Embed Size (px)
Citation preview
![Page 1: Android in SIEM-Umgebungen · CVE2015-3825-„OneClassToRuleThemAll“[4] 4/19. Androidin SIEM-Umgebungen MarkusSchölzel schoelzel@mailbox.org Motivation F&E-Projekte TNC/IF-MAP](https://reader034.pdfslide.org/reader034/viewer/2022042910/5f3fa700733fa8185478baad/html5/thumbnails/1.jpg)
Android in SIEM-UmgebungenEinbindung des freien Betriebssystems für
mobile Geräte in SIEM-Umgebungen
Markus Schölzel1 Evren Eren1 Kai-Oliver Detken2
1Fachhochschule Dortmund, EFS 42, 44227 [email protected], [email protected] GmbH, Fahrenheitstraße 9, 28359 Bremen
D·A·CH Security 2015
![Page 2: Android in SIEM-Umgebungen · CVE2015-3825-„OneClassToRuleThemAll“[4] 4/19. Androidin SIEM-Umgebungen MarkusSchölzel schoelzel@mailbox.org Motivation F&E-Projekte TNC/IF-MAP](https://reader034.pdfslide.org/reader034/viewer/2022042910/5f3fa700733fa8185478baad/html5/thumbnails/2.jpg)
Android inSIEM-Umgebungen
Markus Schö[email protected]
Motivation
F&E-Projekte
TNC/IF-MAP
AndroidFragmentierungDatenerhebungMonitoring
DECOmap forAndroid
Herausforderungenund Ausblick
Übersicht
1. Motivation2. F&E-Projekte3. TNC/IF-MAP4. Android
DatenerhebungMonitoring
5. DECOmap for Android6. Herausforderungen und Ausblick
2 / 19
![Page 3: Android in SIEM-Umgebungen · CVE2015-3825-„OneClassToRuleThemAll“[4] 4/19. Androidin SIEM-Umgebungen MarkusSchölzel schoelzel@mailbox.org Motivation F&E-Projekte TNC/IF-MAP](https://reader034.pdfslide.org/reader034/viewer/2022042910/5f3fa700733fa8185478baad/html5/thumbnails/3.jpg)
Android inSIEM-Umgebungen
Markus Schö[email protected]
Motivation
F&E-Projekte
TNC/IF-MAP
AndroidFragmentierungDatenerhebungMonitoring
DECOmap forAndroid
Herausforderungenund Ausblick
BYODResearch: 74 percent using or adopting BYOD [1]Tech Pro Research’s latest survey shows that the Bring Your OwnDevice movement is booming, with 74 percent of organizations eitheralready using or planning to allow employees to bring their owndevices to work.
BYOD will drive Android into the enterprise despite securityconcerns [2]The bring your own device (BYOD) movement [...] will continue to growdespite security risk, according to Ernst & Young.
Studie: „Bring Your Own Device“ zwar ratsam, oft aber nochschädlich [3]Bereits 29 Prozent aller deutschen Unternehmen mit mehr als 1000Mitarbeitern haben geschäftskritische Daten verloren, nachdem sieMitarbeitern den Einsatz privater Geräte im Firmennetz gestattethaben.
3 / 19
![Page 4: Android in SIEM-Umgebungen · CVE2015-3825-„OneClassToRuleThemAll“[4] 4/19. Androidin SIEM-Umgebungen MarkusSchölzel schoelzel@mailbox.org Motivation F&E-Projekte TNC/IF-MAP](https://reader034.pdfslide.org/reader034/viewer/2022042910/5f3fa700733fa8185478baad/html5/thumbnails/4.jpg)
Android inSIEM-Umgebungen
Markus Schö[email protected]
Motivation
F&E-Projekte
TNC/IF-MAP
AndroidFragmentierungDatenerhebungMonitoring
DECOmap forAndroid
Herausforderungenund Ausblick
BYODResearch: 74 percent using or adopting BYOD [1]Tech Pro Research’s latest survey shows that the Bring Your OwnDevice movement is booming, with 74 percent of organizations eitheralready using or planning to allow employees to bring their owndevices to work.
