multicepT. Service auf den Punkt gebracht. » Security

Tripwire und KVM ergänzen sich

Oliver Herms — Thu, 21 Jan 2010 21:49:04 +0000

Heute haben wir bei einer ersten virtuellen Maschine Tripwire so eingerichtet, dass es nicht innerhalb der virtuellen Maschine läuft, sondern auf dem Hostrechner.

Wozu das ganze? Tripwire kann doch auch im Gast laufen und die Integrität aller Dateien prüfen?

Stimmt, aber dann ist es von einem Angreifer innerhalb der virtuelle Maschine leicht manipulierbar!
Da unsere Tripwire Binarys und Configs nicht in der virtuelle Maschine liegen, sind sie für einen Angreifer nicht greifbar. Er weiß nicht mal, dass eine Tripwire Installation existiert (es sei denn, er liest diesen Blogpost)!

Wie funktioniert das ganze?
Ein Script fertigt von dem Gastsystem per LVM einen Snapshot an, welcher dann mit kpartx als einzelne Partitionen gemountet wird. Auf dem gemounteten Read-Only Volume wird dann der Integritätscheck ausgeführt.

So (!) macht ein HIDS sinn.
Wir werden das Script weiter entwickeln und erproben und es später zum Download bereit stellen.

Mod_Security blockt Anfragen aufgrund von IP-Adressen

Oliver Herms — Tue, 12 Jan 2010 16:42:35 +0000

Heute rief mich ein bekannter an, er könne unsere Webseiten nicht aufrufen und erhalten einen Fehler 403 (Fordbidden, Zugriff verweigert).

Ein Test von meinem Arbeitsplatz aus, konnte den Fehler ersteinmal nicht bestätigen. Nachdem ich erst das DNS geprüft habe (zeigt die Domain auch auf den richtigen Server?), prüfte ich die Logdatei des Webservers. Tatsache: Seine Anfragen wurden blockiert, meine nicht.

Die Ursache war die, dass unser Regelwerk in der Datei 00_asl_rbl.conf, welche aus dem Regelwerk von gotroot.com stammt, eine Regel enthielt, welche die IP-Adresse des Clients in der DNSBL xbl.spamhaus.org nachschlägt und, falls die IP-Adresse gelistet ist, den Zugriff verweigert. Die Liste enthält eigentlich Rechner, welche durch Spam auf Webseiten durch Trojaner / Botnetze beispielsweise aufgefallen sind. Problematisch ist das ganze jedoch deswegen, weil IP-Adressen sich hierzulande normalerweise nach 24 Stunden ändern und dann ein unschuldiger Benutzer eine IP-Adresse bekommen kann, die auf der Blackliste steht. Diesem Benutzer ist der Besuch unserer Seiten dann nicht möglich.

Fazit: Der Einsatz einer DNSBL in einer WebApplication Firewall kann also schnell dazu führen, dass unschuldige Besucher von der Webseite ausgesperrt werden.
Anders als Mailserver, haben Websurfer normalerweise nämlich keine festen IP-Adressen.

Linux Local-Root-Exploit lässt uns kalt

Oliver Herms — Fri, 14 Aug 2009 16:22:01 +0000

Richtig gelesen!

Obwohl wir auf vielen unserer Server natürlich Linux einsetzen, betreffen uns die meisten Exploits für Linux nicht direkt, da wir einen stark gehärteten Linuxkernel einsetzen. Wir setzen bei allen Systemen, wo Kunden direkten Zugriff auf das System (Shell / CGI) haben auf Grsecurity.

Grsecurity ließ uns bereits im Februar 2008 ruhiger schlafen, als es einen lokalen Rootexploit für Linux gab (Vmsplice Bug). Sämtliche auffindbaren Exploits funktionieren auf unseren Systemen nicht. Und so ist es auch nun wieder: Sämtliche Exploits, die wir für die aktuelle Lücke finden konnten, funktionieren auf unseren Systemen nicht.

Seit heute wollen wir die ganze Welt an unseren Paketen, die für KVM-Gastsysteme mit Debian Lenny konzipiert sind, teilhaben lassen, und stellen die Pakete für amd64 unter http://grsec.multicept.de zur Verfügung. Dass wir für Probleme, die durch unsere Pakete entstehen keinerlei Haftung übernehmen versteht sich von selbst.

Nähere Informationen, was im Kernel enthalten ist, was nicht, sowie signaturen werden in den nächsten Tagen folgen. Es lohnt sich also die Seite regelmäßig aufzurufen.