IoT-Appliances zu Hause überwachen und absichern (Seite 3)

Zudem bietet der Hersteller die für OpenVAS benötigten Komponenten in Form von handlichen Docker-Containern an, auch für den Raspberry Pi. In seiner Dokumentation erläutert Greenbone, wie Sie die Community-Edition von OpenVAS auf einem Raspberry Pi in Container-Form schnell zum Laufen bekommen. Dieser Weg sei hier ausdrücklich empfohlen, denn mehr als einen Raspberry Pi und das passende Docker-Compose-File benötigen Sie für diese Art des Deployments nicht [1].

OpenVAS umfasst im Hintergrund etliche Komponenten, die nur im Zusammenspiel sinnvolle Ergebnisse liefern. Mittels der Docker-Compose-Option lassen diese sich allesamt gleichzeitig und ideal aufeinander abgestimmt ausrollen. Die Alternative hierzu wäre die ebenfalls in der Dokumentation beschriebene Handarbeit. Die ist im Vergleich mit der Docker-Compose-Option aber unnötig komplex.

Haben Sie per Docker Compose alle Dienste auf dem Raspberry Pi an den Start gebracht, steht im nächsten Schritt bereits die Nutzung von dessen Dashboard auf dem Plan (Abbildung 3). Hierzu verbinden Sie sich per SSH mit dem Raspberry Pi und führen dann das Kommando aus Listing 1 aus – zumindest, wenn auf Ihrem PC eine grafische Oberfläche läuft. X11 steht sowohl für MacOS als auch für Windows zur Verfügung, und wer von einem Linux-Desktop aus auf OpenVAS zugreifen möchte, aktiviert in SSH einfach die Weiterleitung des X-Protokolls und ist im Rennen.

Abbildung 3: Nach dem ersten Deployment von OpenVAS von Greenbone sieht das Webinterface des Schwachstellenscanners noch leer aus. Quelle: Greenbone

$ xdg-open "http://127.0.0.1:9392" 2>/dev/null >/dev/null &

Der Greenbone Security Assistant gibt sich im weiteren Verlauf sehr benutzerfreundlich. Am oberen Bildschirmrand finden sich diverse Schalter für zentrale Aufgaben. Der wichtigste davon dürfte Scans sein: Hier definieren Sie nur noch das Netz, das OpenVAS durchkämmen soll, und schon geht es los. Der Scanner findet zuverlässig auf Linux oder ähnlichen Betriebssystemen basierte Geräte, deren diverse Signaturen in der Verwundbarkeitsdatenbank von CERT oder CVE einer konkreten Schwachstelle zugeordnet sind (Abbildung 4).

Abbildung 4: Nach den ersten Scans zeigt das Webinterface eine detaillierte Auswertung der lokalen Sicherheitslücken an, unter anderem für IoT-Geräte. Quelle: Greenbone

Über die Admin-Schnittstelle der Software lässt sich auch das Versenden von Benachrichtigungen aktivieren, denn der Greenbone Security Assistant kann bei entsprechender Konfiguration das lokale Netz periodisch durchsuchen und die Ergebnisse per E-Mail an den Admin verschicken.

Von einer laufenden Instanz des Greenbone Security Assistants profitiert übrigens nicht nur der IoT-Gerätezoo in einem Netzwerk. Selbstverständlich findet der Scanner auch offene Schwachstellen in normalen Systemen, also Desktop-Computern oder Laptops mit MacOS, Windows oder Linux. In Summe ist der Betrieb von OpenVAS in einem lokalen Netz jedenfalls ein echter Mehrwert in Sachen Sicherheit.

Aktive Angriffe erkennen

OpenVAS ist das ideale Werkzeug dafür, Schwachstellen zu erkennen und zu schließen, noch bevor sie ausgenutzt werden. Allerdings helfen Werkzeuge wie OpenVAS kaum noch weiter, wenn ein Angriff schon läuft. Hier kommt eine andere Art von Programm ins Spiel, das ebenfalls ohne größere Probleme zu Hause betrieben werden kann: ein sogenanntes Intrusion Detection System. Das bekannteste IDS der Open-Source-Szene dürfte Suricata sein, und tatsächlich finden sich im Netz mittlerweile auch etliche Suricata-Heuristik-Beschreibungen für Angriffe auf IoT-Geräte.

