harden-doc 3.19 - en to de translation catalogue (130 entries)

en: Before the compromise
de: Vor der Kompromittierung

en: Keep your system secure
de: Halten Sie Ihr System sicher

en: You should strive to keep your system secure by monitoring its usage and also the vulnerabilities that might affect it, patching them as soon as patches are available. Even though you might have installed a really secure system initially you have to remember that security in a system degrades with time, security vulnerabilities might be found for exposed system services and users might expose the system security either because of lack of understanding (e.g. accessing a system remotely with a clear-text protocol or using easy to guess passwords) or because they are actively trying to subvert the system's security (e.g. install additional services locally on their accounts).
de: Sie sollten bestrebt sein, Ihr System sicher zu halten, indem Sie seine Verwendung und die es betreffenden Verwundbarkeiten im Auge behalten. Sobald Patches verfügbar sind, sollte Sie diese einspielen. Denn auch wenn Sie zu Beginn ein sehr sicheres System eingerichtet haben, sollten Sie daran denken, dass die Sicherheit eines Systems mit der Zeit nachlässt. Das liegt daran, dass Sicherheitslücken in Systemdiensten entdeckt werden können. Außerdem können Benutzer die Sicherheit untergraben, wenn ihnen das notwendige Verständnis fehlt (z.B. wenn sie aus der Ferne auf ein System mit einem Klartextpasswort oder einem einfach zu erratenden Passwort zugreifen) oder gar weil sie aktiv versuchen, die Sicherheit des Systems auszuschalten (indem sie z.B. zusätzliche Dienste lokal in ihren Konten installieren).

en: Tracking security vulnerabilities
de: Beobachtung von Sicherheitslücken

en: Although most administrators are aware of security vulnerabilities affecting their systems when they see a patch that is made available you can strive to keep ahead of attacks and introduce temporary countermeasures for security vulnerabilities by detecting when your system is vulnerable. This is specially true when running an exposed system (i.e. connected to the Internet) and providing a service. In such case the system's administrators should take care to monitor known information sources to be the first to know when a vulnerability is detected that might affect a critical service.
de: Die meisten Administratoren werden sich Sicherheitslücken, die ihr System betreffen, bewusst, wenn sie den dazugehörigen Patch sehen. Sie können aber Angriffen schon im Vorfeld begegnen und vorübergehende Abwehrmaßnahmen einleiten, sobald Sie festgestellt haben, dass Ihr System verwundbar ist. Dies gilt besonders für exponierte Systeme (die also mit dem Internet verbunden sind), die Dienste anbieten. In diesem Fall sollte der Systemadministrator einen Blick auf die bekannten Informationsquellen werfen, um als erster zu wissen, wenn eine Sicherheitslücke für einen kritischen Dienst entdeckt wird.

en: This typically includes subscribing to the announcement mailing lists, project websites or bug tracking systems provided by the software developers for a specific piece of code. For example, Apache users should regularly review Apache's <ulink name="lists of security vulnerabilities" url="http://httpd.apache.org/security_report.html" /> and subscribe to the <ulink name="Apache Server Announcements" url="http://httpd.apache.org/lists.html#http-announce" /> mailing list.
de: Typischerweise abonniert man eine Mailingliste für Ankündigungen und beobachtet Webseiten oder Fehlerverfolgungssysteme der Software-Entwickler eines bestimmten Programms. So sollten beispielsweise Apache-Benutzer regelmäßig Apaches <ulink url="http://httpd.apache.org/security_report.html" name="Auflistung von Sicherheitslücken" /> durchsehen und die Mailingliste <ulink url="http://httpd.apache.org/lists.html#http-announce" name="Ankündigungen für den Apache-Server" /> abonnieren.

en: The tracker has searchable interfaces (by <ulink name="CVE" url="http://cve.mitre.org/" /> name and package name) and some tools (such as <package>debsecan</package>, see <xref linkend="debsecan" />) use that database to provide information of vulnerabilities affecting a given system which have not yet been addressed (i.e. those who are pending a fix).
de: Der Tracker kann mittels einer Benutzerschnittstelle durchsucht werden (nach <ulink url="http://cve.mitre.org/" name="CVE" />-Namen und dem Paketnamen). Einige Werkzeuge (wie zum Beispiel <application>debsecan</application>, vgl. <xref linkend="debsecan" />) setzen diese Datenbank ein, um auf Verwundbarkeiten des betreffenden Systems hinzuweisen, die noch nicht ausgebessert wurden (d.h. für die eine Ausbesserung bevorsteht).

en: Concious administrators can use that information to determine which security bugs might affect the system they are managing, determine the severity of the bug and apply (if available) temporary countermeasures before a patch is available fixing this issue.
de: Sicherheitsbewusste Administratoren können mit diesen Informationen feststellen, welche Sicherheitslücken das System, das sie verwalten, betreffen könnten, wie schwer das Risiko der Lücke wiegt und ob vorübergehend Gegenmaßnahmen zu treffen sind (falls möglich), bis ein Patch verfügbar ist, der das Problem löst.

