Netzwerkzugriffe mit Open Source überwachen Wie man Netzwerke mit Port-Monitoring schützen kann

Anbieter zum Thema

Paessler AG

Cradlepoint GmbH

Bei der Überwachung von Ports für Netzwerkverbindungen, zum Beispiel aus dem Internet, können Admins feststellen, welche Anwendungen und Dienste aus ungesicherten Netzwerken auf das lokale Netzwerk zugreifen und welche Ports dabei zum Einsatz kommen. So kann ein derartiges Port-Monitoring zur Netzwerksicherheit beitragen.

Die Überwachung von Netzwerk-Ports spielt eine wichtige Rolle, um den Überblick darüber zu behalten, welche Netzwerkverbindungen über das Internet oder auch von lokalen Geräten aus zu einem Netzwerkgerät aufgebaut werden. Schon mit Bordmitteln ist es möglich, nach offenen Ports zu suchen. Das haben wir auch im Beitrag "Mit der PowerShell nach offenen Ports suchen" behandelt.

Es ist unbedingt notwendig, dass Admins die offenen Ports von Servern, Netzwerkgeräten und Firewalls im Auge behalten, damit sichergestellt ist, dass keine unbefugten Verbindungen aufgebaut werden. Hacker sammeln immer zunächst Informationen zu offenen Ports, um diese danach gezielt zu attackieren.

Bildergalerie

Bildergalerie mit 6 Bildern

Nur notwendige Ports öffnen und möglichst keine Standard-Ports verwenden

Es ist in vielen Netzwerken kaum zu vermeiden, Ports auf Servern oder auf Firewalls zu öffnen, damit über das Internet oder von anderen Geräten aus Verbindungen aufgebaut werden können. Interne Webdienste, VPNs oder andere Anwendungen müssen von überall zugreifbar sein und müssen daher auf Servern und auf Firewalls offen sein. Die Zugriffe sollten dabei aber unbedingt überwacht werden. Außerdem sollten an allen Stellen, wo es möglich ist, nicht die Standard-Ports verwendet werden. Das stellt sicher, dass Angreifer von außen für einzelne Ports nicht schon im Vorfeld wissen, welche Anwendung dort auf Anfragen wartet und diese dann gezielt angreifen können.

Das geht nicht bei allen Ports. Webseiten bspw. benötigen die Standard-Ports. Aber für sehr viele andere Dienste lassen sich die Ports relativ frei wählen. OpenVPN nutzt zum Beispiel standardmäßig den UDP-Port 1194. Wenn Angreifer Netzwerke mit bereitgestellten VPNs auf Basis von OpenVPN angreifen wollen, reicht es meist aus, die verschiedenen IP-Bereiche nach diesem Port zu durchsuchen. Nutzen Unternehmen hierfür aber einen anderen Port, macht das die Einwahl per VPN nicht komplizierter, aber sehr viel sicherer. Das gilt natürlich auch für SIP-Verbindungen, SMTP, FTP und anderen Ports. Nicht immer lassen sich die Ports ändern, aber wo ein Wechsel möglich ist, ist das eine sinnvolle Maßnahme.

Portknocking und zeitbasierte Regeln nutzen

Was auf einigen Firewalls ebenfalls möglich ist, sind Techniken wie Portknocking oder zeitbasierte Regeln. Beim Portknocking muss sich ein Dienst aus dem Internet erst mit einer vereinbarten Sequenz das Öffnen des Ports verhandeln. Der Dienst muss sozusagen "anklopfen". Das stellt einen weiteren Schutz dar. Hinzu kommt die Möglichkeit, bestimmte Ports nur zu bestimmten Zeiten zu öffnen, zum Beispiel durch Zeitpläne. Wenn ein VPN nur während der Arbeitszeiten offen sein muss, macht es Sinn, die entsprechenden Ports zu anderen Zeiten automatisch zu schließen. Das geht über Zeitpläne, die in Firewallregeln eingebettet werden können. Dienste im Internet, wie zum Beispiel GRC ShieldsUP https://www.grc.com/shieldsup, helfen dabei, Firewalls auf offene Ports zu durchsuchen.

Mit Tools die eigenen Ports testen: Kali, ShieldsUp, Nmap und Co.

Neben den bereits erwähnten Möglichkeiten der PowerShell und Diensten wie ShieldsUp, lassen sich offene Ports und Verbindungen bspw. auch mit Kali-Linux überprüfen. Wir zeigen im Beitrag "Erste Schritte mit Kali-Linux" einige Tools, die dazu in der Lage sind. Der Beitrag "43 kostenlose Werkzeuge für die Netzwerk-Überwachung" nennt zudem zahlreiche weitere kostenlose Programme, mit denen Admins offene Ports überwachen können.

Nmap ist ebenfalls ein wichtiges Tool für die Überwachung von Ports. Wir haben die Möglichkeiten dazu im Beitrag "Netzwerke mit Nmap und Zenmap untersuchen" behandelt und auch im Beitrag "Open-Source- und Freeware-Tools zur Netzwerk-Analyse" zeigen wir Tools aus diesem Bereich.

