OpenVAS-Vulnerability-Analysis-Incident-Response-Report

Praxisnahe Simulation: Ausnutzung des FTP-Dienstes (ProFTPD CVE-2015-3306)

In realen Umgebungen entsprechen Schwachstellen nicht immer den Erwartungen.

Dieses Projekt demonstriert:

• Evidenzbasierte Analyse statt Annahmen
• Validierung von Scan-Ergebnissen mit manuellen Techniken
• Übersetzung technischer Erkenntnisse in geschäftliche Risiken
• Klare und professionelle Berichterstattung für Stakeholder

🖥️ Laborumgebung

🔍 Identifizierte Schwachstelle

CVE-2015-3306 – ProFTPD mod_copy Unauthenticated File Copy

📊 Details

• Dienst: FTP (ProFTPD)
• Port: 21/tcp
• Schweregrad: Kritisch
• Exploit-Typ: Unauthentifizierter Dateizugriff

⚠️ Auswirkungen

• Unbefugtes Kopieren von Dateien (z. B. /etc/passwd)
• Mögliche Datenoffenlegung
• Mögliche Eskalation zu Remotecodeausführung (RCE)

Erkennung & Validierung

OpenVAS-Erkennung

• Schwachstelle bestätigt durch mod_copy-Exploit-Test

• Dateikopierversuch ausgeführt:

  root@kitploit:~

  /etc/passwd → /tmp/passwd.copy
  

Manuelle Überprüfung

Ergebnis:

Bestätigt, dass das System ProFTPD und nicht vsftpd ausführt

Wichtige Erkenntnis (Kritisches Denken)

Obwohl das Labor die Erkennung der vsftpd-Backdoor erwartete, war diese nicht vorhanden.

Statt die Ergebnisse an die Erwartungen anzupassen, hat dieses Projekt:

• Den tatsächlich laufenden Dienst identifiziert
• Die tatsächlich vorhandene Schwachstelle untersucht
• Basierend auf Beweisen, nicht auf Annahmen berichtet

Dies spiegelt das Verhalten eines echten SOC-Analysten wider.

MITRE ATT&CK-Zuordnung

Eindämmungsmaßnahmen

• FTP-Zugriff eingeschränkt (Port 21)
• Firewall-Regeln angewendet, um unsichere Befehle zu blockieren
• Exposition auf internes Netzwerk beschränkt
• Protokollüberwachung auf verdächtige Aktivitäten eingeleitet

Behebung

• Verwundbares mod_copy-Modul deaktiviert
• ProFTPD aktualisiert/gepatcht
• FTP durch sichere Alternative (SFTP) ersetzt
• Authentifizierungskontrollen erzwungen
• System erneut gescannt, um die Behebung zu validieren

Erkenntnisse

• Niemals auf erwartete Schwachstellen verlassen – alles validieren
• Dienstaufzählung ist vor der Analyse entscheidend
• Standard- oder falsch konfigurierte Dienste stellen ein großes Risiko dar
• Schwachstellenscans müssen mit manueller Validierung kombiniert werden

Empfehlungen

Taktisch

• Kritische Schwachstellen innerhalb von 72 Stunden patchen
• Unsichere Dienste wie FTP deaktivieren
• Unnötige externe Exposition einschränken

Strategisch

• Authentifizierte Schwachstellenscans implementieren
• SIEM (z. B. Splunk) für Überwachung integrieren
• Netzwerksegmentierung anwenden
• Schwachstellenmanagement-Lebenszyklus etablieren

Unterstützende Beweise

• OpenVAS-Scanergebnisse
• Netcat-Dienstüberprüfung
• CVE-Dokumentation (CVE-2015-3306)
• Erkennungs-OID: 1.3.6.1.4.1.25623.1.0.105254

Abschließender Gedanke

Dieses Projekt geht über die reine Werkzeugnutzung hinaus – es demonstriert die Fähigkeit:

Denke wie ein Analyst, validiere wie ein Ingenieur und kommuniziere wie ein Profi.

Nächste Schritte

• Splunk für Log-Korrelation integrieren
• Exploitation + Erkennungs-Workflow simulieren
• Zu vollständigem Threat-Hunting-Szenario ausbauen

Autor

Cybersicherheitsanalyst (in ständiger Weiterbildung) Schwerpunkt auf SOC-Betrieb, Bedrohungserkennung und Schwachstellenmanagement