Linux Security
Open Source Software wird gegenüber kommerziellen Lösungen immer wichtiger. Addison-Wesley trägt dieser Entwicklung Rechnung mit den Büchern der Open Source Library. Administratoren, Entwickler und User erhalten hier professionelles Know-how, um freie Software effizient einzusetzen. Behandelt werden Themen wie Betriebssysteme, Netzwerke und Sicherheit als auch Programmierung. Eine Auswahl aus unserem Programm: Linux für den fortgeschrittenen Systemadministrator, der lernt, wie man Linux bei verteilten Netzumgebungen einsetzt. Die vierte Auflage wurde durchgehend überarbeitet, aktualisiert und erweitert. Wesentliche Neuerungen betreffen Linux-Standards, XML-Tools, Internet-Zugang mit DSL, VPNs, BIND9/dnssec. Linux-Systemadministration Jochen Hein ca. 640 Seiten EUR 49,95 [D], sFr 77,50 ISBN 3-8273-1992-7
Josef Brunner
Linux Security Sicherheit unter Linux mit Open-Source-Tools
eBook Die nicht autorisierte Weitergabe dieses eBooks an Dritte ist eine Verletzung des Urheberrechts!
An imprint of Pearson Education München • Boston • San Francisco • Harlow, England Don Mills, Ontario • Sydney • Mexico City Madrid • Amsterdam
Die Deutsche Bibliothek – CIP-Einheitsaufnahme Ein Titeldatensatz für diese Publikation ist bei Der Deutschen Bibliothek erhältlich. Die Informationen in diesem Produkt werden ohne Rücksicht auf einen eventuellen Patentschutz veröffentlicht. Warennamen werden ohne Gewährleistung der freien Verwendbarkeit benutzt. Bei der Zusammenstellung von Texten und Abbildungen wurde mit größter Sorgfalt vorgegangen. Trotzdem können Fehler nicht vollständig ausgeschlossen werden. Verlag, Herausgeber und Autoren können für fehlerhafte Angaben und deren Folgen weder eine juristische Verantwortung noch irgendeine Haftung übernehmen. Für Verbesserungsvorschläge und Hinweise auf Fehler sind Verlag und Herausgeber dankbar. Alle Rechte vorbehalten, auch die der fotomechanischen Wiedergabe und der Speicherung in elektronischen Medien. Die gewerbliche Nutzung der in diesem Produkt gezeigten Modelle und Arbeiten ist nicht zulässig.
Fast alle Hardware- und Softwarebezeichnungen, die in diesem Buch erwähnt werden, sind gleichzeitig auch eingetragene Warenzeichen oder sollten als solche betrachtet werden. Umwelthinweis: Dieses Produkt wurde auf chlorfrei gebleichtem Papier gedruckt. Die Einschrumpffolie – zum Schutz vor Verschmutzung – ist aus umweltverträglichem und recyclingfähigem PE-Material.
05 04 03 02 01 ISBN 3-8273-1999-4
© 2002 by Addison-Wesley Verlag, ein Imprint der Pearson Education Deutschland GmbH Martin-Kollar-Straße 10–12, D-81829 München/Germany Alle Rechte vorbehalten Einbandgestaltung: Marco Lindenbeck (
[email protected] ) Lektorat: Frank Eller,
[email protected] Korrektorat: Simone Meißner, Fürstenfeldbruck Herstellung: Elisabeth Egger,
[email protected] CD-Mastering: Gregor Kopietz,
[email protected] Satz: reemers publishing services gmbh, Krefeld, www.reemers.de Druck: Bercker, Kevelaer Printed in Germany
Kapitelübersicht Vorwort
IX
1
Intrusion Detection Systems
1
2
Netzwerk-Tools
3
Systemaudit
149
4
Filesystem Integrity Checker
205
5
Verschlüsselung
231
6
Tools
305
7
Remoteadministration
325
Stichwortverzeichnis
501
47
Inhaltsverzeichnis Vorwort 1
2
3
4
5
6
Intrusion Detection Systems
1
1.1
Linux Intrusion Detection System (LIDS)
1
1.2
Snort
13
Netzwerk-Tools
47
2.1
Traceroute
47
2.2
IPTraf
52
2.3
NTop
83
2.4
Tcpdump
120
Systemaudit
149
3.1
Nmap
149
3.2
Nessus
161
3.3
VPASS
202
Filesystem Integrity Checker
205
4.1
Tripwire
205
4.2
MD5Sum
230
Verschlüsselung
231
5.1
Gnu PG (GPG)
231
5.2
OpenSSH
260
Tools 6.1
7
IX
305 Superuser Do (sudo)
305
Remoteadministration
325
7.1
325
Webmin
Stichwortverzeichnis
501
Vorwort Worum es in diesem Buch geht Um zu erklären, worum es in diesem Buch geht, sollte ich Ihnen als Erstes sagen, worum es nicht geht. Das Buch beinhaltet keine detaillierte Beschreibung, wie man ein Linuxsystem sicher installiert und konfiguriert. Es vermittelt kein Wissen über die Erstellung dezidierter Sicherheitsrichtlinien oder bestimmter Policies. Es will und kann nicht perfekt sein. Es wird sicherlich nicht 100%ig ohne Fehler sein. Ich denke, es gibt genügend Bücher, die die ersten 300 Seiten damit »verschwenden« dem Leser Wissen zu vermitteln, das er bereits aus vielen anderen Büchern kennt oder das er auf Grund seiner Stellung (Administrator) kennen sollte. Ich habe dieses Buch als eine Art »ganz großes Howto« geschrieben, das die besten (oder zumindest einen kleinen Teil der besten) Sicherheitsprogramme, die unter der GPL stehen, beschreibt. Sie werden lernen, wie Sie bestimmte Tools adäquat zur Problemlösung einsetzen. Auch hier habe ich wieder versucht mich von den Konkurrenzwerken zu distanzieren, indem ich alle verfügbaren Features, Optionen, Argumente und Schlüsselwörter eines Programms aufführe, so dass der mühselige Blick in das Manual vermieden werden kann. Sie müssen aber kein Linuxprofi sein, um dieses Buch zu verstehen. Ich habe mich bemüht die Optionen der einzelnen Programme ausführlich zu besprechen, so dass auch Einsteiger und Neulinge schnell in die Materie eingeführt werden. Die Kapitel dieses Buches sind dabei so geschrieben, dass sie völlig unabhängig voneinander gelesen werden können. Das heißt, die Kapitel bauen nicht aufeinander auf. Dennoch habe ich an zwei oder drei Stellen des Buches einen Querverweis eingefügt, so dass Sie Hintergrundwissen und weitere Informationen im entsprechenden Kapitel nachlesen können. Als Zusammenfassung kann man sagen, dass dieses Buch kein Meisterwerk oder gar ein neues Referenzwerk ist. Es ging einfach nur darum, dem Leser Tools vorzustellen, mit denen er sein Linuxsystem absichern kann.
Die Website zum Buch Obwohl ich immer versucht habe ein Programm komplett zu beschreiben, kam es des Öfteren vor, dass ich gerne noch mehr Wissen vermittelt hätte. Auf Grund der eingeschränkten Seitenzahl war mir dies aber leider nicht immer möglich, also habe ich mich dazu entschlossen, ein kleines Portal zum Buch ins Netz zu stellen, welches weiterführende Informationen, Links und Downloads zu den entsprechenden Programmen bieten wird.
X
Auf der Webseite finden Sie ein Formular, das es Ihnen ermöglicht, Ihre Kritik oder vielleicht sogar Ihr Lob an mich zu senden. Über beides freue ich mich sehr. Zögern Sie auch nicht, mir Ihre Fragen zu schicken. Ich werde diese so schnell wie möglich beantworten. Sie finden die Seite zum Buch unter der Adresse: www.triblen.de
Danksagungen Als Erstes möchte ich Ihnen danken, denn ohne Sie wäre dieses Buch wohl nie zustande gekommen (Warum sollte man ein Buch schreiben, wenn es niemand liest?). Es gibt aber noch einige Personen mehr, ohne die dieses Buch nie hätte realisiert werden können. Als erstes möchte ich daher meiner Lebensgefährtin danken, die mich immer unterstützt und angetrieben hat. Ich hoffe, wir können in der nächsten Zeit mehr Zeit mit einander verbringen. Auch meinen Eltern gebührt großer Dank. Ohne deren Förderung, Engagement und finanzielle Unterstützung hätte ich es nie so weit gebracht. Als Nächstes möchte ich noch meinem Freund Andy (AJ) danken, der, obwohl er ein absoluter Windowsfan ist, mir sehr oft weitergeholfen hat (solange es sich nicht um Linux handelte) und mir immer zur Seite stand. Für die vielen ruhigen Arbeitsstunden möchte ich noch den Eltern meiner Lebensgefährtin danken, die mir ihren Ruheraum, wann immer ich ihn brauchte, zur Verfügung gestellt haben. Es gibt noch so viele Menschen da draußen denen ich für so vieles danken muss. Da ich auf keinen Fall eine Abstufung oder Bewertung vornehmen will, werde ich diese in einer Liste aufzählen: Roland Grassl (für die vielen Linuxabende), Inge (für die vielen Abende), Stefan Grossberger und Roland Russwurm, Markus, Patrick, Martin (für die Abende und die Gespräche über die Sicherheit allgemein), Meik und Christian (für mein neuestes Projekt), Stefan (Für das »Multimediahacking«), allen Bars in München und Augsburg, die mir viel Raum zum Arbeiten, Inspiration und Kraft gaben, allen Programmierern, die Linux und die freien Programme so groß gemacht haben, Geri. Josef Brunner, im Juli 2002
[email protected]
1 Intrusion Detection Systems Wie man aus dem Namen schon erkennen kann, handelt es sich bei Intrusion Detection Systemen nicht um Abwehrprogramme, die Hacker davon abhalten sollen in das System einzudringen, sondern um eine Art Last Line of Defense, die erkennen kann, ob ein Systemeinbruch stattgefunden hat, um eventuell darauf zu reagieren. Wir werden in diesem Kapitel zwei Systeme solcher Art besprechen. Zum einen werden wir das LIDS behandeln. Bei diesem Programm handelt es sich um ein hostbasierendes IDS, welches darauf beschränkt ist, alle Vorgänge, die auf dem lokalen System vor sich gehen, zu überwachen. Danach werden wir uns mit Snort beschäftigen. Dieses Tool wird als Sensor auf der Netzwerkebene eingesetzt, um entweder den ganzen Netzwerkverkehr oder Teile davon zu überwachen.
