Benutzer:Grey/Security Tool Developement Projekt EN

Documentation

HowTo

For what do we need the testscript?

For testing a firewall, we need the ability to generate and send different packets through our firewall. Our testscript ist here the manager, who administer to the sending and generating of the packets, while using the wrapper-classes. The testscript is refered in the commandline(the path to the script is refered) to FWTEST, so that FWTEST has not be compiled again for using another testscript.

Which langues is used to implement a testscript? And why this language?

Python.

Python has many advantages:

• simple syntax and easy to learn
• a mighty programming library
• simple to integrate in C and reversed
• platformindependent

Was kann ein Testscript?

• default Pakete
• IP-Pakete
• UDP-Pakete
• TCP-Pakete
• ICMP-Pakete
• Pakete senden
• alles was Python kann

Wie sieht der Versuchsaufbau für ein Testskript aus?

Grundsätzlich läßt sich sagen, daß FWTEST zwei Agenten und einen FWTEST-Prozess benötigt.

Es gibt momentan zwei Versuchsaufbauten, die hauptsächlich benutzt werden.

Variante 1:

Wir haben insgesamt drei Rechner: die Firewall(FW), Agent A(Achen) und Agent B(Bchen). Auf Achen und Bchen laufen jeweils ein Agent, zusätzlich wird auf einem Rechner (der Agenten) FWTEST gestartet. Es übernimmt also ein Agent zusätzlich die Aufgabe vom FWTEST-Prozess.

Ein möglicher Aufbau wäre zum Beispiel:

http://www.freitagsrunde.org/~grey/sonstiges/std/versuchsaufbau1.png

Variante 2:

Die andere Variante geht von vier Rechnern aus, bei denen zwei Rechner ausschließlich die Funktion eines Agenten einnehmen, und der dritte Rechner als Controller fungiert (also FWTEST ausführt). Die Firewall wiederum bleibt wie zuvor unberührt davon.

Ein möglicher Aufbau wäre zum Beispiel:

http://www.freitagsrunde.org/~grey/sonstiges/std/versuchsaufbau2.png

Wie schreibe ich meine eigenen Testskripte?

Im Grunde ist das Implementieren eines Testskriptes recht einfach. Nehmen wir beispielhaft ein UDP-Paket, welches den Inhalt "Hallo Welt!" hat. Als erstes generieren wir ein default IP-Paket und passen die Felder unseren bedürfnissen an. Danach generieren wir erstmal unabhängig vom IP-Paket ein default UDP-Paket. Auch hier passen wir unser Paket unseren bedürfnissen an. Am Ende müssen wir noch das IP-Paket mit dem UDP-Paket verschmelzen. Wir geben dem IP-Paket das UDP-Paket als Payload und korrigieren die checksum-Felder mit der Funktion FIXUP. Nun sollte ein UDP/IP-Paket vorhanden sein, daß mittels transceive-Funktion verschickt wird.

Eine genauere Erklärung, bei der ein UDP-Testskript implementiert wird, finden Sie hier: UDP-Testskript

Grenzen von Tests

Testskripte sollen den Traffic simulieren und somit einen realistischen Paketaustausch darstellen. Zum Beispiel in unserem netdate-Beispiel haben wir eine Einschränkung.

Wir benutzen nicht wirklich den Heise-Server, sondern unser Agent nimmt diese Funktion ein, so daß natürlich die IP-Adresse unseres Agenten B (Bchen) im IP-Paket stehen muß. So gesehen ist es nicht wirklich eine Einschränkung des Testsktiptes, sondern eher des Versuchaufbaus. Es sei denn Bchen ist www.heise.de.

Eine weitere Einschränkung ist die komplexe Nachbildung einer Verbindungsstrecke, wie beim ICMP Fragmentation Needed Aufbau. Wir haben nicht alles, Server und Rechner zu denen eine Verbindung in der Realität aufgebaut werden würde, aber das ist auch nicht nötig. Es soll nur die Firewall getestet werden, ob sie richtig konfiguriert ist oder Schwachstellen hat.

So sind nur die Pakete wichtig die durch die Firewall gehen.