Incident Handling: Tags für automatische Securityhinweise

Allgemeines

Das ACOnet-CERT interpretiert Beobachtungen, die selbst gemacht (z.B. durch Auswertung von Netzstatistiken) oder von anderen Organisationen (CERTs, Security-Teams, etc...) übermittelt werden in einem weitgehend automatisierten Prozess. Ergibt die Auswertung eine hinreichende Wahrscheinlichkeit für ein Sicherheitsproblem, werden die vorhandenen Informationen als Securityhinweise an die jeweiligen ACOnet-Teilnehmer weitergeleitet.

Securityhinweise sind stets das Ergebnis der Interpretation von Beobachtungen und können Irrtümer enthalten.

Die meisten Problemhinweise mit einem Tag bezeichnet. Genauere Beschreibungen und Hintergrundinformationen dazu können über die folgende Liste abgerufen werden. Tags bestehen aus zwei oder drei Teilen, die jeweils durch einen Punkt verbunden sind, beginnend mit der Kategorie:

Attack

Der betrefffende Rechner nimmt an DoS-Angriffen teil, versucht in Systeme einzudringen (Exploits, Brute Force-Angriffe) oder zeigt ein Verhalten, das einen bevorstehenden Angriff vermuten läßt.

Bot

Der betreffende Rechner nimmt an einem Botnet teil. Dieser Alarm wird zumeist durch die (versuchte) Kontaktaufnahme mit einem Command&Control-Servern ausgelöst.

Spam

Versand von Spam (Blacklisten, Spamtraps...) oder für Malware, die Spam oder infizierte Mail versendet. Auch bei gesperrtem SMTP-Port kann es zu Hinweisen aus dieser Kategorie kommen: Webmail, webbasierten Medien wie Blogs und Foren, Kontakt mit Command&Control-Servern.

Compromised

Sammelkategorie für unsichere Zustände eines Rechners, die nicht genauer mit einer der obigen Kategorien beschrieben werden können: Rechner ist von Malware befallen, ein Account ist gehackt worden, etc...

Phishing

Phishing-Webseiten oder anders in Phishing-Aktivitäten involvierte Adressen.

Vulnerability

Schwachstellen, soweit sie dem ACOnet-CERT durch Hinweise von außen oder durch eigene Tests bekannt werden. Die Kategorie Vulnerability kann und soll keineswegs Pentests oder Security-Scans ersetzen, vielmehr werden ausgewählte Problemfelder behandelt. Auf eine Klasse von Vulnerabilities, die UDP-basiert DoS-Angriffe ermöglichen, wird im Dokument Amplified UDP reflection attack näher eingegangen.

Die Tags