1.1
Linux Intrusion Detection System (LIDS)
Wir sind uns sicher alle einig, dass Open Source der beste Weg zur Sicherheit ist. Freunde eines anderen Betriebssystems werden an dieser Stelle anfügen, dass Mailinglisten wie Bugtraq oder ähnliche meistens nur von neuen Sicherheitslücken in Open-Source-Produkten berichten und kaum von Fehlern in kommerziellen Systemen. Natürlich vergessen Vertreter dieser Position nur zu gerne, dass zumeist auch ein Patch neben der Sicherheitslücke veröffentlicht wird und damit gewährleistet wird, dass System die von fleißigen Administratoren überwacht und betreut werden, somit fast immer auf dem neuesten Stand der Sicherheit sind. Doch leider (oder besser Gott sei Dank) sind Administratoren auch nur Menschen und haben Urlaub oder vergessen den Patch aufzuspielen. An sich wäre eine dadurch entstehende verspätete Einspielung der Bugfixes noch kein allzu großes Problem, doch der Umstand, dass auch Hacker in Mailinglisten stehen und somit auch alle sicherheitsrelevanten Meldungen bekommen, macht diese Nachlässigkeit zu einem riskanten Spiel. Falls nun ein Hacker auf seinem Streifzug im Internet ein System entdeckt, das einen Server mit einer bekannten Sicherheitslücke fährt, wird er sich wahrscheinlich an die Entwicklung eines Exploits machen oder – falls er der Atomsprache C nicht mächtig ist – eine der bekannten Seiten für solche Eindringlingsprogramme besuchen und sich dort das nötige Werkzeug beschaffen. Nachdem der Hacker seinen Angriff erfolgreich durchgeführt hat, kann es durchaus sein, dass er sich mit Rootrechten durch das infiltrierte System bewegt und ihm nun alle Möglichkeiten zur Verfügung stehen, um mit dem System zu machen, was immer er will. Um dies zu verhindern, können Sie das LIDS einsetzen.
1.1.1
Was kann ich mit LIDS schützen?
Das Filesystem Der Schutz des Filesystems ist wohl der häufigste Grund ein IDS zu installieren. Dabei kommt es aber nicht darauf an, welches Filesystem Sie haben, da das LIDS in den
2
1 Intrusion Detection Systems
VFS (Virtual File System)-Layer des Kernels eingebunden ist und deswegen nahezu alle Dateisysteme unterstützt. Um zu verstehen, wie das LIDS arbeitet, müssen Sie wissen, wie das VFS funktioniert und was hinter einigen Fachbegriffen steckt. Das VFS in Linux Das VFS in Linux ist um eine Reihe von generischen Objekttypen und Methoden, die diese Objekte aufrufen können, aufgebaut. Bei den Grundobjekten handelt es sich um Dateien, Filesystems, Inodes und Namen von Inodes. Im Folgenden werden wir auf drei dieser Objekte eingehen. Dateien Grundsätzlich ist die Eigenschaft von Dateien die, dass man sie lesen und in sie schreiben kann. Weiter können sie in den Speicher gelegt werden oder vom Speicher heraus gelesen werden. Dieses Prinzip arbeitet ähnlich dem file descriptor-Prinzip das Unix benutzt. In Linux werden Dateien durch struct file repräsentiert, welche eine bestimmte Anzahl von Methoden besitzen, die sich in struct file_operations befinden. Inodes Inodes repräsentieren ein Grundobjekt in einem Dateisystem. Diese Objekte können normale Dateien, Verzeichnisse, symbolische Links usw. sein. Das VFS macht keine großen Unterschiede zwischen den verschiedenen Objekten, sondern überlässt es dem aktuellen Dateisystem, diese angemessen zu handhaben. Außerdem liegen über dem VFS noch einige höhere Levels im Kernel, die die unterschiedlichen Objekte verschieden behandeln. Dateisysteme Ein Dateisystem ist eine Sammlung von Inodes, wobei eine davon ganz klar als Root erkennbar ist. Es ist durch einige Charakteristika gekennzeichnet, die im gesamten Dateisystem einheitlich angewandt werden. Sie kennen sicherlich schon einige dieser Merkmale. Wie zum Beispiel das READ-ONLY-Flag oder der blocksize. Jedes Dateisystem wird durch struct super_block repräsentiert und besitzt einige Methoden, die sich im struct super_operations befinden. Interaktion Grob vereinfacht könnte man sagen: Wenn ein Zugriff auf das Dateisystem erfolgt, leitet das System-Call-Interface diese Anfrage nicht direkt an das einzelne Dateisystem sondern zu dem VFS.
1.1 Linux Intrusion Detection System (LIDS)
3
Es wäre ziemlich unsinnig, jede Datei im Dateisystem zu schützen, da dies nur unnötig Rechenzeit kosten würde. Weiter müssen Sie beachten, dass Sie mit Sicherheit ein System so konfigurieren können, dass es den höchstmöglichen Grad an Sicherheit bietet, aber bedenken Sie, dass man damit auch noch arbeiten muss. Im Groben kann man die Dateien in einem Dateisystem, das von LIDS geschützt wird, in folgende Kategorien unterteilen:
Read Only File/Directory: Wie der Name schon sagt, können an diesen Dateien keine Änderungen vorgenommen werden (außer bei einem Update). Append Only File/Directory: Das sind Files, die nur wachsen dürfen. Dies erscheint bei der ersten Betrachtung sinnlos, man erkennt aber bald die Bedeutung solcher Dateien, wenn man sich zum Beispiel die Datei /var/log ansieht. Exception File/Directory: Es kann durchaus vorkommen, dass Sie in Ihrem Dateisystem einen Ordner haben, den Sie für äußerst wichtig halten, und ihn daher als Read Only definieren. Manchmal kann es aber vorkommen, dass sich in solch einem Directory eine Datei befindet, die auch beschrieben werden muss. Sie haben nun die Möglichkeit, diese Datei als eine Ausnahme für diesen Read-Only-Ordner zu definieren. Protection Mounting/Umouting Dateisystem: Wenn Sie ein Dateisystem schon beim Bootvorgang mounten, können Sie jedem User (inklusive Root) verbieten, einen umount–Befehl auszuführen und damit dieses Dateisystem abzuhängen. Sie können aber auch verhindern, dass durch das Einhängen eines weiteren Dateisystems das ursprüngliche überschnitten bzw. überschrieben wird.
Wir werden an dieser Stelle nicht tiefer in die Materie von VFS oder den Sourcecode von LIDS bzw. vom Kernel eingehen, da es in diesem Buch nicht um die Programmierung eines IDS geht, sondern um den Einsatz eines solchen Systems. Im Folgenden werden wir auf die Installation und auf die Konfiguration des LIDS im Detail eingehen und versuchen, Ihnen die Möglichkeiten dieses mächtigen Tools näher zu bringen.
1.1.2
Installation
Beschaffung Bevor man ein Programm installieren kann, muss man es sich beschaffen. Dies ist ein wichtiger Punkt, denn wer ein Programm installiert, sollte immer genau wissen, was er installiert. Achten Sie daher bitte immer darauf, Ihre Programme nur von vertrauenswürdigen Quellen (offiziellen Websites etc.) zu beziehen, und überprüfen Sie die (falls angegeben) md5sum. LIDS können Sie entweder von der Buchseite oder von der offiziellen Homepage bzw. der deutschen Mirrorseite downloaden. Deutsche Mirrorseite: http://www.de.lids/org/download Hauptseite: http://www.lids.org/download
4
1 Intrusion Detection Systems
Voraussetzungen Der wichtigste Bestandteil eines Linuxsystems ist der Kernel. LIDS funktioniert am besten mit einem 2.2.X-Kernel, kann aber auch mit der 2.4er Reihe betrieben werden. Ansonsten sind keine größeren Voraussetzungen mehr gegeben und wir können uns an die Installation machen. Installation Laden Sie sich das Programm von einer der oben angegebenen Seiten herunter und entpacken Sie es. Linux:~# wget www.de.lids.org/download/lids-0.10.2.2.19.tar.gz Linux:~# tar zxf lids-0.10.2.2.19.tar.gz Linux:~# cd lids-0.10.2.2.19.tar.gz
Nachdem Sie das Paket entpackt haben, müssen Sie noch den Kernel patchen. Linux:~# cp lids-0.10.2.2.19.patch /usr/src/linux Linux:~# cd /usr/src/linux Linux:~# patch –p1 < lids-0.10.2.2.19.patch
Bevor Sie Ihren Kernel konfigurieren, müssen Sie darauf achten, dass folgende Punkte ausgewählt sind, da Sie ansonsten die LIDS-Optionen gar nicht erst zur Auswahl erhalten. [*] Prompt for development and/or incomplete code/drivers [*] Sysctl Support
Nun können wir unseren Kernel konfigurieren. Welche Möglichkeiten Ihnen dabei offen stehen, werden Sie weiter unten erfahren. Doch zuvor möchte ich Sie bitten noch ein lokales Passwort (nächster Punkt) zu setzen, da ansonsten der nächste Reboot in einer Kernelpanic endet. Hinweis zu Version 0.9.12 Falls Sie vorhaben die Version 0.9.12 einzusetzen, beachten Sie bitte, dass Sie hierbei noch Änderungen vornehmen müssen. Sie müssen die Zeile CFLAGS= noch um den Eintrag –DLIDS_CONFIG ergänzen. Um das Konfigurationsprogramm zu übersetzen geben Sie bitte folgende Befehle ein. Linux:~# cd ~/lids-0.10.2.2.19/lidsadm-0.10 Linux:~ make && make install
1.1 Linux Intrusion Detection System (LIDS)
5
Vor dem ersten Booten: Bevor Sie das erste Mal booten, müssen Sie unbedingt noch ein LIDS-Passwort setzen, da der Bootvorgang ansonsten mit einer Kernelpanic endet. Sie brauchen dieses Passwort auch zum Deaktivieren des LIDS oder um in das LFS zu wechseln. Für das Setzen des lokalen Passwortes geben Sie bitte den folgenden Befehl ein: Linux~:# lidsadm –P Enter password: Verifying enter password: Wrote password into the files.
