4. Windows: Lauscher, Wächter, Firewalls
Network Associates (Nasdaq: NETA), der Hersteller der bekannten Daten-Verschlüsselungs-Software PGP (Pretty Good Privacy, Freeware für Windows und Mac), bietet seit Mitte Mai 2000 PGP Corporate Desktop für Windows (Support für einige Macintosh Messaging Platforms) in der Version 7.x als Standalone-Produkt inklusive Personal Firewall, Personal IDS (Intrusion Detection – Erkennung und Blockade verbreiteter Angriffe, Spurensuche, zentralisierte Alarm-Meldungen), VPN-Client-Fähigkeiten und Verschlüsselung an.
PGP beschreibt Desktop Security 7.x als die erste ingesamte Problemlösung für Firmennetzwerke, die alle Security-Belange von Desktop-PCs und mobilen Computern abdecke: »Eine robuste ›Enterprise-class‹ Personal Firewall für Kabelmodem-, DSL-, ISDN-, LAN- und Dialup-Anwender. Die flexibelste, modular aufgebaute und leicht zu bedienende Lösung für wachsende Unternehmen. Erste Ansprechpartner bei der Entwicklung waren IT-Administratoren. Ihre User werden mobil: 64 Prozent von ihnen wollen Breitband-Internet-Zugang über die Firma, 2003 wird es über zwanzig Millionen Breitband-Anwender geben. Gleichzeitig tauchen in immer neuen Varianten Attacken gegen Netzwerke auf, siebzig Prozent davon aus internen Kreisen. Mehr denn je benötigen die Anwender und Administratoren verläßliche Sicherheit für den Schutz der Informationen ihres Betriebes im Büro und unterwegs.«
Ernstes Sicherheitsproblem bei PGP 5 und 6!
Heise Newsticker:
- 26.8.2000 – PGP-Update stopft Sicherheitsloch;
- 25.8.2000 – Patch für PGP-Sicherheitsloch angekündigt.
Kai Ravens deutschsprachige Anleitung für die Verschlüsselungssoftware PGP 5/6 und seine Erklärung, warum er die Version 7 nicht mehr unterstützt.
Gauntlet NT für Windows NT Server 4.0, SP 3 oder 4, ebenfalls von Network Associates, gilt als eine der sichersten Firewalls, obwohl bei der Unix-Version ein böses Sicherheitsloch entdeckt wurde. Die Software bedient sich der patentierten Adaptive Proxy technology.
NetWatcher 2000 für Windows 95/98/NT4 von Moonlight Software, englisch. »Stop Intruders Before They Stop You! Your computer guardian against hacker intrusions. Simply the best protection around!« Auf der Web-Seite wird versprochen, NetWatcher warne nicht nur vor Eindringlingen und zeige Informationen über sie an, sondern schließe sie auch aus. »NetWatcher 2000 shoots first, and asks questions later.« Screenshots, eine Free Trial Version steht zum gefälligen Download bereit. Es liegen noch keine Erfahrungsberichte vor.
NukeNabber für Windows 95/98/NT, Freeware speziell für Chatter, die dem Sicherheitsrisiko der Internet-Komponente IRC ausgesetzt sind. Der Computer kann beim IRC-Chat, der mit spezieller Software (zum Beispiel dem Chat-Client mIRC) läuft, ganz leicht genukt (mittels übersandter Datenpakete abgeschossen) werden (Crash). NukeNabber beschreibt sich selbst als TCP- und UDP-Ports-Lauscher. Es können 50 Ports simultan überwacht werden. Die Software liefert die nötigen Informationen, um Angreifern auf die Schliche zu kommen. Ein spezielles Feature von NukeNabber ist, den Nickname des Angreifers über IRC herauszufinden (Internet Relay Chat – besondere Internetdienste und -protokolle für Chat-Software wie mIRC, VIRC und PIRCH werden unterstützt). Screenshot. NukeNabber FAQ.
