Überprüfung des eigenen Rechners

Professionelle Analyse

Wer sich professioneller mit der Überprüfung des eigenen Rechners mit allen Sicherheitseinstellungen auseinandersetzen will, kann auf das BSI-Projekt OpenVAS setzen. Dieses steht als virtuelle Maschine oder als Installation zur Verfügung. Das Programm hat die Aufgabe, mit verschiedenen Tests die Sicherheit im Netzwerk und auf Rechnern zu testen. Es prüft einzelne PCs oder ganze IP-Bereiche und zeigt das Ergebnis in umfangreichen und professionellen Berichten im Browser an.

Genau genommen ist OpenVAS kein einzelnes Programm, sondern eine Sammlung verschiedener Tools. Es hat im Prinzip das bekannte Nessus abgelöst, das bis 2005 als Open-Source-Projekt zur Verfügung stand. Dann änderte der Hersteller die Lizenz. Um OpenVAS zu installieren, laden Sie die ISO-Datei herunter und binden diese in eine virtuelle Maschine ein. Diese erstellen Sie entweder mit VMware Workstation oder VirtualBox.

Die Steuerung von OpenVAS läuft komplett über das Webinterface ab. Die Weboberfläche ist alles andere als leicht bedienbar, daher sollten nur erfahrene Anwender mit dem Tool arbeiten. Sie erstellen erst so genannte Targets, also Ziele, die Sie scannen wollen und dann Scan-Aufträge, die die Rechner prüfen. Die Möglichkeiten gehen weit über die der bisher behandelten Tools hinaus. Mit etwas Experimentierfreude können Anwender erste Tests durchführen. Leider bieten die Entwickler nur eine veraltete Version der Dokumentation an.

Wer sich ausführlich mit der Sicherheitsanalyse beschäftigen will, sollte sich ebenfalls BackTrack Linux ansehen, ein Live-Linux auf Basis von Ubuntu. Es besteht zum größten Teil aus Sicherheits-Tools und Hackeranwendungen, um Netzwerke zu überprüfen. Außerdem lässt sich OpenVAS direkt in eine BackTrack-Installation integrieren. Allerdings ist dazu etwas Linux-Wissen notwendig. Die bekanntesten Tools im Paket sind Kismet zur WLAN-Analyse und Nmap zum Netzwerktest.

Wer sich in die Netzwerkanalyse einarbeiten will, findet auf der deutschsprachigen Community-Seite www.back-track.de ein Forum und Informationen zum Umgang mit den einzelnen Werkzeugen. Auch das bekannte Sniffertool Wireshark ist Bestandteil von BackTrack, das auch für Windows zur Verfügung steht. Wireshark ermöglicht eine umfassende Analyse des Netzwerkverkehrs, setzt aber auch einiges an Fachwissen voraus. Das Tool kennt nahezu alle Netzwerkprotokolle auf dem Markt. Wie SmartSniff benötigte es WinPcap, die Installation erfolgt aber automatisch.

Mit Testviren den eigenen Scanner testen

Ob der eigene Virenscanner funktioniert, lässt sich nur sehr schwer erkennen. Nur wenn ein Virus auf dem PC vorhanden ist, meldet der Scanner diesen hoffentlich und entfernt ihn auch. Um die Konfiguration von Virenscannern zu testen, hilft es, Testviren herunterzuladen. Diese bestehen nur aus einem Virensegment ohne Schad-Routine. Auf diese Weise erkennen Sie, ob Ihre Virenscanner grundsätzlich funktionieren.

Natürlich können Sie über diesen Weg nicht sicherstellen, dass der Scanner auch alle Viren erkennt, aber zumindest wissen Sie, dass die Software grundlegend gestartet und im System korrekt integriert ist. Am schnellsten finden Sie Testviren über die Seite www.testvirus.de.

Netzwerkverkehr überwachen

Ein effizientes Programm zum Überwachen des Netzwerkverkehrs und dem Mitschneiden von Paketen im Netzwerk bietet Microsoft kostenlos an: Network Monitor. Nach der Installation starten Sie den Scanvorgang über New Capture/Start. Anschließend kann Network Monitor alle Pakete empfangen, die auf dem System eingehen und die der Computer versendet. Sobald Sie den Messvorgang gestartet haben, filtern Sie den Netzwerkverkehr über das Menü Filter.

Für eine spätere Analyse können Sie einen Messvorgang als Capture auch speichern. Anschließend können Sie auf einem anderen Computer, auf dem Sie Network Monitor installiert haben, über File/Open/Capture diesen Messvorgang laden. Über das Kontrollkästchen Enable Conversations können Sie den mitgeschnittenen Paketen Prozesse auf dem Computer zuordnen. Bei diesem Vorgang hängt Network Monitor an jeden mitgeschnittenen Frame eine ID an. Über diese ID lässt sich jeder Frame einem Prozess auf dem Computer zuordnen.

Anschließend kann Network Monitor auf der linken Seite des Fensters die Pakete darstellen. Sie sehen das an der Baumstruktur der Prozesse mit den zugeordneten Paketen. Auf der rechten Seite des Monitors sehen Sie Details zu dem ausgewählten Frame. Hier können Sie auch Filter anlegen und den Inhalt des Datenpakets sehen.

Im Bereich Frame Summary auf der rechten Seite sehen Sie bei Source und Destination, von welchem Rechner das Paket ausgeht und an welchen Computer es gesendet ist. Kann Network Monitor den Namen auflösen, sehen Sie an dieser Stelle direkt den Namen des Computers. Auch der zugeordnete Prozess und das verwendete Protokoll sind in diesem Fenster zu sehen.

Ein wichtiger Punkt sind die so genannten Parser. Sie wandeln die aufgezeichneten Rohdatenpakete so um, dass Administratoren verstehen, welche Daten das Paket enthält. Parser lassen sich nachträglich installieren, zum Beispiel über die Seite nm parsers.codeplex.com. Weitere Quellen:

• Blog zu Microsoft Network Monitor - blogs.technet.com/b/netmon • Network Monitor Open Source Parsers - nmparsers.codeplex.com • Network Monitor Experts - nmexperts.codeplex.com • TechNet-Forum - social.technet.microsoft.com/Forums/en/net mon/threads