R33NET BLOG Rotating Header Image

Security

Juniper Netscreen Sessions analysieren

juniper_logoHier beschreibe ich kurz wie man genauere Informationen zu aktuellen Sessions auf der Juniper bekommt. Auf der SSG-550 ist es möglich 256064 Sessions zu halten. Je nachdem wie viele VPNs bzw Daten über die Juniper gehen kann es mal vorkommen das man an das Limit der Sessions kommt. Auch z.B. durch Fehlerhaften Traffic der immer neue Sessions aufbaut aber die alten nicht beendet und diese erst in einen Timeout laufen müssen.

Hier die wichtigsten Befehle:

get session info Zeigt aktuelle Sessions an
get session id Zeigt eine bestimmte Session an
get session policy-id Zeigt Sessions einer bestimmten Policy
get session dst-ip / dst-mac / dst-port) Zeigt Sessions bestimmter Ziele  IP / MAC / Port
get session src-ip / src-mac / src-port Zeigt Sessions bestimmter Quellen IP / MAC / Port
get session service „dns“ Zeigt Sessions eines bestimmten Service an

 

Sessions per Policy Anzeigen
vpn8:vpn8-1(M)-> get session policy-id 3844
id 35/s**,vsys 0,flag 00000040/0000/0001/0000,policy 3844,time 12, dip 0 module 0
if 0(nspflag 800801):10.x.x.61/58022->10.x.x.41/389,17,000000000d0,sess token 3,vlan 0,tun 0,vsd 0,route 20
if 6(nspflag 2002800):10.x.x.61/58022<-10.x.x.41/389,17,000000000000,sess token 4,vlan 0,tun 40000a53,vsd 0,route 0

Session Details anzeigen
vpn8:vpn8-1(M)-> get session id 35
id 35(00000023), flag 00000040/0000/0001/0000, vsys id 0(Root)
policy id 3844, application id 0, dip id 0, state 0
current timeout 70, max timeout 7200 (second)
status normal, start time 45054980, duration 0
session id mask 0, app value 0
ethernet0/0(vsd 0): 10.x.x.61/58022->10.x.x.41/389, protocol 17 session token 3 route 20
gtwy 192.x.x.254, mac 0000000000d0, nsptn info 0, pmtu 1500
flag 800801, diff 0/0
port seq 0, subif 0, cookie 0, fin seq 0, fin state 0
ethernet0/2(vsd 0): 10.x.x.61/58022<-10.x.x.41/389, protocol 17 session token 4 route 0
gtwy 0.0.0.0, mac 000000000000, nsptn info 40000a53, pmtu 1446
flag 2002800, diff 0/0
port seq 0, subif 0, cookie 0, fin seq 0, fin stat

Juniper Firewall Session Analyzer

Von Juniper gibt es noch das Tool FSA „Firewall Session Analyzer“. Hiermit können Reports erstellt werden. Dazu exportiert man alle Sessions von dem VPN Gateway und kann die dann über die Juniper Webseite analysieren lassen. https://tools.juniper.net/fsa/

Die Sessions könnt Ihr auf einen TFTP Server exportieren:
get session > tftp 10.x.x.107 name.txt

Folgende Reports werden erstellt:
Rank based on destination IP address
Rank based on source port
Rank based on source IP address
Rank based on protocol
Rank based on VSD (Virtual System Device)
Rank based on source IP with protocol and destination port information

Wer seine Session nicht zu Juniper hochladen will, kann das auch offline über das Tool „Netscreen Session Analyzer“ NSSA von Tim Eberhard machen. [Download V2.5 beta WIN] nssa

CheckPoint failover commands

cp-clusterDie wichtigsten CheckPoint Befehle zum Thema Cluster „failover“.

cphaprob stat

Listet den Clusterstatus

cphaprob -a if

Status der Interface

cphaprob syncstat

Zeigt den Sync Status

cphaprob -reset syncstat

Sync Status zurücksetzen

cphastart/stop

Stopt den Cluster auf dem jeweiligen Gerät

Juniper Netscreen reset (back to factory default)

juniper_logoUm eine Netscreen auf „factory default“ zurück zu setzen benötigt man einen Konsolen Zugriff denn es gehen alle IP Verbindungen verloren. Es wird die Seriennummer des Gerätes benötigt.  Diese steht unten auf dem Gerät oder kann über die CLI abgerufen werden. Die SN dient als login nutzen Sie diese sowohl für den Username als auch für das Passwort. Nach Login folgt die Frage ob Sie das Gerät wirklich zurücksetzen wollen. Nach dem Reset lauten die Logindaten netscreen/netscreen.


