Zusammenfassung

  • Dan Farmer und Wietse Venema schlugen 1993 vor, Netzwerkdienste aus der Perspektive eines Eindringlings zu prüfen; SATAN machte daraus ein wiederholbares Audit für Administratoren.
  • CERT beschrieb SATAN als Prüf- und Berichtswerkzeug, warnte jedoch, dass der Erkundungsmodus nicht ausdrücklich benannte Rechner erreichen konnte, möglicherweise außerhalb des Verwaltungsbereichs des Betreibers.
  • Ein Scan belegt nur, was bestimmte Prüfungen an bestimmten Zielen und zu einer bestimmten Zeit beobachtet haben. Er beweist weder Berechtigung noch Absicht oder Einbruch und auch nicht die Sicherheit ungeprüfter Systeme.

Den Blick von außen nutzbar machen

Der Rat, wie ein Angreifer zu denken, bleibt abstrakt, solange er sich nicht in überprüfbare Arbeit übersetzen lässt. In ihrem Artikel „Improving the Security of Your Site by Breaking Into It“ argumentierten Dan Farmer und Wietse Venema 1993, dass Betreiber ihre eigenen Systeme über die aus dem Netz sichtbaren Dienste untersuchen sollten. Eine interne Prüfung jedes einzelnen Rechners zeigt nicht unbedingt, was ein Außenstehender tatsächlich erreichen kann.

Die Dokumente führen SATAN mit unterschiedlichen ausgeschriebenen Namen. Der Aufsatz von 1993 nennt „Security Analysis Tool for Auditing Networks“; die spätere CERT-Mitteilung verwendet „Security Administrator Tool for Analyzing Networks“. Diese Abweichung gehört zur Entwicklungsgeschichte. Ebenso wichtig ist die gemeinsame Urheberschaft: Farmer und Venema verfassten den grundlegenden Artikel zusammen. In einem USENIX-Interview von 2014 erinnerte sich Farmer daran, dass die Erwähnung von SATAN im Artikel mehr Interesse weckte als beide erwartet hatten und sie daraufhin über die Umsetzung nachdachten.

Das ist seine spätere Erinnerung, kein Beleg für eine konkrete Installation oder Nutzung.

CERT beschrieb SATAN als Prüf- und Berichtswerkzeug für vernetzte Rechner. Das Programm untersuchte Dienste wie finger, NFS, NIS, FTP und rexd. Es konnte Daten zusammenfassen und mit einfachen Regeln nach möglichen Sicherheitsproblemen suchen; die Hinweise enthielten Verweise auf Patches oder andere Abhilfen. Zusätzlich sammelte SATAN Informationen über Netzwerktopologie sowie eingesetzte Hardware und Software. Aus verstreuten manuellen Kontrollen wurde damit ein wiederholbarer Blick auf mehrere Systeme.

Ein Eintrag im Bericht ist trotzdem kein Urteil. Ein Hinweis auf eine mögliche Schwachstelle verlangt Überprüfung und Abhilfe; er belegt nicht, dass ein Angreifer sie ausgenutzt hat. Umgekehrt bestätigt ein Bericht ohne Treffer nicht die Sicherheit eines Netzes. Das Ergebnis hängt von den geprüften Rechnern, Diensten, Regeln und dem Zeitpunkt ab. Der Bericht beschreibt den eigenen Prüfpfad, nicht das gesamte Netz.

Der Umfang gehört zum Prüfdesign

Die CERT-Mitteilung CA-1995-06 vom 3. April 1995 beruhte zunächst auf der Prüfung von Beta 0.51 und wurde nach der offiziellen Version 1.1.1 aktualisiert. CERT erklärte, der Erkundungsmodus könne Rechner prüfen, die nicht ausdrücklich genannt worden waren, darunter möglicherweise auch Systeme außerhalb des Verwaltungsbereichs. Die Warnung umfasste sowohl einen möglichen Missbrauch zur Suche nach verwundbaren Rechnern als auch die Möglichkeit, dass ein legitimer Administrator versehentlich eine fremde Site scannte.

Damit lässt sich der Umfang nicht allein aus der Absicht des Bedieners ableiten. Entscheidend sind die eingetragenen Startziele, die anschließende Entdeckung weiterer Rechner und die Reichweite nachfolgender Prüfungen. Ein gemeinsam genutzter Dienst, ein Drittanbieter oder ein benachbartes Netz kann Prüfverkehr erhalten, obwohl es nicht Teil des beabsichtigten Ziels war. „Das eigene Netz prüfen“ sagt zu wenig aus, wenn Entdeckungsregeln die Zielmenge verändern.

CERT behandelte einen anderen Sachverhalt getrennt. Nach der Veröffentlichung von SATAN 1.0 erschien CA-95.07a zu einer Schwachstelle im Programm selbst. Ein Scan, der über seine Zielgrenze hinausreicht, und ein Fehler im Scanner sind unterschiedliche Risiken. Ihre Trennung bewahrt die Genauigkeit der historischen Darstellung.

Die Belege tragen eine begrenzte, aber relevante Aussage: SATAN machte Netzwerkaudits leichter zugänglich; sein Erkundungsmodus konnte über ausdrücklich angegebene Ziele hinausgehen. Sie belegen keinen bestimmten Vorfall, keinen erfolgreichen Einbruch und keine böswillige Absicht von Farmer oder einem konkreten Betreiber. Heng Lus Note 65, „Running-Code Primacy“, dient hier ausschließlich als redaktionelle Perspektive: Eine Beobachtung eines laufenden Systems sollte nur das behaupten, was der Test tatsächlich ausgeführt hat. Sie ist keine historische Quelle zu SATAN.

Quellen