nicht angemeldet
MS Windows 2000(3) Server
Hi,
ich habe den verdacht, dass ein bei uns im LAN stehender Server einen Trojaner beherbergt, meinen Rechner angreift, der dann dank personal firewall eine SYN Flood Attacke erkennt und meldet.
http://www.heise.de/security/artikel/43066
Sowas in der Art scheint mir auf einem unserer Server (IP-Adresse mir bekannt ;-) installiert worden zu sein.
Wie kriegt man aber heraus, welche Trojanersoftware auf dem Geraet installiert um die dann ggf. zu entfernen?
Gruss,
Ludger
-
Hi,
ich habe den verdacht, dass ein bei uns im LAN stehender Server einen Trojaner beherbergt, meinen Rechner angreift, der dann dank personal firewall eine SYN Flood Attacke erkennt und meldet.
Falls es sich tatsächlich um einen SYN-Flood handelt (diese komischen PFs neigen da stets zu Übertreibung, die wollen sich schließlich verkaufen), dann ist es gar keine Frage mehr, was das verursacht hat: Scheibe einschlagen, Axt entnehmen, mit kräftigem Schlag Netzkabel durchtrennen.
Wie kriegt man aber heraus, welche Trojanersoftware auf dem Geraet installiert um die dann ggf. zu entfernen?
Wie gesagt: das ist vollkommen egal. Es ist die übliche Vorgehensweise einzuhalten:
- Server _sofort_ vom Netz trennen
- sämtliche Daten sichern (Plattenimage ziehen, für die spätere Forensik)
- sämtliche Software rückstandslos entfernen ("Platte putzen"), dran denken, das es auch Schädlinge gibt, die auf das BIOS zugreifen!
- Software wieder einspielen (vom Backup nur, wenn diese Backup _vor_ dem Netzanschluß erfolgte!)
- Daten von Backup einspielen (Bei MS-Office Dateien oder allen anderen Dateien, die Schädlinge enthalten könnten ist natürlich Vorsicht geboten!)
- Administrator entlassen
- neuen Administrator einstellen, der sich mit der Absicherung von Netzen auskennt
- Schweiß abwischen
so short
Christoph Zurnieden
-
Hi,
- Server _sofort_ vom Netz trennen
- sämtliche Daten sichern (Plattenimage ziehen, für die spätere Forensik)
- sämtliche Software rückstandslos entfernen ("Platte putzen"), dran denken, das es auch Schädlinge gibt, die auf das BIOS zugreifen!
- Software wieder einspielen (vom Backup nur, wenn diese Backup _vor_ dem Netzanschluß erfolgte!)
- Daten von Backup einspielen (Bei MS-Office Dateien oder allen anderen Dateien, die Schädlinge enthalten könnten ist natürlich Vorsicht geboten!)
so wird bei uns nicht gearbeitet.
- Administrator entlassen
Wenn ichs massiv eskalieren wuerde, waere meine eigene Ruebe in Gefahr. (Wenn ich die Art der Attacke richtig verstanden habe, sollen da Trojaner zusammengeschaltet werden um andere Server anzugreifen, DDOS-maessig. Das waere dann ja primaer nicht unser Bier, wuerde behauptet werden von unserem kompetenten Betriebsteam und die Entscheider und Bewerter des Ganzen, die nicht unbedingt aus dem IT-Bereich kommen muessen, koennten das moeglicherweise sogar nachvollziehen. ;-)
- neuen Administrator einstellen, der sich mit der Absicherung von Netzen auskennt
Ich werde nun auf die naechste Attacke des LAN-Servers warten, das B-Team informieren und vielleicht kriegen die raus, was gerade im Speicher des angreifenden Servers so geschieht. Vielleicht auch nicht.
Aber ich habe schon verstanden, "Platte putzen" waere korrekt und alternativlos.
Gruss,
Ludger-
Hi,
- Server _sofort_ vom Netz trennen
[...]
- Daten von Backup einspielen (Bei MS-Office Dateien oder allen anderen Dateien, die Schädlinge enthalten könnten ist natürlich Vorsicht geboten!)
so wird bei uns nicht gearbeitet.
Es gibt aber, wie Du selber schon sagtest, keine Alternative.
- Administrator entlassen
Wenn ichs massiv eskalieren wuerde, waere meine eigene Ruebe in Gefahr.
Gut, das ist dann ein guter Grund, das irgendwie anders hinzufummeln.
Oder selber zu kündigen >;->Ich möchte aber nciht versäumen drauf hinzuweisen, das ihr auch belangt werden könntet, wenn ihr von einem Plan Kenntnis hattet, andere zu schädigen. (Du vermutest ja einen DDoS)
- neuen Administrator einstellen, der sich mit der Absicherung von Netzen auskennt
Ich werde nun auf die naechste Attacke des LAN-Servers warten, das B-Team informieren und vielleicht kriegen die raus, was gerade im Speicher des angreifenden Servers so geschieht. Vielleicht auch nicht.
Es mag viele Möglichkeiten geben, auf die Meldung einer PF zu reagieren, die eine SYN-Flood-Angriff meldet. Dein Vorgehen gehört aber mit Sicherheit nicht dazu.
Einmal ganz davon ab, das PFs in einem Firmennetz nix zu suchen haben (und meiner Meinung auch sonst nirgendwo, aber das nur mal am Rande. Ist auch diskutabel): entweder glaubst Du ihr und handelst entsprechend - das Mindeste wäre eine sofortige Trennung vom Netz und Booten von einer CD mit den üblichen forenischen Tools, kostet etwa eine Stunde Downtime, aber was verwendet ihr auch Windowsserver ohne entsprechende Sicherheitsmaßnahmen - oder Du glaubst ihr nicht und läßt die Hände in der Tasche.BTW: Günstige Gelegenheit z.B. mal den TÜV die Sicherheit überprüfen zu lassen (private externe Berater, wie etwa meine Beleibtheit, sind da zwar wesentlich komfortabler, da sie auch gleich die Implementation der Sicherung übernehmen können, aber auch deutlich teurer).
so short
Christoph Zurnieden
-
Hi,
kleiner Nachtrag zum Thema:
http://www.securityfocus.com/printable/infocus/1813so short
Christoph Zurnieden