1.1.3
Konfiguration des Kernels
Nachdem wir ein lokales Passwort gesetzt haben, können wir uns getrost an die Konfiguration des Kernels machen. Falls Sie sich fragen, warum wir das lokale Passwort für diesen Schritt gesetzt haben, sei kurz erwähnt, dass ich früher genauso gedacht und das Passwort erst gesetzt habe, nachdem ich meinen Kernel konfiguriert habe. Aber ein Stromausfall und ein damit verbundener Reboot brachten mir viele Probleme ein. Seit diesem Zeitpunkt besitze ich auch daheim eine USV und setze das Passwort so früh wie möglich. Weiter oben haben wir bereits angesprochen dass man bei der Konfiguration des Kernels unbedingt folgende Optionen aktivieren sollte: [*] Prompt for development and/or incomplete code/drivers [*] Sysctl Support
Um den Kernel zu konfigurieren geben Sie bitte folgende Befehle ein: Linux:~# cd /usr/src/linux Linux:~# make mrproper Linux:~# make config
Da wir bei der Installation des Kernel gepatcht haben, bekommen wir nun folgende Option bei der Konfiguration angeboten: * * Linux Intrusion Detection System * Linux Intrusion Detection System support (EXPERIMENTAL) (CONFIG_LIDS) [N/y/?] (NEW) Y
Kerneloptionen Nun werden Sie einige der Kerneloptionen, die Ihnen bei der Konfiguration zur Verfügung stehen, kennen lernen. Um die folgenden Features zu aktivieren, beantworten Sie die Optionen mit »Y«.
6
1 Intrusion Detection Systems
(CONFIG_LIDS_HANGUP)
Terminal wird bei Sicherheitsverstoß geschlossen (CONFIG_LIDS_SA_EXEC_UP)
Zeigt beim Bootvorgang alle Dateien an, bevor LIDS startet. Ermöglicht es, eingeschleuste Programme, die LIDS umgehen sollten, zu finden. (CONFIG_LIDS_REMOTE_SWITCH)
Erlaubt auch Remote-Zugang, um LIDS zu aktivieren bzw. zu deaktivieren. (CONFIG_LIDS_ALLOW_SWICH)
Erlaubt das Ein- bzw. Ausschalten von LIDS–Optionen während des Betriebs mittels eines Passworts. (CONFIG_LIDS_NO_FLOOD_LOG)
Verhindert das Überfluten von /var durch wiederholende Logeinträge und gibt die Möglichkeit, die Zeitperiode festzulegen, in der ein Logeintrag nicht wiederholt werden darf. (CONFIG_LIDS_MAX_SACL)
Gibt an, wie viele ACL-Subjects maximal durch LIDS ermöglicht werden dürfen. (CONFIG_LIDS_MAX_OACL)
Gibt an, wie viele ACL-Objects maximal durch LIDS geschützt werden dürfen. (CONFIG_LIDS_EXEC_UP)
Verhindert das Booten des Systems, wenn ein nicht durch LIDS geschütztes Programm ausgeführt wird, bevor LIDS das System gesichert hat. (CONFIG_LIDS_MAX_PROTECTED_PID)
Gibt an, wie viele Prozesse maximal durch LIDS geschützt werden dürfen. (CONFIG_LIDS_MAX_INODE)
Gibt an, wie viele Objekte maximal durch LIDS geschützt werden dürfen. (CONFIG_LIDS_SA_THROUGH)
Meldungen über Verstöße können direkt durch den Kernel an andere Hosts weitergeleitet werden.
1.1 Linux Intrusion Detection System (LIDS)
7
(CONFIG_LIDS_ALLOW_PROG_SWITCH)
Gibt an, ob außer /sbin/lidsadm noch andere Programme die Schutzfunktionen von LIDS modifizieren können. (CONFIG_LIDS_RELOAD_CONF)
Gibt an, ob die Konfigurationsdatei /etc/lids.conf im laufenden Betrieb geupdatet werden kann. (CONFIG_LIDS_PORT_SCAN_DETECTION)
Integriert einen Portscandetektor direkt in den Kernel, so dass verschiedene Scantechniken erkannt werden können. Funktioniert auch, wenn raw-socket-Operationen unterbunden wurden. (CONFIG_LIDS_DEBUG)
Gibt ausführliche Debuginformationen aus Nachdem Sie den Kernel mit diesen Kerneloptionen konfiguriert haben, können Sie ihn kompilieren. Dazu geben Sie bitte folgende Befehle ein: Linux:~# Linux:~# Linux:~# Linux:~# Linux:~#
cd /usr/src/linux make dep make clean make bzImage cp arch/i386/boot/bzImage /boot/vmlinux-sec-2.2.19
Wenn Sie den neuen Kernel jetzt noch in den Bootmanager (/etc/lilo.conf) eintragen, werden Sie demnächst – dank LIDS, das Ihr System schützt – hoffentlich besser schlafen können.
1.1.4
Konfiguration von LIDS
Jetzt können wir uns endlich daran machen, unser IDS zu konfigurieren. Um neue Regeln hinzuzufügen benutzen wir das Programm lidsadm. Im Folgenden werden die Möglichkeiten, die man mit diesem Tool hat, anhand einer Befehlsübersicht verdeutlicht (Tabelle 1.1 bis Tabelle 1.3). Befehle
Beschreibung
-A
Fügt einen Eintrag hinzu
-D
Löscht einen Eintrag
-Z
Löscht alle Einträge Tabelle 1.1 Befehlsübersicht lidsadm
8
1 Intrusion Detection Systems
Befehle
Beschreibung
-U
Updatet dev/inode-Nummern
-L
Listet alle Einträge
-P
Setzen des Passwortes, um LISD zu deaktivieren
-S
Adminoperationen durchführen
-I
Wie -S, nur ohne Passwort
-h
Hilfe Tabelle 1.1 Befehlsübersicht lidsadm (Forts.)