en: Security issues tracked for releases supported by the Debian Security Team should eventually be handled through Debian Security Advisories (DSA) and will be available for all users (see <xref linkend="keep-up-to-date" />). Once security issues are fixed through an advisory they will not be available in the tracker, but you will be able to search security vulnerabilities (by CVE name) using the <ulink name="security cross references table" url="http://www.debian.org/security/crossreferences" /> available for published DSAs.
de: Sicherheitsprobleme in Veröffentlichungen, die vom Sicherheitsteam von Debian unterstützt werden, sollten irgendwann in Debian-Sicherheits-Ankündigungen (DSA) behandelt werden, die allen Benutzern zur Verfügung gestellt werden (vergleiche <xref linkend="keep-up-to-date" />). Sobald ein Sicherheitsproblem ausgebessert wurde und die Lösung in einer Ankündigung enthalten ist, wird es nicht mehr im Tracker aufgeführt. Sie können es aber immer noch mit einer Suchanfrage (nach dem CVE-Namen) finden, indem Sie <ulink url="http://www.de.debian.org/security/crossreferences" name="Querverweise für Debian-Sicherheits-Ankündigungen" /> verwenden.

en: Notice, however, that the information tracked by the Debian Testing Security Team only involves disclosed vulnerabilities (i.e. those already public). In some occasions the Debian Security Team might be handling and preparing DSAs for packages based on undisclosed information provided to them (for example, through closed vendor mailing lists or by upstream maintainers of software). So do not be surprised to find security issues that only show up as an advisory but never get to show up in the security tracker.
de: Beachten Sie aber, dass die Informationen im Tracker des Debian-Testing-Sicherheitsteams nur bekannte Sicherheitslücken (d.h. solche, die öffentlich sind) beinhalten. In einigen Fällen gibt das Debian-Sicherheitsteam DSA für Pakete heraus, die auf vertraulichen Informationen beruhen, die das Team erhalten hat (z.B. über nicht-öffentliche Mailinglisten der Distributionen oder von Programmautoren). Seien Sie also nicht überrascht, in Sicherheitsankündigungen Sicherheitsprobleme zu entdecken, die nicht im Tracker enthalten sind.

en: Continuously update the system
de: Fortlaufende Aktualisierung des Systems

en: You should conduct security updates frequently. The vast majority of exploits result from known vulnerabilities that have not been patched in time, as this <ulink name="paper by Bill Arbaugh" url="http://www.cs.umd.edu/~waa/vulnerability.html" /> (presented at the 2001 IEEE Symposium on Security and Privacy) explains. Updates are described under <xref linkend="security-update" />.
de: Sie sollten regelmäßig Sicherheitsaktualisierungen durchführen. Der ganz überwiegende Anteil der Exploits nutzt bekannte Sicherheitslücken aus, die nicht rechtzeitig ausgebessert wurden. Dies wird in der <ulink url="http://www.cs.umd.edu/~waa/vulnerability.html" name="Veröffentlichung von Bill Arbaugh" /> dargestellt, die 2001 auf dem »IEEE Symposium on Security and Privacy« vorgestellt wurde. Das Durchführen einer Aktualisierung wird unter <xref linkend="security-update" /> beschrieben.

en: Manually checking which security updates are available
de: Überprüfung von Hand, welche Sicherheitsaktualisierungen verfügbar sind

en: Debian does have a specific tool to check if a system needs to be updated but many users will just want to manually check if any security updates are available for their system.
de: Debian besitzt ein Werkzeug, um zu überprüfen, ob ein System aktualisiert werden muss. Viele Benutzer wollen aber einfach von Hand überprüfen, ob Sicherheitsaktualisierungen für ihr System zur Verfügung stehen.

en: If you have configured your system as described in <xref linkend="security-update" /> you just need to do:
de: Wenn Sie Ihr System nach der Beschreibung unter <xref linkend="security-update" /> eingerichtet haben, müssen Sie nur Folgendes tun:

en: 
    # apt-get update
    # apt-get upgrade -s
    [ ... review packages to be upgraded ... ]
    # apt-get upgrade 
    # checkrestart
    [ ... restart services that need to be restarted ... ]
de: 
    # apt-get update
    # apt-get upgrade -s
    [ ... überprüfen der zu aktualisierenden Pakete ... ]
    # apt-get upgrade 
    # checkrestart
    [ ... Neustart der Dienste, die neu gestartet werden müssen ... ]

en: And restart those services whose libraries have been updated if any. Note: Read <xref linkend="security-update" /> for more information on library (and kernel) upgrades.
de: Weiter müssen alle Dienste, deren Bibliotheken aktualisiert wurden, neu gestartet werden. Hinweis: Lesen Sie <xref linkend="security-update" /> für weitere Informationen zu Bibliotheks- (und Kernel-)Aktualisierungen.

