Teamorientierte Projektarbeit
Quarantänenetz Chemnitzer StudentenNetz
Completion
2020/07
Research Area
Students
Jakob Döring
Nils Trampel
Advisers
Description (German)
Es soll ein Quarantänenetz entstehen, indem Nutzer ihre Rechner, welche von Viren, Trojanern, o.ä. befallen sind, updaten können, Antivirenprogramme finden und installieren können. Der Zugriff auf das restliche Netz sollte jedoch zur Verhinderung der Ausbreitung von Schadprogrammen stark eingeschränkt sein.
In der aktuellen Installation wird der Netzzugang mittels eines Proxys beschränkt. Alle ausgehenden Anfragen der sich im Quarantänenetz befindenden Rechner werden über diesen Proxy geleitet und mittels einer Whitelist beschränkt. Ein Zugriff ist so nur noch auf Dienste möglich, die per HTTP oder HTTPS erreichbar sind. Aufgrund der Protokollerweiterungen im Bereich HTTPS ist es für die Nutzer nicht weiter zumutbar und technisch umsetzbar, einen Internetzugriff für HTTPS über einen Proxy zu leiten, wenn die Nutzer ihre Rechner selbst administrieren.
Diese Arbeit versucht dieses Problem zu lösen, indem ein Captive Portal installiert wird, über das Nutzer zunächst darüber informiert werden sollen, dass sie sich in einem Quarantänentz befinden und welche Schritte sie unternehmen müssen, um wieder in das normale Netz zu kommen. Das Netz, in dem sich die Nutzer sonst befinden soll hierfür nachgestellt werden. D.h., dass das genutzte Gateway sowie die IP Konfiguration vollständig erhalten bleiben können. Hierbei soll auch die aktuelle Entwicklung von Standards im Bereich Captive Portals der IETF Working Group capport mit einbezogen werden. Einschlägige RFCs im Bereich Captive Portals sollen mit in die Planung einbezogen und evaluiert werden. Der Zugriff auf bestimmte Netzdienste soll durch eine DNS Whitelist geregelt sein. Hierzu muss sichergestellt werden, dass die Nutzer im Quarantänenetz nur den vom CSN bereitgestellten DNS Server nutzen. Hierbei gilt es insbesondere auch aktuelle Entwicklungen im Bereich DNS mit abzudecken. Die zu erreichenden Domains sollen, um eine möglichst einfach Wartbarkeit des Systems zu erreichen über eine Weboberfläche oder automatisiert mit Ansible, eingestellt werden können. Eine zusätzliche Zugriffsbeschränkung, die den Zugriff auf vom DFN gemeldete Angriffsziele komplett unterbindet sollte einfach zu installieren sein.
Ein zusätzlicher Bereich des Projekts schließt die Überwachung der installierten Lösung ein. Es soll eine Schnittstelle geschaffen werden, mit der überwacht werden kann, zu welchen Zwecken das Quarantänenetz genutzt wird. Hierzu sollen alle Flows, die ihren Ursprung im Quarantänenetz haben aufgezeichnet werden.