ACL-Optionen
Beschreibung
-s Subject
Beliebiges Systemprogramm
-o Object
Verzeichnis, Datei oder Device
-o [Capability-Object] –t
Alle Capabilities
-j target
Für Objects: READ, APPEND, WRITE, IGNORE Für Capabilities: INHERIT, NO_INHERIT Tabelle 1.2 Befehlsübersicht lidsadm
Admin-Optionen
Beschreibung
-S – [+|-] LIDS
Aktiviert oder deaktiviert LIDS
-S – [+|-] Capability
Aktiviert oder deaktiviert eine Capability
-S -- +RELOAD_CONF
Übernimmt Konfigurationsänderung während des Betriebs Tabelle 1.3 Befehlsübersicht lidsadm
Welche Dateien soll ich schützen? Im Grunde können nur Sie diese Frage beantworten. Stellen Sie aber lieber eine Datei mehr unter die Fittiche von LIDS als eine zu wenig. Grundsätzlich sollten Sie alle sensitiven Dateien sowie Verzeichnisse schützen. Dateien wie /etc/shadow sollten auf jeden Fall geschützt werden, da ansonsten mit Hilfe eines Crackprogramms schnell Passwörter erraten werden können. Seien Sie bei solchen Aktionen aber vorsichtig, denn wenn Sie diese Datei vor allen Benutzern verstecken, kann sich keiner mehr am System anmelden, da auch dem Loginprogramm /bin/ login der Zugriff verwehrt wird. In diesem Fall regelt das LIDS dieses Problem für Sie, da es dem Loginprogramm die nötigen Rechte verleiht. Doch perfekt ist diese Lösung immer noch nicht, denn jetzt kann kein Benutzer mehr sein Passwort ändern, da das Tool /usr/bin/passwd auch keinen Zugriff mehr auf /etc/shadow hat. Man könnte zwar den ersten Schritt wiederholen und auch diesem Programm die nötigen Rechte geben, aber dann könnte auch Root die Passwörter ändern und
1.1 Linux Intrusion Detection System (LIDS)
9
wir wären wieder beim alten Problem. In einem solchen Fall müssen Sie ganz klar entscheiden, was für Sie wichtiger ist. Ein Schritt mehr in Richtung Sicherheit oder Komforterhaltung für die Benutzer. Sie könnten – falls Sie sich für die Sicherheit entscheiden – zwar die Passwörter immer noch ändern, indem Sie LIDS dazu beenden, aber bei einem System mit mehr als 100 Usern und gut durchdachten Passwortrichtlinien, die vorschreiben, dass das Passwort alle 4 Wochen geändert wird, gestaltet sich dieses Vorhaben als absolut indiskutabel. Wie Sie sehen, hat auch im Falle von LIDS die Medaille zwei Seiten. Das sollte Sie aber auf keinen Fall davon abhalten, wichtige Dateien oder Verzeichnisse wie zum Beispiel /boot zu schützen. Der hierfür benötigte Befehl lautet: Linux:~# lidsadm –A –o /boot –j READ
Beispiele: Linux:~# lidsadm –s /home/jbrunner/ls \ -o /home/jbrunnner \ -j READ
Diese Syntax (Ähnlichkeiten zu den IPCHAINS sind nicht zu übersehen) erlaubt meinem ls-Programm den Lesezugriff auf mein Homeverzeichnis. Linux:~# lidsadm –o /home/jbrunner \ -j DENY
Diese Syntax macht mein Homeverzeichnis für alle User unlesbar. Dies ist zwar eine ziemlich sinnlose ACL, macht aber die Verwendung der Syntax deutlich. Linux:~# lidsadm –S -- -RELOAD_CONF
Diese Syntax lädt während des Betriebs eine veränderte Konfiguration. Linux:~# lidsadm –A –o /var/log –j APPEND
Wie wir weiter oben schon gesehen haben, bietet uns die Option APPEND die Möglichkeit eine Datei wachsen zu lassen, schützt dabei aber ihren schon vorhandenen Inhalt. Dieser Befehl ist besonders wichtig, da die meisten (intelligenten) Angreifer ihre Spuren in den Logfiles verwischen wollen. Dabei sollte man aber beachten, dass das Programm logrotate nun auch keinen Schreibzugriff mehr hat und die Rotation somit nicht mehr stattfinden kann. Mit dem folgenden Befehl kann man diesen Missstand wiedergutmachen. Linux:~# lidsadm –A –s /usr/sbin/logrotate –o /var/log –j WRITE
Um den geregelten Systemablauf komplett zu gewährleisten, sollten Sie den Systemprogrammen ebenso Schreibzugriff geben. Linux:~# lidsadm -A –s /bin/login –o /var/log –j WRITE Linux:~# lidsadm –A –s /usr/sbin/sendmail –o /var/log/sendmail.st
10
–j WRITE Linux:~# Linux:~# Linux:~# Linux:~# Linux:~#
1 Intrusion Detection Systems
lidsadm lidsadm lidsadm lidsadm lidsadm
–A –A -A –A –A
–o –s –s –s –s
/etc/rc.d/init.d –j READ /etc/rc.d/init.d/halt –o /var/log –j WRITE /sbin/halt –o /var/log –j WRITE /sbin/init –o /var/log –j WRITE /bin/passwd –o /var/log j WRITE
LIDS beim Bootvorgang starten Sie sind jetzt an einem Punkt angelangt, an dem LIDS einen wirklich wichtigen und guten Part in Ihrer Verteidigung übernehmen kann. Damit es das aber auch nach jedem Bootvorgang macht, müssen wir den Startbefehl lidsadm –I in das Startskript der jeweiligen Distribution einbinden. Im Falle eines RedHat-Systems müssen Sie die Datei /etc/rc.d/rc.local editieren, um LIDS bei jedem Systemstart gleich mitzustarten. Der folgende Befehl erledigt das für Sie: Linux:~# echo lidsadm –I >> /etc/rc.d/rc.local
Bei SuSE-Systemen bereitet der nachfolgende Befehl Ihrem Leiden ein Ende: Linux:~# echo lidsadm –I >> /etc/inittab
1.1.5
Capabilities
Anfangs haben wir die grundlegende Problematik mit dem Thema »Root« kennen gelernt. Wir haben gesehen, dass ein vergessenes Update einem lesefreudigen Angreifer die Chance gibt, ein Serverprogramm zu kompromittieren und sich danach mit den Rechten des »gehackten« Servers im System zu bewegen. Nun könnten Sie an dieser Stelle natürlich anbringen, dass man bei diesem Problem schnell Abhilfe schaffen kann, indem man dem Server einfach keine Rootrechte gibt. Leider ist die Lösung nicht immer umsetzbar. Zwar könnte man mit etwas Herumbastelei die meisten Privilegien, die ein Programm braucht, auch ohne Rootrechte verfügbar machen, doch mit herkömmlichen Bordmitteln scheitert dieses Vorhaben meistens an der Belegung des Ports. So brauchen Programme, die unter dem Port 1024 laufen müssen, Rootrechte, um dies zu realisieren. Ein Heilmittel gegen die hier erwähnte Krankheit bieten die Capabilities. Mit Hilfe von Capabilities kann man einem Programm die nötigen Privilegien geben, ohne ihm dabei Rootrechte geben zu müssen. Man könnte quasi sagen, man spaltet die Rootrechte auf, wirft sie in einen Topf und gibt jedem Programm die Rechte, die es benötigt, um reibungslos zu funktionieren. Beim oben erwähnten Problem gibt man dem Programm beispielsweise das Recht einen Port unter 1024 zu belegen. Dabei ist zu beachten, dass der Standardlinuxkernel nur laufenden Prozessen Capabilities geben kann. Doch dies tangiert uns eher weniger, da unser Kernel mit den LIDS-Funktionen erweitert wurde.
1.1 Linux Intrusion Detection System (LIDS)
11
Der folgende Befehl zeigt, wie man einem Programm namens dr.brunner die nötigen Rechte gibt, so dass es auch unter der magischen Portgrenze von 1024 eingesetzt werden kann. Linux:~# lidsadm –s /home/jbrunner/dr.brunner \ -i -1 –o CAP_NET_BIND_SERVICE \ -j GRANT
Mit den Capabilities kann man noch viel mehr bewerkstelligen. Eine komplette Liste aller Capabilities finden Sie unter /usr/include/linux/capabilities.h. Natürlich wollen wir diesen Punkt nicht ohne ein Beispiel abschließen. Im folgenden Listing finden Sie den Befehl, der Prozesse in Ihrem System vor Programmen wie ps oder top versteckt. Linux:~# lidsadm –s /home/jbrunner/ls \ -i –1 –o GRANT
CAP_HIDDEN \ -j
Eine weitere nützliche Konfigurationsdatei für Capabilities ist /etc/lids/lids.cap. In diesem File sind alle Capabilities aufgelistet, die per Default verfügbar sind diejenigen, die hier nicht aufgeführt sind, können nur durch Sonderregelungen in den ACLs vergeben werden. Um Capabilities verfügbar zu machen muss am Anfang der Zeile ein + stehen und für die Deaktivierung ein -. Noch ein Hinweis zum Schluss: Falls einige der Befehle auf Ihrem System nicht funktionieren sollten, liegt das daran, dass sich die Befehlssyntax zwischen den einzelnen LIDS-Versionen unterscheiden kann. Werfen Sie im Zweifelsfall doch einfach einen Blick in die manpages. Im Folgenden finden Sie einige Beispiele zu Capabilities. Die vollständige Liste finden Sie in der Datei /usr/include/linux/capabilities.h. Verfügbare Capabilities
Kurzbeschreibung
CAP_CHOWN
Chown(2), chgrp(2)
CAP_DEC_OVERRIDE
Dac access
CAP_DAC_READ_SEARCH
DAC read
CAP_FOWNER
Owner ID ungleich User ID
CAP_FSETID
Effective User ID ungleich Owner ID
CAP_KILL
Reale/Effective ID ungleich Process ID
CAP_SETGID
Setgid(2) Tabelle 1.4 Beispiele zu Capabilities
12
1.1.6
1 Intrusion Detection Systems
Das System anpassen
Wir haben weiter oben schon gesehen, dass es beim Einsatz von LIDS zu Problemen kommen kann, da die meisten Verzeichnisse geschützt sind, so dass einige Programme keine Schreibrechte mehr haben und deswegen eventuell ihren Job nicht mehr verrichten können, was wiederum das System bremsen oder sogar stoppen kann. Um dies zu verhindern muss man sein System genau anpassen. Da das von der Distribution abhängt, können wir an dieser Stelle schlecht auf diese Fehlersuche eingehen. Deshalb bitten wir Sie bei Problemen mit LIDS einen Blick auf die Website des Buchs zu werfen oder schreiben Sie mir einfach eine E-Mail.
1.1.7
LIDS außer Kraft setzen
Nachdem nun das LIDS installiert und konfiguriert ist, haben Sie möglichen Angreifern das Leben wirklich erschwert. Doch nicht nur Hacker leiden unter den von Ihnen vorgenommenen Veränderungen, auch Sie werden sie ab und zu zu spüren bekommen. Denn trotz aller Sicherheit, bleibt ein System lebendig und bedarf einer Menge Pflege und Administration. Mit einem LIDS an Bord sind die Zeiten des fröhlichen Administrierens vorbei. Wie ganz am Anfang schon erwähnt ist es das Ziel eines IDS, die Privilegien von Root einzuschränken, um den Schaden an Ihrem System möglichst gering zu halten, falls es tatsächlich einmal zu einem erfolgreichen Einbruch kommen sollte. Aber nicht nur Angreifer werden gehindert bestimmte Dateien zu editieren, auch Sie als Administrator können nicht mehr wie gewohnt agieren. Doch auch hier bietet das LIDS eine Lösung. Sie haben die Möglichkeit mit Hilfe des LIDS-Passwortes einen Terminal von LIDS »zu befreien« und können dort anschließend wie gewohnt arbeiten. Sie befinden sich dann in der LIDS Free Session (LFS). Der Befehl hierfür lautet: Linux:~# lidsadm –S -- -LIDS
Für einfachere Administrationsaufgaben ist diese Methode sicherlich am besten geeignet, doch stößt sie bei komplexeren Arbeiten schnell an ihre Grenze. Einige Aufgaben bedingen das Verlassen der aktuellen Shell (z.B. Service neu starten, Reboot … .) und verlassen damit auch das LFS. Um dieses Problem zu lösen bleibt Ihnen nichts anderes übrig als das LIDS zu deaktivieren. Dies erreichen Sie mit dem folgenden Kommando: Linux:~# lidsadm –S -- -LIDS_GLOBAL
Jetzt haben Sie die Möglichkeit so zu arbeiten, wie Sie es aus LIDS-losen Zeiten gewohnt sind.