en: The first line will download the list of packages available from your configured package sources. The <literal>-s</literal> will do a simulation run, that is, it will <emphasis>not</emphasis> download or install the packages but rather tell you which ones should be downloaded/installed. From the output you can derive which packages have been fixed by Debian and are available as a security update. Sample:
de: Die erste Zeile wird die Liste der verfügbaren Pakete von den festgelegten Paketquellen herunterladen. Die Option <literal>-s</literal> wird eine Simulation durchführen, d.h. es werden <emphasis>keine</emphasis> Pakete heruntergeladen oder installiert. Vielmehr teilt es Ihnen mit, welche heruntergeladen und installiert werden sollen. Durch dieses Ergebnis könnten Sie erfahren, welche Pakete von Debian ausgebessert wurden und als Sicherheitsaktualisierung verfügbar sind. Zum Beispiel:

en: Notice that you will need to reboot your system if there has been a kernel upgrade.
de: Hinweis: Sie werden Ihr System neustarten müssen, wenn der Kernel aktualisiert wurde.

en: Checking for updates at the Desktop
de: Überprüfung von Aktualisierungen auf dem Desktop

en: Since Debian 4.0 <emphasis>lenny</emphasis> Debian provides and installs in a default installation <package>update-notifier</package>. This is a GNOME application that will startup when you enter your Desktop and can be used to keep track of updates available for your system and install them. It uses <package>update-manager</package> for this.
de: Seit Debian 4.0 <emphasis>Lenny</emphasis> gibt es in Debian <application>update-notifier</application>, das in einer Standardinstallation installiert wird. Es ist eine GNOME-Anwendung, die beim Starten des Desktops mitgestartet wird. Sie kann geprüft, welche Aktualisierungen für Ihr System zur Verfügung stehen, und diese installieren. Dafür verwendet es <application>update-manager</application>.

en: In a stable system updates are only available when a security patch is available or at point releases. Consequently, if the system is properly configured to receive security updates as described in <xref linkend="security-update" /> and you have a cron task running to update the package information you will be notified through an icon in the desktop notifcation area.
de: In dem Stable-Zweig gibt es Aktualisierungen nur zum Entfernen von Sicherheitsproblemen oder dann, wenn eine Zwischenveröffentlichung (point release) angeboten wird. Wenn das System richtig konfiguriert ist, um Sicherheitsaktualisierungen zu erhalten (wie in <xref linkend="security-update" /> beschrieben), und Sie mit <command>cron</command> die Paketinformationen aktualisieren, werden Sie durch ein Desktop-Symbol in dem Benachrichtigungsbereich des Desktops über Aktualisierungen informiert werden.

en: The notification is not intrusive and users are not forced to install updates. From the notification icon a desktop user (with the administrator's password) can access a simple GUI to show available updates and install them.
de: Diese Benachrichtigung ist nicht aufdringlich und zwingt den Benutzer nicht dazu, die Aktualisierungen zu installieren. Über das Symbol kann der Desktop-Benutzer (mit dem Passwort des Systemadministrators) zu einer einfachen graphischen Benutzeroberfläche gelangen, um sich die verfügbaren Aktualisierungen anzeigen zu lassen und zu installieren.

en: This application works by checking the package database and comparing the system with its contents. If the package database is updated periodically through a <command>cron</command> task then the contents of the database will be newer than the packages installed in the system and the application will notify you.
de: Diese Anwendung arbeitet damit, dass sie die Paketdatenbank abruft und ihren Inhalt mit dem System vergleicht. Wenn die Datenbank regelmäßig mit <command>cron</command> aktualisiert wird, ist ihr Inhalt aktueller als die auf dem System installierten Pakete, worauf die Anwendung Sie hinweisen wird.

en: <command>Apt</command> installs such a task (<filename>/etc/cron.d/apt</filename>) which will run based on Apt's configuration (more specifically <emphasis>APT::Periodic</emphasis>). In the GNOME environment this configuration value can be adjusted by going to System &gt; Admin &gt; Software origins &gt; Updates, or running <command>/usr/bin/software-properties</command>.
de: <command>Apt</command> richtet eine solche Aufgabe ein (<filename>/etc/cron.d/apt</filename>), die abhängig von der Konfiguration von Apt ausgeführt wird (genauer gesagt je nach <emphasis>APT::Periodic</emphasis>). In der GNOME-Umgebung kann dieser Wert über System &gt; Admin &gt; Software origins &gt; Updates oder mit <command>/usr/bin/software-properties</command> geändert werden. <!-- SB(20140124): Wie heißen die Menüeinträge auf Deutsch? -->

en: If the system is set to download the packages list daily but not download the packages themselves your <filename>/etc/apt/apt.conf.d/10periodic</filename> should look like this:
de: Wenn Ihr System täglich die Paketliste herunterladen soll, aber nicht die Pakete selbst, sollte <filename>/etc/apt/apt.conf.d/10periodic</filename> etwa so aussehen:

en: You can use a different cron task, such as the one installed by <package>cron-apt</package> (see <xref linkend="cron-apt" />). You can also just manually check for upgrades using this application.
de: Sie können auch eine andere cron-Aufgabe verwenden, z.B. die von <application>cron-apt</application> installierte (vgl. <xref linkend="cron-apt" />). Damit können Sie auch nur per Hand nach Aktualisierungen suchen.