BYOD will drive Android into the enterprise despite securityconcerns [2]The bring your own device (BYOD) movement [...] will continue to growdespite security risk, according to Ernst & Young.
Studie: „Bring Your Own Device“ zwar ratsam, oft aber nochschädlich [3]Bereits 29 Prozent aller deutschen Unternehmen mit mehr als 1000Mitarbeitern haben geschäftskritische Daten verloren, nachdem sieMitarbeitern den Einsatz privater Geräte im Firmennetz gestattethaben.
3 / 19
![Page 5: Android in SIEM-Umgebungen · CVE2015-3825-„OneClassToRuleThemAll“[4] 4/19. Androidin SIEM-Umgebungen MarkusSchölzel schoelzel@mailbox.org Motivation F&E-Projekte TNC/IF-MAP](https://reader034.pdfslide.org/reader034/viewer/2022042910/5f3fa700733fa8185478baad/html5/thumbnails/5.jpg)
Android inSIEM-Umgebungen
Markus Schö[email protected]
Motivation
F&E-Projekte
TNC/IF-MAP
AndroidFragmentierungDatenerhebungMonitoring
DECOmap forAndroid
Herausforderungenund Ausblick
Android SecuritySamsung Swiftkey
CVE-2015-4640 - Insufficient Verification of Data Authenticity
Stagefright (Android 2.2 bis 5.1.1)
CVE-2015-1538 - MP4 Atom Integer Overflow Remote Code ExecutionCVE-2015-1539 - MP4 Atom Integer Overflow Remote Code ExecutionCVE-2015-3824 - MP4 Atom Integer Overflow Remote Code ExecutionCVE-2015-3826 - 3GPP Metadata Buffer OverreadCVE-2015-3827 - MP4 Atom Integer Underflow Remote Code ExecutionCVE-2015-3828 - 3GPP Integer Underflow Remote Code ExecutionCVE-2015-3829 - MP4 Atom Integer Overflow Remote Code Execution
OpenSSLX509Certificate (Android 4.3 bis 5.1.1)
CVE2015-3825 - „One Class To Rule Them All“ [4]
4 / 19
![Page 6: Android in SIEM-Umgebungen · CVE2015-3825-„OneClassToRuleThemAll“[4] 4/19. Androidin SIEM-Umgebungen MarkusSchölzel schoelzel@mailbox.org Motivation F&E-Projekte TNC/IF-MAP](https://reader034.pdfslide.org/reader034/viewer/2022042910/5f3fa700733fa8185478baad/html5/thumbnails/6.jpg)
Android inSIEM-Umgebungen
Markus Schö[email protected]
Motivation
F&E-Projekte
TNC/IF-MAP
AndroidFragmentierungDatenerhebungMonitoring
DECOmap forAndroid
Herausforderungenund Ausblick
F&E-Projekte (SIEM-Systeme)
iMonitor: intelligentes Monitoring durch KI-Ereignisverarbeitung [5]
Forschungs- und Entwicklungsprojekt der DECOIT GmbH, demTechnologie-Zentrum Informatik und Informationstechnik (TZI)der Universität Bremen und neusta software development.
SIMU: Security Information and Event Management (SIEM) für Klein-und Mittelständische Unternehmen (KMU) [6]
Entwicklung eines SIEM-artigen Systems zur signifikanten, mitgeringem Aufwand erzielbaren Verbesserung der IT-Sicherheitund von Kontrollmöglichkeiten in einemUnternehmensnetzwerk.
5 / 19
![Page 7: Android in SIEM-Umgebungen · CVE2015-3825-„OneClassToRuleThemAll“[4] 4/19. Androidin SIEM-Umgebungen MarkusSchölzel schoelzel@mailbox.org Motivation F&E-Projekte TNC/IF-MAP](https://reader034.pdfslide.org/reader034/viewer/2022042910/5f3fa700733fa8185478baad/html5/thumbnails/7.jpg)
Android inSIEM-Umgebungen
Markus Schö[email protected]
Motivation
F&E-Projekte
TNC/IF-MAP
AndroidFragmentierungDatenerhebungMonitoring
DECOmap forAndroid
Herausforderungenund Ausblick
F&E-Projekte (SIEM-Systeme)
iMonitor: intelligentes Monitoring durch KI-Ereignisverarbeitung [5]
Forschungs- und Entwicklungsprojekt der DECOIT GmbH, demTechnologie-Zentrum Informatik und Informationstechnik (TZI)der Universität Bremen und neusta software development.
