Sicheres Windows 2000:

Jedem technisch versierten Anwender, der Windows 2000 zum ersten Mal zu Gesicht bekommt, dem werden neben den witzigen und unnötigen grafischen Gimmicks sofort die veränderte Sicherheitsarchitektur des Betriebssystems von Microsoft auffallen. Die neuen Sicherheitsmerkmale kann man sich hervorragend auf der Zunge zergehen lassen: Es wird Public Key Infrastructure (PKI), IP Security (IPSec), CryptoAPI, SSL 3.1, Encrypting File System (EFS) und Kerberos-Beglaubigung neben den schon altbekannten Sicherheitsvorkehrungen von Windows NT angekündigt. Windows 2000 verlässt sich auf sehr starke Sicherheitsstandards, die in jenem Punkt nur noch sehr wenig mit Windows NT zu tun haben. Da Windows 2000 auf den Kernel von Windows NT aufbaut, so ist für dessen Verständnis das Wissen der alten NT-Versionen von unschätzbarem Vorteil, denn vieles erinnert noch an alte Zeiten.

Die meisten Angreifer beginnen als erstes mit dem Erstellen eines Profils ihres Ziels, und sie sammeln möglichst viele Informationen, ohne das Ziel direkt anzusprechen, um eventuelle Schwachstellen unauffällig schon im voraus in Erfahrung zu bringen. Die erste Quelle für so genannte Footprinting-Informationen ist DNS (Domain Name Service), welches bekanntlich im Internet für das Umwandeln der IP-Adressen in Host-Namen zuständig ist. Da der Namespace des neuen Features AD (Active Directory) auf DNS aufbaut, hat Microsoft die Implementierung des DNS bei Windows 2000 komplett überarbeitet, um das Level der Sicherheit ein bisschen in die Höhe zu schrauben.

Die Windows 2000-Domaincontroller (DC) sind bei TCP-Port-Scans ziemlich auffällig und verraten ihre Identität sofort. Neben den ursprünglichen Windows NT-Standartports 135 (Endpoint-Mapper) und 139 (NetBIOS-Session) tauchen nun ein paar erwähnenswerte Neuerscheinungen auf:

Wie immer kann also auch bei Win2k ein Port-Scan die Betriebssystem-Version und die aktiven Dienste herausfinden, um eine mögliche Tür ins System aufzuzeigen. Ich werde versuchen, die möglichen Angriffe auf diese neu hinzugekommenen Dienste in diesem Dokument zu erläutern. Die unbrauchbaren oder hinlänglich bekannten Attacken aus den NT-Tagen werde ich hier zwar nicht außer Acht lassen, jedoch zur Ergänzung jeweils nur kurz anschneiden.

Die Deaktivierung von NetBIOS, besonders bei Rechnern mit direkter Anbindung zum Internet, lohnt sich immer, wenn die Möglichkeit dazu besteht: Neben einer Steigerung der Performance wird weniger Angriffs-Fläche für Datenklau und DoS-Attacken geboten, da die meisten Angriffe auf NT-basierende Systeme erfahrungsgemäß auf NetBIOS-Verbindungen aufbauen.

Es ist hinlänglich bekannt, wie freundlich Windows NT 4 sein kann, wenn es um das Einsammeln von Informationen über das vermeintliche Ziel geht: Die Benutzernamen und Dateifreigaben waren für einen Angreifer meist Gold wert, und erlaubten erst einen effizienten Remote-Angriff. Windows 2000 hat bei der Lösung dieser markanten Sicherheitsprobleme einige beachtliche Fortschritte gemacht, aber ganz neue Informationen sind nun aus dem Active Directory-Dienst heraus erspähbar: Wie so oft bei Microsoft ist ein Fortschritt auch wieder ein Rückschritt.

5.1 LDAP (Leightweight Directory Access Protocol)

Eine für den Endverbraucher grundlegendste Änderung im neuen Windows-System ist die Einführung eines auf LDAP (Leightweight Directory Access Protocol) basierenden Dienstes, der von Microsoft liebevoll Active Directory genannt wird. Da dieser Zusatz einfach zu handhaben und dementsprechend praktisch ist, wird die Installation und der Nutzen dieses Features bald großflächig in Unternehmensnetzwerken Einzug halten. Doch nicht nur Freunden wird damit die Arbeit erleichtert, sondern auch den eigenen Feinden, da sie informellen Nutzen aus diesem Dienst ziehen werden können.