en: Users of the KDE desktop environment will probably prefer to install <package>adept</package> and <package>adept-notifier</package> instead which offers a similar functionality but is not part of the standard installation.
de: Benutzer der KDE-Umgebung sollten stattdessen <application>adept</application> und <application>adept-notifier</application> installieren, die vergleichbare Funktionen anbieten, aber nicht in der Standardinstallation enthalten sind.

en: Automatically checking for updates with cron-apt
de: Automatisches Überprüfung von Aktualisierungen mit cron-apt

en: Another method for automatic security updates is the use of <package>cron-apt</package>. This package provides a tool to update the system at regular intervals (using a cron job), and can also be configured to send mails to the system administrator using the local mail transport agent. It will just update the package list and download new packages by default but it can be configured to automatically install new updates.
de: Eine andere Methode für automatische Sicherheitsaktualisierungen ist <application>cron-apt</application>. Dieses Paket stellt ein Werkzeug zur Verfügung, mit dem das System in regelmäßigen Abständen (mit einem Cronjob) aktualisiert wird. Es kann so konfiguriert werden, dass es E-Mails mit dem lokalen Mail-Transport-Agent an den Systemadministrator schickt. Standardmäßig wird es nur die Paketliste aktualisieren und neue Pakete herunterladen. Es kann aber so konfiguriert werden, dass es automatisch Aktualisierungen installiert.

en: Notice that you might want to check the distribution release, as described in <xref linkend="check-releases" />, if you intend to automatically updated your system (even if only downloading the packages). Otherwise, you cannot be sure that the downloaded packages really come from a trusted source.
de: Hinweis: Wenn Sie vorhaben, Ihr System automatisch zu aktualisieren (auch wenn Sie sich nur die Pakete herunterladen), sollten Sie sich vielleicht die Distributionsveröffentlichung ansehen, wie in <xref linkend="check-releases" /> beschrieben wird. Anderenfalls können Sie sich nicht sicher sein, dass die heruntergeladenen Pakete wirklich aus einer vertrauenswürdigen Quelle stammen.

en: More information is available at the <ulink name="Debian Administration site" url="http://www.debian-administration.org/articles/162" />.
de: Weitere Informationen finden Sie auf der <ulink url="http://www.debian-administration.org/articles/162" name="Debian-Administration-Site" />.

en: Automatically checking for security issues with debsecan
de: Automatisches Überprüfung von Aktualisierungen mit debsecan

en: The <command>debsecan</command> program evaluates the security status of by reporting both missing security updates and security vulnerabilities. Unlike <package>cron-apt</package>, which only provides information related to security updates available, but this tool obtains information from the security vulnerability database maintained by the Debian Security Team which includes also information on vulnerabilities which are not yet fixed through a security update. Consequently, it is more efficient at helping administrators track security vulnerabilities (as described in <xref linkend="track-vulns" />).
de: Das Programm <command>debsecan</command> ermittelt den Sicherheitsstatus, indem es sowohl nicht installierte Sicherheitsaktualisierungen als auch Sicherheitslücken meldet. Im Gegensatz zu <application>cron-apt</application>, das nur Informationen zu verfügbaren Sicherheitsaktualisierungen bereitstellt, bezieht dieses Werkzeug auch Informationen von der Datenbank über Sicherheitslücken, die von Debians Sicherheitsteam verwaltet wird. Darin befinden sich auch Informationen über Lücken, die noch nicht durch eine Sicherheitsaktualisierung geschlossen wurden. Daher kann es Administratoren besser helfen, Sicherheitslücken im Blick zu behalten (wie unter <xref linkend="track-vulns" /> beschrieben).

en: Upon installing the Debian package <package>debsecan</package>, and if the administrator consents to it, it will generate a cron task that will make it run and send the output to a specific user whenever it finds a vulnerable package. It will also download the information from the Internet. The location of the security database is also part of the questions ask on installation and are later defined <filename>/etc/default/debsecan</filename>, it can be easily adjusted for systems that do not have Internet access so that they all pull from a local mirror so that there is a single point that access the vulnerability database.
de: Nach der Installation des Debian-Pakets <application>debsecan</application> wird es mit Zustimmung des Administrators eine cron-Aufgabe erstellen, die das Programm aufruft und das Ergebnis an einen bestimmten Benutzer schickt, wenn sie ein verwundbares Paket findet. Sie wird auch Informationen aus dem Internet laden. Bei der Installation wird auch nach dem Ort der Sicherheitsdatenbank gefragt, dieser wird in <filename>/etc/default/debsecan</filename> gespeichert. Er kann leicht so angepasst werden, damit Systeme ohne Internetzugang auf einen lokale Spiegelserver zugreifen können und nur dieser mit der Sicherheitsdatenbank verbunden sein muss.

