Security 101

A - I

Backdoor

Definition: Backdoors kommen meistens als bösartige Fracht eines Virus oder einer anderen Bedrohung daher. Eine Backdoor wird dazu verwendet, die normalen Berechtigungen und Authentifizierungen zu unterlaufen und wir üblicherweise verwendet, um Kommunikationsports zu öffnen, FTP-Server zu starten oder Tastatureingaben aufzuzeichnen und an den Angreifen zurückzusenden. Genau wie Trojaner können Backdoors die Unternehmens-Firewall sehr leicht durchdringen und so die Sicherheit des gesamten Netzwerks gefährden.

Ein Beispiel: Der Trojaner, der den Rechner eines Benutzers infiziert hat, infiltriert das System, um einen Kommunikationsport zu öffnen; so erhält der Angreifer jederzeit vollständigen Zugriff auf das gesamte System.

Batch-basiertes Scannen

Definition: Hierbei handelt es sich um eine Malware-basierte Scanmethode, die zu einer Zeit entwickelt wurde, als Viren noch über austauschbare Medien verbreitet wurde; Der Ansatz dabei war, dass auf das Ziel des Scans nach dem Zufallsprinzip zugegriffen werden kann. Batch-basiertes Scannen beginnt erst, nachdem die entsprechende Datei auch empfangen wurde; ein Output erfolgt erst, nachdem die gesamte Datei gescannt wurde. In der Konsequenz bedeutet das für die Benutzer lange Verzögerungen oder sogar Timeouts, wenn die Datei übertragen und gescannt wird.

Blended Attack

Definition: Dieser Begriff beschreibt jeden bösartigen Code, der die Fähigkeiten von zwei oder mehr Malware-Programmen kombiniert (engl.: to blend), um ein System an mehreren Fronten anzugreifen.

Ein Beispiel: Ein Malware-Programm infiziert ein System und installiert einen Keylogger, öffnet eine Backdoor und kommuniziert per Internet Relay Chat (IRC).

Bot

Definition: Bot ist die Abkürzung für "Web Robot", eine bösartige Webapplikation, die sich selbst auf den System des Benutzers installiert und dabei Sicherheitslücken im Betriebssystem oder in einer der Softwareapplikationen ausnutzt. Durch Ausnutzung der Sicherheitslücken kann sich der Bot automatisch selbst ohne Benutzerinteraktion auf dem System installieren. Ein Bot kann auch durch einen Wurm oder einen Trojaner installiert werden, wie sie in Spam-Mails enthalten sind. Sobald der Bot einmal installiert ist, kann ein böswilliger Dritter ohne Wissen oder Erlaubnis des rechtmäßigen Besitzers auf dessen Rechner zugreifen.

Botnets

Definition: Abkürzung für "Bot Network"; Ein Botnet ist ein Netzwerk von Computern, sogenannten "Zombies", die mit einer schädlichen Softwareapplikation, einem sogenannten "Bot", infiziert sind. Die Rechner in einem solchen Botnet können ohne Wissen und ohne Erlaubnis des rechtmäßigen Besitzers von einem böswilligen Dritten ferngesteuert werden.

Ein Beispiel: Ein einziger Befehl geht von einem böswilligen Benutzer an 20.000 Zombie-Computer, die daraufhin alle gleichzeitig eine Anfrage an eine bestimmte Webseite senden. Das Ergebnis ist eine vollständige überlastung der Ressourcen, wodurch die Seite zusammenbricht.

Buffer Überlauf

Definition: Ein Buffer-Überlauf wird verursacht, wenn ein Programm versucht, mehr Daten in den Buffer zu schreiben, als er verkraften kann, oder wenn ein Programm versucht, Daten unter Umgehung eines Buffers in den Speicher zu schreiben. Unter einem Buffer versteht man hierbei einen sequentiellen Speicherbereich, der einem beliebigen Inhalt zugeordnet ist, von Zeichenketten bis hin zu einem Integerfeld. Das Beschreiben außerhalb eines zugewiesenen Speicherbereiches kann Daten zerstören, das Programm zum Absturz bringen oder die Ausführung von schädlichem Code verursachen. Ein Buffer-überlauf wird oft bei Angriffen verwendet, die unter Ausnutzung von Sicherheitslücken erfolgen.