Microsoft entwickelt einen Sicherheits-Server mit dem Namen Internet Security and Acceleration Server 2000 (ISA) Das darin integrierte Firewall-Modul bietet nach Angaben des Herstellers unter anderem dynamische Paket-Filter, Daten- und Anwendungs-bezogene Filter sowie Intrusion Detection. Die Beta-3-Testversion steht seit Anfang Juni 2000 zum Download bereit, ebenso wie das dazugehörige Software Development Kit (SDK), mit dem die ISA-Funktionen erweitert werden können. Systemvoraussetzungen: Windows 2000 Server, Advanced Server oder Datacenter.
L0phtCrack 3
Das mehrfach ausgezeichnete Windows-Security-Tool Password Auditing and Recovery Application LC3 von Security Software Technologies dient zum Untersuchen und Wiederherstellen von Passwörtern (besonders Windows 2000/NT).
Diese neue Version (englisch) läuft perfekt auch unter Windows 2000 und kann Passwörter nicht nur aus einer bestehenden Windows-Benutzerdatenbank ausspähen, sondern auch durch das Schüffeln im Netz. Internationale Zeichensätze werden nun unterstützt. Neben »Wörterbuchattacken« beherrscht die Software auch eine Brute-Force-Methode, die indes in der 15 Tage lauffähigen Probierversion fehlt. Geeignet für alle, die sich in einem Netz mit Windows Gewißheit über die grundsätzliche Sicherheit der verwendeten Passwörter verschaffen wollen.
Begleitende Zusatzinfo (englisch): How to Make Windows 2000 and NT 4 Passwords Uncrackable von Joel Kleppinger. Liste mit Uncrackable Alt-Characters.
Das ressourcenschonende und praktische Windows-Tool namens DU Meter hilft dabei zu überprüfen, was denn da so an Daten up- und downgeloaded wird, und ist insoweit auch als Security-Werkzeug zu bezeichnen. Es mißt die Geschwindigkeit und das Volumen. Einfachst zu installieren. Läßt die Windows-Systemdateien in Frieden.
Ganz ähnlich, wenn auch Freeware, ist das Anfang 2001 vom U.S.-amerikanischen Online-Magazin PC Magazine veröffentlichte Open-Source-Tool NetPerSec. Es läuft unter Microsoft Windows 95 (Winsock Version 2.0), 98, Me, NT 4.0 und 2000. Beiliegend der Visual C/C++ 6.0 Source-Code für jene, die sich dafür interessieren, wie dieses Programm funktioniert.
NetPerSec überwacht sämtliche TCP/IP-Aktivitäten und funktioniert mit allen Anschlußtechniken inklusive Dial-Up-Modem, Kabelmodem, DSL und T1. Das Utility registriert die Protokollabwicklungen sowohl über Internet-Verbindungen als auch über LAN und WAN (Local/Wide Area Network).
XploiterStat Lite, Freeware für Windows 95/98 & NT/2000 von Simon Steed, ist wesentlich übersichtlicher und funktioneller als das allen Windows-Versionen beiliegende DOS-Tool Netstat.
Es stellt alle aktiven Verbindungen der Maschine dar, zum Beispiel die »Listening Ports«, hilfreich beim Aufspüren eventuell installierter Trojaner. Es gewährt dem Anwender Einblick in alle TCP-, UDP- & ICMP-Verbindungen.
Ausgefeilte und vollautomatische Logging-Optionen. Der Port-Watcher schlägt – auf Wunsch akustisch – Alarm, wenn über bestimmte Ports Verbindungen angefordert werden. Auto-Refresh. Das schnelle DNS-Lookup bietet Auskunft über IP-Adressen. Ein Rechts-Klick auf Port-Nummern öffnet das Fenster Lookup-Results. Hier wird über Trojaner und legitime Services berichtet, die von diesem Port bekannterweise Gebrauch machen.
Viele weitere Ausstattungsmerkmale. Es wird auch eine kommerzielle Pro-Version (30-Tage-Test möglich) mit noch mehr Funktionen angeboten.
netstatzeigt offene Ports, aber da läuft garantiert nichts! Was übersehe ich?Windows (oder netstat für Windows) hat da tatsächlich einen Fehler. Wenn eine TCP-Verbindung vom lokalen Rechner aufgebaut wurde, zeigt
netstat -anfälschlicherweise auch den Sourceport als LISTEN an. LISTEN heißt aber im TCP/IP Begriffsuniversum: Hier hängt ein Server, der neue TCP Verbindungen annehmen will.Proto Local Address Foreign Address State tcp 217.17.192.37:1213 217.17.192.67:119 ESTABLISHED tcp 0.0.0.0:1213 0.0.0.0:* LISTEN
TDImon von Mark Russinovich ist ein Programm, das TCP-/UDP-Aktivitäten des lokalen Systems in wirklich allen Einzelheiten – und auf Wunsch in Echtzeit – überwacht. Laut Angaben des Herstellers ist es das mächtigste verfügbare Tool, um Konfigurationsproblemen des Netzwerks auf die Schliche zu kommen und den Gebrauch desselben durch Online-Anwendungen zu analysieren.