en: Notice, however, that the Security Team tracks many vulnerabilities including low-risk issues which might not be fixed through a security update and some vulnerabilities initially reported as affecting Debian might, later on, upon investigation, be dismissed. <command>Debsecan</command> will report on all the vulnerabilities, which makes it a quite more verbose than the other tools described above.
de: Beachten Sie jedoch, dass das Sicherheitsteam viele Verwundbarkeiten aufführt, die (wie risikoarme Probleme) nicht mit einer Sicherheitsaktualisierung ausgebessert werden oder bei denen sich später herausstellt, dass sie, anders als zunächst angenommen, Debian nicht betreffen. <command>Debsecan</command> wird alle Verwundbarkeiten melden, wodurch diese Meldungen deutlich umfangreicher werden als bei den anderen beschriebenen Werkzeugen.

en: More information is available at the <ulink name="author's siste" url="http://www.enyo.de/fw/software/debsecan/" />.
de: Weitere Informationen finden Sie auf der <ulink url="http://www.enyo.de/fw/software/debsecan/" name="Site des Autors" />.

en: Other methods for security updates
de: Andere Methoden für Sicherheitsaktualisierungen

en: There is also the <package>apticron</package>, which, similarly to <package>cron-apt</package> will check for updates and send mails to the administrator. More information on apticron is available at the <ulink name="Debian Administration site" url="http://www.debian-administration.org/articles/491" />.
de: Es gibt auch <application>apticron</application>, das ähnlich wie <application>cron-apt</application> nach Aktualisierungen sucht und eine E-Mail an den Administrator schickt. Weitere Informationen über apticron finden Sie auf der <ulink url="http://www.debian-administration.org/articles/491" name="Site über Debian-Administration" />.

en: You might also want to take a look at <ulink name="secpack" url="http://clemens.endorphin.org/secpack/" /> which is an unofficial program to do security updates from security.debian.org with signature checking written by Fruhwirth Clemens. Or to the Nagios Plugin <ulink name="check_debian_updates.sh" url="http://www.unixdaemon.net/nagios_plugins.html#check_debian_packages" /> written by Dean Wilson.
de: Sie können auch einen Blick auf <ulink url="http://clemens.endorphin.org/secpack/" name="secpack" /> werfen. Es ist ein inoffizielles Programm, um Sicherheitsaktualisierungen von security.debian.org mit Prüfung der Signatur durchzuführen. Es wurde von Fruhwirth Clemens geschrieben. Eine weitere Alternative bietet die Nagios-Erweiterung <ulink url="http://www.unixdaemon.net/nagios_plugins.html#check_debian_packages" name="check_debian_updates.sh" /> von Dean Wilson.

en: Avoid using the unstable branch
de: Vermeiden Sie den Unstable-Zweig

en: Unless you want to dedicate time to patch packages yourself when a vulnerability arises, you should <emphasis>not</emphasis> use Debian's unstable branch for production-level systems. The main reason for this is that there are no security updates for <emphasis>unstable</emphasis>.
de: Falls Sie nicht Zeit darauf verwenden wollen, selbst Pakete zu patchen, wenn Verwundbarkeiten entdeckt werden, sollten Sie auf produktiven Systemen <emphasis>nicht</emphasis> Debians Unstable-Zweig einsetzen. Der Hauptgrund dafür ist, dass es für <emphasis>Unstable</emphasis> keine Sicherheitsaktualisierungen gibt.

en: The fact is that some security issues might appear in unstable and <emphasis>not</emphasis> in the <emphasis>stable</emphasis> distribution. This is due to new functionality constantly being added to the applications provided there, as well as new applications being included which might not yet have been thoroughly tested.
de: Es ist eine Tatsache, dass manche Sicherheitsprobleme nur in Unstable auftreten und <emphasis>nicht</emphasis> in <emphasis>Stable</emphasis>. Das rührt daher, dass dort ständig neue Funktionen zu den Anwendungen hinzugefügt werden und auch neue Anwendungen aufgenommen werden, die unter Umständen noch nicht vollständig getestet wurden.

en: In order to do security upgrades in the <emphasis>unstable</emphasis> branch, you might have to do full upgrades to new versions (which might update much more than just the affected package). Although there have been some exceptions, security patches are usually only back ported into the <emphasis>stable</emphasis> branch. The main idea being that between updates, <emphasis>no new code</emphasis> should be added, just fixes for important issues.
de: Um im <emphasis>Unstable</emphasis>-Zweig Sicherheitsaktualisierungen durchzuführen, müssen Sie unter Umständen eine vollständige Aktualisierung mit einer neuen Version durchführen (was viel mehr als nur das betroffene Pakete aktualisieren könnte). Sicherheitsaktualisierungen wurden &ndash; mit Ausnahmen &ndash; nur in den <emphasis>Stable</emphasis>-Zweig zurückportiert. Die Grundidee ist, dass mit Sicherheitsaktualisierungen <emphasis>kein neuer Code</emphasis> hinzugefügt werden sollte, sondern nur wichtige Probleme beseitigt werden.

en: Notice, however, that you can use the security tracker (as described in <xref linkend="track-vulns" />) to track known security vulnerabilities affecting this branch.
de: Denken Sie daran, dass Sie allerdings den Sicherheitstracker verwenden können (wie unter <xref linkend="track-vulns" /> beschrieben), um bekannte Sicherheitsprobleme für diesen Zweig nachzuvollziehen.

