SecureOps Lab - Live-Cybersicherheitsbewertung

Übersicht

Es wurde eine Live-Cybersicherheitsbewertung auf einem Linux-Server einer Universität durchgeführt. Während der Analyse wurden aktive Angriffsaktivitäten identifiziert, darunter Brute-Force-Authentifizierungsversuche und Exploit-Versuche gegen Log4Shell (CVE-2021-44228).

„Koordinierte IPs“ bezieht sich auf mehrere bösartige IP-Adressen, die aus demselben Subnetz stammen, was auf die Nutzung gemeinsamer Angriffsinfrastruktur oder automatisierter Angriffswerkzeuge hindeutet, die das System gleichzeitig angreifen.

---

Bedrohungsanalyse & Erkenntnisse

Brute-Force-Angriff

• 144 fehlgeschlagene SSH-Anmeldeversuche von einer einzelnen externen IP erkannt
• Die Musteranalyse zeigte schnelle Authentifizierungsversuche, die auf automatisiertes Credential Stuffing hindeuten

Log4Shell-Exploit-Versuche

• Bösartige Payloads in Protokollen identifiziert, die mit Exploit-Versuchen für CVE-2021-44228 übereinstimmen
• Die Quell-IP unterschied sich vom Brute-Force-Angreifer, stammte jedoch aus demselben Subnetz, was auf koordinierte Aktivität hindeutet

---

Tools & Technische Anwendung

Nmap

Verwendet für aktive Aufklärung und Aufzählung der Angriffsfläche:

• Offene Ports und exponierte Dienste identifiziert
• SSH-Dienstkonfiguration und potenzielle Einstiegspunkte erkannt
• Extern erreichbare Dienste hinsichtlich Risikoexposition bewertet

Lynis

Führte hostbasierte Sicherheitsprüfung durch:

• Systemhärtungswert generiert (anfänglich: 62)
• Fehlkonfigurationen bei Authentifizierung, Protokollierung und Dienstberechtigungen identifiziert
• Compliance-Lücken und Privilegienrisiken hervorgehoben

Benutzerdefinierte Bash-Skripte

Entwickelte Skripte zur Automatisierung der Sicherheitsüberwachung:

• journald-Protokolle auf fehlgeschlagene Authentifizierungsversuche geparst
• Angriffsmuster und verdächtige IP-Aktivitäten erkannt
• SOC-artige Alarmberichte für die Vorfalltransparenz erstellt

---

Risikobewertung (GRC-Ansatz)

Insgesamt wurden 12 Sicherheitsbefunde dokumentiert und kategorisiert:

• Hohes Risiko:
  • SSH-Root-Login aktiviert
  • Unbegrenzte Authentifizierungsversuche
• Mittleres Risiko:
  • Schwache Berechtigungsstrukturen für Konten
  • Unzureichende Protokollierung und Überwachungstransparenz
• Geringes Risiko:
  • Geringfügige Konfigurationsineffizienzen

Risikomethodik

• Schweregrad bewertet anhand:
  • CVE-Referenzen (z. B. CVE-2021-44228)
  • CVSS-Bewertungsstandards
  • Analyse von Wahrscheinlichkeit vs. Auswirkung

---

Behebungs- & Härtungsmaßnahmen

SSH-Härtung

• Root-Login deaktiviert (PermitRootLogin no)
• Authentifizierungsversuche begrenzt (MaxAuthTries 3)
• Angriffsfläche für Brute-Force reduziert

Identitäts- & Zugriffsverwaltung (IAM)

• Alle Benutzerkonten geprüft
• Überflüssige oder inaktive Konten entfernt
• Zugriffskontrollen nach dem Prinzip der geringsten Privilegien durchgesetzt

Verbesserungen der Systemüberwachung

• Verbesserte Protokolltransparenz durch journald-Analyse
• Automatisierte Alarmierung per Bash-Skripten implementiert

---

Ergebnisse

• 12 Sicherheitsrisiken identifiziert und dokumentiert
• Systemhärtungswert von 62 → 64 verbessert
• Angriffsfläche reduziert und aktive Bedrohungen entschärft
• Wiederholbare Sicherheitsüberwachungsworkflows etabliert

---

Repository-Inhalte

• threat_detection.sh → Erkennt Brute-Force- und verdächtige Anmeldeversuche
• iam_audit.sh → Prüft Benutzerberechtigungen und Zugriffskontrollen
• secureops_master_audit.sh → Vollständige Systemaudit-Automatisierung
• Vollständiger Auditbericht (.txt) → Detaillierte Befunde und Behebungsschritte

---

Autor

Jordan Dormann
CompTIA Security+