TDImon ist Freeware und funktioniert mit NT 4.0, Windows 2000 (Win2K), Windows 95 und Windows 98. Unter Windows 95 und Windows 98 muß TDImon erst seine Treiber installieren, worauf ein Reboot des Systems erforderlich ist. Die kostenpflichtige Pro-Version verfügt zusätzlich über Filter- und Hervorhebungsmerkmale.
Der Atelier Web Security Port Scanner leistet noch umfangreichere Dienste und ist an anderer Stelle unserer Website beschrieben.
Anm. 9.4.2001: Die Website Winmag.com existiert leider nicht mehr; das verbesserte und erweiterte Nachfolgeprodukt von WatchDog heißt Script Sentry und ist vom gleichen Autor.
Winmag.com schreibt auf seiner Web-Seite (Zusammenfassung):
»Microsofts Windows Scripting Host (WSH) kann Programmierern und Menschen, die Computersysteme verwalten, als wertvolles Tool dienen. Die Stärken des WSH können jedoch auch dazu mißbraucht werden, bösartige Viren wie den ›I love you‹-Virus herzustellen. WatchDog fordert den User nach der Installation auf, bestimmte Dateinamenserweiterungen (File Extentions) von Script-Dateien WatchDog zuzuweisen. Sobald dies geschehen ist (alle Häkchen unter "Associate with WatchDog" eintragen), fungiert WatchDog als Standardprogramm für VBScript- (VBS) und andere Skript-Dateien. Soll eine dieser – manchmal gut versteckten – Dateien zum Beispiel über Microsoft Outlook ausgeführt werden, wird sie zunächst von WatchDog abgefangen, einer Betrachtung unterzogen, und der Anwender wird vor eventuellen Sicherheitsrisken über ein Pop-Up-Fenster gewarnt (siehe Abbildung). Dann kann er entscheiden, ob er die Datei tatsächlich starten will.«
Ganz lustig: Das Programm funktioniert, ohne daß es gestartet werden muß. Einmal nach Geschmack konfigurieren, Exit, vergessen. Es verbraucht keine System-Ressourcen.
Aktuelle Version 1.7 seit Anfang 2001 mit erweiterten Funktionen (besserer ShellScrap-Virenschutz, verbesserte Menüs, oft verwendete Skripte können als "sicher" markiert werden). Offenbar Freeware. Sollte eine ältere Version von WatchDog vorhanden sein, diese vor der Installation der neuen Version entfernen.
Es steht auch eine Testdatei mit dem Namen testwatchdog.vbs zur Verfügung, die dazu eingesetzt werden soll, das ordnungsgemäße Funktionieren von WatchDog zu überprüfen. Diesen Test auf jeden Fall durchführen.
Der Download von WatchDog via Hyperlink auf der Winmag.com-Web-Seite geht übrigens über eine heutzutage eher unübliche FTP-Browser-Verbindung vonstatten. Falls einer eventuell installierten Firewall noch keine Regeln für dieses Dateiübertragungsprotokoll in Zusammenhang mit einem Browser bekannt sind, müssen diese – am besten temporär, also nur für diesen einen Download – erstellt werden. (Normalerweise meldet sich in diesem Falle der Regelerstellungsassistent der Firewall.)Off-Security: Schneller Online Bandwidth Speed Test von ZDNet. Das Ergebnis wird auf einer Art Fieberthermometer eingeblendet, auf dem auch die »Soll-Geschwindigkeiten« wichtiger Verbindungsarten wie Modem, ISDN und T1 eingezeichnet sind.