en: Security support for the testing branch
de: Sicherheitsunterstützung für den Testing-Zweig

en: If you are using the <emphasis>testing</emphasis> branch, there are some issues that you must take into account regarding the availability of security updates:
de: Wenn Sie den <emphasis>Testing</emphasis>-Zweig verwenden, müssen Sie einige Problemkreise hinsichtlich der Verfügbarkeit von Sicherheitsaktualisierungen in Betracht ziehen:

en: When a security fix is prepared, the Security Team backports the patch to <emphasis>stable</emphasis> (since stable is usually some minor or major versions behind). Package maintainers are responsible for preparing packages for the <emphasis>unstable</emphasis> branch, usually based on a new upstream release. Sometimes the changes happen at nearly the same time and sometimes one of the releases gets the security fix before. Packages for the <emphasis>stable</emphasis> distribution are more thoroughly tested than <emphasis>unstable</emphasis>, since the latter will in most cases provide the latest upstream release (which might include new, unknown bugs).
de: Wenn eine Sicherheitslücke geschlossen wurde, portiert das Sicherheitsteam den Patch nach <emphasis>Stable</emphasis> zurück (da Stable normalerweise einige Minor- oder Majorversionen zurückliegt). Die Paketbetreuer sind dafür verantwortlich, Pakete für den <emphasis>Unstable</emphasis>-Zweig vorzubereiten. Grundlage dafür ist normalerweise eine neue Veröffentlichung des Originalprogramms. Manchmal ereignen sich die Änderungen fast zur selben Zeit und manchmal enthält eine der Veröffentlichungen eine Ausbesserung einer Sicherheitslücke vor einer anderen. Pakete in <emphasis>Stable</emphasis> werden gründlicher getestet als die in <emphasis>Unstable</emphasis>, da letztere in den meisten Fällen die neueste Veröffentlichung des Originalprogramms enthält (welches neue, unbekannte Fehler enthalten könnte).

en: Security updates are available for the <emphasis>unstable</emphasis> branch usually when the package maintainer makes a new package and for the <emphasis>stable</emphasis> branch when the Security Team make a new upload and publish a DSA. Notice that neither of these change the <emphasis>testing</emphasis> branch.
de: Gewöhnlich sind Sicherheitsaktualisierungen für den <emphasis>Unstable</emphasis>-Zweig verfügbar, wenn der Paketbetreuer ein neues Paket baut, und für den <emphasis>Stable</emphasis>-Zweig, wenn das Security Team eine neue Version hochlädt und ein DSA veröffentlicht. Beachten Sie, dass beides nicht des <emphasis>Testing</emphasis>-Zweig verändert.

en: If no (new) bugs are detected in the <emphasis>unstable</emphasis> version of the package, it moves to <emphasis>testing</emphasis> after several days. The time this takes is usually ten days, although that depends on the upload priority of the change and whether the package is blocked from entering <emphasis>testing</emphasis> by its dependency relationships. Note that if the package is blocked from entering testing the upload priority will not change the time it takes to enter.
de: Wenn keine (neuen) Fehler in der <emphasis>Unstable</emphasis>-Version des Pakets entdeckt werden, wandert es nach ein paar Tagen nach <emphasis>Testing</emphasis>. Das dauert normalerweise zehn Tage. Es hängt allerdings von der Priorität des Hochladens der Veränderung ab und davon, ob das Paket von <emphasis>Testing</emphasis> zurückgehalten wird, da Abhängigkeiten nicht aufgelöst werden können. Beachten Sie, dass wenn das Paket daran gehindert ist, nach Testing zu wandern, auch die Priorität des Hochladens daran nichts ändern kann.

en: This behavior might change based on the release state of the distribution. When a release is almost imminent, the Security Team or package maintainers might provide updates directly to testing.
de: Dieses Verhalten könnte sich je nach dem Status der Veröffentlichung der Distribution verändern. Wenn eine Veröffentlichung unmittelbar bevorsteht, werden auch das Sicherheitsteam oder die Paketbetreuer direkt Aktualisierungen für Testing zur Verfügung stellen.

en: Additionally, the <ulink name="Debian Testing Security Team" url="http://secure-testing-master.debian.net" /> can issue Debian Testing Security Advisories (DTSAs) for packages in the <emphasis>testing</emphasis> branch if there is an immediate need to fix a security issue in that branch and cannot wait for the normal procedure (or the normal procedure is being blocked by some other packages).
de: Zusätzlich kann auch das <ulink url="http://secure-testing-master.debian.net" name="Debian-Testing-Sicherheitsteam" /> Debian-Testing-Sicherheitsankündigungen (DTSA) für Pakete im Testing-Zweig herausgeben, wenn sofort eine Lücke in diesem Zweig geschlossen werden muss und die normale Vorgehensweise nicht abgewartet werden kann (oder die übliche Vorgehensweise durch andere Pakete blockiert ist).

