Ohne Kenntnis über den Aufbau eines Netzwerks stochern Sie in Sachen Sicherheit im Dunkeln. Mit den in Kali Linux integrierten Werkzeugen gelangen Sie schnell und relativ einfach an die notwendigen Informationen.

Der zweite Teil unseres Workshops rund um das Absichern eines LANs beschäftigt sich mit dem Erfassen von Daten über das zu untersuchende Netz: Um Schwachstellen zu entdecken, bedarf es zunächst einer soliden Datenbasis. Kali Linux fasst die dafür geeigneten Applikationen in der Menügruppe Kali Linux | Informationsbeschaffung zusammen.

Da vor allem Windows-Systeme häufig versionsspezifische Schwachstellen aufweisen, steht in heterogenen Intranets zunächst das Ermitteln der im Einsatz befindlichen Betriebssysteme im Vordergrund. Weitere Anhaltspunkte für Sicherheitslücken liefern offene Ports, die kein Standard-Dienst verwendet. Daher gehört auch ein Portscan zum grundsätzlichen Repertoire eines Audits. Schließlich sollten Sie sich um laufende Dienste kümmern, denn auch hier können Lücken in der Absicherung auftreten.

P0f

Das kleine Kommandozeilen-Tool P0f analysiert den anfallenden Netzverkehr und ermittelt anhand einer integrierten Datenbank die Betriebssysteme der beteiligten Rechnersysteme. Die Ergebnisse präsentiert es in einer einfachen Liste. Das Tool unterscheidet dabei nicht zwischen privaten und öffentlichen IP-Adressen, sondern zeigt alle Informationen an, die es aus der Analyse der empfangenen TCP-Pakete gewinnt. Somit visualisiert P0f auch Daten zu kontaktierten Endgeräten außerhalb des lokalen Netzwerks.

Sie erhalten damit einen ersten Überblick über die vorhandenen IP-Adressen sowie die verwendeten Betriebssysteme, laufenden Dienste und Applikationen. P0f lässt sich recht einfach bedienen; so geben Sie im Terminal schlicht p0f -i eth0 ein, um das Werkzeug an der Schnittstelle eth0 mithören zu lassen (Abbildung 1). Besitzt das System mehrere Netzwerk-Interfaces, ermitteln Sie das gewünschte durch Eingabe von ifconfig.

Abbildung 1: Mit p0f erhalten Sie einen ersten Überblick, welche Rechner sich mit welchem System im Netz befinden.

Um Informationen über die zugewiesenen IP-Adressen und die dazu gehörenden MAC-Adressen der aktiven Geräte im Netz zu erhalten, liefert Kali Linux das kleine Werkzeug Netdiscover mit, das Sie ebenfalls im Terminal bedienen. Es kennt nur wenige Parameter, die Sie mit dem Befehl netdiscover -help einsehen. Die Eingabe von netdiscover -p lässt das Tool im passiven Modus lauschen. Sie erhalten die Ergebnisse in einer übersichtlichen Tabelle angezeigt.

Die Software benötigt im passiven Modus einige Zeit, um alle Geräte zu ermitteln. Mithilfe der Option -f beschleunigen Sie gegebenenfalls den Scanvorgang. Die gewonnenen Daten nutzen Sie anschließend beispielsweise dazu, um in der Konfiguration Ihres Routers eine entsprechende Liste der freizuschaltenden MAC-Adressen anzulegen; das erschwert Einbruchsversuche von fremden Systemen.

Nmap

Nmap und dessen grafische Oberfläche Zenmap erlauben einen detaillierten Überblick über das zu untersuchende Netzwerk. Das Kommandozeilen-Tool verfügt über sehr viele Parameter, die sich miteinander kombinieren lassen. Eine Übersicht über die Befehlsoptionen verschafft Ihnen die Eingabe von nmap am Prompt.

Um zunächst einen Überblick über das zu untersuchende Intranet zu erhalten, geben Sie nmap -sP Netzadresse ein, also beispielsweise nmap -sP 192.168.1.0/24. Die Software scannt nun das LAN und gibt nach einer kurzen Wartezeit alle aktiven Hosts zusammen mit deren jeweiliger MAC-Adresse aus. Befinden Sie sich in einem heterogenen Netz, so können Sie zusätzlich Informationen zu den auf den einzelnen Hosts laufenden Betriebssystemen und den aktiven Diensten mit den entsprechenden Ports erhalten, indem Sie nmap -sS -A -O Netzadresse ausführen (Abbildung 2).

Abbildung 2: Nmap liefert, je nach Betriebsart, mehr oder weniger ausführliche Informationen zu einzelnen Hosts und deren Software.

Die Software listet anschließend genaue Daten zu den im Netz vorhandenen Hosts und Geräten auf, wobei der Scan-Vorgang, je nach Größe des Netzes, einige Zeit in Anspruch nimmt. Da der Scan auch Versionsnummern der Dienste berücksichtigt, stellen Sie außerdem auf einen Blick fest, ob sich veraltete oder als besonders fehleranfällig bekannte Software auf den jeweiligen Zielsystemen befindet.