Anm. 14.4.2001: Script-Checker ist nun Bestandteil der AVP-Software und kann nicht mehr separat heruntergeladen werden.
Gratis-Tool von AVP Österreich: Script-Checker. Aus der Website: »Keine Chance mehr den Script-Viren. Der Script-Checker schützt vor bekannten und neuen Script-Viren direkt am Angriffspunkt dieser neuen Species, dem Scripting Host. Während ›normale‹ Online-Wächter einen Virus erst entdecken können, wenn die infizierte Datei oder das verdächtige eMail auf die Festplatte geschrieben wird, agiert der Script-Checker wie ein Filter zwischen der Anwendung, für welche das verdächtige Script geschrieben wurde (MS-Explorer, MS-Internet Explorer, MS-Outlook, ...) und dem Programm (dem Host), welches das Script interpretiert und ausführt (zum Beispiel dem Windows Scripting Host).Sowie ein verdächtiges Script bereits nur geladen und vom Scripting Host interpretiert werden sollte, wird es bereits vom Script-Checker abgefangen und auf bekannten Viruscode oder verdächtige Code-Sequenzen untersucht. Sollte sich im Script ein bereits bekannter Virus verstecken, wird er vom AVP-Monitor ›on the fly‹ unschädlich gemacht.« Nicht unähnlich dem oben beschriebenen WatchDog.
Es ist offenbar soweit – durch das bloße Besuchen einer Web-Seite kann der Computer des Surfers infiziert werden! Kein expliziter Download oder das Anklicken von Links ist mehr nötig. Ein neuer Exploit-Generator namens EXE2HTML.EXE macht es den Script-Kiddies leicht, alle möglichen Schädlinge herzustellen und direkt in Web-Seiten einzubinden.
Wieder einmal ist es der gute alte Windows Scripting Host (WSH), der zusammen mit MSHTA.EXE (HTA Hypertext Applications) dafür verantwortlich ist. Vor einem Jahr wurde diese Verwundbarkeit entdeckt, nur war es damals sehr schwer, sie auszunützen. Heute geht das auf Knopfdruck.
Privacy Software Corporation stellt allen Windows-Usern gratis ein Tool zur Verfügung, das davor schützt. HTASTOP.EXE (nur 44.032 Bytes) braucht nicht installiert zu werden, sondern funktioniert einfach von überall dort, wo es sich befindet. Man legt es am besten an einer Stelle ab, wo man leicht Zugriff darauf hat.
Die Bedienung ist denkbar einfach: Ein Klick auf "Block HTA Apps" sperrt HTA solange, bis man es mit "Permit HTA Apps" wieder freigibt. HTAstop wirkt natürlich nur, wenn die erwähnten Risiko-Komponenten (WSH, HTA) auf dem System installiert sind, ansonsten klärt es in einem Info-Fenster über die diesbezügliche Unbedenklichkeit auf.
Alle Angaben von der PSC-Website.
HTAstop Information
HTAstop DownloadComplete Buyer’s Guide Firewalls von Network Computing’s Interactive Buyer’s Guide (englisch). Hierbei handelt es sich um eine detaillierte, objektive und aktuelle Tabelle, welche die einzelnen Features der verschiedenen Profi-Firewalls vergleicht. Und hier eine Tabelle über Firewalls für den SOHO-Bereich (Small Office/Home Office).
Datenwiederherstellungs-Tool
Lost & Found jetzt gratisDiese Information soll den werten Leserinnen und Lesern nicht vorenthalten werden: Bis zum 26. Oktober 2001 läßt die kanadische Software-Schmiede PowerQuest die aktuelle Version 1.06 ihres bewährten Datenrettungswerkzeugs Lost & Found ohne bare Gegenleistung rüberwachsen. Die Seriennummer zur Registrierung prangt mitten auf der offiziellen Web-Seite. Die offenbar einzigen Haken: Die Software wird nicht weiterentwickelt, kein technischer Support. Es ist Geschmackssache, wie genau man es mit den neugierigen Abfragen vor dem Download (3,5 MByte große Zip-Datei) nimmt, zumindest ein @ sollte in der geforderten eMail-Adresse schon auftauchen ;-)
Und hier noch die FAQ (häufig gestellte Fragen und deren Antworten) vom Hersteller, die nähere Produktbeschreibung eines Software-Händlers, Rezensionen von John Bedore, ZDNet, Bill Shook und Sandy Coulter (engl.).
