Im Rahmen eines Penetration Tests wurden an uns eher spezielle Anforderungen gestellt:

Die Zugriffe sollten möglichst effizient durchgeführt werden, ohne dadurch auf den Systemen eine Alarmierung auszulösen.

Da die Infrastruktur nicht durch den Kunden selbst, sondern durch einen externen Partner betreut wurde und dieser in das Security Testing nicht involviert werden sollte, wussten wir nicht um das ideale Timing-Verhalten für unsere Zugriffe. Doch ein solches sollte von zentraler Wichtigkeit sein, um automatisierte Zugriffe während einer frühen Phase der Auswertung durchführen zu können. Wir sahen uns also mit diametral entgegengesetzten Bedürfnissen konfrontiert:

Effizienz gegen Unentdeckbarkeit

Recherche

Um unsere Zugriffsmöglichkeiten bestmöglich abstecken zu können, haben wir uns deshalb um das Zusammentragen von Informationen zur Erkennung von vielen Zugriffen (typischerweise in Form eines Portscans oder Floodings) bemüht. Dabei definiert sich der entsprechende Threshold aus zwei Werten:

• Anzahl Zugriffe
• pro Zeiteinheit (in der Regel Sekunden)

Um diese Daten für bekannte Produkte finden zu können, wurden verschiedene Quellen genutzt:

• Dokumentation (Online Help, Handbücher, Screenshots)
• Testing (Download und Installation)
• Quelltext (falls vorhanden, z.B. Snort)
• Diskussionen (Foren, eher unzuverlässig)

Resultate

Die folgende Tabelle zeigt die Zugriffe (Req) pro Sekunde (Sec). Um einen vereinheitlichten Vergleich gewährleisten zu können, werden in der letzten Spalte mit nR/1S die Anzahl Zugriffe (nR) pro Sekunde (1S) ausgewiesen. Der arithmetische Durchschnitt dieses Werts liegt bei 85.928.

Bei dieser Recherche fielen verschiedene Aspekte auf, die die Arbeit nicht gerade einfacher gestaltet haben:

• Viele Produkte bieten eine Port Scan Detection an, erlauben aber lediglich das Aktivieren/Deaktivieren dieser Funktion, ohne Details oder Möglichkeiten granularer Einstellungen (Zugriffe/Sekunden) anzubieten.

• Gewisse Hersteller, die für das Aufkaufen anderer Firmen und Produkte bekannt sind, weisen über die unterschiedlichen Produktpaletten eine sehr inkonsistente Grundeinstellung auf. Hierzu zählt beispielsweise Juniper. Ganz im Gegenteil dazu wartet Checkpoint mit sehr einheitlichen Werten auf (30 Zugriffe / 20 Sekunden).

• Die verschiedenen Hersteller pflegen unterschiedliche Zeiteinheiten für die Prüfung heranzuziehen. Kurze Backlogs gewähren eine hohe Performance und lange Backlogs erreichen eine hohe Erkennungsrate für langwierige Scans. Die gefundenen Zeiteinheiten reichen von 0.3 Sekunden (Sophos) bis 10 Minuten (Inmon Traffic Sentinel). Produkte mit extrem langen Zeiteinheiten (im Stundenbereich) haben wir in der statistischen Auswertung explizit ausgeklammert.

Fazit

Als verlässlichen Richtwert für den Threshold einer Port Scan Detection gilt der Standardwert der Checkpoint Produkte. Dort wird bei 30 Anfragen innert 20 Sekunden aufgeschlagen. Dies ergibt einen maximalen Durchschnitt von 1.5 Paketen pro Sekunde, was ebenfalls dem Median der vorliegenden Werte entspricht.

Sieht man sich also mit den gleichen paradoxen Anforderungen konfrontiert, wie im Rahmen unseres Projekts, sollte man ca. 1.3 Pakete pro Sekunde anstreben, um einer Entdeckung und Alarmierung zu entgehen. Die Abweichung von 0.2 wird hier als Puffer gewählt, um der Entdeckung auch ganz sicher entgehen zu können. Bei einem Einsatz von nmap wird entsprechend der Schalter —max-rate 1.3 genutzt, um diesen Anforderungen gerecht werden zu können.

Diese Betrachtung ist natürlich nur in der Lage, die Standardeinstellungen eines Produkts zu berücksichtigen. Die weiterführenden Empfehlungen von Herstellern, Kunden und Experten sowie die effektiv applizierten Einstellungen müssen natürlich in ihrer individuellen Weise berücksichtigt werden.

Über die Autoren

Marc Ruef ist seit Ende der 1990er Jahre im Cybersecurity-Bereich aktiv. Er hat vor allem im deutschsprachigen Raum aufgrund der Vielzahl durch ihn veröffentlichten Fachpublikationen und Bücher – dazu gehört besonders Die Kunst des Penetration Testing – Bekanntheit erlangt. Er ist Dozent an verschiedenen Fakultäten, darunter ETH, HWZ, HSLU und IKF. (ORCID 0000-0002-1328-6357)

Oliver Kunz ist seit 2010 im Bereich der Informationssicherheit aktiv. Hauptsächlich setzt er sich mit Incident Response, Computerforensik und der Sicherheit von mobilen Geräten auseinander.

Links

• http://nmap.org/book/man-performance.html