1.2 Snort
1.1.8
13
Wenn nichts mehr geht
Es kann durchaus einmal vorkommen, dass man sich verkonfiguriert. Es soll auch schon Administratoren gegeben haben, die ihr System so sicher gemacht haben, dass nicht mal mehr sie selbst Zugriff darauf hatten. Falls Ihnen das einmal mit LIDS passieren sollte, ist dies noch kein Beinbruch. Natürlich gibt es auch hierfür die passende Syntax. Geben Sie in einem solchen Fall einfach Ihrem Bootmanager (lilo) folgende Parameter: Security=0
Danach sollten Sie ohne Probleme in Ihr System kommen um das Missgeschick wiedergutzumachen.
1.2
Snort
Snort ist ein Network Intrusion Detection System (NIDS) und fungiert – wie der Name schon erkennen lässt – im Netzwerk. Die Größe des Netzwerks kann dabei vom kleinen SOHO bis zum mittelgroßen Firmennetzwerk variieren. Wichtiger als die Größe des Netzwerks ist die Positionierung. Grundsätzlich hat man dabei die Wahl, das NIDS vor oder hinter der Firewall zu installieren. Falls Sie jetzt nicht wissen, wo Sie Snort gerne einsetzen würden, wägen Sie doch einfach die Vor- und Nachteile ab. Vor der Firewall bekommt Ihr NIDS alle Angriffe gegen Ihr Netzwerk voll mit. Dies hat aber auch den Nachteil, dass ein Hacker direkt das IDS angreifen kann. Falls Sie Snort hinter der Firewall einrichten, ist es vor direkten Angriffen zwar geschützt, bekommt aber nur die Angriffsversuche mit, die durch die Firewall hindurch kommen. Außerdem können Sie – bei einem internen Einsatz – zusätzlich noch den Netzwerkverkehr überwachen, was immer wichtiger wird, da ca. 80 % aller Angriffe aus dem internen Netz kommen.
1.2.1
Funktionsweise
Um zu erklären, wie Snort funktioniert, sollten wir als Erstes einmal einen Blick auf die Möglichkeiten werfen, die wir mit Snort haben. Dieses mächtige Tool vereint mehrere praktische Werkzeuge in sich. Zum einen kann es als Paketsniffer fungieren (ähnlich zu tcpdump). Des Weiteren haben Sie mit diesem NIDS einen Paketlogger zur Verfügung, der Ihnen bei der Analysierung Ihres Netzwerkverkehrs enorm weiterhelfen kann. Natürlich ist Snort aber auch ein hervorragendes Network Intrusion Detection System, das sich bestens eignet, um Angriffe zu erkennen.
14
1 Intrusion Detection Systems
Um solche Angriffe zu erkennen, vergleicht Snort mögliche Angriffe mit einem gespeicherten Muster und schreibt erkannte Angriffe dann in ein Logfile. Dabei bietet Snort eine durchaus sehenswerte Bandbreite an Angriffsarten an, die es erkennen kann. So werden Sie zum Beispiel über mögliche CGI-Angriffe, Bufferoverflow-Attacken oder versteckte Scans durch eine Zeile im Logfile informiert. Wie Sie erkennen können, werden Sie nicht direkt von Snort selbst benachrichtigt, wenn ein Angriff stattgefunden hat. Dies ist ein Missstand den man unbedingt beseitigen sollte, da der Administrator stets über Gefahren, die sein Netzwerk betreffen, informiert werden sollte. Da wir aber alle mit einem vernünftigen Betriebssystem arbeiten (nämlich Linux), sollte dies kein Problem sein. Es gibt für dieses Problem mehrere Lösungen. Den ersten Lösungsansatz bietet uns Snort selbst. Bei der Erstellung des Programms könnten wir zum Beispiel die Option –enable-smbalerts aktivieren und gäben Snort somit die Möglichkeit Nachrichten über SMB zu verschicken Da diese Methode aber sehr unsicher ist, wollen wir an dieser Stelle nicht weiter darauf eingehen. Das Beste ist, Sie basteln sich eine hausgemachte Lösung. Bevor Sie sich aber an die Implementierung einer solchen Lösung machen, müssen Sie sich erst über einen kleinen Nachteil von Snort klar werden. Da bei diesem NIDS der Sensor und die Detection-Routine fest miteinander verbunden sind, muss auf jedem Host, der es betreibt und damit einen Teil des Netzwerks überwacht, ein unabhängiges Snortsystem installiert sein. Womit ein weiteres Problem ins Spiel kommt. Wie wir schon gesehen haben, kann Snort Sie nicht direkt alarmieren, falls ein möglicher Angriff im Gange ist, sondern schreibt diese Nachricht in ein Logfile. Da Sie aber bei größeren Netzwerken (zum Beispiel mit Switches) mehrere Systeme am Laufen haben, haben Sie gleichzeitig auch mehrere Logfiles zu überwachen. Das zweite Problem können Sie lösen, indem Sie einen zentralen Logfileserver anlegen, dem alle NIDS ihre Meldungen erstatten. Nun bleibt aber immer noch das erste Problem der fehlenden Benachrichtigung. Zur Beseitigung dieses Problems stellt uns die Open-Source-Gemeinde einige brauchbare Tools zur Verfügung. So können Sie zum Beispiel mit einem Logfile-Analyseprogramm die gesammelten Nachrichten auswerten und Ihnen dann über ein Pagerprogramm (zum Beispiel yet another pager software) eine SMS mit bestimmten Daten über den Angriff auf Ihr Handy schicken lassen. Sobald Sie dies nach Ihren Bedürfnissen erledigt haben, steht Ihnen mit Snort ein mächtiges NIDS zur Verfügung, das dazu auch noch unglaublich stabil läuft und leicht zu konfigurieren ist.
1.2.2
Installation
Im Gegensatz zu LIDS beinhalten die meisten Distributionen Snort. Die einfachste Möglichkeit Ihr System mit einem NIDS auszustatten ist daher, den Installationsassistenten Ihrer Distribution aufzurufen und das Paket snort zu installieren. Der Nachteil hierbei ist, dass es durchaus vorkommen kann, auf diesem Weg eine veraltete Version von Snort zu bekommen, die eventuell einige Sicherheits-
1.2 Snort
15
lücken aufweist. Es gibt drei Wege, um sicherzustellen, dass Ihr System auf dem neuesten Stand ist. Der erste Weg führt Sie in das Internet, dort besuchen Sie die Seite www.snort.org und erkundigen sich nach der Aktualität Ihrer Version. Der zweite führt Sie auf die Seite www.securityfocus.com. Dort überprüfen Sie, ob für die von Ihnen verwendete Version Bugs bekannt sind und installieren gegebenenfalls den Patch dafür. Die dritte Anlaufstelle ist die offizielle Website Ihrer Distribution, wo Sie sich ebenfalls über die Aktualität und Sicherheit Ihrer Version erkundigen können. Falls aber Ihre Distribution Snort nicht mitführt, dann sollten Sie sich die aktuelle stabile Version von der offiziellen Seite www.snort.org oder von der Buchseite downloaden. Sollten Sie das Pakete über den Installationsassistenten oder über den Paketmanager installieren, können Sie diesen Punkt überspringen. Im Falle des Downloads befolgende Sie bitte folgende Anweisung für die Installation: Da die Macher von Snort Weitblick besitzen, haben sie sich entschlossen, Ihr Sicherheitsprogramm plattformunabhängig zu schreiben. Um dies zu realisieren wurde als Basis für Snort ein systemunabhängiges Interface von der Network Research Group des Lawrence Berkeley National Laboratory namens libpcap benutzt. Damit Snort also auf Ihrem System funktioniert, müssen Sie als Erstes libpcap installieren. Linux:~# wget ftp://ftp.ee.lbl.gov/libpcap.tar.Z Linux:~# tar zxf lip Linux:~# cd li Linux:~# make Linux:~# make install Linux:~# mkdir /usr/local/include Linux:~# mkdir /usr/local/include/net Linux:~# make install-incl Linux:~# wget www.snort.org/releases/snort-1.8.3.tar.gz Linux:~# tar zxf snort-1.8.3.tar.gz Linux:~# cd snort-1.8.3 Linux:~#./configure Linux:~# make Linux:~# make install
Optionen Wenn Sie die Seite www.snort.org/releases besuchen, werden Sie feststellen, dass es eine Reihe von Zusatzprogrammen, Zusatzlibs und Zusatzoptionen gibt. Wir werden an dieser Stelle nicht auf diese Programme und Optionen eingehen, da sich die meisten noch nicht bewährt haben oder (wie im Falle der SMB–Benachrichtigung) nicht sicher sind. Falls Sie dennoch einige Optionen bei der Erstellung des Programms aktivieren wollen, so installieren Sie bitte noch die dazugehörige Lib. Die nötigen Informationen dazu finden Sie unter der oben angegebenen Internetadresse.