SIMU: Security Information and Event Management (SIEM) für Klein-und Mittelständische Unternehmen (KMU) [6]
Entwicklung eines SIEM-artigen Systems zur signifikanten, mitgeringem Aufwand erzielbaren Verbesserung der IT-Sicherheitund von Kontrollmöglichkeiten in einemUnternehmensnetzwerk.
5 / 19
![Page 8: Android in SIEM-Umgebungen · CVE2015-3825-„OneClassToRuleThemAll“[4] 4/19. Androidin SIEM-Umgebungen MarkusSchölzel schoelzel@mailbox.org Motivation F&E-Projekte TNC/IF-MAP](https://reader034.pdfslide.org/reader034/viewer/2022042910/5f3fa700733fa8185478baad/html5/thumbnails/8.jpg)
Android inSIEM-Umgebungen
Markus Schö[email protected]
Motivation
F&E-Projekte
TNC/IF-MAP
AndroidFragmentierungDatenerhebungMonitoring
DECOmap forAndroid
Herausforderungenund Ausblick
TNC/IF-MAP
▶ Trusted Network Connect: offene NAC-Architekturder Trusted Computing Group [7]
▶ Basiert auf IEEE 802.1x (AR, PEP und PDP)▶ IF-MAP-Clients und MAP-Server(Verzicht auf hardwarebasierte Komponenten)
▶ IF-MAP: Protokoll zum Austausch von Metadaten [8]▶ MAP-Graph: Identifier, Links, Metadata
6 / 19
![Page 9: Android in SIEM-Umgebungen · CVE2015-3825-„OneClassToRuleThemAll“[4] 4/19. Androidin SIEM-Umgebungen MarkusSchölzel schoelzel@mailbox.org Motivation F&E-Projekte TNC/IF-MAP](https://reader034.pdfslide.org/reader034/viewer/2022042910/5f3fa700733fa8185478baad/html5/thumbnails/9.jpg)
Android inSIEM-Umgebungen
Markus Schö[email protected]
Motivation
F&E-Projekte
TNC/IF-MAP
AndroidFragmentierungDatenerhebungMonitoring
DECOmap forAndroid
Herausforderungenund Ausblick
TNC/IF-MAP
▶ Trusted Network Connect: offene NAC-Architekturder Trusted Computing Group [7]
▶ Basiert auf IEEE 802.1x (AR, PEP und PDP)
▶ IF-MAP-Clients und MAP-Server(Verzicht auf hardwarebasierte Komponenten)
▶ IF-MAP: Protokoll zum Austausch von Metadaten [8]▶ MAP-Graph: Identifier, Links, Metadata
6 / 19
![Page 10: Android in SIEM-Umgebungen · CVE2015-3825-„OneClassToRuleThemAll“[4] 4/19. Androidin SIEM-Umgebungen MarkusSchölzel schoelzel@mailbox.org Motivation F&E-Projekte TNC/IF-MAP](https://reader034.pdfslide.org/reader034/viewer/2022042910/5f3fa700733fa8185478baad/html5/thumbnails/10.jpg)
Android inSIEM-Umgebungen
Markus Schö[email protected]
Motivation
F&E-Projekte
TNC/IF-MAP
AndroidFragmentierungDatenerhebungMonitoring
DECOmap forAndroid
Herausforderungenund Ausblick
TNC/IF-MAP
▶ Trusted Network Connect: offene NAC-Architekturder Trusted Computing Group [7]
▶ Basiert auf IEEE 802.1x (AR, PEP und PDP)▶ IF-MAP-Clients und MAP-Server(Verzicht auf hardwarebasierte Komponenten)
▶ IF-MAP: Protokoll zum Austausch von Metadaten [8]▶ MAP-Graph: Identifier, Links, Metadata
6 / 19
![Page 11: Android in SIEM-Umgebungen · CVE2015-3825-„OneClassToRuleThemAll“[4] 4/19. Androidin SIEM-Umgebungen MarkusSchölzel schoelzel@mailbox.org Motivation F&E-Projekte TNC/IF-MAP](https://reader034.pdfslide.org/reader034/viewer/2022042910/5f3fa700733fa8185478baad/html5/thumbnails/11.jpg)
