitsrechtlich zu schützen.

Ein Notfallplan besteht idealerweise aus zwei Teilen:

Der organisatorische Teil behandelt vorwiegend die Fragen: -wer macht was? -wer darf was? -wer koordiniert und trägt die Verantwortung? -wer ist zu informieren?
Der technisch-beschreibende Teil geht spezifisch auf die vor Ort vorhandene Installation ein und legt fest, wie zu reparieren und vorzugehen ist, falls es Besonderheiten gibt.

Auf der Webseite des Bundesamtes für Sicherheit in der Informationstechnik (BSI) sind Vorlagen für die Unterschiedlichen IT-Systeme zu finden (VPN, Windows-Server, Webserver, DNS-Server usw.). Diese Vorlagen können u.a. dazu verwendet werden, diese als Leitfaden zu benutzen, damit nichts Grundsätzliches vergessen wird. Die Erstellung eines IT-Notfallplanes sollte ernst genommen werden. Es ist zwar lästig Arbeit in Dinge zu investieren, die im Idealfall nie gebraucht werden, aber so ist man für den Fall der Fälle vorbereitet. Weiterhin sollte jeder Mitarbeiter der IT Kenntnis über den Inhalt und Aufbewahrungsort des Dokumentes haben.

Sofern es notwendig ist, sollte auch nicht vergessen werden den IT-Notfallplan vom Vorgesetzten (per Unterschrift) absegnen zu lassen. So wird zusätzlich dokumentiert wer welche Kompetenzen erhält. Dies kann vorallem arbeitsrechtlich wichtig sein falls schwerwiegende Entscheidungen getroffen werden müssen. Schnell kann einem hier ein Strick gedreht werden, wenn das Betriebsklima ohnehin angespannt ist und ein Bauernopfer gesucht wird.

IT-Sicherheitsplan

Veröffentlicht am 26. November 2018 von juergen

Antworten

Der IT-Sicherheitsplan ist die praktisch-planerische Umsetzung der Security Policy. Er sollte alle von der Security Policy offen gelassenen Risikien erkennen und eventuelle Lücken schließen.

Vier Stufen zur Erstellung eines IT-Sicherheitsplanes.

Wie aus obiger Abbildung ersichtlich, umfasst die Erstellung eines Sicherheitsplanes vier Stufen:

1. Ermittlung der Schutzbedürftigkeit

Es wird festgestellt, welche Werte in einem Netzwerk schutzbedürftig sind.

2. Analyse der Bedrohung

Hier sollten alle möglichen Bedrohungen für die im ersten Schritt festgestellten Schutzziele ermittelt werden.

3. Risikoanalyse

Bei dieser Bewertung soll festgestellt werden, wie stark sich Bedrohungen auf das Netzwerk oder einzelne Dienste auswirken und welche Risiken damit verbunden sind. Wichtig dabei sind zwei Faktoren:

Eintrittswahrscheinlichkeit: Wie wahrscheinlich ist es, dass sich eine festgestellte Bedrohung in einem bestimmten Zeitraum einstellt?
Schadenshöhe: Unabhängig von Wahrscheinlichkeit und Ursache können Schäden sehr unterschiedliche Ausmaße (zwischen Bagatellschaden und Katastrophe) annehmen.

Um ein Risiko zu quantifizieren, sollte man die Eintrittswahrscheinlichkeit und die mögliche Schadenshöhe in Relation setzen. Dies kann mit Hilfe folgender Formel geschehen:

Risiko = Eintrittswahrscheinlichkeit x Schaden

Manche Risiken lassen sich jedoch entweder gar nicht oder nur mit einem unverhälnismäßig hohen Aufwand ausschließen. Es ist also notwendig ein „gesundes Maß“ zu finden, das sogenannte Schutzziel. Damit wird eine kalkulierte Grenze gesetzt, die Risiko und Aufwand betrachtet und markiert, welches Risiko noch in Kauf zu nehmen ist.

4. Sicherheitskonzept

Das Kernstück aller Sicherheitsbemühungen: Nachdem die Analyse abgeschlossen ist, sollte ein Sicherheitskonzept erstellt werden, das die zu ergreifenden Maßnahmen festlegt.
Es verfolgt – anders als die Security Policy – einen ganz konkreten Ansatz:
Hier wird die zu realisierende Lösung definiert. Das Sicherheitskonzept darf keine Risiken
erlauben, die über dem definierten Schutzziel liegen.