Denial-of-Service Attack

Definition: Eine Denial-of-Service-Attacke (DoS-Attacke) oder eine Distributed Denial-of-Service-Attacke (DDoS-Attacke) ist ein Versuch, eine Rechnerressource für die eigentlichen Benutzer unerreichbar zu machen. Eine gängige Methode bei dieser Art von Attacke ist es, das Angriffsopfer (ein Rechner oder ein Netzwerk) mit Kommunikationsanfragen von außen zu überfluten, so dass keine Antwort mehr auf rechtmäßigen Traffic erfolgen kann, oder eben nur so langsam, dass die Ressource als nicht erreichbar gilt. Distributed Denial-of-Service-Attacken werden oft von Botnets durchgeführt: die mit einem Bot infizierten Rechner führen auf Kommando von einem oder wenigen Personen dabei Angriffe von verschiedenen Standorten aus.

Distributed Spam Analysis

Definition: Dabei handelt es sich um eine dauerhafte und koordinierte Kommunikation zwischen den ProSecure-Gateway-Appliances, die im Unternehmensnetzwerk installiert sind, und dem NETGEAR Spam Classification Center, um proaktiv alle Arten von e-Mail-basierten Bedrohungsmustern in Echtzeit auf Basis von mehr als 50 Millionen Quellen weltweit zu erkennen und zu klassifizieren. Die Distributed Spam Analysis-Technologie extrahiert und analysiert dabei relevante Muster in Nachrichten, die dann zur Identifizierung und Klassifizierung von Verbreitung und Strukturmerkmalen e-Mail-basierter Ausbrüche verwendet werden.

Distributed Web Analysis

Definition: Die Distributed Web Analysis ist eine hybride URL-Filterarchitektur "in the cloud", die in den NETGEAR ProSecure Gateway-Appliances eingesetzt wird. Die Appliance fordert vom NETGEAR URL Classification Center in Echtzeit die Kategorie-Daten für eine bestimmte URL an. Die Antwort wird dann von der Appliance lokal für spätere Anfragen abgespeichert. Das NETGEAR URL Classification Center verarbeitet und kategorisiert Datenströme von Millionen HTTP-Konnektoren, die "in the cloud" bei Service-Providern weltweit im Einsatz sind, und verfügt über eine stetig wachsende URL-Datenbank mit mehr als 100 Millionen Einträgen, die in 64 Kategorien eingeordnet sind.

E-Mail-basierte Bedrohungen

Definition: Hierbei handelt es sich um eine bösartige Softwareapplikation, welche direkt per e-Mail an den Benutzer geschickt wird. Die Bedrohung kann in HTML-Mails eingebettet sein oder als e-Mail-Anhang daherkommen. E-Mail-basierte Bedrohungen nutzen üblicherweise eine Technik, die als "Social Engineering" bezeichnet wird, um Benutzer glauben zu machen, dass es sich um eine legitime e-Mail handelt und somit die e-Mail oder ihren Anhang zu öffnen. Bei Bedrohungen, die in das HTML-Code der e-Mail eingebettet sind, infiziert sich das System des Benutzers bereits durch einfaches öffnen der e-Mail. Falls die Bedrohungen als Anhang in der e-Mail auftritt, so erfolgt die Infektion, sobald der Anhang geöffnet wird.

Zwei der bekanntesten Bedrohungen durch e-Mail sind Spam und Phishing. Obwohl diese Phänomene an sich keine Bedrohung darstellen, wird Spam gerne als Vehikel für e-Mail-basierte Bedrohungen genutzt, da auf diese Weise nahezu gleichzeitig Millionen Netzwerknutzer infiziert werden können. Phishing-Attacken werden im Web auf ähnliche Art und Weise ausgeführt, indem die e-Mail dazu benutzt wird, das Opfer auf die entsprechende Seite zu leiten.