Lost & Found versucht, irrtümlich oder absichtlich gelöschte Dateien auf FAT16- und FAT32-Datenträgern wiederherzustellen. Das Programm läuft unter blankem DOS und nicht in der "Eingabe-Aufforderung" von Windows. Es greift nur lesend auf die Festplatte zu. Rekonstruierte Dateien schreibt es auf einen beliebigen anderen Datenträger, darunter auch Netzlaufwerke und Wechselmedien.
Direkt-Download
Seriennummer: 2453-8301-1114-7465
Backup-Software
Auf der ganz sicheren Seite ist man, wenn man seine sensiblen Daten regelmäßig und virengeprüft auf externe Datenträger wie Disketten, CDs, Wechselfestplatten oder DAT-Bänder speichert. Die folgenden Freeware-Tools helfen dabei, die notwendigen Schritte bei diesen Backups zu automatisieren und zu perfektionieren.
- BackItUp von Squint, deutschsprachig, für Windows 95/98/NT
- My Own Backup von Taz-Soft
- Mehul's Backup
- Lazy Mirror für Windows 95/98/2000, gut dokumentiert
SchließDasAlles
Ist im wahrsten Sinne des Wortes eine Killer-Application: EndItAll übernimmt das Schließen von mehreren Anwendungen gleichzeitig, verschont allerdings für den Betrieb unverzichtbare Programme wie Explorer und SysTray und solche, die vom User als geschützt markiert werden. Das nützt zum Beispiel vor einem gründlichen Viren-Scan, vor dem Installieren/Deinstallieren von Programmen, beim Betrieb von zeitgesteuerten Defragmentierern, Festplatten-Scannern und Backups, vor dem Brennen von CDs.
Die neueste Version 2 von EndItAll bietet umfangreiche Informationen zu den laufenden Anwendungen, vielfältige und speicherbare Konfigurationen, Kontrolle über Programme, Software-Prozesse, »Versteckte Anwendungen« und erlaubt sogar, Bildschirmschoner und Power Management zu blockieren. Automatisierbar durch Skripte und Batch-Dateien.
Das Open-Source-Programm (Delphi Quell-Code verfügbar) ist zwar gratis aber Registerware, das heißt, man muß sich vor dem Download beim Propagandisten registrieren und hat dann wahrscheinlich zumindest mit regelmäßigen Newslettern zu rechnen; ein elf dichtbedruckte Seiten langer englischer Wortschwall zum Thema »Schließen von Anwendungen« (Beenden, »Abschießen«) findet sich auf mit JavaScript und Cookies überfrachteten Web-Seiten. Wer sich mit einer älteren, einfacheren, schlankeren, vielleicht sogar auch sichereren Version zufriedengibt, findet hier eine solche – ohne jegliche Registrationsverpflichtung.
Warnung: Wenn bestimmte Programme zum Schließen gezwungen werden, kann das – sofort oder später – zu einem System-Crash führen. Daher sollte man zuerst mit EndItAll ein wenig experimentieren und die Dokumentationen und Hilfetexte gut studieren.
Nachdem EndItAll ein Programm beendet oder abgeschossen hat,
informiert das Status-Icon über das Ergebnis der Aktion
Trust Setter erleichtert das Hinzufügen von Web-Seiten in die Sicherheitszonen »Vertrauenswürdig« (grünes Häkchen) oder »Eingeschränkt« (rotes Verkehrszeichen: Einfahrt verboten) des Internet-Explorer oder das Entfernen aus diesen Zonen.
Nach der Installation über das Visual-Basic-Script install.vbs und einem Neustart des IE finden sich die beiden Icons in der Symbolleiste des Browsers, über welche das Hinzufügen der aktuell angezeigten Page-Domain mit einem Mausklick möglich ist. Eine Dialogbox bestätigt den erfolgreich durchgeführten Vorgang. Das Editieren der Listen erfolgt wie üblich über "Extras - Internetoptionen - Sicherheit".
