Das Thema Intrusion Prevention-Systeme (IPS) ist bald seit 15 Jahren im Bewusstsein der angewandten Computersicherheit präsent. Genau wie Intrusion Detection-Systeme (IDS) sind sie einige Zeit eher stiefmütterlich behandelt worden. Zu komplex und schwierig handzuhaben schien das Thema.

Mit der Vereinfachung und Professionalisierung dieser Themengebiete wurden sie aber wieder zunehmend salonfähig. Es gibt Hersteller, die mit unterschiedlichen Ansätzen aufwarten. Traditionellerweise wird ein IDS/IPS als Sensor in einem Netzwerk betrieben.

HP TippingPoint ist eines dieser HIDS/HIPS-Systeme (es wird gar als NGIPS betitelt). Das kommerzielle Produkt wird mit über 7’000 Protection Filter ausgeliefert, die anhand einer klassischen Mustererkennung die jeweiligen Angriffsversuche als solche erkennen können soll. Der Benutzer kann diese in Profilen zusammenfassen, an bestimmte Schnittstellen binden (z.B. nur Inbound-Überwachung) und ihnen Actions zuweisen (z.B. Permit, Block, Notify, Trace).

Dieser Beitrag geht auf die Protection Filter von TippingPoint ein. Es wird untersucht, wie diese strukturiert werden und welche Ansätze durch HP verfolgt werden.

Namensgebung

Der Titel eines Filters weist die Struktur ID: Name auf. Die Typischen Filter für das Erkennen von klassischen Anomalien im Bereich ICMP heissen zum Beispiel:

• 0079: ICMP: Echo Reply
• 0081: ICMP: Unassigned Type (Type 1)
• 0082: ICMP: Unassigned Type (Type 2)
• 0083: ICMP: Fragmented packet

Die ID ist 4-stellig, wird mit jedem neu eingeführten Filter inkrementiert und wird bei Zahlen kleiner als 1000 mit einer voranstehenden Null geführt. Es werden zwar mittlerweile über 7’000 Filter geführt. Es sind jedoch Löcher in den IDs zu beobachten. Wahrscheinlich wurden gewisse Filter nie freigegeben oder wieder zurückgezogen. Filter mit IDs grösser als 10000 gibt es dementsprechend auch. Die Namenskonvention mit der vorangestellten Null hat dies jedoch nicht beeinträchtigt.

Falls eine Schwachstelle via ZDI veröffentlich wurde, wird die entsprechende ID in Klammern angeführt. Andere Quellen, wie zum Beispiel OSVDB oder CVE werden leider nicht genannt. Ebenso existiert keine öffentlich zugängliche Datenbank der Filter, die eine Verlinkung zu anderen Quellen vereinfachen könnte. Die eindeutige Zuweisung von Filter zu expliziten Schwachstellen gestaltet sich also bisweilen sehr schwer. Ein ähnliches Problem ist auch bei Qualys zu beobachten. Dies ist mitunter ein Grund, warum offenen Systemen nach Möglichkeiten Vorrang gewährt werden sollten.

Kategorien

Die Filter werden Kategorien zugewiesen. Diese sind in nachfolgender Tabelle erklärt:

Die Zuweisung in die Kategorien ist nicht immer einfach nachzuvollziehen. So wird zum Beispiel 0079: ICMP: Echo Reply unter Security Policy geführt obwohl es doch eher in Reconnaissance passen könnte. Gewisse DDoS-Tools und Würmer wären eventuell auch besser in Virus aufgehoben anstatt in Exploits.

Auch bei diesem Produkt findet bisweilen eine marktgetriebene Vermengung von Intrusion Prevention und Malware Detection statt. Dies wird offensichtlich bei der Kategorie Virus. Obwohl es von Vorteil sein kann, wenn auch durch ein IPS entsprechende Malware frühzeitig erkannt wird, ersetzt dies – mindestens zum aktuellen Zeitpunkt – keine echte Antiviren-Lösung. Zu limitiert und knapp ist die Liste der entdeckbaren Schädlinge. Zudem wird sich ausschliesslich auf die Verbreitung fokussiert und nicht auf weiterführende Aktivitäten.