Android inSIEM-Umgebungen
Markus Schö[email protected]
Motivation
F&E-Projekte
TNC/IF-MAP
AndroidFragmentierungDatenerhebungMonitoring
DECOmap forAndroid
Herausforderungenund Ausblick
TNC/IF-MAP
▶ Trusted Network Connect: offene NAC-Architekturder Trusted Computing Group [7]
▶ Basiert auf IEEE 802.1x (AR, PEP und PDP)▶ IF-MAP-Clients und MAP-Server(Verzicht auf hardwarebasierte Komponenten)
▶ IF-MAP: Protokoll zum Austausch von Metadaten [8]▶ MAP-Graph: Identifier, Links, Metadata
6 / 19
![Page 12: Android in SIEM-Umgebungen · CVE2015-3825-„OneClassToRuleThemAll“[4] 4/19. Androidin SIEM-Umgebungen MarkusSchölzel schoelzel@mailbox.org Motivation F&E-Projekte TNC/IF-MAP](https://reader034.pdfslide.org/reader034/viewer/2022042910/5f3fa700733fa8185478baad/html5/thumbnails/12.jpg)
Android: Fragmentierung (Hersteller)
Android Fragmentation Visualized: Hersteller [9]
![Page 13: Android in SIEM-Umgebungen · CVE2015-3825-„OneClassToRuleThemAll“[4] 4/19. Androidin SIEM-Umgebungen MarkusSchölzel schoelzel@mailbox.org Motivation F&E-Projekte TNC/IF-MAP](https://reader034.pdfslide.org/reader034/viewer/2022042910/5f3fa700733fa8185478baad/html5/thumbnails/13.jpg)
Android: Fragmentierung (Modelle)
Android Fragmentation Visualized: Modelle [9]
![Page 14: Android in SIEM-Umgebungen · CVE2015-3825-„OneClassToRuleThemAll“[4] 4/19. Androidin SIEM-Umgebungen MarkusSchölzel schoelzel@mailbox.org Motivation F&E-Projekte TNC/IF-MAP](https://reader034.pdfslide.org/reader034/viewer/2022042910/5f3fa700733fa8185478baad/html5/thumbnails/14.jpg)
Android inSIEM-Umgebungen
Markus Schö[email protected]
Motivation
F&E-Projekte
TNC/IF-MAP
AndroidFragmentierungDatenerhebungMonitoring
DECOmap forAndroid
Herausforderungenund Ausblick
Datenerhebung
▶ IMEI (IMSI, MAC, …)▶ Plattform: Firmware-, Kernel-Version, Buildnumber,Baseband
▶ Hardware: Mikrofon, Bluetooth, GPS▶ Zustand: Load, Traffic, Prozesse▶ Apps: Version und Berechtigungen
9 / 19
![Page 15: Android in SIEM-Umgebungen · CVE2015-3825-„OneClassToRuleThemAll“[4] 4/19. Androidin SIEM-Umgebungen MarkusSchölzel schoelzel@mailbox.org Motivation F&E-Projekte TNC/IF-MAP](https://reader034.pdfslide.org/reader034/viewer/2022042910/5f3fa700733fa8185478baad/html5/thumbnails/15.jpg)
SIMU: MAP-Graph
Android-Daten innerhalb eines IF-MAP-Graphen (Rendering: irongui)
![Page 16: Android in SIEM-Umgebungen · CVE2015-3825-„OneClassToRuleThemAll“[4] 4/19. Androidin SIEM-Umgebungen MarkusSchölzel schoelzel@mailbox.org Motivation F&E-Projekte TNC/IF-MAP](https://reader034.pdfslide.org/reader034/viewer/2022042910/5f3fa700733fa8185478baad/html5/thumbnails/16.jpg)
SIMU: MAP-Graph
Android-Daten innerhalb eines IF-MAP-Graphen (Rendering: irongui)
![Page 17: Android in SIEM-Umgebungen · CVE2015-3825-„OneClassToRuleThemAll“[4] 4/19. Androidin SIEM-Umgebungen MarkusSchölzel schoelzel@mailbox.org Motivation F&E-Projekte TNC/IF-MAP](https://reader034.pdfslide.org/reader034/viewer/2022042910/5f3fa700733fa8185478baad/html5/thumbnails/17.jpg)