Dazu gehört zum Beispiel:

die exakte restriktive Konzeption der Firewall(s)
die Konzeption eines IDS, das die erkannten Schutzziele überwacht und die festgestellten Bedrohungen erkennt
die Konfiguration der Desktop-PCs
die Definition einer Backup Policy
die Definition von Zugangsberechtigungen, Passwortvergaberichtlinien und Kompetenzen

Das Sicherheitskonzept ist keine Privatsache des Administrators, sondern sollte von der Hausspitze abgesegnet und mitgetragen werden. Es sollte von Anfang an daran gedacht werden alle zuständigen Kollegen ggf. in die Konzeption mit einzubeziehen, andernfalls riskiert man, das irgendwann von höherer Stelle Ausnahmen gefordert werden, die eigentlich laut Policy nicht zugelassen sind. Ebensowenig nützt eine Sicherheitskonzept, das von den Angestellten nicht mitgetragen und darum schlichtweg ignoriert oder gar voarsätzlich verletzt wird.

Die Bedeutung der Netzwerksicherheit wird meist auf jeder Hierarchiestufe massiv unterschätzt. Es sollte nie vergessen werden, welche materiellen und immateriellen Schäden (Finanzen und Image) einem Unternehmen entstehen können, wenn es zu einem schweren Sicherheitsvorfall kommt.

obige Ausführungen stammen größtenteils aus dem Buch: Snort, Acid & Co. – Einbruchserkennung mit Linux, Autoren: Thomas Bechtold u. Peer Heinlein, Verlag: 2004 Open Source Press GmbH.

Security Policy

Veröffentlicht am 24. November 2018 von juergen

Antworten

Die Security Policy (Sicherheitspolitik) eines Unternehmens soll definieren, wie ein Computernetzwerk zu benutzen ist. Sie sollte festgelegt werden, bevor es an die Erstellung und Umsetzung eines Sicherheitskonzepts geht, das wiederum festlegt wie das Netzwerk zu schützen ist.

Die Sicherheitspolitik richtet sich an alle Benutzer eines Netzwerks und sollte daher für jedermann leicht verständlich und möglichst allgemein gehalten sein. Jedoch sollte darauf geachtet werden, dass eine zu allgemein gehaltene Fassung der Security Policy zu Missverständnissen führen kann. Es sollte im betrieblichen Umfeld also ein Weg gefunden werden, die Sicherheitspolitik zwar allgemein zu gestalten, dabei aber so wenig Interpretationsspielraum wie möglich zu lassen.

Zuerst sollte ein entsprechender Soll-Zustand festgelegt werden. In wie weit dieser realsierbar ist, sollte zunächst nicht im Vordergrund stehen. Später kann die Sicherheitspolitik, falls notwendig, immer noch angepasst und unter Umständen restriktiver gefasst werden, wenn es sich abzeichnet, dass sie zu großzügig ist und durch das Sicherheitskonzept nicht abgesichert werden kann.

Grundsätzlich gibt es zwei unterschiedliche Betrachtungsweisen bei der Formulierung einer Security Policy:

restriktiv: Alles, was nicht ausdrücklich erlaubt wurde, ist verboten.
permissiv: Alles, was nicht ausdrücklich verboten wurde, ist erlaubt.

Nach Möglichkeit ist die restriktivere Methode der permissiveren vorzuziehen, denn ein Fehler führt bei ihr eher dazu, dass zu viel verboten ist. Die permissivere Methode scheint zwar leichter umsetzbar, besitzt allerdings wesentlich mehr Gefahrenpotential. Bequemlichkeit und Sicherheit sind leider zwei gegenläufige Interessen.

Die Sicherheitspolitik legt fest was erlaubt ist. Es wird im Rahmen eines IT-Sicherheitsplans überlegt, welcher Schutz notwendig ist und wie er durch ein entsprechendes Sicherheitskonzept zu realsieren ist. Wird die Security Policy übergangen, kann dadurch (im schlimmsten Fall) der komplette Schutz ausgehebelt werden. Sie ist demnach mehr als nur eine Richtlinie, sondern vielmehr eine verbindliche Norm.