ns5xt-> get system | i serial
Serial Number: 0022114340534198, Control Number: 00000000

ns5xt-> exit
login: 0022114340534198
password:
!!! Lost Password Reset !!! You have initiated a command to reset the device to factory defaults, clearing all current configuration and settings. Would you like to continue? y/[n]

Kali Linux 2.0 Released

kali-linux-2-0-releasedDas Kali-Team hat die neue Version 2.0 veröffentlicht. Die Version steht ab sofort zum Download bereit. Die angepassten Versionen für VMWare, VirtualBox, ARM (RaspberryPi etc) findet ihr hier.

Was ist neu?
Kali läuft zukünftig als „Rolling Release“ und wir fortlaufend mit neuen Updates versorgt. Der neue Kernel 4.0 basiert auf Debian Jessie. Es wurden eine Vielzahl von neuen Treibern aufgenommen sowie die Oberflächen (gnome, kde, xfce, mate, e17, lxde, i3wm) stehen jetzt bereit. Weiter schreibt das Kali Team:

„But these bulletpoint items are essentially a side effect of the real changes that have taken place in our development backend. Ready to hear the real news? Take a deep breath, it’s a long list.“

Wer Kali bisher schon im Einsatz hat kann auch ein update durchführen.

cat << EOF > /etc/apt/sources.list
deb http://http.kali.org/kali sana main non-free contrib
deb http://security.kali.org/kali-security/ sana/updates main contrib non-free
EOF

apt-get update
apt-get dist-upgrade
reboot

Weitere Informationen findet Ihr unter: https://www.kali.org/blog/

Cisco ASDM Problem mit Windows 8 und Java

ciscoasdmIch hatte das Probleme den ASDM auf Windows 8 nicht starten zu können. Ich habe folgende Fehlermeldung erhalten „Could not find the main clasS: com.cisco.launcher.Launcher“. Das Problem hängt wohl mit der Java Version zusammen. Cisco weist darauf hin das es mit Java 64Bit und dem ASDM Probleme gibt. Mit der Java Version 7 update 45 habe ich den ASDM leider nicht zum laufen bekommen. Früher verwies der Pfad der ASDM Verknüpfung auf „C:\Windows\system32\javaw.exe“ ab einer bestimmten Java Version lautet der Pfad: C:\Windows\SysWOW64\javaw.exe. Das solltet Ihr als erstes prüfen und ggf den Pfad ändern. Als Workaround habe ich Java Version 6 update 45 installiert und habe den Pfad der ASDM Verknüpfung geändert auf das Java 6 Verzeichnis: „C:\Program Files (x86)\Java\jre6\bin\javaw.exe“ -Xms64m -Xmx512m -Dsun.swing.enableImprovedDragGesture=true -classpath lzma.jar;jploader.jar;asdm-launcher.jar;retroweaver-rt-2.0.jar com.cisco.launcher.Launcher

Cisco ASDM Troubleshooting

BSI-Sicherheitstest „Mehrere Millionen gestohlene Datensätze“

logo_bsi_left
update 07.04.2014:
Wieder wurden ca. 18 Millionen Datensätze gestohlen, drei Millionen davon lassen sich deutschen Mail-Providern zuordnen. Bei den Providern handelt es sich um Deutsche Telekom, Freenet, gmx.de, Kabel Deutschland, Vodafone und web.de.

Darüber hinaus hat das BSI die Daten in seinen Anfang des Jahres eingerichteten Prüfdienst eingepflegt, über den der Nutzer selbst checken kann, ob er zu den Betroffenen gehört. Nach der Eingabe einer Mail-Adresse schickt das BSI eine Mail dorthin, sofern sich diese in dem aufgespürten Datensatz befindet.

Wer nicht betroffen ist, erfährt das nur durch das Ausbleiben der Mail. Insbesondere wer einen Mail-Account bei einem Provider hat, der seine Kunden nicht informiert, sollte den Selbsttest durchführen. Das gilt freilich auch für Nutzer, die einen eigenen Mailserver betreiben.