Ein Beispiel: Der Benutzer erhält eine e-Mail, die offensichtlich von einer Nachrichtenagentur stammt und eine reißerische überschrift in der Betreffzeile hat. Die e-Mail kann dabei in HTML verfasst sein, wobei die Bedrohung im Code eingebettet ist; ist in diesem Falle wird das System des Benutzers sofort beim öffnen der e-Mail infiziert. Alternativ kann der Angreifer auch einen kurzen Abriss im Text der e-Mail liefern, der den Benutzer dann auffordert, den Anhang zu öffnen, um die ganze Story lesen zu können.

In-the-Cloud Zero-Hour Detection

Definition: Darunter versteht man das kontinuierliche Sammeln und Analysieren von Daten aus über 50 Millionen Quellen weltweit, um proaktiv verdächtige Bedrohungen aus dem Internet zu entdecken und abzuwehren, die bislang noch unentdeckt sind. Die e-Mails werden präzise und in Echtzeit durch Analyse ihrer Verteilungsmuster anstelle der Headerinformationen bewertet. Sobald eine E-Mail als Spam eingestuft wird, weist ihr der Scanner eine Signatur zu und erzeugt unverzüglich eine entsprechende Datei - so wird ein Ausbruch effektiv gestoppt. Ebenso wird die Webnutzung anhand einer hybriden "in-the-cloud"-URL-Datenbank bewertet, die mehr als 100 Millionen Webseiten zur schnellen und effizienten Contentfilterung beinhaltet.

IPS

Definition: Das IPS (Intrusion Prevention System) ist ein Netzwerk-Sicherheitsgerät zur überwachung von Netzwerk- und/oder Systemaktivitäten auf unerwünschtes oder bösartiges Verhalten; das System ist in der Lage, diese Aktivitäten in Echtzeit zu verhindern oder abzublocken.

IPsec

Definition: IPsec (IP Security) ist eine Suite mit mehreren Protokollen zur Absicherung von Kommunikation über IP (Internet Protocol) zwischen zwei Hosts (client-basierter Fernzugriff), oder zwischen zwei Internetgateways (Site-to-Site-Tunnel) durch Authentifizierung und Verschlüsselung jedes einzelnen IP-Pakets in einem Datenstrom. IPsec beinhaltet auch Protokolle zum Aufbau einer gegenseitigen Authentifizierung zwischen den Agenten zu beginn einer Sitzung und zum Austausch der Kryptographie-Schlüssel, die während der Sitzung verwendet werden.

J - R

Keylogger

Definition: Keylogger gehören zu den am weitesten verbreiteten Arten von Spyware; sie zeichnen die Tastatureingaben des Benutzers auf und senden sie zurück an den Angreifer. Keylogger werden meistens dazu benutzt, Passwörter zu stehlen und können dazu verwendet werden, sich unberechtigt Zugang zum Firmennetzwerk, den Datenbanken oder auf andere wertvolle Ressourcen zu erschleichen.

Malware

Definition: Malware ist die Abkürzung für "Malicious Software (dt. Schadsoftware) und wird in der Security-Branche generell für Bedrohungen aller Art verwendet. Malware wurde ursprünglich entwickelt, um Rechner oder Dateien zu beschädigen oder um den zweifelhafte Bekanntheitsgrad des Autors zu erhöhen. Moderne Bedrohungen zielen jedoch hauptsächlich darauf ab, persönliche Daten oder Unternehmensdaten zu entwenden, um daraus finanziellen Nutzen zu ziehen.

Beispiel: Viren, Würmer, Trojaner und Spyware werden alle als Malware bezeichnet.