Default Profile

HP propagiert ein sogenanntes Default Profile. Dies ist das empfohlene Profil, das eingesetzt werden soll, um in den meisten Umgebungen einen Grundschutz zu erreichen, ohne den Betrieb negativ zu beeinträchtigen. Grundsätzlich werden damit 32.6% aller Filter aktiv geschaltet. Die restlichen 67.4% sind deaktiviert, da sie zu aggressiv agieren könnten.

Unter anderem werden auch als simpel geltende und mit wenig False-Positives behafteten Filter deaktiviert. Dazu gehören (kurzer Auszug):

• 0682: FTP: LIST command Overflow
• 1027: SMTP: expand root
• 1048: SMTP: helo Buffer Overflow Vulnerability
• 1224: SNMP: Community Name Brute Force Attempt
• 1225: SNMP: PROTOS Scan (Version Too Long)
• 1229: SMB: Out-of-Band TCP Data (Winnuke Exploit)
• 10767: HTTP: Acunetix Security Scanner
• 12961: DNS: Large UDP Packet DDoS

Haufenweise anwendungs- bzw. produktspezifische Schwachstellen werden ebenfalls ausgeklammert. Dazu gehören (ebenfalls nur ein kurzer Auszug):

• 1605-1619: HTTP: IIS WebDAV Buffer Overflows
• 2065-2079: IMAP: Command Overflows
• 12198-12202, 12224-12227: SMB: Samba Heap Overflows

Diese sind aufgrund der hohen Anzahl und Diversität nicht in der vorangegangenen Tabelle aufgeführt. Es ist davon auszugehen, dass die in diesem Zusammenhang deaktivierten Filter entweder eine überdurchschnittlich hohe Rate an False-Positives generieren oder ein Mehr an Ressourcen erfordern. Sie einzuschalten, mit all den damit einhergehenden Nachteilen, bleibt somit Aufgabe des Benutzers.

Deshalb ist es umso wichtiger, dass man sich nicht nur auf die Empfehlungen von HP verlässt. In einer sicheren Umgebung müssen unternehmensspezifische Eigenarten mitberücksichtigt werden. Neue Filter müssen dementsprechend untersucht, getestet und nach Möglichkeiten im eigenen Unternehmen freigegeben werden. Nur so kann der maximale Schutz der Lösung erreicht werden.

Zusammenfassung

HP TippingPoint ist ein interessantes System, das auf manchen Ebenen überzeugen kann. Sowohl performance- als auch sicherheitstechnisch ist es einen Blick wert. Die mitgelieferten Filter können dabei helfen, schnell und effizient eine Grundsicherheit in einem Netzwerk erreichen zu lassen.

Dennoch liess sich aufzeigen, dass gewisse Standardeinstellungen in nahezu fahrlässiger Weise zusätzliche Möglichkeiten für Angreifer einführen. Klassische Angriffstechniken werden so wieder interessant. Und kann sich ein Angreifer auf die entsprechende Konfiguration einstellen, wird er eine Vielzahl an Angriffsversuchen unentdeckt oder gar erfolgreich durchsetzen können.

Die Geschlossenheit des Systems macht es nahezu unmöglich, weitere Details zum Verhalten der Filter eruieren und diese optimieren zu können. Dies ist der grosse Nachteil, dem nur mit offenen – im Idealfall quelloffenen – Systemen entgegnet werden kann. Ein Sachverhalt, der nicht nur auf IDS/IPS angewendet werden kann.

Über den Autor

Marc Ruef ist seit Ende der 1990er Jahre im Cybersecurity-Bereich aktiv. Er hat vor allem im deutschsprachigen Raum aufgrund der Vielzahl durch ihn veröffentlichten Fachpublikationen und Bücher – dazu gehört besonders Die Kunst des Penetration Testing – Bekanntheit erlangt. Er ist Dozent an verschiedenen Fakultäten, darunter ETH, HWZ, HSLU und IKF. (ORCID 0000-0002-1328-6357)

Links

• http://www8.hp.com/us/en/software-solutions/software.html?compURI=1343617#.UqghAPTuIYk