Android inSIEM-Umgebungen
Markus Schö[email protected]
Motivation
F&E-Projekte
TNC/IF-MAP
AndroidFragmentierungDatenerhebungMonitoring
DECOmap forAndroid
Herausforderungenund Ausblick
iMonitor: InfoEvent{
"timestamp": "<TIMESTAMP>","type": "Android","ipsrc": "<IP-ADDRESS>","class": "info","message": "Android device information
for <IP-ADDRESS>","data": {
"macaddress": "<MAC-ADDRESS>","imei": "<IMEI>","imsi": "<IMSI>","kernel": "<KERNEL-VERSION>","firmware": "<FIRMWARE-VERSION>","root": <ROOT-STATE>,"selinux": "<SELINUX-MODE>","baseband": "<BASEBAND-VERSION>","build": "<BUILD-NUMBER>","brand": "<BRANDING>","manufacturer": "<MANUFACTURER>","cellnumber": "<CELL-NUMBER>"
}}
12 / 19
![Page 18: Android in SIEM-Umgebungen · CVE2015-3825-„OneClassToRuleThemAll“[4] 4/19. Androidin SIEM-Umgebungen MarkusSchölzel schoelzel@mailbox.org Motivation F&E-Projekte TNC/IF-MAP](https://reader034.pdfslide.org/reader034/viewer/2022042910/5f3fa700733fa8185478baad/html5/thumbnails/18.jpg)
Android inSIEM-Umgebungen
Markus Schö[email protected]
Motivation
F&E-Projekte
TNC/IF-MAP
AndroidFragmentierungDatenerhebungMonitoring
DECOmap forAndroid
Herausforderungenund Ausblick
iMonitor: MonitorEvent{
"timestamp": "<TIMESTAMP>","type": "Android","ipsrc": "<IP-ADDRESS>","class": "monitor","message": "Android monitoring information
for <IP-ADDRESS>","data": {
"trafficin": "<INBOUND-TRAFFIC>","trafficout": "<OUTBOUND-TRAFFIC>","cpuload": "<CPU-LOAD>","mem": "<MEMORY-USAGE>","processcount": <PROCESS-COUNT>,"processdetail": [{
"pid": <PROCESS-ID>,"name": "<PROCESS-NAME>","uid": <PROCESS-UID>,"mem": "<PROCESS-MEMORY>"
}]
}}
13 / 19
![Page 19: Android in SIEM-Umgebungen · CVE2015-3825-„OneClassToRuleThemAll“[4] 4/19. Androidin SIEM-Umgebungen MarkusSchölzel schoelzel@mailbox.org Motivation F&E-Projekte TNC/IF-MAP](https://reader034.pdfslide.org/reader034/viewer/2022042910/5f3fa700733fa8185478baad/html5/thumbnails/19.jpg)
Android inSIEM-Umgebungen
Markus Schö[email protected]
Motivation
F&E-Projekte
TNC/IF-MAP
AndroidFragmentierungDatenerhebungMonitoring
DECOmap forAndroid
Herausforderungenund Ausblick
iMonitor: AppEvent
{"timestamp": "<TIMESTAMP>","type": "Android","ipsrc": "<IP-ADDRESS>","class": "apps","message": "Android application information
for <IP-ADDRESS>","data": {
"name": "<APP-NAME>","label": "<APP-LABEL>","version": "<APP-VERSION>","running": <RUN-STATE>,"installTime": <INSTALL-TIME>,"updateTime": <UPDATE-TIME>,"permissions": ["<PERMISSION>"]
}}
14 / 19
![Page 20: Android in SIEM-Umgebungen · CVE2015-3825-„OneClassToRuleThemAll“[4] 4/19. Androidin SIEM-Umgebungen MarkusSchölzel schoelzel@mailbox.org Motivation F&E-Projekte TNC/IF-MAP](https://reader034.pdfslide.org/reader034/viewer/2022042910/5f3fa700733fa8185478baad/html5/thumbnails/20.jpg)