Folgerichtig sollten Sie die Fähigkeiten von Suricata und OpenVAS geschickt kombinieren: Falls OpenVAS als erste Bastion im Kampf gegen Angriffe scheitert, informiert Suricata Sie im besten Fall trotzdem über gerade stattfindende Angriffe. Es gibt eine Menge Anzeichen, die solch eine Attacke enttarnen können, etwa wenn das eigene Setup zu Hause plötzlich viel mehr Traffic produziert als noch vor Kurzem. Auch bestimmte Arten von Netzwerkverkehr sind verräterisch und geeignet, komplexe Angriffe aufzudecken.

Die gute Nachricht: Auch Suricata lässt sich als Anwendung in Form eines Containers mittlerweile problemlos auf dem Raspberry Pi nutzen. Jason Ish stellt hierfür eigene Container [2] zur Verfügung, deren Setup auf dem Raspberry Pi selbst im Prinzip ebenso funktioniert wie das von OpenVAS. Anders als OpenVAS kommt Suricata allerdings als einzelner Container daher, sodass Sie Docker Compose gar nicht benötigen. Es sei an dieser Stelle jedoch davon abgeraten, Suricata auf demselben RasPi zu betreiben wie OpenVAS: Dafür reichen die Ressourcen des Mini-Rechners schlicht nicht aus. Um beide Dienste zu nutzen, müssen Sie also zwei Mal für einen Raspberry Pi in die Tasche greifen, bekommen im Gegenzug aber auch ein deutlich sichereres Setup in den eigenen vier Wänden.

Wie Sie Suricata auf einem RasPi in Betrieb nehmen, können Sie online ausführlich nachlesen [3]. Die Anleitung bezieht sich zwar auf die lokal aus den Quellen übersetzte Version des Diensts, doch lassen sich die meisten Details wie die Konfigurationseinstellungen auch auf die Variante mit Docker-Containern übertragen. Zudem existieren im Netz etliche Seiten, die IoT-Heuristiken für Suricata anbieten. Diese Regelwerke versetzen die Anwendung überhaupt erst in die Lage, IoT-basierte Angriffe zu erkennen (Abbildung 5). Auch unter den ab Werk in Suricata eingestellten Quellen für Heuristiken finden sich schon einige IoT-Parameter.

Abbildung 5: Suricata erkennt keine vorhandenen Sicherheitslücken, sondern nutzt heuristische Betrachtungen, um laufende Angriffe aufzudecken. Quelle: Wikipedia / Linux Screenshots

Auf eine externe Abhängigkeit sei an dieser Stelle jedoch hingewiesen: Damit Suricata sinnvoll den Traffic innerhalb des gesamten eigenen Netzwerks überwachen kann, muss der Router eine sogenannte Mirror-Funktion bieten. Das bedeutet, dass er allen durchfließenden Datenverkehr auf einen Port am Gerät spiegelt, sodass es so aussieht, als flösse der gesamte Traffic durch diesen Port. Beherrscht der eigene Router diese Funktion nicht, fällt gegebenenfalls etwas Bastelei mit einem verwaltbaren Switch an – diese Geräte bieten das Mirror-Feature in aller Regel. Genauere Details dazu hängen aber stark vom lokalen Setup ab, sodass es bei dieser allgemeinen Beschreibung bleiben muss.

Fazit

Auch Heimanwender sind in Sachen Sicherheit nicht völlig der Willkür von Anbietern ausgeliefert. Starke Werkzeuge aus der Linux-Welt wie OpenVAS und Suricata helfen dabei, Angriffe im Keim zu ersticken oder sie zumindest zu erkennen, wenn sie bereits geschehen, sodass man noch reagieren kann. Darüber hinaus gelten auch im Kontext von IoT-Geräten die goldenen Standards der Internet-Sicherheit: Regelmäßige Updates, um Bugfixes zu bekommen, kluge Standardkonfigurationen von Geräten wie Routern und das Vermeiden von Standardzugangsdaten verursachen wenig Aufwand, sind aber hoch effektiv. Nutzer von IoT-Geräten tun gut daran, Regeln wie diese zu beherzigen – letztlich ist das der Preis, den man für den Komfort mancher IoT-Appliance zahlt. (jlu)