Hier geht es zum Sicherheitstest

Quelle:
www.bsi.de und www.heise.de

(mehr …)

Multicast / IGMP / IGMP Snooping

IGMP „Internet Group Message Protocol“ ist eine Erweiterung des Internet Protocols (IPv4). Mit IGMP ist IP-Multicasting (Gruppenkommunikation) möglich. IP-Multicasting ist die Verteilung von IP-Paketen mit einer Ziel-IP-Adresse an mehrere Stationen gleichzeitig. Das Gegenstück von IGMP von IPv4 ist bei IPv6 MLD (Multicast Listener Discovery).
Das Internet Group Message Protocol wird benutz um Hosts zu ermöglichen, die Teilnehmerliste für Multicast-Gruppentelegramme im Netz bekannt zu geben.
Router und Switches lernen beim Empfang von IGMP Membership Requests, welche der angeschlossenen Geräte zu einer Multicast-Gruppe gehören. Wird ein Multicast für eine Gruppe empfangen, wird die Nachricht nur an den entsprechenden Ports, die zu dieser Multicastgruppe gehören weitergeleitet, die anderen Ports sehen diese Nachrichten nicht.

Wenn keine Multicast-Filterung mit IGMP vorgenommen wird, werden die Multicast-Nachrichten auf allen Ports versendet. Dieses Multicast-Filtering ist umso wichtiger, je größer die Netzwerke sind. In großen Netzstrukturen mit kaskadierten Switches wird eine unnötig hohe Netzlast in der Domäne entstehen oder einige Geräte werden möglicherweise überfordert, wenn sie permanent auf Multicastverkehr reagieren müssen, der nicht für sie bestimmt ist.

Wird ein Gerät auf einen anderen Switchport gesteckt würde der Switch die Multicast-Nachrichten zum falschen Port senden und das Gerät würde keine Multicast-Nachrichten mehr erhalten. Um das zu verhindern, fordert beim IGMP Snooping (ein) zerntrales Gerät iterativ alle Endgeräte auf, ihre Multicast-Gruppenzugehörigkeit bekanntzugeben, der sogenannte IGMP Querier.  Die Antworten auf Querier-Anfragen (IGMP Reports) veranlassen die Switche ihre Membership-Listen entsprechen zu aktualisieren.

Es gibt 3 IGMP-Versionen:

Version 1 (RFC 1112) kannte nur zwei Nachrichtentypen: Host Membership Query und Host Membership Report. Der Router kann mit IGMPv1 periodisch alle Hosts fragen, welche Gruppen sie denn empfangen möchten, und Hosts können als Antwort oder spontan pro Gruppe einen Report abschicken.
Bei Version 1 kann ein Host eine Gruppe nicht verlassen, er kann nur warten, bis der Router das nächste Mal eine Anfrage stellt und dann keinen Report mehr abschicken.

Version 2 (RFC 2236) fügt eine Nachricht dazu, mit der man Groups verlassen kann, und spezifiziert eine Methode, wie mehr als ein Multicast-Router in einem Ethernet koexistieren können.
Dabei wird der Router mit der kleineren IP-Nummer als Querier ausgewählt, d.h. fortan wird nur noch dieser Host Reports anfordern. Der andere Router übernimmt wieder,
wenn der erste eine Anfrage nicht rechtzeitig gestellt hat (und damit ausgefallen zu sein scheint).

Version 3 erlaubt die Angabe von ACLs zur Sender-Auswahl. Ein Host kann beim Beitritt zu einer Gruppe erklären, daß er nur Traffic von einem bestimmten Sender empfangen möchte (oder einer Liste von Sendern), oder er kann Sender explizit ausschließen.

LINKS:

RFC 1112 – Host Extensions for IP Multicasting
RFC 2236 – Internet Group Management Protocol, Version 2
RFC 3376 – Internet Group Management Protocol, Version 3
RFC 2933 – Internet Group Management Protocol MIB

Wiki: Multicast

IPv4 Multicast Address Space Registry

Multicast-Routing-Protokolle
Distance Vector Multicast Routing Protocol (DVMRP)
Multicast Open Shortest Path First (MOSPF)
Protocol Independent Multicast (PIM)