16
1.2.3
1 Intrusion Detection Systems
Optionen
Snort ist ein kommandozeilenorientiertes Programm und ist deswegen sehr leicht zu konfigurieren. Es bietet eine Menge Optionen, die Sie benutzen können, um Ihr System korrekt und nach Ihren Bedürfnissen zu konfigurieren. In Tabelle 1.5 sehen Sie die verschiedenen Befehle für Snort. Option
Beschreibung
-A [alert mode]
Bei Snort stehen insgesamt sechs alert-Modi zur Verfügung. Vier davon kann man über diese Option aktivieren: fast – Dieser Modus erzeugt einen einfachen Eintrag in das spezifizierte Logfile. (der Eintrag besteht aus: timestamp, Alarmnachricht, Quell- und Ziel IP/Ports full – Dies ist der Defaultmodus und schreibt den Paketheader und dessen Beschreibung in das spezifizierte Logfile none – Keine Benachrichtigung unsock – Dieser Modus sendet die Nachricht an einen Unix-Socket, auf den ein anderes Programm »horchen« kann. Die beiden anderen Modi syslog und smb kann man über diese Option nicht aktivieren.
-a
Hierbei handelt es sich um die Funktion, die auch Address Resolution Protocol-Pakete anzeigt (ARP).
-b
Diese Option ermöglicht es ohne Probleme auch Netzwerke mit großer Bandbreite (zum Beispiel 100 Mbps) abzuhören, da hierbei die gesammelten Daten nicht mehr von ihrer binären Form in das ASCII-Format umgewandelt werden, sondern ähnlich zu tcpdump gespeichert werden. Diese Option erhört die Performance merkbar.
-c [rules]
Nach dem Optionsparameter -c muss hier eine Datei folgen, in der Filterregeln angegeben sind.
-C
Hierbei werden alle Hexadezimalinformationen in einem Paket ignoriert und nur die Textinformationen angezeigt.
-d
Daten werden auf Applikationsebene gespeichert.
-D
Verwendet man diese Option, läuft Snort als Daemon im Hintergrund und speichert die Alertmeldungen in der Datei /var/log/snort.alert.
-e
Zeigt und protokolliert Pakete, die auf der zweiten Schicht agieren (Ethernet-Paket-Header)
-F [bpf]
Mit dieser Option werden die BPF-Filter aus der Datei, die nach der Option -F angegeben wird, gelesen.
-g [gname]
Falls Sie Snort keine Rootrechte geben wollen, können Sie es mit dieser Option in eine andere Gruppe verfrachten. Snort läuft dann unter der Gruppe, die Sie nach dem -g angeben.
-h [hn]
Benutzen Sie diesen Befehl, wenn Sie das interne Netzwerk (hn = home network), in dem Snort laufen soll, angeben wollen. Tabelle 1.5 Befehle Snort
1.2 Snort
17
Option
Beschreibung
-i [if]
Geben Sie hier das Netzwerkinterface an, das Snort in die Überwachung mit einbeziehen soll.
-l [ld]
Hier können Sie ein Verzeichnis spezifizieren, das Snort als Logverzeichnis verwenden wird, um dort zukünftig alle Nachrichten für Sie zu hinterlassen. Als Defaultverzeichnis benutzt Snort /var/log/snort.
-N
Wenn Sie diese Option verwenden, wird Snort nicht mehr protokollieren. Die Alarmnachrichten funktionieren aber weiterhin.
-o
Um die Reihenfolge, in der Pakete die Regeln durchlaufen, von Alert-PassLog auf irgendeine andere zu ändern, benutzen Sie diesen Befehl.
-O
Falls Sie die Absicht haben, die IP-Adressen durch xxx.xxx.xxx.xxx zu ersetzen, können Sie das mit dieser Option tun. Falls Sie aber nur die internen Adressen ersetzen wollen, verwenden Sie dazu bitte zusätzlich die Option -h, denn dadurch bleiben die externen IP-Adressen unberührt.
-p
Promiscuous-mode wird im Sniffer deaktiviert.
-q
Mit dieser Option erreichen Sie, dass beim Start keine Banner und Statusreports angezeigt werden.
-r [tf]
Benutzen Sie diese Option um ein tcpdump File einzulesen.
-s
Nachdem Sie diese Option aktiviert haben, wird Snort alle Alert-Nachrichten in die normalen Systemlogfiles schreiben.
-S [n=v]
Diese Option wird der Wert von n in den Wert von v verwandelt.
-t [chrt]
Ändert das Rootverzeichnis von Snort in das angegebene Verzeichnis.
-u [uname]
Ähnlich zu der Option -g wird auch hier Snort der Rootstatus nicht vergönnt. Mit dieser Option können Sie die User ID ändern, unter der Snort in Zukunft laufen soll.
-v
Man sollte diese Option nur zu Testzwecken verwenden, da hierbei alle Pakete auf die Standardausgabe (zumeist der Monitor) ausgegeben werden und dies führt zu enormen Performanceeinbußen, die wiederum verursachen können, dass einige Pakete verloren gehen.
-V
Gibt die Versionsnummer an
-?
Ruft die Hilfefunktion auf
-M [smb]
Falls man bei der Erstellung des Programms die Option –enable-smbalerts aktiviert hat, so kann man mit dieser Option eine Datei übergeben, aus der alle Rechnernamen gelesen werden, die über WinPopup über eventuelle Zwischenfälle informiert werden sollen.
-n [count]
Sobald die Zahl, die Sie hinter dieser Option angeben, erreicht wird, sprich sobald n Pakete angekommen sind, wird Snort deaktiviert. Tabelle 1.5 Befehle Snort (Forts.)
18
1 Intrusion Detection Systems
Beispiele: Linux:~# snort –c snort.conf –l ./log –s –h 192.168.1.0/24
Mit dieser Option schreibt Snort die gesammelten Daten in die Defaulteinstellung und schickt Alarmnachrichten zu den regulären Systemlogdateien. Linux:~# snort –b –A fast –c snort.conf
Dies ist ein möglicher Snortaufruf, wenn Sie ein sehr schnelles Netz (100 Mbps) überwachen wollen. Die gesammelten Daten werden hierbei einem Format ähnlich zu tcpdump gespeichert. Linux:~# snort –d –h 192.168.1.0/24 –l ./log –c snort.conf –o
Mit dieser Option erreichen Sie, dass sich die Reihenfolge, in der Pakete die Regeln durchlaufen, von Alert-Pass-Log auf Pass-Alert-Log ändert.
1.2.4
Regeln entwerfen
Wie ist eine Regel formatiert? Wie wir wissen, ist Snort kommandozeilenorientiert. Das beinhaltet auch, dass die Regeln über die Konsole eingegeben werden. Natürlich muss man dafür ein bestimmtes Format einhalten, da Snort sonst die Regeln nicht anerkennt und sie verwirft. Achten Sie also immer darauf, dass die Formatierung stimmt. Grundsätzlich sollte man eine Regel in einer Zeile verfassen, da ansonsten die Gefahr besteht, dass man sich durch die Zeilenumbrüche mit der Formatierung »vertut« und somit die Regel nicht anerkannt wird. Falls man eine Regel über mehrere Zeilen eingeben will, so muss man am Ende einer Zeile einen Backslash anbringen. Aber seien Sie vorsichtig, Sie können Regeln nur über mehrere Zeilen eingeben, wenn Sie eine Version von Snort besitzen, die jünger als 1.8 ist. Falls Sie einen Version benutzen wollen (aus welchen Gründen auch immer), die vor 1.8 erschienen ist, so müssen Sie die Regeln in einer Zeile abgehandelt haben. Welche Bestandteile besitzt eine Regel? Zuerst einmal sollten wir an dieser Stelle erklären, wofür eine Regel gebraucht wird. Eingangs haben wir festgestellt, dass Snort mögliche Angriffe anhand eines Mustervergleichs erkennt. Das heißt, Snort vergleicht alle einkommenden Pakete mit den Filterregeln in seiner Datenbank und sucht nach Übereinstimmungen. Falls es eine solche Übereinstimmung gefunden hat, kann man davon ausgehen, dass ein Angriff stattfindet. Sie können nun mit der Eingabe neuer Regeln erreichen, dass Snort mit jeder neuen Regel, die Sie eingeben, klüger wird und immer mehr Angriffsarten erkennen kann. Dabei entscheiden Sie, was Sie als Spielerei einiger Jugendlicher sehen und was als ernsthaften Angriff. Snort trifft dann diese Unterscheidung anhand Ihrer Filterregeln.