Die Gegenmaßnahme geht von netsh aus: Dieses Windows-2000-Utility bereinigt die geschwächte Sicherheit von den zuvor vorgenommenen Einstellungen während der Installation, sobald es in der Kommandozeile ausgeführt wird. Natürlich verlieren alle NT4-RAS-Server nach  diesem Vorgang ihren Nutzen im Zusammenspiel mit den 2000-Rechnern. Der Synthax für das kleine Shell-Tool liest sich wie folgt:

Die bösen Buben werden sich freuen zu hören, dass die NT-LANMan-Sequenz (NTLM) auch noch weiterhin bei Microsofts neuestem Streich vertreten ist und quicklebendig eine breite Angriffs-Fläche bietet.

NetBIOS-Freigaben

Die beliebten Brute-Force-Tools wie das NetBIOS Auditing Tool (NAT) sind noch immer nützlich, wenn es um das Erraten von Passwörtern auf Windows-2000-Systemen geht.

Doch viel gefährlicher sind aus meiner Sicht die inkompetenten Benutzer, die ihre gesamte Festplatte der Außenwelt freigeben, manchmal sogar mit kompletten Schreibrechten ohne Passwort-Restriktionen.

Wann immer es möglich ist, sollte auf die NetBIOS-Freigabe verzichtet werden. Dies gilt besonders bei jenen Systemen, die direkt vom Internet aus ansprechbar sind, denn im Netz der Netze tummeln sich über 260 Millionen potentielle Angreifer in über 250 Ländern.

Abfangen der Passwort-Sequenzen

Das L0phtcrack SMB Paket-Abfang-Utility kann nach wie vor die NTLM-Beglaubigngen abfangen und knacken, die zwischen einem NT4-Client und einem 2000-Server übertragen werden. Auch die Kerberos-Authentifizierung wurde vom Unternehmen aus Redmond so konzipiert, daß die Beglaubigung auf NTLM herabgesetzt werden kann, wenn einer der Kommunikations-Parteien Kerberos nicht unterstützt: Alle Windows-NT4-Rechner machen also indirekt auch die Windows-2000-Systeme unsicher.

Ein Angreifer könnte nun die starke Authentifizierung in einer Windows-2000-Domäne mittels SYN-Flooding auf TCP-Port 88 (Kerberos) am Domänen-Controller unterlaufen, da alle Clients auf die wackelige NT-Beglaubigungsroutine herabgesetzt werden. Das Schnüffeln ist dann nur noch ein Kinderspiel.

Buffer-Overflows

Kaum ist Windows 2000 professionell in-the-wild im Einsatz, tritt schon der erste Remote-Bufferoverflow hervor: Der Index-Dienst von Windows 2000 indexiert  HTML-, Word-, Excel- und PowerPoint-Dokumente, und er stellt über den Internet Information Server (IIS) eine Suchmaschine zur Verfügung. Die sogenannte Hit-Highlighting-Funktion enthält jedoch einen Fehler, über den Internet-Benutzer auch Zugriff auf Dokumente erhalten können, die nicht im Internet-Verzeichnis liegen und dementsprechend nicht ins Web sollen. Um Zugriff zu erhalten, muss der Angreifer lediglich den Pfad- und Dateinamen definieren. Der Indexserver liefert dann automatisch die Textstelle mit dem gefundenen Schlüsselwort.

Abhilfe zu diesem Problem schafft ein Patch.

DoS (Denial of Service):

Das Witzige ist auch, dass der hauseigene SMTP-Server das ganze System ausbremsen kann, sobald eine größere Menge unzustellbarer Mails im Ausgang liegt. Diese unzustellbaren Mails blockieren Filehandles, wodurch für andere Mails unnötig viele Dateioperationen ausgeführt werden müssen. Diese Operationen kosten Rechenzeit und verlangsamen das System. Microsoft gab umgehend einen Patch zu diesem Problem heraus, der den ganzen Ablauf beim Eintreten eines solchen Problemfalls besser managen können soll. Der Patch ist bisher nur auf Anfrage bei Microsoft erhältlich.

