Im letzten Jahr haben wir über Geräte geschrieben, die tippen, mithören und zuschauen. Hier folgt der praktische Teil: eine Routine, die alle mit einer Taschenlampe und einer Erlaubnis durchführen können, und die Signale aus dem Netz, die zeigen, was ein Rundgang nicht sieht.
Wissen, wie normal aussieht
Was nicht hingehört, erkennst du nur, wenn du weisst, was hingehört. Fotografiere vor dem ersten Rundgang die Standardausstattung eines Arbeitsplatzes, eines Sitzungszimmers und eines Netzwerkschranks. Notiere die Dockingstationen, Adapter und Kabel, die ihr tatsächlich abgebt. Geräte wie der Bash Bunny, der sich als vertrautes USB-Gerät wie Netzwerkadapter, Tastatur oder Speicher ausgeben kann, oder die LAN Turtle, die wie ein gewöhnlicher USB-Adapter aussieht, setzen darauf, dass niemand weiss, was dort sein sollte.
Am Arbeitsplatz
- Das Tastaturkabel von Ende zu Ende verfolgen. Sitzt etwas zwischen Tastatur und Computer?
- USB-Anschlüsse auf Sticks, Adapter und kurze Verlängerungen prüfen, die nicht von euch stammen.
- Das Netzwerkkabel verfolgen und auf eine kleine Box mit zwei Ethernet-Anschlüssen achten.
- Das Bildschirmkabel verfolgen und auf ein Inline-Gerät oder ein HDMI-Gerät mit USB-Strom achten.
In Sitzungszimmern und geteilten Bereichen
- Bodendosen öffnen und hinter den Bildschirm schauen. Das sind die Stellen, die am wenigsten Beachtung finden.
- Jede Netzwerkdose prüfen. Unbenutzte sollten am Switch abgeschaltet sein, also notieren, welche es nicht sind.
- Drucker, Telefone und Empfangscomputer nicht vergessen. Dort hängt oft ein unbewachtes Kabel, und niemand schaut hin.
In Netzwerkschränken
- Patchpanel und Switch mit der Dokumentation vergleichen.
- Nach Geräten ohne Beschriftung suchen sowie nach Netzteilen oder USB-Ladegeräten ohne erkennbaren Zweck.
- Prüfen, wer tatsächlich hineinkommt und ob das jemandem auffallen würde.
Die Signale im Netz
Ein Rundgang ist eine Momentaufnahme. Das Netz kann ständig hinschauen, und mehrere dieser Signale sind günstig:
- Neue MAC-Adressen und neue DHCP-Clients, besonders an Ports mit festem Zweck.
- Geänderte Linkgeschwindigkeiten. Ein Gigabit-Arbeitsplatz, der nun mit 100 Mbit läuft, ist einen Blick wert.
- Ports, die kurz ausfallen. Wer etwas inline einsetzt, muss das Kabel ausstecken.
- Ungewöhnlicher ausgehender Verkehr. Cloud C² wird selbst betrieben, es gibt also keine einzelne Adresse zum Sperren. Achte stattdessen auf Geräte mit langlebigen Verbindungen zu unbekannten Zielen und schränke ausgehenden Verkehr standardmässig ein.
- Unbekannte WLAN-Netze und Clients in der Nähe heikler Räume, auf allen drei Bändern.
Wenn du etwas findest
Nicht einfach ausstecken. Fotografiere es an Ort und Stelle, notiere Zeit und Ort und ruf deine Ansprechperson für Sicherheit an. Es kann ein Gerät aus einem bewilligten Test sein oder etwas, das jemand mitgebracht hat, aber auch ein Beweisstück. Sein Vorhandensein zeigt zudem, dass jemand Zugang hatte, und das ist der wichtigere Befund.
Solche Kontrollen sollten schriftlich bewilligt sein, und das gilt erst recht für eigene Tests mit solchen Geräten. In der Schweiz stellt Artikel 143bis des Strafgesetzbuchs das unbefugte Eindringen in Datenverarbeitungssysteme unter Strafe. Hol dir die Erlaubnis also zuerst und schriftlich.
Fragen zu deiner eigenen Umgebung? Pentesting und Beratung →