Innerhalb der Security Policy können z.B. folgende Regelungen festgehalten werden:

Welche Rechte haben die Benutzer auf ihren Clients? Dürfen sie z.B. selbst Programme installieren?
Wann und wie werden Backups angelegt? Welcher Datenverlust ist noch tolerierbar?
Welche Internetdienste dürfen von den Mitarbeitern genutzt werden?
Welche Software ist Standardmäßig auf den Clients installiert?
Wo müssen Dateien gespeichert werden? Lokal auf den einzelnen Clients oder auf einem Server im entsprechenden Home-Verzeichnis?
usw. …

Einen Großteil der Regelungen die in der Security Policy festgehalten sind betreffen selbstverständlich auch das Verhalten der Mitarbeiter. Daher sollte die Sicherheitspolitik auch innerhalb des Unternehmens bekannt gemacht werden. Ebenfalls wichtig ist es, um die Akzeptanz der hauseigenen Sicherheitspolitik zu stärken, zu erklären warum gewisse Dinge erlaubt sind und welche nicht. Geschieht dies nicht besteht die Möglichkeit, dass der Laie dies zu schnell als reine Gängelung und Willkür des Administrators auffassen könnte.

Nähere Informationen über Security Policys können auch auf der Seite des BSI (Bundesamt für Sicherheit in der Informationstechnik) nachgelesen werden.

Miller-Rabin-Test

Veröffentlicht am 21. November 2018 von juergen

Antworten

Der Miller-Rabin-Test ist eine Verschärfung des Fermat-Tests und dient ebenfalls der Bestimmung von Primzahlen ( $p$ ). Dieser hat allerdings im Vergleich zum Fermat-Test eine wesentlich höhere Trefferwahrscheinlichkeit in Bezug auf die Bestimmung von Primzahlen.
Beim Miller-Rabin-Test handelt es sich um einen probilistischen Primzahltest. Dies bedeutet, dass die Basis $n$ auf welcher die Exponentation durchgeführt wird zufällig innerhalb des Intervalls $]1, \ p-1] \in \mathbb{Z}$ gewählt wird. Anders als beim Fermat-Test werden beim Miller-Rabin-Test mehrere Basen $n$ als sogenannte Zeugen verwendet.

Eine Basis $n$ gilt als Belastungszeuge für $p$ , wenn $n^2 \ mod \ p=1$ ist, aber $n \neq 1$ und $n \neq p-1$ .
Die Begründung hierfür ist folgende:

Ist $p$ eine Primzahl, dann ist $\mathbb{Z}_p$ ein Körper. In einem mathematischen Körper hat jede quadratische Gleichung höchstens zwei unterschiedliche Lösungen. Nun hat aber in $\mathbb{Z}_p$ die quadratische Gleichung $n^2=1$ schon die beiden Lösungen $n=1$ und $n=-1=p-1$ . Da $p>2$ vorausgesetzt werden kann, sind diese auch verschieden. Gibt es nun noch eine weitere Lösung, dann kann $\mathbb{Z}_p$ kein Körper sein. Dann kann auch $p$ keine Primzahl sein.

Beispiel:
Vermutete Primzahl $p=37 \longrightarrow p-1=36=b_i$
Ausgehend vom Satz von Fermat: $n^{p-1} \ mod \ p=1$
$p-1$ wird solange durch zwei dividiert bis ein ungerader Wert $b_1 \in \mathbb{Z}$ entsteht:
36 : 2 = 18
18 : 2 = 9
Diese Werte $b_{1...i} \in \mathbb{Z}$ werden anschleißend in eine Tabelle eingetragen und die Berechnungen $n^{b_{1...i}} \ mod \ p$ durchgeführt. Die Basis $n$ für die Exponentation liegt im Intervall $]1, \ p-1]$ .

$n$	$n^9 \ mod \ 37$	$n^{18} \ mod \ 37$	$n^{36} \ mod \ 37$
5	6	36	1
12	1	1	1
15	31	36	1

Aus den 1-sen in der letzten Spalte kann nun geschlossen werden, dass es sich bei $p=37$ mit hoher Wahrscheinlichkeit um eine Primzahl handelt.