HTTPD: IIS 5.0

Auch der IIS 5.0 von Windows 2000 ist gegen Remote-DoS-Attacken nicht gefeilt: Sobald bestimmte Zeichen im HTTP-Header auftauchen, stürzt das besagte System ab. Der Fix für dieses Problem ist leider auch nur wieder auf direkte Anfrage beim Hersteller erhältlich.

FTPD

Der interne FTP-Server weist auch ein kleines Manko auf: Er ignoriert einfach die festgelegten Time-Out-Werte für Sitzungen, wodurch künstlich ein hohes Ausmaß an Systemauslastung erzwungen werden könnte. Ein Patch ist auf Anfrage bei Microsoft erhältlich.

SMB

Werden SMB Anfragen an Port 445 oder 139 gesendet, und werden die Antworten nicht bestätigt, läßt Windows 2000 alle auf SMB vertrauenden Services für 20 Sekunden deaktivieren. Abgehende Verbindungen von Windows 2000 sind nicht betroffen.

Ausbau der Privilegien:

Vom heutigen Standpunkt aus betrachtet und mit dem aktuellen Wissen bewaffnet, kann über die Sicherheit der Passwort-Verschlüsselung unter Windows 2000 gesagt werden, dass sie sehr sicher zu sein scheint. Doch kann diese Anfangs-Euphorie schnell verfliegen, wenn sich herausstellt, dass das Auslesen der Passwörter aus den ADs keine Utopie mehr ist: Die Zeit wird es zeigen...

Hat ein Eindringling erst einmal den Status des Administrators erreicht, ist er primär auf das Herunterladen möglichst vieler Informationen und Daten aus, die für die Eroberung weiterer (angebundener) Systeme von Vorteil sein können. Eine der beliebtesten Strategien ist das anfängliche Aufspüren von Domänenbenutzerkonten. Mit den dadurch erreichbaren Privilegien kann der Angreifer problemlos von einem System zum anderen hüpfen: Auf alle Rechner in der Domäne, auf andere Domänencontroller und sogar über die Domänengrenze hinaus. Der LSA-Secrets-Bug von Windows NT 4 war eine zentrale Schwachstelle (die zum Glück nach dem Einspielen von Service Pack 3 behoben werden konnte), die als Schlüsselmechanismus zum Aufspüren von Konten der letzten Benutzer, die sich am System angemeldet hatten und dadurch enttarnt wurden, diente. Diese alte Verwundbarkeit funktioniert natürlich auch beim neuen Windows nicht mehr, doch schützt dies kaum vor einem Systemverwalter, der sich aus Versehen an einem Einzelsystem mit dem Passwort des Domänen-Controllers anmeldet.

Bidirektionale Vertrauensbeziehungen

Aus der Sicht eines Sicherheitsexperten ist die Abschaffung von unidirektionalen Vertrauensbeziehungen innerhalb eines Windows-2000-Netzes ein Geschenk Gottes. In einer reinen Windows-2000-Umgebung bestehen nun glücklicherweise nur bidirektionale transitive Vertrauensbeziehungen, die durch Kerberos-Implementierungen bedingt sind. Die Vertrauensbeziehung zu Windows-NT-Rechnern läuft aus Kompatibilitätsgründen noch immer unidirektional ab.

Seit Windows 2000 Build 2031 sind alle Mitglieder der Gruppe "Domain Admins" (eine globale Gruppe der Domain in der Win2k-Terminologie) bis zu einem bestimmten Grad in allen Domänen des eigenen Netzes berechtigt. Dies gilt besonders für die vollständige Kontrolle der AD-Konfiguration, die aus einem gemeinsamen Satz von Replikations-Beziehungen administriert wird. Ein kompromittiertes Konto dieser Superuser-Gruppe könnte daher verheerende Folgen für ein gesamtes Unternehmensnetzwerk haben, wenn ein Angreifer sich darin mit bösen Absichten zu tummeln pflegt. Aus diesem Grund empfehle ich, Partner-Netzwerke oder Netze mit großer Angriffsfläche einer eigenen Domain zuzuteilen, um übergreifende Schäden durch Attacken zu verhindern.