1.2 Snort
19
Um die Bestandteile einer solchen Regel herauszufinden, schauen wir uns am besten eine von Martin Roesch erstellte Beispielregel an und zerlegen diese in Einzelteile: alert tcp any any -> 192.168.1.0/24 111 (content:"|00 01 86 a5|"; msg:"mountd access";)
An dieser Beispielregel lassen sich zwei essentielle Bestandteile einer Filterregel erkennen. Der Teil alert tcp any any -> 192.168.1.0/24 111 entspricht dem Header und der Teil (content_"|00 01 86 a5|"; msg:"mountd access";) stellt den Optionsbereich dar. Dabei sollte man beachten, dass man den Optionsbereich nicht unbedingt braucht, damit eine Regel konform ist und von Snort akzeptiert wird. Genaueres dazu werden wir später noch erfahren. Im Folgenden werden Sie alle möglichen Bestandteile einer Regel inklusive einer kurzen Beschreibung kennen lernen. Dabei bedienen wir uns der Beispiele und Ausführungen von Martin Roesch, dem ich hiermit danken möchte. Der Header Der erste Bestandteil eines Headers ist die Regelaktion. Insgesamt hat man dabei fünf davon zur Auswahl:
alert: Generiert einen Alarm nach der vordefinierten Warnmeldung und
schreibt das Paket dann schließlich in das entsprechende Logfile log – Loggt das Paket pass – Ignoriert das Paket activate – Schlägt Alarm und aktiviert danach eine andere dynamische Regel dynamic – Bleibt untätig, bis es von einer aktivierten Regel aktiviert wird, und fungiert dann als Logregel
Mit Snort haben Sie aber auch die Möglichkeit Ihre eigenen Regeltypen zu definieren und diese dann mit einem oder mehreren Outputplugins zu verbinden. Danach können Sie diese als Regelaktionen in Snortregeln verwenden. Hierzu einige Beispiele von Martin Roesch: Das erste Beispiel wird einen Typ definieren, der nur in tcpdump loggt. ruletype suspicious { type log output log_tcpdump: suspicious.log }
20
1 Intrusion Detection Systems
Das zweite Beispiel wird einen Typ definieren, welcher in die regulären Systemlogdateien und in eine MySql-Datenbank loggen wird. rulytype redalert { type alert output alert_syslog: LOG_AUTH LOG_ALERT output database: log, mysql, user=snort dbname=snort host=localhost }
Das Protokoll Das nächste Feld beschreibt das Protokoll. Zurzeit stehen uns für dieses Feld vier Protokolle zur Verfügung: tcp, udp, icmp, ip. Aber schon bald werden Sie auch Protokolle wie: ARP, IGRP, GRE, OSPF, RIP, IPX in dieses Feld mit aufnehmen können. IP-Adressen und Ports Im darauf folgenden Feld werden die IP-Adressen und Ports beschrieben, man kann hier für die Gesamtheit aller IP-Adressen das Schlüsselwort any setzen. Bitte geben Sie immer eine IP-Adresse an und niemals den dazugehörigen Hostnamen, da Snort einen CDIR-Block benutzt, um die Netmask zu beschreiben. Verwenden Sie also für Klasse C Netzwerke /24, für Klasse B Netzwerke /16 und für einzelne Hosts /32. Snort verfügt außerdem noch über einen !-Operator, der es Ihnen ermöglicht, bestimmte IP-Adressen von der Überwachung auszuschließen. Im vorangegangenen Abschnitt haben wir gesehen, dass die Formatierung der Snortregeln Wildcards zulässt. So können Sie zum Beispiel any angeben, wenn Sie alle IP-Adressen oder Ports einbinden wollen. Falls Sie eine bestimmte Range angeben wollen, benutzen Sie bitte den :-Operator (Formatierung x : y). Der Richtungsoperator gibt die Richtung des jeweiligen Netzwerkes an, so bedeutet ->, dass auf der linken Seite die Quellinformationen (IP-Adressen und Ports) und auf der gegenüberliegenden Seite die Zielinformationen zu finden sind. Man kann auch beide Richtungen mit einbinden, indem man den <> Operator verwendet. Optionsbereich Ein weiterer Bestandteil (vielleicht sogar der mächtigste) ist der Optionsbereich. Im Folgenden werden wir dieses Schmuckstück von Snort kennen, und verstehen lernen. Zuvor sei an dieser Stelle aber noch kurz die Formatierung des Optionsbereichs erklärt. Alle unten aufgeführten Optionen werden durch ein Semikolon voneinander getrennt. Wenn Sie die Optionen von ihren zugehörigen Argumenten trennen wollen, benutzen Sie bitte einen Doppelpunkt. Die verfügbaren Optionen finden Sie in Tabelle 1.6.
1.2 Snort
21
Optionen
Beschreibung
Msg
Schreibt eine Nachricht in die Alarm- und Paketlogdateien
Logto
Loggt das Paket in eine vom User spezifizierte Datei anstatt ins Standardoutputfile.
Ttl
Testet den TTL-Wert des IP-Headers
Tos
Testet den TOS-Wert des IP-Headers
Id
Hierbei wird die Fragment-ID des IP-Headers auf einen bestimmten Wert hin überprüft.
Ipoption
Sucht in den IP-Optionsfeldern nach einem bestimmten Code.
Fragbits
Überprüft die Fragmentations-Bits des IP-Headers
Dsize
Testet die Größe eines Pakets anhand eines bestimmten Werts
Flags
Testet die TCP-Flags auf bestimmte Werte
Seq
Testet die TCP-Sequenznummer auf einen bestimmten Wert
Ack
Testet das TCP-ACK-Feld auf einen bestimmten Wert
Itype
Testet das ICMP-Typefeld anhand eines bestimmten Werts
Icode
Testet das ICMP-Codefeld anhand eines bestimmten Werts
Icmp_ip
Testet das ICMP_ECHO_ID-Feld anhand eines bestimmten Werts
Icmp_seq
Testet die ICMP_ECHO-Sequenznummer anhand eines bestimmten Werts
Content
Durchsucht den Inhalt eines Pakets nach einem bestimmten Muster
Content_list
Sucht nach einer bestimmten Musterfolge im Inhalt eines Pakets
Offset
Eine Modifikation der content-Option in Hinblick auf den Beginn der Suche
Depth
Eine Modifikation der content-Option in Hinblick auf das vorzeitige Ende der Suche
Nocase
Deaktiviert case-sensitiv und unterscheidet daher keine Groß- und Kleinschreibung mehr
Session
Schreibt aus einem gegebenen Grund bestimmte Eingaben im Application Layer mit
Rpc
Überwacht RPC-Dienste auf bestimmte Application/Precedure-Calls
Resp
Aktive Antwort (zum Beispiel: Verbindung beenden)
React
Aktive Antwort (zum Beispiel: Webseiten blocken)
Reference
Externe Angriffsreferenz
Sid
Snort Regel-ID
Rev
Regelkorrekturnummer
Classtype
Identifiziert die Klassifikation der Regel
Priority
Identifiziert die Strenge der Regel Tabelle 1.6 Verfügbare Optionen
22
1 Intrusion Detection Systems
Optionen
Beschreibung
Uricontent
Sucht nach einem Muster in einem Teil einer URL
Tag
Fortgeschrittene Loggingaktionen für Regeln
Ip_proto
IP-Header Protokollwert
Sameip
Überprüft, ob die Quell-IP-Adresse mit der Ziel-IP-Adresse übereinstimmt
Stateless
Gültig, egal was der Streamstatus sagt
Regex
Wildcard für Mustererkennung Tabelle 1.6 Verfügbare Optionen (Forts.)
Nachdem Sie die möglichen Optionen kurz anhand einer Tabelle einsehen konnten, werden wir uns jetzt an die Beschreibung der einzelnen Optionen machen und einige Beispiele dazu sehen.
