Test-Methodologien zur Aufdeckung von versteckten Schwachstellen

Dipl.-Ing. Siegfried Hollerer, BSc (Jg. 2014/2016)

Betreuer: Dipl.-Ing. Dr. Martin Pirker, Bakk.

Ausgangslage

Schwachstellen treten in allen Bereichen in der Informationstechnik auf. Eine Ausnutzung dieser Schwachstellen ermöglicht den unautorisierten Zugriff auf Daten und die Konfiguration von Geräten, beispielsweise von Routern oder Laptops. Neben dem unbeabsichtigten Auftreten von Schwachstellen durch Designfehler oder in der praktischen Implementierung von Software, werden Schwachstellen mitunter auch absichtlich platziert – sogenannte Backdoors. Eine Backdoor ermöglicht allen informierten Parteien unautorisierten Zugriff auf ein Gerät. Diese unautorisierten Zugriffe ermöglichen beispielsweise das Mitlesen von E-Mails, Einblick in verschlüsselte Verbindungen und Manipulationen an gespeicherten Log-Dateien.

Ziel

Diese Arbeit beschäftigt sich mit den Herausforderungen und Problemen in der Suche nach versteckten Schwachstellen in mehreren Punkten:

- bereits bekannte Ausnutzungen versteckter Schwachstellen

- übliche Methodologien zur Erkennung von Schwachstellen

- Sicherheits-Tools und deren Effektivität

Ergebnis

Eine Leistungsanalyse überprüft die Effektivität der Methodologien und Sicherheits-Tools bei der Erkennung von Backdoors. In einigen Fällen war die Nachstellung eines Szenarios möglich, wodurch die Effektivität der Sicherheits-Tools praktisch nachgewiesen werden konnte. Auf Basis der Ergebnisse dieser Analyse ist ein methodischer Ansatz zur Auffindbarkeit versteckter Schwachstellen entwickelt worden. Weiters werden Verbesserungsvorschläge für Tools und Testumgebungen aufgrund der durchgeführten Leistungsanalyse vorgestellt. Die Verbesserungsvorschläge befassen sich mit den Vor- und Nachteilen der untersuchten Methodologien und schlagen Kombinationen vor, um die Erkennungsrate von versteckten Schwachstellen zu erhöhen.

Ausblick

Als Ausblick für weiterführende Arbeiten ist die Umsetzung und Überprüfung des entwickelten methodischen Ansatzes denkbar. Ein weiteres Thema für weiterführende Arbeiten ist die Entwicklung von Tools und Testumgebungen unter Berücksichtigung der genannten Verbesserungsvorschläge.