Erkennungsmerkmale von Bit Torrent und anderer P2P Software
Gibt es eine Liste von Erkennungsmerkmalen von Bit Torrent und anderer P2P Software zum Zwecke des Nachweises der Nutzung und zur identifizierung des Betroffenen Systems.
Hallo liebe Administratorengemeinschaft!
Ich habe den Auftrag in unserem Netzwerk, nachzuweisen das P2P Software benutzt worden ist und von welcher Workstation das geschah.
Wir haben die Moeglichkeit unserer Netzwerk nach folgenden Artefakten zu durchsuchen:
1.) Dateien/Ordner (auch geloeschte)
2.) Registrykeys
3.) MD 5 Hashes
4.) Life running Processes
Nun ist die Frage nach was wir denn nun suchen sollen. Jede P2P Software erstellt unterschiedliche Artefakte.
Gibt es irgendwo ein Verzeichniss solcher Merkmale?
Interessante waere auch eine Statistik ueber die beliebtesten P2P-Clients.
Ansonsten muss ich in den sauren Apfel beissen und jede Software selber analysieren muessen.
Ueber eine rege Diskussion wie man an das Thema heran gehen kann wuerde ich mich freuen!
Hallo liebe Administratorengemeinschaft!
Ich habe den Auftrag in unserem Netzwerk, nachzuweisen das P2P Software benutzt worden ist und von welcher Workstation das geschah.
Wir haben die Moeglichkeit unserer Netzwerk nach folgenden Artefakten zu durchsuchen:
1.) Dateien/Ordner (auch geloeschte)
2.) Registrykeys
3.) MD 5 Hashes
4.) Life running Processes
Nun ist die Frage nach was wir denn nun suchen sollen. Jede P2P Software erstellt unterschiedliche Artefakte.
Gibt es irgendwo ein Verzeichniss solcher Merkmale?
Interessante waere auch eine Statistik ueber die beliebtesten P2P-Clients.
Ansonsten muss ich in den sauren Apfel beissen und jede Software selber analysieren muessen.
Ueber eine rege Diskussion wie man an das Thema heran gehen kann wuerde ich mich freuen!
Bitte markiere auch die Kommentare, die zur Lösung des Beitrags beigetragen haben
Content-ID: 97199
Url: https://administrator.de/contentid/97199
Ausgedruckt am: 13.11.2024 um 06:11 Uhr
11 Kommentare
Neuester Kommentar
Warum snifferst du nicht mit einem Wireshark oder MS-Net-Monitor den Traffic am Routerport mit ??
Mit einem entsprechenden Paket Filter auf die P2P TCP und UDP Ports:
http://www.securityfocus.com/infocus/1843
kannst du die Schuldigen ja anhand ihrer IP und MAC Adresse sofort in flagranti dingfest machen und ersparst dir die Frickelei das ganze Netzwerk in allen Ecken nach irgendwelchen Resten und Fragmenten zu durchsuchen. Ob du dann noch Benutzer dazu dingfest machen kannst steht auf einem ganz anderen Blatt Papier !
Pfiffige User nutzen oder so eine Boot CD und einen USB Stick und da wollen wir dich dann mal sehen was du dann findest mit deinen Suchprogrammen..
Der Sniffer findet sie trotzdem und das mit Uhrzeit und Datum
Mit einem entsprechenden Paket Filter auf die P2P TCP und UDP Ports:
http://www.securityfocus.com/infocus/1843
kannst du die Schuldigen ja anhand ihrer IP und MAC Adresse sofort in flagranti dingfest machen und ersparst dir die Frickelei das ganze Netzwerk in allen Ecken nach irgendwelchen Resten und Fragmenten zu durchsuchen. Ob du dann noch Benutzer dazu dingfest machen kannst steht auf einem ganz anderen Blatt Papier !
Pfiffige User nutzen oder so eine Boot CD und einen USB Stick und da wollen wir dich dann mal sehen was du dann findest mit deinen Suchprogrammen..
Der Sniffer findet sie trotzdem und das mit Uhrzeit und Datum
Moinsen...
Ich versteh nur eins nich, warum ist ein User, der P2P Software benutzt ein Mensch der etwas falsch macht ? Dann bin ich ein ganz ein schlechter Mensch da ich es täglich benutze, bei Videostreams, beim Versuch irre wahnwitzige Images von Linux Distributionen zu saugen usw...
Das Benutzen von P2P Software sollte man endlich mal respektieren und den Sinn sehen für was es eigendlich erstmal erfunden wurde... Doch weil sich alzugern Admins darin versuchen P2P sachen zu blocken... ob nun mit nem application filter oder nem port block... die Vorteile sperrt man damit genauso aus wie die Nachteile.
so, das war mein senf dazu
gruss
chris
Ich versteh nur eins nich, warum ist ein User, der P2P Software benutzt ein Mensch der etwas falsch macht ? Dann bin ich ein ganz ein schlechter Mensch da ich es täglich benutze, bei Videostreams, beim Versuch irre wahnwitzige Images von Linux Distributionen zu saugen usw...