Zenmap bearbeitet diese Daten übersichtlich grafisch auf. Sie öffnen es im Menü Kali Linux | Informationsbeschaffung | Live-Host-Erkennung. Im Eingabefeld Ziel: oben links im Programmfenster geben Sie den IP-Bereich ein, den Sie scannen möchten. Um möglichst viele Informationen zu erhalten, empfiehlt es sich zudem, oben rechts im Auswahlfeld Profil: den Eintrag Intense scan unverändert zu belassen. In der Zeile darunter gibt die GUI bereits eine Befehlssequenz vor, die Informationen zu den Hosts und der Netzstruktur liefert.

Nachdem Zenmap das LAN nach einem Klick auf Scan oben rechts im Programmfenster untersucht hat, finden Sie detaillierte Daten im großen Anzeigebereich rechts. Hier visualisiert das Tool die gewonnenen Informationen nach unterschiedlichen Kriterien geordnet in Reitern. Zusätzlich listet die Oberfläche die einzelnen Hosts und Geräte der Netzwerkinfrastruktur in einem Listenbereich links im Programmfenster auf, sodass Sie das potenzielle Zielgerät für eine Untersuchung leicht erreichen. Sobald Sie es markieren, erscheinen rechts im Fenster die gerätespezifischen Daten (Abbildung 3).

Abbildung 3: Zenmap erleichtert nicht nur das Bedienen von Nmap, sondern bereitet die gewonnen Informationen auch übersichtlich auf.

Hierbei erhalten Sie einen detaillierten Überblick einschließlich offener Ports, die unter Umständen bereits auf eine fehlerhaft konfigurierte Firewall oder auf Schadsoftware auf dem System hinweisen. Beachten Sie, dass Zenmap in der Standardkonfiguration lediglich die ersten 1000 Ports scannt; unprivilegierte Ports prüft das Tool nicht. Wollen Sie alle verfügbaren Ports überprüfen, nutzen Sie den Parameter -p1-65535. Der Schalter -p gestattet auch die Angabe einzelner Portnummern, sodass Sie die Systeme gezielt auf einzelne verdächtige offene Ports untersuchen (Abbildung 4).

Abbildung 4: Zenmap liefert in einer grafischen Auswertung detaillierte Informationen zum geprüften Host.

Um die Scanergebnisse für spätere Recherchezwecke zu speichern, klicken Sie im Menü Scan auf die Option Speichere Scan und geben anschließend einen Dateinamen und Speicherpfad ein. Bei späteren Aufrufen des Programms stehen die gespeicherten Daten im Menü Scan über die Option Öffne Scan in diesem Fenster zum Abruf bereit.

Xprobe2

Das Kommandozeilen-Tool Xprobe2, das Sie ebenfalls im Menü Kali Linux | Informationsbeschaffung | Live-Host-Erkennung finden, bietet eine weitere Alternative zum Erkennen von Host-Betriebssystemen. Die Software zeigt auf Wunsch auch offene Ports und darauf laufende Dienste an, die Ausgabe nimmt sie direkt im Terminal vor.

Bei größeren Netzen steigt der Zeitaufwand für das Generieren der Daten entsprechend an – daher eignet sich Xprobe2 eher für die Erstdurchsicht kleinerer Intranets. Zum Erkennen des Betriebssystems nutzt es Fingerprints, weswegen es stets mehrere mögliche Betriebssystem-Varianten auf dem Zielrechner anzeigt. Je nachdem, welche Version am wahrscheinlichsten auf dem Zielcomputer arbeitet, gewichtet das Tool die Angaben prozentual.

Auch im LAN befindliche Geräte wie Drucker, Router oder NAS-Systeme zeigt Xprobe2 inklusive der genutzten Firmware-Variante an, sodass Sie sofort feststellen, ob die genutzte Version aktuell ist oder ein Firmware-Update auf dem jeweiligen Zielsystem ansteht (Abbildung 5).

Abbildung 5: Xprobe2 fokussiert sich in erster Linie darauf, Firmware und Betriebssysteme eines Systems zu identifizieren.

Dmitry und Maltego

Gelegentlich erweist es sich als nützlich, Informationen beispielsweise über verdächtige Domains zu erhalten, die aus dem lokalen Netz aufgerufen wurden. Kali Linux kürzt diesen meist zeitraubenden Prozess durch den Einsatz der Programme Dmitry und Maltego ab. Während Dmitry in der Konsole startet, bringt die spezielle Kali-Edition von Maltego eine aufwendige grafische Oberfläche mit.

Dmitry liefert unterschiedlichste Informationen zu Domains, wobei sich diese nicht nur auf TCP-Pakete und die Anzeige von E-Mail-Adressen und Subdomains beschränken. Zusätzlich ist das Tool in der Lage, die Datenbanken von Netcraft und Suchmaschinen in die Recherche mit einzubeziehen. Nach Eingabe des Befehls dmitry listet das Werkzeug seine Befehlsparameter auf.