Mit Hilfe der Programmiersprache Python, kann der Miller-Rabin-Test wie folgt beschrieben werden:

from random import randint

def millerRabin(prim):
    tmp = prim - 1
    wPrim = True
    i = 0
    while i < 20:
        basis = randNumber(tmp)
        while tmp % 2 == 0:
            if basis**tmp % prim == 1:
                wPrim = True
                break
            else:
                wPrim = False
            tmp = tmp // 2
        if not wPrim:
            break
        i += 1
    if wPrim:
        print("wahrscheinlich Primzahl.")
    else:
        print("Keine Primzahl.")
        
    
def randNumber(wert):
    return randint(2, wert)

def isgerade(zahl):
    if zahl == 2:
        print("wahrscheinlich Primzahl.")
    elif zahl % 2 == 0 and zahl > 2:
        print("Keine Primzahl.")
    else:
        if millerRabin(zahl):
            print("wahrscheinlich Primzahl.")
        else:
            print("Keine Primzahl")

if __name__ == '__main__':
    prim = 561
    isgerade(prim)

Im obigen Programm wird, anders als beim Fermat-Test, die 561 (Pseudoprimzahl) als nicht Primzahl durch den Miller-Rabin-Test erkannt. Um ein besseres Laufzeitverhalten zu gewährleisten, kann die Anzahl der Schleifendurchläufe und die Anzahl der zu testenden Basen reduziert werden. Dies geht allerdings auf Kosten der Treffergenauigkeit. Man sollte demzufolge eine gute Balance zwischen Treffergenauigkeit und Laufzeitverhalten finden.

Fermat-Test

Veröffentlicht am 20. November 2018 von juergen

Antworten

Mit Hilfe des Fermat-Tests kann mit einer gewissen Wahrscheinlichkeit ausgesagt werden, ob eine gegebene Zahl eine Primzahl ist.
Der fermatsche Primzahlttest beruht auf dem kleinen Satz von Fermat.
Für jede Primzahl $p$ und jede dazu teilerfremde natürliche Zahl $a$ ist folgende Kongruenz erfüllt:

$a^{p-1} \equiv 1 \ mod \ p$

Beispiel:
Man nehme eine zu $p$ teilerfremde natürliche Zahl, zum Beispiel 2, und bilde $2^{p-1} \ mod \ p$ .
Kommt etwas anderes als 1 heraus, so kann $p$ keine Primzahl sein. Kommt 1 heraus, so ist $p$ ziemlich wahrscheinlich eine Primzahl.
Im ersten Fall spielt die Zahl 2 die Rolle eines Belastungszeugen (engl. witness) dafür, dass $p$ zusammengesetzt ist. Im zweiten Fall kann der Zeuge 2 die Zahl $p$ nicht belasten. Somit muss $p$ mangels Beweisen freigesprochen werden. Ob $p$ aber wirklich unschuldig (= Primzahl) ist, bleibt zumindest zweifelhaft.

Der Fermat-Test kann mit Hilfe von Python wie folgt implementiert werden:

def fermat(zeuge, testzahl):
    if zeuge ** (testzahl-1) % testzahl != 1:
        print("Keine Primzahl.")
    else:
        print("wahrscheinlich Primzahl.")

if __name__ == '__main__':
    '''Pseudoprimzahl bezgl. Fermat-Test'''
    testzahl = 561 
    zeuge = 2
    fermat(zeuge, testzahl)

Das obige Phython-Programm liefert als Ergebnis für die Testzahl 561 mit Zuhilfenahme der 2 als Zeuge „wahrscheinlich Primzahl“. Die Testzahl 561 ist allerdings keine Primzahl. Sie lässt sich in die Primfaktoren 17, 11 und 3 ( $3 \cdot 11 \cdot 17 = 561$ ) zerlegen. Hierbei handelt es sich um eine sogenannte Pseudoprimzahl zur Basis 2 bezüglich des Fermat-Tests (genauer gesagt ist die 561 die kleinste Carmichael-Zahl). In der Praxis spielt daher der Fermat-Test, wegen seiner nicht ausreichenden genauen Bestimmung von Primzahlen keine oder kaum eine Rolle.
Hier finden eher Primzahltests mit einer höheren Trefferwahrscheinlichkeit Anwendung (wie z. B. der Miller-Rabin-Test).

Der Euklidische- und erweiterte Euklidische Algorithmus

Veröffentlicht am 7. November 2018 von juergen

Antworten

Der Euklidische Algorithmus

Der Euklidische Algorithmus dient dazu, den größten gemeinsamen Teiler ( $ggT$ ) zweier natürlicher Zahlen zu ermitteln. Das Ermitteln des $ggT$ findet in der Kryptographie bei vielen Kryptosystemen Anwendung.