Das Benutzen von P2P Software sollte man endlich mal respektieren und den Sinn sehen für was es eigendlich erstmal erfunden wurde... Doch weil sich alzugern Admins darin versuchen P2P sachen zu blocken... ob nun mit nem application filter oder nem port block... die Vorteile sperrt man damit genauso aus wie die Nachteile.
so, das war mein senf dazu
gruss
chris
nur wer muss auf arbeit denn rießige linux images oder video streams ziehen? ausser admins?
Da wäre aber nicht nur nach P2P Software zu suchen. Dann solltest du auch malschauen ob die User so Seiten aufrufen die zum Datei austausch gedacht sind, wie z.B. Rapidshare. Da findest du dann garkeine Softwarespuren auf dem PC da das normale Internet Seiten sind und normale Downloads die da stattfinden. Du müsstest dann also schon Downloads ansich sperren...
Du kannst auf den Rechnern im "Dokumente und Einstellungen"-Ordner suchen, da verewigen sich i.d. Regel auch noch einige Sachen...
Lonesome Walker
Lonesome Walker
Hi Gagarin.
Wenn ich dich richtig verstanden habe, schreibt ihr das Wort Sicherheit doch recht groß in eurem Unternehmen. Von daher gehe ich jetzt einfach mal davon aus, das kein normaler User auf seinem Rechner Administratorrechte hat. Das wäre angesichts eurer sonstigen Einschränkungen (eingeschränkte USB Sticks, etc) auch sehr schlampig.
Wenn man von dieser Tatsache ausgeht, ist eine Installation eines P2P Programmes von einem normalen Benutzer auch gar nicht möglich.
Als Möglichkeit bleiben hier also erst einmal nur portable Programme übrig (oder gibt es auch browserbasierte P2P Clients?).
Eine einfache .exe-Datei bekommt man trotz Filter ohne Probleme in die Firma. Gib der Datei eine andere Endung (z.B. .doc), schicke sie an deine berufliche Email und ändere den Dateityp lokal wieder auf .exe um. Schon hast du dein portables Programm auf deinem Arbeitsrechner.
Falls es bei euch in diesem Zuge erlaubt ist die Emails des Benutzers anzuschauen (hier muss die Datenschutzregelung eures Unternehmens beachtet werden), suche nach einer entsprechenden Email, die von einer privaten Emailadresse zur beruflichen des Users geschickt wurde und einen Anhang enthält.
Ansonsten bleibt dir wohl nur die Möglichkeit übrig, nach gelöschten Dateien im Papierkorb oder sonst wo auf dem Rechner zu suchen. Ein Filter nach .exe sollte hier schon helfen, sich durch eine eventuelle Flut von gelöschten Dateien hindurch zu arbeiten.
Wenn ich dich richtig verstanden habe, schreibt ihr das Wort Sicherheit doch recht groß in eurem Unternehmen. Von daher gehe ich jetzt einfach mal davon aus, das kein normaler User auf seinem Rechner Administratorrechte hat. Das wäre angesichts eurer sonstigen Einschränkungen (eingeschränkte USB Sticks, etc) auch sehr schlampig.
Wenn man von dieser Tatsache ausgeht, ist eine Installation eines P2P Programmes von einem normalen Benutzer auch gar nicht möglich.
Als Möglichkeit bleiben hier also erst einmal nur portable Programme übrig (oder gibt es auch browserbasierte P2P Clients?).
Eine einfache .exe-Datei bekommt man trotz Filter ohne Probleme in die Firma. Gib der Datei eine andere Endung (z.B. .doc), schicke sie an deine berufliche Email und ändere den Dateityp lokal wieder auf .exe um. Schon hast du dein portables Programm auf deinem Arbeitsrechner.
Falls es bei euch in diesem Zuge erlaubt ist die Emails des Benutzers anzuschauen (hier muss die Datenschutzregelung eures Unternehmens beachtet werden), suche nach einer entsprechenden Email, die von einer privaten Emailadresse zur beruflichen des Users geschickt wurde und einen Anhang enthält.
Ansonsten bleibt dir wohl nur die Möglichkeit übrig, nach gelöschten Dateien im Papierkorb oder sonst wo auf dem Rechner zu suchen. Ein Filter nach .exe sollte hier schon helfen, sich durch eine eventuelle Flut von gelöschten Dateien hindurch zu arbeiten.
Okay...dann würde ich so vorgehen:
Du hast ja schon den Netzwerkverkehr gesnifft. Hier solltest du auch entsprechende Portangaben bekommen haben. Normalerweise kommuniziert jeder P2P Client, auf eigenen Ports, bzw jedes Protokoll.
Hiernach kannst du bereits eine Vorauswahl der zu suchenden Clients treffen.
Dann würde ich die Registry und innerhalb eines Recovery Programmes nach gelöschten Programmordnern unter C:\Programme suchen, die den entsprechenden Clients zugeordnet werden können.
Du hast ja schon den Netzwerkverkehr gesnifft. Hier solltest du auch entsprechende Portangaben bekommen haben. Normalerweise kommuniziert jeder P2P Client, auf eigenen Ports, bzw jedes Protokoll.
Hiernach kannst du bereits eine Vorauswahl der zu suchenden Clients treffen.
Dann würde ich die Registry und innerhalb eines Recovery Programmes nach gelöschten Programmordnern unter C:\Programme suchen, die den entsprechenden Clients zugeordnet werden können.