WireShark ist ein wichtiges Tool für die Netzwerkanalyse und hilft ebenfalls beim Identifizieren und überwachen von Ports. Die Vorgehensweisen dazu sind im Beitrag "Netzwerk-Monitoring und -Analyse in der Praxis" zu finden. Der Beitrag "Netzwerke mit tcpdump, ngrep und WireShark sniffern" geht noch weiter und bietet zusätzliche Tools und Anleitungen in diesem Bereich.

Es ist sinnvoll, dass sich Admins mit den Möglichkeiten dieser Tools auseinandersetzen, um einen Überblick darüber zu erhalten auf welchen Servern Ports offen sind und warum das so ist.

Unicornscan für das Port-Scanning nutzen

Unicornscan ist ein Tool, das in Kali-Linux ebenfalls verfügbar ist. Der Scanner kommt parallel zu herkömmlichen Port-Scannern zum Einsatz, da er wesentlich aggressiver und verdeckter vorgeht. Vor allem für das Pentesting ist Unicornscanner ideal, da er schnell Schwachstellen entdeckt. Unicornscanner umgeht teilweise erfolgreich den Portscanner-Schutz von Firewalls und IDS/IPS und weicht Honeypots aus.

Das Tool schickt Paketfragmente an verschiedene Ports, um zu überprüfen, ob und wie diese reagieren. Dabei nutzt Unicornscan unregelmäßige Verbindungen, keine Muster. Reagiert ein Server oder eine Firewall, liest Unicornscan den TTL-Wert des Ports aus oder berechnet ihn. Auf Basis dieser Daten erkennt das Tool, welches Betriebssystem auf der anderen Seite aktiv ist und kann Angriffe oder Schwachstellen speziell für dieses Betriebssystem berechnen. Die Syntax ist relativ einfach:

Ein Beispiel dafür ist:

Der Befehl berechnet den TTL für das System hinter der IP-Adresse 10.0.0.1 und schreibt Informationen zum System, zum Beispiel das Betriebssystem ausführlich (-v) in eine Protokolldatei (-l). Die verschiedenen Optionen sind auf der Dokumentationsseite von Unicornscan zu finden.

Unicornscan kann aber nicht nur einzelne IP-Adressen scannen, sondern komplette Subnetze. Mit dem folgenden Befehl scannt das Tool alle IP-Adressen in einem Netzwerk, scannt die Ports und zeigt welche Systeme aktuell gestartet sind, welche Betriebssysteme installiert sind und welche Ports auf den Systemen offen sind. Dabei nutzt das Tool Stealth Syn Scan. Hierbei werden Pakete mit Syn-Flags an einen Port eines Zielhosts gesendet. Ist der Port offen, antwortet das Ziel mit einem Paket mit SYN/ACK-Flag, andernfalls mit einem Paket mit RST-Flag. So kann ein Angreifer feststellen, welche Dienste auf dem Zielhost laufen:

Auf dem gleichen Weg lassen sich alle offenen UDP-Ports im Netzwerk oder auf der jeweiligen IP-Adresse identifizieren:

Parallel kann dazu noch WireShark zum Einsatz kommen, um die Pakete mitzuschneiden und auszuwerten. Wir haben das in den oben verlinkten Beiträgen bereits gezeigt. Darüber hinaus bietet Unicornscan noch zahlreiche weitere Möglichkeiten. Hier ist ein Beispiel für das Scannen von Port 80 auf dem Host mit der IP-Adresse 192.168.1.1:

Die Syntax für das Scannen von Schwachstellen mit Unicornscan lautet:

Hier ist ein Beispiel für das Scannen von Schwachstellen auf dem Host mit der IP-Adresse 192.168.1.1 mit einer Schwachstellen-Datenbank-Datei mit dem Namen "vuln.txt":

Die Syntax für die Host-Discovery mit Unicornscan ist:

Hier ist ein Beispiel für die Host-Discovery auf dem IP-Adresse-Bereich 192.168.1.0/24:

Video-Tipp #53: Mit der PowerShell die Windows-Sicherheit erhöhen

Mit der PowerShell nach offenen Ports suchen

Netzwerksicherheit mit Live-DVD im Griff behalten

Erste Schritte mit Kali-Linux

Netzwerk-Monitoring und Serveranalyse mit Open Source

43 kostenlose Werkzeuge für die Netzwerk-Überwachung

Tool-Tipp: Nmap & Zenmap

Netzwerke mit Nmap und Zenmap untersuchen

Schnelle System- und Netzwerkanalyse mit kostenfreier Software

Open-Source- und Freeware-Tools zur Netzwerk-Analyse

Einstieg in WireShark

Netzwerk-Monitoring und -Analyse in der Praxis

Netzwerk-Capture mit Open Source Tools

Netzwerke mit tcpdump, ngrep und WireShark sniffern

(ID:49485885)