Spuren verwischen:

Eine andere Möglichkeit besteht im Nutzen des NTRK cp-Posix-Utility, das auch unter Windows 2000 seinen Dienst verrichten kann, obwohl NTFS V.5 benutzt wird, um Dateien in den Datenströmen hinter anderen Dateien zu verstecken. Möchte man die Daten wiederherstellen, sind administrative Rechte nötig.

Da wohl im Moment eine zentrale Protokollierung nicht in den absehbar kommenden Versionen von Windows vorgesehen ist, werden alle Protokolle weiterhin auf lokalen Systemen gespeichert, womit das System in dieser Hinsicht weiterhin einen Minuspunkt im Gegensatz zum Syslog-Daemon unter Unix bekommt.

Das "elsave"-Utility kann alle – auch die neuen – Protokolle über einen Remote-Zugriff löschen, sofern die entsprechenden Privilegien auf dem Ziel-System eingeholt werden konnten:

Konnte ein Angreifer sein Ziel erst einmal kompromittieren, steht schlußendlich auf der letzten Position seiner Wunsch-Liste eine Hintertür, die ihm jederzeit unbemerkt Zugang zum System ermöglichen soll.

Manipulation der Startdateien

Alle Remote-Control-Software (Hacker-Tools) aus den Windows-NT-Zeiten reagiert anstandslos korrekt bei einem Einsatz auf einem Windows-2000-Rechner: NetBus, Back Orifice 2000 und WinVNC haben brav ihren Dienst verrichtet. Da der Quelltext der neuesten Version von Back Office von den Machern "Cult of the dead Cow" freigegeben wurde, könnten zur Anfangsphase einige Mutationen durch die allgemeinen Scan-Vorgänge der üblichen Anti-Viren-Software schlittern.

Mit NetBus lassen sich auch in der aktuellen 2000er Umgebung die Tastaturschläge problemlos aufzeichnen, genau wie mit dem Invisible Keylogger Stealth (IKS). Eine Verschlüsselung des Datenstroms zwischen Tastatur und Betriebssystem wird irgendwie verständlicherweise von den Microsoft-Programmierern auch nicht in Betracht gezogen.

Die neuen Windows-Sicherheitstools:

Um die Richtlinien für die Benutzerkonfiguration im selben Atemzug wirksam zu machen, muss man sich folgender Eingabe bedienen:

Die ersten Test-Angriffe auf Rechner, die mit Windows 2000 ausgestattet wurden, sehen nicht schlecht aus, und lassen seit langem die Riege der Männer und Frauen um Bill Gates gut aussehen, wenn man in ihrem Zusammenhang von Sicherheit spricht. Wenn sich Microsoft ranhält, dürfte ihnen bald ein ziemlich ausgeklügeltes Betriebssystem gelingen, das nicht mehr vergleichbar mit dem anfälligen Microsoft-Rechner vergangener Tage ist. Trotzdem muss sich Windows noch einige Zeit im stürmischen Alltag herumschlagen, um über seine Sicherheit ein kompetentes Urteil fällen zu können, denn auch bei Windows NT wurden erst später die Schwärmereien durch die aufgedeckten Bugs überschattet. Ein Umstieg auf Windows 2000 lohnt sich jedoch auf alle Fälle, wenn die Anschaffung neuer Hardware wegen der erhöhten System-Anforderungen und einige Abstriche in Punkto Kompatibilität mit älterer Hard- und Software gemacht werden können. Einen eingefleischten Unix-User kann das Microsoft-Datenmonster noch immer nicht für sich gewinnen: Dazu fehlt die komplexe Shell - Ob die jemals von MS realisiert werden wird...?

Deaktivieren von Diensten unter W2K
Windows 2000 Professional – Schließen der Ports 135-139, 445, 500 Beenden der Dienste epmap, isakmp, microsoft-ds, netbios-ssn, netbios-ns und netbios-dgm