Anleitung: Installation Nagios 3.3.1 (Plugins 1.4.15) auf Ubuntu 11.10 “Step by Step” deutsch

clip_image002

Nagios ist der Name einer Software, die dem Monitoring komplexer IT-Infrastrukturen dient.Nagios bietet dazu eine Sammlung von Modulen zur Überwachung von Netzwerken, Hosts und speziellen Diensten sowie eine Web-Schnittstelle zum Abfragen der gesammelten Daten. Es steht unter der GNU GPL, ist also freie Software und läuft unter zahlreichen Unix-ähnlichen Betriebssystemen. Für eine einfache Grundinstallation von Nagios ist die Installation zumindest noch folgender Software-Komponenten erforderlich:
-Der Apache HTTP Server mit PHP-Modul
-Der GCC Compiler mit bzw. nur dessen Entwicklungs-Programmbibliotheken
Neben der Nagios Kern-Software benötigt man noch die Nagios Plugins: Das sind eine Reihe von Zusatzprogrammen (Modulen), die die eigentlichen Überwachungsabfragen durchführen und (gemäß ggf. vorzugebender Parameter) auswerten.

Download Nagios         Download Ubuntu

(mehr …)

Sicherer Google-Konto Login mit QR-Code

Google ermöglicht es euch ab sofort euer Smartphone für die Anmeldung an eurem Google-Mail Benutzerkonto zu verwenden. Das Ganze funktioniert mir Hilfe eines QR-Codes den ihr unter folgenden Link findet: Google QR-Code authentification. Den QR-Code scannt ihr mit eurem Smartphone ab. Für das iPhone benötigt ihr ein App „RedLaser / Barcoo“ das den QR-Code scannen kann. Auf den Smartphone müsst ihr euch dann bei euren Google-Mail Benutzerkonto anmelden oder ihr seid schon angemeldet. Ihr werdet dann in dem Browser in dem ihr den QR-Code gescannt habt automatisch an euer GMail-Konto angemeldet. Seit ihr an einem öffentlichen PC „Schule, Internet Café oder bei einem Freund“ so kann euer Passwort welches ihr normalerweise an dem PC über die Tastatur eintippt nicht ausgespäht werden. Bis langen habe ich die „Bestätigung in zwei Schritten“ Anmeldung verwendet. Diese Option findet ihr in euren Google-Kontoeinstellungen mit dem dazugehörigen App Google Authenticator ein super sache.

 
update:

Leider hat Google den QR-Code Login mit einem kleinen Hinweis wieder eingestellt:

Hi there - thanks for your interest in our phone-based login experiment.
While we have concluded this particular experiment, we constantly experiment with new and more secure authentication mechanisms.
Stay tuned for something even better!
Dirk Balfanz, Google Security Team.

BSI warnt vor DNSChanger

Das Bundesamt für Sicherheit in der Informationstechnik (BSI) empfiehlt allen Internetnutzern, ihre Rechner auf Befall mit der Schadsoftware „DNS-Changer“ zu überprüfen. Ab sofort ist eine solche Überprüfung mit Hilfe der Webseite www.dns-ok.de ganz einfach möglich. Die Webseite wird gemeinsam von der Deutschen Telekom, dem BSI und dem Bundeskriminalamt zur Verfügung gestellt.

Dies wurde notwendig, weil Internetkriminelle die Netzwerkkonfiguration von PC- und Mac-Systemen durch den Eintrag neuer DNS-Server mit der Schadsoftware „DNS-Changer“ manipuliert hatten. Das DNS (Domain Name System) ist einer der wichtigsten Dienste im Internet, welcher für die Umsetzung von Namen (URLs) in IP-Adressen verantwortlich ist. Im Falle einer Infektion mit der Schadsoftware leitet der Webbrowser die Benutzer bei Abfrage populärer Webseiten unbemerkt auf manipulierte Seiten der Kriminellen um, wo betrügerische Aktivitäten wie beispielsweise die Verbreitung angeblicher Antivirensoftware, Klickbetrug oder nicht lizenzierter Medikamentenverkauf stattfinden. Zudem konnten die Kriminellen gezielt manipulierte Werbeeinblendungen an infizierte Rechner senden, Suchergebnisse manipulieren und weitere Schadsoftware nachladen.

Betroffene bekommen auf www.dns-ok.de Empfehlungen, wie die korrekte Systemeinstellung wiederherzustellen ist; sie können beispielsweise ihr System mit dem Tool „DE-Cleaner“ bereinigen.

Weitere Informationen: Operation “Ghost Klick”: FBI entlarvt DNSChanger-Botnetz