en: Users willing to take advantage of this support should add the following lines to their <filename>/etc/apt/sources.list</filename> (instead of the lines described in <xref linkend="security-update" />):
de: Benutzer, die von diesem Angebot Gebrauch machen wollen, müssen folgende Zeilen ihrer <filename>/etc/apt/sources.list</filename> (anstatt der Zeilen, die unter <xref linkend="security-update" /> dargestellt wurden) hinzufügen:

en: 
        deb http://security.debian.org testing/updates main contrib non-free
    # This line makes it possible to donwload source packages too
        deb-src  http://security.debian.org testing/updates main contrib non-free
de: 
        deb http://security.debian.org testing/updates main contrib non-free
    # Diese Zeile macht es möglich, auch Quellpakete herunterzuladen
        deb-src  http://security.debian.org testing/updates main contrib non-free

en: For additional information on this support please read the <ulink name="announcement" url="http://lists.debian.org/debian-devel-announce/2006/05/msg00006.html" />. This support officially started in <ulink name="September 2005" url="http://lists.debian.org/debian-devel-announce/2005/09/msg00006.html" /> in a separate repository and was later integrated into the main security archive.
de: Für weitere Informationen zu diesem Angebot können Sie die entsprechende <ulink url="http://lists.debian.org/debian-devel-announce/2006/05/msg00006.html" name="Ankündigung" /> lesen. Dieses Angebot startete offiziell im <ulink url="http://lists.debian.org/debian-devel-announce/2005/09/msg00006.html" name="September 2005" /> als zusätzliches Paketdepot und wurde später in das allgemeine Sicherheitsarchiv integriert.

en: Automatic updates in a Debian GNU/Linux system
de: Automatische Aktualisierungen in einem Debian GNU/Linux System

en: First of all, automatic updates are not fully recommended, since administrators should review the DSAs and understand the impact of any given security update.
de: Es sei vorweggeschickt, dass automatische Aktualisierungen nicht vollständig empfohlen werden, da Administratoren die DSAs durchsehen und die Bedeutung einer bestimmten Sicherheitsaktualisierung verstehen sollten.

en: If you want to update your system automatically you should:
de: Wenn Sie Ihr System automatisch aktualisieren wollen, sollten Sie Folgendes durchführen:

en: Configure <command>apt</command> so that those packages that you do not want to update stay at their current version, either with <command>apt</command>'s <emphasis>pinning</emphasis> feature or marking them as <emphasis>hold</emphasis> with <command>aptitude</command> or <command>dpkg</command>.
de: Konfigurieren Sie <command>apt</command> so, dass Pakete, die Sie nicht aktualisieren wollen, ihrer momentane Version beibehalten. Das können Sie entweder mit einer Eigenschaft von <command>apt</command>, dem <emphasis>pinning</emphasis> (festheften), erreichen, oder Sie kennzeichnen sie mit <command>dpkg</command> oder <command>dselect</command> als <emphasis>hold</emphasis> (festgehalten).

en: To pin the packages under a given release, you must edit <filename>/etc/apt/preferences</filename> (see <citerefentry><refentrytitle>apt_preferences</refentrytitle> <manvolnum>5</manvolnum></citerefentry>) and add:
de: Um Pakete einer bestimmten Veröffentlichung mit pinning festzuheften, müssen Sie <filename>/etc/apt/preferences</filename> bearbeiten (siehe <citerefentry><refentrytitle>apt_preferences</refentrytitle> <manvolnum>5</manvolnum></citerefentry>) und Folgendes hinzufügen:

en: Either use <package>cron-apt</package> as described in <xref linkend="cron-apt" /> and enable it to install downloaded packages or add a <command>cron</command> entry yourself so that the update is run daily, for example:
de: Entweder setzen Sie <application>cron-apt</application> ein, wie in <xref linkend="cron-apt" /> beschrieben wird, und erlauben ihm, heruntergeladene Pakete zu installieren. Oder Sie fügen selbst einen Eintrag für <command>cron</command> hinzu, damit die Aktualisierung täglich ausgeführt wird. Ein Beispiel:

en: The <literal>-y</literal> option will have <command>apt</command> assume 'yes' for all the prompts that might arise during the update. In some cases, you might want to use the <literal>--trivial-only</literal> option instead of the <literal>--assume-yes</literal> (equivalent to <literal>-y</literal>).<footnote><para>You may also want to use the <literal>--quiet</literal> (<literal>-q</literal>) option to reduce the output of <command>apt-get</command>, which will stop the generation of any output if no packages are installed.</para></footnote>
de: Die Option <literal>-y</literal> veranlasst <command>apt</command>, für alle Fragen, die während der Aktualisierung auftreten können, »yes« anzunehmen. In manchen Fällen sollten Sie die Option <literal>--trivial-only</literal> (nur Bagatellen) der Option <literal>--assume-yes</literal> (ist gleichbedeutend mit <literal>-y</literal>) vorziehen.<footnote><para> Sie können auch die Option <literal>--quiet</literal> (<literal>-q</literal>) verwenden. Sie verringert die Ausgabe von <command>apt-get</command> und wird keine Ausgabe produzieren, wenn keine Pakete installiert werden. </para></footnote>