NETGEAR® Stream Scanning Technology

Definition: Dabei handelt es sich um eine patentierte Scanmethode für Malware, die auf der einfachen Erkenntnis basiert, dass der Traffic in Netzwerken in sogenannten Streams erfolgt. Anstatt auf das Eintreffen der vollständigen Datei zu warten, beginnt das Stream Scanning bereits mit der Analyse des Traffic, wenn dieser in das Netzwerk eintritt. Sobald die minimal erforderliche Anzahl an Bytes empfangen ist, beginnt der Scanvorgang. Die Scan-Engine scannt auch die weiteren Bytes, sobald diese verfügbar sind, wobei zugleich ein weiterer Thread die bereits gescannten Bytes ausgibt. So können auch große Datenmengen zügig verarbeitet werden; dabei genügt ein einziger Scan zur Identifizierung von Spam, Malware, Sicherheitslücken und unnötigen Applikationen.

Phishing-Attacken

Definition: Eine e-Mail-basierte Bedrohung, die sich als Kommunikation von der Bank oder anderen vertrauenswürdigen Organisationen des Benutzers tarnt. Eine typische Phishing-Mail ist meist als Betrugsalarm, als Benachrichtigung über ein Sicherheitsupdate, Sonderangebot oder als Aufforderung an den Nutzer, seine Zugangsdaten zu bestätigen, gestaltet, um ihn so zum umgehenden Handeln zu bewegen. Phishing-Mails enthalten fast immer ein eingebettetes URL-Link, welches den Nutzer auf eine Webseite führt, die der echten Webseite täuschend ähnlich sieht - mit dem selben Firmenlogo, derselben grafischen Gestaltung, Layout, Schriftart anderen visuellen Elementen.

Ein Beispiel: Der Nutzer erhält eine e-Mail, die offensichtlich von seiner Bank stammt und ihn vor möglichen Betrugsversuchen bei seinem Konto warnt. Er wird dazu aufgefordert, zur überprüfung seines Kontos dem eingebetteten Link auf die Homepage der Bank zu folgen. Nach Anklicken des Links gelangt er auf eine exakte Kopie der Bank-Homepage, wo er seine Benutzerdaten eingibt. Diese Benutzerdaten gehen dann direkt an den böswilligen Dritten, der nun ungehindert auf das Konto des Benutzers zugreifen kann.

Port Scan

Definition: Bein einem Portscan wird ein ein Portscanner eingesetzt, um den Rechner/das Netzwerk auf offene Ports zu untersuchen. Wird oft von Hackern verwendet, um mögliche Schwachstellen in einem System zu finden.

Rootkit

Definition: Ein Rootkit ist ein Programm, das sich selbst Zugang auf höchster Ebene zu einem Rechner verschafft. Zweck eines Rootkits ist es, andere Prozesse, die auf diesem Rechner laufen, vollständig unsichtbar zu machen. Obwohl an sich nicht bösartig, stellt die Tatsache, dass Rootkits die anderen Prozesse auf einem Rechner verbergen, eine große Sicherheitsbedrohung für das System und das gesamte Netzwerk dar.

S - Z

Spyware

Definition: Es gibt zwei Arten von Spyware - ärgerliche und bösartige. Bösartige Spyware birgt das höchste Schadenspotential für den Geschäftsbetrieb und wird von Datendieben zum Entwenden vertraulicher Informationen verwendet. Wenn dieser Typ in das Netzwerk gelangt, birgt er die Gefahr der Beschädigung von Kunden- oder Geschäftsdaten.

Ein Beispiel: Spyware befindet sich verborgen auf einem Benutzerrechner und sendet im Hintergrund nach einem vorgegebenen Zeitplan die vom Benutzer eingegebenen Daten an einen entfernten Rechner. Der böswillige Remote-Nutzer analysiert die Daten und sucht dabei nach Kreditkartennummern, Login-Daten fürs Online-Banking, Passwörtern und anderen sensiblen Informationen.