Anmerkung: Wenn ein Trust-Setter-Icon angeklickt wird, obwohl sich die Site bereits in der entsprechenden Sicherheitszone befindet, wird sie von dort wieder entfernt. Die Dialogbox bestätigt auch dieses.
Durch das Verfrachten in die Sicherheitszone »Eingeschränkt« des Internet Explorer können Websites (je nach Konfiguration der Zone) daran gehindert werden, Cookies zu setzen oder Pop-Up-Fenster zu öffnen.
Trust Setter v1.5 – Homepage mit Downloadmöglichkeit
Genug ist genug!
Enough is Enough! ist ein kostenloses Hilfsprogramm (engl.) für den Internet Explorer 5 und 6, das sich um mehrere sicherheitskritische Eigenschaften des Browsers kümmert. Es handelt sich um etliche Batch- und Registrierungsdateien von Eric L. Howes an der University of Illinois (siehe auch Eburger). Nach einer Installation kann esWarnung: Aufgrund der restriktiven Vorgangsweise von Enough is Enough! werden nach einer Installation bestimmte Web-Seiten nicht mehr richtig angezeigt, solange sie nicht "den vertrauenswürdigen Sites" hinzugefügt werden!
- den Zonen "Vertrauenswürdige Sites" und "Internet" Restriktionen für möglicherweise gefährliche, aktive Inhalte wie ActiveX, Java, Scripting und andere auferlegen
- die Übermittlung von Cookies einschränken, ohne sie für "vertrauenswürde Web-Seiten" oder für eine einmalige Anwendung (Single Session Use) rigoros zurückzuweisen
- "AutoComplete" und den "Profile Assistant" abschalten und vorhandene Einträge löschen
- diverse "erweiterte Einstellungen" abschalten, darunter "Install on Demand" und Browser-Erweiterungen von Drittherstellern
- Microsofts IE PowerTweaks WebZone Accessory installieren, damit wird das Menü "Extras" um zwei neue Befehle bereichert: "Den vertrauenswürdigen Sites hinzufügen" und "Den eingeschränkten Sites hinzufügen"
Das Programm ist nicht für jedermann geeignet. Jene, denen das Einteilen der Websites in "vertrauenswürdig" und "eingeschränkt" zu umständlich ist, werden den Zusatzaufwand wohl scheuen. Installiert und deinstalliert wird das Programm mit der Datei Install.bat, die sich im heruntergeladenen und entpackten Verzeichnis befindet, gesteuert hauptsächlich mit den Zifferntasten.
Mit diesen neuen Einstellungen für den IE ist der Anwender vor den gefährlicheren Elementen des Webs geschützt, ohne sich Sorgen machen zu müssen, ob er die Schlingel in die Zone "Eingeschränkte Sites" verfrachtet hat. Weiters bewahrt das Programm vor einer Installation von CrapWare (zum Beispiel Gator, BonziBuddy, Lop.com und Konsorten). Man braucht keine Cookies mehr von Direkt-Marketing-Unternehmen zu akzeptieren, die danach trachten, den User zu beobachten und seine Aktivitäten im Netz aufzuzeichnen. Auch selbstöffnende Fenster werden standardmäßig zum Verschwinden gebracht.
Kurz: Der Internet Explorer wird sich so benehmen, wie es der Anwender möchte, und nicht wie es Direkt-Vermarkter oder SpyWare-Pusher gerne hätten. Mit Enough is Enough! schafft man seine eigenen "Opt-In"-Regeln: Keinen Web-Seiten werden permanente Cookies, ActiveX, Java, JavaScript und andere riskante IE-Ausstattungsmerkmale gestattet, solange man ihnen nicht ausdrücklich die Erlaubnis dazu erteilt, indem man sie in die "vertrauenswürdige Zone" aufnimmt. (Alle Angaben vom Hersteller, 11. April 2002.)
Download: enough.zip | enough.exe | Readme.txt (unbedingt lesen)
Vorstellung und Diskussion im DSLReports-Forum (engl.)
Dein komplettes System
muß sicherer aufgesetzt werden.Lutz Donnerhacke
Sphinxwall, Hack Tracer,
NeoWatch, Look 'n' Stop,
Norman PFW, Privatefirewall
Weiter mit den Pfeil-Symbolen >> in den Navigationsleisten
oben und unten auf jeder Seite.