Beispiel:
Es soll für zwei natürliche Zahlen $a=285$ und $b=33$ der $ggT(285,33)$ ermittelt werden.
Formal kann die Ausgangssituation wie folgt beschrieben werden: $a=q \cdot b + r$ ( $r$ steht hierbei für den Rest der ganzahligen Division).

Beispiel für $a=285$ und $b=33$ :
$285=8 \cdot 33 + 21$
$33=1 \cdot 21 + 12$
$21=1 \cdot 12 + 9$
$12= 1 \cdot 9 + 3$
$9= 3 \cdot \textbf{3} + 0$

In der letzten Zeile kann der $ggT(285,33)=3$ abgelesen werden (fett gedruckte 3). Die Berechnung des $ggT$ ist abgeschlossen, sobald der Rest (r) den Wert 0 angenommen hat.

Kompakter kann der $ggT(285,3)$ auch in Form einer Tabelle ermittelt werden:

a	b	r
285	33	21
33	21	12
21	12	9
12	9	3
9	3	0

Die Spalte b in der letzten Zeile liefert das Ergebnis $ggT(285,33)=3$ .

Als Python-Programm lässt sich die Ermittlung des $ggT$ wie folgt implementieren:

def ggt(a ,b):
    while b!=0:
        a ,b = b, a % b
    return a

if __name__ == '__main__':
    a = 285
    b = 33
    print("Ausgabe ggt: ", ggt(a, b))

Der erweiterte Euklidische Algorithmus

Der erweiterte Euklidische Algorithmus wird u. a. dazu verwendet lineare diophantische Gleichungen der Form $a \cdot x + b \cdot y = ggT(a,b)$ zu lösen. Vielfache des $ggT(a,b)$ sind ebenfalls lösbar und können allgemein mit $a \cdot x \cdot z + b \cdot y \cdot z=z \cdot ggT(a,b)$ für $z \in \mathbb{Z}$ beschrieben werden.

Beispiel:
Gegeben sei die lineare diophantische Gleichung:

$285 \cdot x + 81 \cdot y = 3 \\$
Zuerst wir der Euklidische Algorithmus wie zuvor durchgeführt:

$285 = 3 \cdot 81 + 42\\$
$81 = 1 \cdot 42 + 39 \\$
$42 = 1 \cdot 39 + 3 \\$
$39 = 3 \cdot 13 + 0 \\$
Die Werte werden nun in eine Tabelle übertrage. Diese Tabelle erhält neben den Spalten für $a, b$ und $r$ noch zusätzlich die Spalten für die Werte $q, x$ und $y$ . Die Spalte r spielt bei der Berechnung von $x$ und $y$ keine Rolle und kann auch weggelassen werden.

a	b	q	r	x	y
285	81	3	42	2	$-1-3 \cdot 2=-7$
81	42	1	39	-1	$1-1 \cdot (-1)=2$
42	39	1	3	1	$0-1 \cdot 1=-1$
39	13	3	0	0	$1-3 \cdot 0=1$
13	0			1	0

Hierbei gilt für die Berechnungen der Werte für die Spalten $x$ und $y$ :

in die letzte Zeile wird immer für $x=1$ und $y=0$ eingetragen und
anschließend wird sich sukzessive Zeile für Zeile nach oben gearbeit, wobei gilt:

$x=y_{alt} \ und \ y=x_{alt}-q \cdot y_{alt}$

Als Lösung für das obige Beispiel gilt demnach:
$L=\{(x,y) \ | \ \{2,-7\} \} \\$
Probe: $285 \cdot 2 + 81 \cdot (-7)=3$

In Python lassen sich die Werte für $x$ und $y$ sowie der $ggT(285,81)$ wie folgt ermitteln:

def extgcd(a, b):
    x, y, xi, yi = 1, 0, 0, 1
    while b!=0:
        q=a//b
        a, b = b, a-q*b
        y, yi = yi, y-q*yi
        x, xi = xi, x-q*xi
    return a, x, y

if __name__ == '__main__':
    print("Werte a, x, y: ", extgcd(285, 81))

IT-Sicherheit

IT- und Systemsicherheit

Archiv für den Monat: November 2018

IT-Notfallplan

IT-Sicherheitsplan

Security Policy

Miller-Rabin-Test

Fermat-Test

Der Euklidische- und erweiterte Euklidische Algorithmus

Der Euklidische Algorithmus

Der erweiterte Euklidische Algorithmus