SQL Injection

Definition: SSL Injection ist eine Schwachstelle auf Datenbankebene, mit deren Hilfe Schadcode in bestimmte Zeichenfolgen eingebunden wird, der später zum Parsen und ausführen auf eine Instanz des SQL-Servers weitergeleitet wird. Die Hauptform der SQL Injection besteht im direkten Einfügen von Code in Variablen, die vom Nutzer eingegeben werden und die mit SQL-Befehlen verkettet sind und dann ausgeführt werden. Ein indirekte Attacke fügt den Code in Zeichenfolgen ein, die zur Speicherung in einer Tabelle oder als Metadaten bestimmt sind. Wenn dann die gespeicherten Zeichenfolgen mit einem dynamischen SQL-Befehl verknüpft werden, wir der Schadcode ausgeführt.

SSL VPN

Definition: SSL VPN (Secure Socket Layer Virtual Private Network) ist VPN, das auf der Secure Socket Layer-Technologie läuft und auf das per HTTPS oder Webbrowser zugegriffen wird. Dadurch kann der Benutzer über nahezu jeden Webbrowser eine sichere und clientlose Verbindung aufbauen. SSL VPN ist eine kostengünstige und schlanke Alternative zu herkömmlichen client-basierten VPN-Technologien.

Stateful Packet Inspection

Definition: Stateful Packet Inspection (SPI) ist eine Firewall-Architektur zur Zustandsüberwachung von Netzwerkverbindungen (wie z.B. TCP-Streams oder UDP-Kommunikation), die über das SPI laufen. Die Firewall enthält Regeln, um legitime von illegitimen Packets zu unterscheiden. Nur Packets, die einem bekannten Verbindungsstatus entsprechen, werden von der Firewall zugelassen, alle anderen werden zurückgewiesen und abgeblockt.

TCP SYN Flood

Definition: Ein TCP SYN Flood ist eine Form der Denial-of-Service-Attacke, bei der ein Angreifer eine Reihe von TCP SYN-Anfragen schneller an das Zielsystem schickt, als es diese verarbeiten kann. Zu Beginn einer normalen TCP-Verbindung wird zwischen dem Quell-und dem Zielhost ein dreifacher Handshake ausgetauscht. Der Quellhost sendet ein SYN-Paket (synchronize/start) an das Ziel, worauf das Ziel ein SYN ACK-Paket (synchronize/acknowledge) zurückschickt. Der Zielhost muss dann ein ACK (acknowledge) fürdas SYN ACK hören, bevor die Verbindung aufgebaut wird.

Wenn ein Server ein SYN-Segment von einem Client empfängt, werden Rechnerressourcen (z.B. Speicher) für den erwarteten Handshake und den darauffolgenden Datentransfer reserviert. Da jeder Server nur über begrenzte Ressourcen verfügt, kann nur eine bestimmte Anzahl Verbindungen angenommen werden. Alle zusätzlichen Anfragen werden abgewiesen. TCP SYN Flood-Attacken überfluten das Opfer mit Anfragen, bis alle legitimen Anfragen abgeblockt werden.

Trojaner

Definition: Wie das Vorbild in der griechischen Mythologie ist ein Trojaner, oder trojanisches Pferd, eine schädliche Softwareapplikation, die sich als harmlos tarnt, um den User zum Starten der Applikation zu bewegen. Trojaner kommen meist als e-Mail_Anhang daher, können leicht hinter die Unternehmensfirewall gelangen und Schaden anrichten. Tojanische Pferde ermöglichen dem Angreifer den unberechtigten Zugang zum infizierten System, was wiederum die Sicherheit des gesamten Netzwerks beeinträchtigt.

Ein Beispiel: Kostenlose Bildschirmschoner, Emoticons oder Avatare werden gern als Tarnung für Trojaner genutzt. Das System des Benutzers wird infiziert, wenn er versucht, eines dieser scheinbar harmlosen Programme herunterzuladen.

Virus

Definition: Ein Virus ist eine schädliche Softwareapplikation, die ihren eigenen Code vervielfältigen kann. Mache Viren verursachen Schäden, indem sie beispielsweise Dateien beschädigen oder löschen, andere versuchen, den Speicher des Rechners zu überlasten. Die meisten sind jedoch hauptsächlich dazu programmiert, um sich bemerkbar zu machen. Viren können sich nicht von einem System zum nächsten weiterverbreiten. Stattdessen hängen sie sich an eine bestehende Anwendung an, um zu überleben - und können sich daher nur verbreiten, wenn die Applikation auf einem anderen Rechner installiert wird.