Android inSIEM-Umgebungen
Markus Schö[email protected]
Motivation
F&E-Projekte
TNC/IF-MAP
AndroidFragmentierungDatenerhebungMonitoring
DECOmap forAndroid
Herausforderungenund Ausblick
DECOmap for Android
DECOmap for Android (Screenshots)
https://github.com/decoit/Android-IF-MAP-Client
15 / 19
![Page 21: Android in SIEM-Umgebungen · CVE2015-3825-„OneClassToRuleThemAll“[4] 4/19. Androidin SIEM-Umgebungen MarkusSchölzel schoelzel@mailbox.org Motivation F&E-Projekte TNC/IF-MAP](https://reader034.pdfslide.org/reader034/viewer/2022042910/5f3fa700733fa8185478baad/html5/thumbnails/21.jpg)
Android inSIEM-Umgebungen
Markus Schö[email protected]
Motivation
F&E-Projekte
TNC/IF-MAP
AndroidFragmentierungDatenerhebungMonitoring
DECOmap forAndroid
Herausforderungenund Ausblick
Herausforderungen
▶ Schnittstellen in SIEM-Systemen▶ Datenerhebung▶ Auswertung und Bewertung von Daten▶ Integrität: TPM, SecureBoot
16 / 19
![Page 22: Android in SIEM-Umgebungen · CVE2015-3825-„OneClassToRuleThemAll“[4] 4/19. Androidin SIEM-Umgebungen MarkusSchölzel schoelzel@mailbox.org Motivation F&E-Projekte TNC/IF-MAP](https://reader034.pdfslide.org/reader034/viewer/2022042910/5f3fa700733fa8185478baad/html5/thumbnails/22.jpg)
Android inSIEM-Umgebungen
Markus Schö[email protected]
Motivation
F&E-Projekte
TNC/IF-MAP
AndroidFragmentierungDatenerhebungMonitoring
DECOmap forAndroid
Herausforderungenund Ausblick
Ausblick
Erweiterung des Konzepts auf weitere Plattformen:▶ iOS▶ Windows Phone▶ Blackberry▶ andere
Integration mobiler Geräte in weiteren SIEM-Systemen
17 / 19
![Page 24: Android in SIEM-Umgebungen · CVE2015-3825-„OneClassToRuleThemAll“[4] 4/19. Androidin SIEM-Umgebungen MarkusSchölzel schoelzel@mailbox.org Motivation F&E-Projekte TNC/IF-MAP](https://reader034.pdfslide.org/reader034/viewer/2022042910/5f3fa700733fa8185478baad/html5/thumbnails/24.jpg)
Quellen[1] http://www.zdnet.com/article/research-74-percent-using-or-adopting-byod/ (letzter Abruf: 19.08.2015)[2] http://www.v3.co.uk/2396457 (letzter Abruf: 19.08.2015)[3] http://heise.de/-2035084 (letzter Abruf: 19.08.2015)[4] One Class to Rule Them All: 0-Day Deserialization Vulnerabilities in Android.
In 9th USENIX Workshop on Offensive Technologies (WOOT 15), Aug. 2015[5] http://www.imonitor-project.de (letzter Abruf: 19.08.2015)[6] http://simu-project.de (letzter Abruf: 19.08.2015)[7] TCG Trusted Network Connect. TNC IF-MAP Binding for SOAP 2.2r9. Mar. 2014[8] TCG Trusted Network Connect. TNC IF-MAP Metadata for Network Security 1.1r8. May 2012[9] http://opensignal.com/reports/2015/08/android-fragmentation/ (letzter Abruf: 19.08.2015)
![Page 23: Android in SIEM-Umgebungen · CVE2015-3825-„OneClassToRuleThemAll“[4] 4/19. Androidin SIEM-Umgebungen MarkusSchölzel schoelzel@mailbox.org Motivation F&E-Projekte TNC/IF-MAP](https://reader034.pdfslide.org/reader034/viewer/2022042910/5f3fa700733fa8185478baad/html5/thumbnails/23.jpg)