Mit der msg-Option können Sie den String ändern, den Snort bei Nachrichten in die Logfiles schreibt. msg: "
";";";;";"; alert tcp any any -> 192.168.1.0/24 143 (content: "|90C8 C0FF FFFF|/bin/sh"; msg: "IMAP Bufferoverflow";); ;"; – Diese Option verwendet den Proxyport um die Nach-; alert tcp any any <> 192.168.1.0/24 80 (content-list: "hacking"; msg: "You should not hurt my network!!!"; react: block,msg);,; [reference: ,;] alert TCP any any -> any 7070 (msg: "IDS411/dos-realaudio"; flags: AP; content: "|fff4 fffd 06|"; reference: arachNIDS,IDS411;) alert TCP any any -> any 21 (msg: "IDS287/ftp-wuftp260-venglinlinux"; flags: AP; content: "|31c031db 31c9b046 cd80 31c031db|"; reference: arachNIDS,IDS287; reference: bugtraq,1387; reference: cve,CAN-2000-1574; );,,<default priority>";, , <metric>, [direction] type; alert ip !$HOME_NET any -> $HOME_NET any (msg: "IGMP traffic detected"; ip_proto: igmp; ): <detection period> preprocessor portscan: 192.168.1.0/24 5 7 /var/log/portscan.log preprocessor portscan-ignorehosts: 192.168.1.5/32 192.168.3.0/24], [detect_scans], [detect state_problems] noinspect/session.log: output alert_syslog: LOG_AUTH LOG_ALERT <priority> output alert_fast: alert.fast output alert_full: alert.full output alert_smb: workstation.list output log_tcpdump: snort.log output xml: log, file=output output xml: log, protocol=https host=air.cert.org file=alert.snort cert=mycert.crt key=mykey.pem ca=ca.crt server=srv_list.lst, , <parameter list> output CSV: /var/log/alert.csv default output CSV: /var/log/alert.csv timestamp, msg log_unified: alert_unified: snort.alert log_unified: snort.log= [, = …]. Der Platzhalter »Label« kann von Ihnen zur Identifizierung der verschiedenen Protokolllisten dienen. Das Format des Platzhalters »Protokollliste« lautet: [|Protokoll 2] Wobei das angegebene Protokoll entweder ein Protokollname aus der Datei /etc/ services oder eine numerische Portliste sein kann (zum Beispiel: 80 oder 2000-2090). Falls Sie diese Option nicht spezifizieren, wird folgender Defaultwert verwendet: FTP=ftp|ftp-data, HTTP=http|www|https, DNS=name|domain, Telnet=telnet,login, NBios-IP=netbios-ns|netbios-dgm|netbios-ssn, Mail=pop-2|pop-3|kpop|smtp|imap|imap2, Tabelle 2.11 Verfügbare Optionen für NTop (Forts.)/<# Subnetzmasken – Bits> [Netzwerkadresse>/ <# Subnetzmasken – Bits>…] Zum Beispiel: 140.140.19.0/24, 10.0.0.0/255.0.0.0 Tabelle 2.11 Verfügbare Optionen für NTop (Forts.)=’’ [,=’’] Der Platzhalter »Flowlabel« wird wieder dazu genützt, um den Flow zu spezifizieren. Das Format der Regelausdrücke werden Sie im Laufe dieses Kapitels noch kennen lernen (Regeln). Für Webuser sei gesagt, dass Sie diese Statistik über den Link »List NetFlows« erreichen. Tabelle 2.11 Verfügbare Optionen für NTop (Forts.) for enabling it 26/Jul/2001:23:30:31 ntop v.1.3.2 MT (SSL) [i686-suse-linux] (09/24/01 02:43:10 AM build) 26/Jul/2001:23:30:31 Listening on [eth0] 26/Jul/2001:23:30:31 Copyright 1998-2000 by Luca Deri <[email protected] > 26/Jul/2001:23:30:31 Get the freshest ntop from http:// www.ntop.org/ 26/Jul/2001:23:30:31 Initialising... 26/Jul/2001:23:30:31 Loading plugins (if any)... 26/Jul/2001:23:30:31 Searching plugins in /usr/lib/ntop/plugins 26/Jul/2001:23:30:31 Welcome to arpWatchPlugin. (C) 1999 by Luca Deri. 26/Jul/2001:23:30:31 Welcome to icmpWatchPlugin. (C) 1999 by Luca Deri. 26/Jul/2001:23:30:31 Welcome to LastSeenWatchPlugin. (C) 1999 by Andrea Marangoni. 26/Jul/2001:23:30:31 Welcome to nfsWatchPlugin. (C) 1999 by Luca Deri. 26/Jul/2001:23:30:31 Welcome to ntop Remote Interface 26/Jul/2001:23:30:31 Loading plugin '/usr/lib/ntop/plugins/ rmonPlugin.so' [/usr/lib/ntop/plugins/rmonPlugin.so: undefined symbol: debugmsgtoken] 26/Jul/2001:23:30:31 Welcome to WAPPlugin. (C) 2000 by Luca Deri. 26/Jul/2001:23:30:31 WARNING: For security reasons it is STRONGLY recommended to 26/Jul/2001:23:30:31 run ntop as unprivileged user by using the -u option! Hostname / IP Hostname / IP Hostname / IP Hostname / IP Hostname / IP Hostname / IP an; um einen Bereich zu spezifizieren ist die Angabe -p <erster Port> nötig. Sie können diese Angaben auch verknüpfen. Linux:~# Nmap –p Hostname / IP Hostname / IP One time password: [,timeout : ) Bytes vom Socket <socketname>. Der Defaultwert für das Argument timeout liegt bei fünf Sekunden. recv_line(socket:<socketname>, length: [, timeout: ]) [, length:]), pass:<Passwort>)) auf dem Webserver installiert ist und gibt bei Erfolg den Rückgabewert true zurück. Es verwendet dabei den GET-Befehl. Das Skript verwendet als Standardpfadangabe /cgi-bin/. Sie können diese aber ändern, in dem Sie den absoluten Pfad beginnend mit einem Slash selbst angeben. Diese Funktion ist dabei selbstverständlich nicht auf cgi-Dateien beschränkt, sondern kann auch für jedes andere Dateiformat verwendet werden. Sie sehen jetzt zu den oben angeführten Funktionen einige Beispielskripte: Das erste Beispielskript wird versuchen, Ihnen mit Hilfe des FTP-Servers die Passwortdatei anzeigen zu lassen: socket = open_sock_tcp(21); if (ftp_log_in(socket:socket, user:"Helmschrott", pass:"Fischer")) { port = ftp_get_pasv_port(socket:socket); if(port) { socket2 = open_sock_tcp(port);; data = string("RETR /etc/passwd\r\n"); send(socket:socket, data:data); passfile = recv(socket:socket2, length:50000); display(passfile); close(socket2); } close(socket); } = getrpcport(program : <program_number>, protocol: IPPROTO_TCP|IPPROTO_UDP, [version: ]); = ip_hl ip_v ip_tos ip_len ip_id ip_off ip_ttl ip_p ip_src ip_dst [ip_sum, : , : , : , : , : , : , : , : , : , : ] );, element : "ip_hl"|"ip_v"|"ip_tos"|"ip_len"| "ip_id"|"ip_off"|"ip_ttl"|"ip_p"| "ip_sum"|"ip_src"|"ip_dst");, [ip_hl : , ] [ip_v : , ] [ip_tos : ,] [ip_len : ,] [ip_id : , ] [ip_off : ,] [ip_ttl : ,] [ip_p : , ] [ip_src : ,] [ip_dst : ,] [ip_sum : ] );, th_sport : <source_port>, th_dport : <destination_port>, th_flags : , th_seq : <seqünce_number>, th_ack : , [th_x2 : ], th_off : , th_win : <window>, th_urp : , [th_sum : ], [data : ]);, [th_sport : <source_port>,] [th_dport : <destination_port>,],] <sequnce_number>,] ,] ,] ,] <window>,] ,] ], ] );, element: <element_name>);, uh_sport : <source_port>, uh_dport : <destination_port>,, : ], : ]); = forge_icmp_packet(ip:, icmp_type:, icmp_code:, icmp_seq:<seq-nr>, icmp_id: [data:] = forge_igmp_packet(ip:, type:, code:, group:, [data: = send_packet(packet1, packet2, ...., packetN, pcap_active: , pcap_filter: pcap_timeout:); = ereg(pattern:<pattern>, string:<string>)) bestehend aus lauter X zu erzeugen und diese zu übergeben. Die nötige Syntax hierfür lautet: crap();) übergeben wollen, können Sie auch die zweite Möglichkeit der Initialisierung benutzen: crap(length:, data:);, size:);). get_kb_item();, value:);, [...]););, [...]);, [...]); [, protocol:<proto>]); security_hole(port:<port>, data: [, protocol:<proto>]);, , ...) alle in der Knowledge Base vorhanden sind. script_exclude_keys(, , ...) in der Knowledge Base gesetzt ist. Natürlich haben wir auch zu diesen Funktionen einige Beispiele bereitgestellt: script_require_ports("Services/www", 80); script_require_keys("rpc/portmap"); script_exclude_keys("imap/false_imap");. Session löschen Wie Sie sich sicher schon gedacht haben, können Sie mit dem DELETE SESSION-Button Sessions auf der Nessus Server-Seite löschen. Fehlerbehebung Es kann dabei durchaus einmal vorkommen, dass Ihnen Nessus bei einem Scandurchlauf abstürzt und Sie – nachdem Sie sich mit Ihrem Server neu verbunden haben – noch immer keine Session, die Sie wiederherstellen können, sehen. In diesem Fall könnte dies daran liegen, dass die Session noch gelockt ist. Sie können diesen Lock lösen, indem Sie den folgenden Befehl ausführen: rm /usr/local/var/nessus/<username>/sessions/.*.lck = Schlüssel verfällt nach n Tagen w = Schlüssel verfällt nach n Wochen m = Schlüssel verfällt nach n Monaten y = Schlüssel verfällt nach n Jahren Der Schlüssel bleibt wie lange gültig? (0)[email protected] " Ihr Name ("Vorname Nachname"): Josef Brunner E-Mail-Adresse: [email protected] Kommentar: freiberuflicher Sicherheitsberater und Programmierer Sie haben diese User-ID gewählt: "Josef Brunner (freiberuflicher Sicherheitsberater und Programmierer) [email protected] " Ändern (N)ame, (K)ommentar, (E)-Mail oder (F)ertig/(B)eenden? F sub 1024g/F8D34998 2001-07-14 . . .[email protected] Key fingerprint = 11BC 9622 54A1 C6AF 50A8 EC27 A3AE C9EB 8A57 3357 sub 1024g/BF49D00 200107-14 . . .[email protected] ssb 1024g/7BF49D00 2001-07-14[email protected] Command>[email protected] >" 1024-bit DSA key, ID 8A573357, created 2001-07-14 Enter passphrase:[email protected] >" 1024-bit DSA key, ID 8A573357, created 2001-07-14 Enter passphrase:[email protected] >" 1024-bit DSA key, ID 8A573357, created 2001-07-14 Enter passphrase:[email protected] >"[email protected] , hmac-sha1-96, hmac-md5-96«[email protected] , hmac-sha1-96, hmac-md5-96«. Dieses File enthält Unix-Domain-Sockets, die die Verbindung zum Authentifizierungsagenten enthalten. Diese Sockets sollte nur der Eigentümer lesen können und sie sollten entfernt werden, wenn der Agent sich beendet. und Sektionen in der Konfigurationsdatei benutzt werden (Abbildung 7.52). 2. Ändern zu Einen Screenshot zeigt Abbildung 7.138. Outgoing Domains (CG) Hier müssen Sie für jede Domain, die Sie unter dem Menüpunkt »Outgoing Addresses« verknüpfen wollen, einen Eintrag definieren. Das heißt, dass die Domain des »From«-Feldes in dem in Abbildung 7.139 gezeigten Screenshot aufgelistet sein muss. Domain Mapping (domaintable) Falls Ihre Sendmailkonfiguration über die nötige Direktive für Domänenverknüpfung verfügt, können Sie diese Verknüpfungen mit diesem Formular realisieren.[email protected] 