Für eine ausführliche Anzeige von Informationen geben Sie den Befehl dmitry -wnsepb Host ein, beziehungsweise – falls Sie lediglich die IP-Adresse kennen, dmitry -insepb IP. Die Software startet nun jeweils eine Whois-Abfrage des Domainnamens oder der IP-Adresse, kontaktiert die Netcraft-Datenbank, führt einen Portscan durch, sucht nach Subdomains und E-Mail-Adressen und liest die Banner der offenen Ports aus.

Das Ergebnis zeigt Dmitry in tabellarischer Form an (Abbildung 6). Um die gewonnenen Informationen zu speichern, ergänzen Sie die Eingabe um den Parameter -o, gefolgt vom gewünschten Dateinamen.

Abbildung 6: Mit Dmitry erhalten Sie detaillierte Informationen über Domänen im Internet.

Das in Java geschriebene Programm Maltego fokussiert primär auf Inhalte im Internet und fügt die gewonnenen Informationen zu einem Gesamtbild zusammen. Die kommerzielle Software steht in Kali Linux in einer funktionell eingeschränkten kostenlosen Version bereit.

Der Maltego-Client bezieht seine Informationen aus öffentlich zugänglichen Quellen, wie beispielsweise Social Networks und Suchmaschinen. Die Software führt alle gewonnenen Daten zusammen und zeigt Abhängigkeiten auf. Durch eine ansprechende grafische Darstellung gewinnen Sie so schnell einen Überblick über Netzinfrastrukturen und Organisationen. Da das Programm auch individuelle Daten recherchiert und auswertet, besteht außerdem die Möglichkeit, Verbindungsprofile von Personen anzulegen – insbesondere von solchen, die eigene Daten leichtfertig im Internet verbreiten.

Da die Software unterschiedliche Zwecke erfüllt, finden Sie entsprechende Starter auch in verschiedenen Unterverzeichnissen des Menüs Kali Linux. Das Tool öffnet anschließend ein komplex aufgebautes Programmfenster, das neben einer Menü- und einer damit korrelierenden sehr umfangreichen Schalterleiste einen großen Anzeigebereich umfasst.

Um den Maltego-Client zu nutzen, müssen Sie sich zunächst kostenlos beim Anbieter Paterva [1] registrieren und Ihr Konto freischalten. Dazu erscheint beim Aufruf der Software ein das Programmfenster überlagernder Assistent, der Sie in wenigen Schritten durch die Registrierung führt. Anschließend gilt es, das Konto mit der automatisch generierten Bestätigungsmail zu aktivieren.

Nach dem Login entscheiden Sie, ob Sie zunächst durch Beispieldateien die Funktionen der komplexen Oberfläche erlernen wollen oder ob Sie gleich mit der Software arbeiten möchten. Für Einsteiger empfiehlt es sich auf jeden Fall, im ersten Schritt die Dokumentation des Programms durchzusehen. Die Herstellerfirma Paterva bietet dazu nicht nur ein Handbuch [2], sondern auch Video-Tutorials, die Sie auf einem eigenen Youtube-Channel finden [3].

Häufig angefragte Aufgaben fasst die Software in sogenannten Maschinen zusammen. Beim Start des Maltego-Clients blendet er diese vorgefertigten Suchmuster in Form eines Assistenten ein, in dem Sie die gewünschte Funktion aktivieren. Primär handelt es sich dabei um Suchoptionen für Organisationen, wobei Maltego Namen, E-Mail-Adressen und Dokumente miteinander verknüpft (Abbildung 7).

Abbildung 7: Der Maltego-Client bezieht seine Informationen auch aus Social Networks.

Wireshark

Seit Jahren gilt Wireshark als Schweizer Taschenmesser für den Netzwerk-Administrator. Es dient primär als Analyseprogramm zum Überwachen des Netzverkehrs. Das aktuelle Kali Linux enthält die Software in der nicht mehr ganz aktuellen Version 1.10.2. Sie erreichen es im Menü unter Kali Linux | Informationsbeschaffung | Netzwerkverkehr-Analyse.

Wireshark erlaubt es dank grafischer Oberfläche, auf einfache Weise alle Pakete, die in einem Netzwerk transportiert werden, auf ihre Konsistenz hin zu prüfen (Abbildung 8). Wireshark hilft deswegen auch häufig dabei, Probleme im Netzwerk zu finden und zu beheben.

Abbildung 8: Seit vielen Jahren bei Admins beliebt: Der Paketschnüffler Wireshark erlaubt die Analyse der Datenströme im Netzwerk.

Fazit

Kali Linux enthält eine unüberschaubare Anzahl von Programmen zur Informationsbeschaffung im Netz, von denen wir hier nur einige der wichtigsten ansprechen konnten. Dabei beschränkt sich das Spektrum nicht nur auf Analyseprogramme für Datenpakete: Kali Linux berücksichtigt auch Tools zum Erkennen von Host-Betriebssystemen, offenen Ports und laufenden Diensten. Mit einer von diesen Werkzeugen ermittelten soliden Datenbasis gehen wir in der nächsten Folge des Workshops dazu über, gezielt Sicherheitslücken im Intranet zu identifizieren.