Ein Beispiel: Ein Benutzer erhält eine e-Mail, die Bilder von leicht bekleideten Promi-Damen verspricht. Beim Anhang handelt es sich um eine ausführbare Datei, die jedoch als Bilddatei getarnt ist, die nach dem Promi benannt ist. Im Glauben, es handle sich bei dem Anhang tatsächlich um die nackten Tatsachen, öffnet der Benutzer den Anhang und infiziert so sein System.

Webbasierte Bedrohungen

Definition: So wird jeder Schadcode bezeichnet, der sich über Webprotokolle verbreitet (HTTP, HTTPS und FTP). Viele davon sind in einer Browser-unterstützten Programmiersprache wie JavaScript oder HTML verfasst und werden auch über Webbrowser verbreitet. Webbasierte Bedrohungen können durch Schwachstellen in Webbrowser verbreitet werden, die meisten davon sind jedoch an spezifische Webseiten gebunden. Manche tarnen sich auch als legitime Dateien, wie Dokumente, Lieder oder Bilder, um den User zum Herunterladen zu verleiten. Andere werden ohne Zutun des Nutzers automatisch im Hintergrund geladen, wenn der Benutzer eine infizierte Webseite besucht. Die infizierte Seite kann dabei eine präparierte Seite sein, die vom Autor bewusst als legitime Seite gestaltet wurde, oder auch eine legitime Webseite, die von einem böswilligen Autor gekapert wurde und mit dem Bedrohung infiziert ist.

Ein Beispiel: Eine Spyware-Applikation erscheint als P2P (Peer-to-Peer)-Seite, entweder getarnt oder als Anhang an einen beliebten Song im mp3-Format, bei der angeblich hunderttausende Lieder zum Download bereitstehen. Das System des Benutzers wird beim Herunterladen der Datei infiziert.

Whaling

Definition: Dies ist eine Art des Phishing-Betrugs, der es auf die Führungsspitze eines Unternehmens abgesehen hat. Beim Whaling wird eine sorgfältig komponierte e-Mail an die Opfer geschickt, um diese auf ein eingebettetes Link umzuleiten, über das sie dann auf eine schädliche Webseite gelangen. Sobald die Seite betreten wird, kann Spyware auf den Rechner des Opfers heruntergeladen werden, oder die User werden dazu verleitet, sensible Informationen über sich selbst oder über das Unternehmen einzugeben.

Ein Beispiel: Der Finanzvorstand erhält eine e-Mail, die offensichtlich von der Gewerbeaufsicht stammt und ein wichtige Neuigkeiten zur Kreditlinie des Unternehmens bereithält. Die e-Mail weist den Empfänger an, auf das eingebettete URL-Link zu klicken, um die Details des Unternehmensaccounts zu sehen. Beim Anklicken des Links gelangt das Opfer auf eine exakte Kopie der GA-Seite, auf der die Login-Daten eingegeben werden. Diese Daten gelangen dann direkt zu dem böswilligen Nutzer, der damit nun zugriff auf den echten Kundenaccount bekommt.

Würmer

Definition: Ein Wurm ist eine schädliche Softwareapplikation, die sich selbst vervielfältigen kann und sich ohne Abhängigkeiten autark durch ein Unternehmensnetzwerk bewegt - im Gegensatz zu Viren, welche eine Benutzerinteraktion erfordern. Würmer beanspruchen zu ihrer Vervielfältigung und Verbreitung beträchtliche Bandbreite im Netzwerk.

Zombies

Definition: Ein Zombie ist ein Computer, der mit einer bösartigen Softwareapplikation, einem sogenannten "Bot", infiziert ist. Sobald der Bot einmal installiert ist, kann ein böswilliger Dritter den Zombie-Rechner ohne Wissen und ohne Erlaubnis des rechtmäßigen Besitzers fernsteuern.