en: Configure <command>debconf</command> so no questions will be asked during upgrades, so that they can be done non-interactively. <footnote><para>Note that some packages might <emphasis>not</emphasis> use <command>debconf</command> and updates will stall due to packages asking for user input during configuration.</para></footnote>
de: Richten Sie <command>debconf</command> so ein, dass während der Aktualisierung keine Eingabe verlangt wird. Auf diese Weise können Aktualisierungen nicht-interaktiv durchgeführt werden.<footnote><para> Beachten Sie, dass einige Pakete <emphasis>nicht</emphasis> <command>debconf</command> verwenden könnten. Die Aktualisierung könnte dann hängen bleiben, da Pakete während ihrer Konfiguration Eingaben des Benutzers verlangen. </para></footnote>

en: Check the results of the <command>cron</command> execution, which will be mailed to the superuser (unless changed with <literal>MAILTO</literal> environment variable in the script).
de: Überprüfen Sie die Ergebnisse der Ausführung von <command>cron</command>, die an den Superuser gemailt werden (sofern nicht die Umgebungsvariable <literal>MAILTO</literal> im Skript geändert wurde).

en: A safer alternative might be to use the <literal>-d</literal> (or <literal>--download-only</literal>) option, which will download but not install the necessary packages. Then if the <command>cron</command> execution shows that the system needs to be updated, it can be done manually.
de: Eine sichere Alternative könnte es sein, die Option <literal>-d</literal> (oder <literal>--download-only</literal>) zu verwenden. Das hat zur Folge, dass die benötigten Pakete nur heruntergeladen, aber nicht installiert werden. Und wenn dann die Ausführung von <command>cron</command> zeigt, dass das System aktualisiert werden muss, kann das von Hand vorgenommen werden.

en: In order to accomplish any of these tasks, the system must be properly configured to download security updates as discussed in <xref linkend="security-update" />.
de: Um diese Aufgaben zu erfüllen, muss das System korrekt konfiguriert sein, um Sicherheitsaktualisierungen herunterzuladen. Dies wurde in <xref linkend="security-update" /> diskutiert.

en: However, this is not recommended for <emphasis>unstable</emphasis> without careful analysis, since you might bring your system into an unusable state if some serious bug creeps into an important package and gets installed in your system. <emphasis>Testing</emphasis> is slightly more <emphasis>secure</emphasis> with regard to this issue, since serious bugs have a better chance of being detected before the package is moved into the testing branch (although, you may have <emphasis>no</emphasis> security updates available whatsoever).
de: Allerdings wird dieses Vorgehen ohne eine genaue Analyse nicht für <emphasis>Unstable</emphasis> empfohlen, da Sie Ihr System in einen unbrauchbaren Zustand bringen können, wenn sich ein gravierender Fehler in ein wichtiges Paket eingeschlichen hat und auf Ihrem System installiert wird. <emphasis>Testing</emphasis> ist vor diesem Problem etwas besser <emphasis>geschützt</emphasis>, da gravierende Fehler eine bessere Chance haben entdeckt zu werden, bevor das Paket in den Testing-Zweig wandert (obwohl Ihnen trotzdem <emphasis>keine</emphasis> Sicherheitsaktualisierungen zur Verfügung stehen).

en: If you have a mixed distribution, that is, a <emphasis>stable</emphasis> installation with some packages updated to <emphasis>testing</emphasis> or <emphasis>unstable</emphasis>, you can fiddle with the pinning preferences as well as the <literal>--target-release</literal> option in <command>apt-get</command> to update <emphasis>only</emphasis> those packages that you have updated.<footnote><para>This is a common issue since many users want to maintain a stable system while updating some packages to <emphasis>unstable</emphasis> to gain the latest functionality. This need arises due to some projects evolving faster than the time between Debian's <emphasis>stable</emphasis> releases.</para></footnote>
de: Wenn Sie eine gemischte Distribution haben, also eine Installation von <emphasis>Stable</emphasis> mit einige Pakete aus <emphasis>Testing</emphasis> oder <emphasis>Unstable</emphasis>, können Sie mit den Pinning-Eigenschaften oder der Option <literal>--target-release</literal> von <command>apt-get</command> herumspielen, um <emphasis>nur</emphasis> die Pakete zu aktualisieren, die Sie früher aktualisiert haben.<footnote><para> Dies ist ein verbreitetes Problem, da viele Benutzer ein stabiles System betreiben wollen, aber einige Pakete aus <emphasis>Unstable</emphasis> einsetzen, um die neusten Funktionen zu haben. Das kommt daher, dass sich manche Projekte schneller entwickeln als die Veröffentlichungen von Debians <emphasis>Stable</emphasis>. </para></footnote>

en: Do periodic integrity checks
de: Regelmäßiges Überprüfung der Integrität

en: Based on the baseline information you generated after installation (i.e. the snapshot described in <xref linkend="snapshot" />), you should be able to do an integrity check from time to time. An integrity check will be able to detect filesystem modifications made by an intruder or due to a system administrators mistake.
de: Mit Hilfe der Basisinformationen, die Sie nach der Installation erstellt haben (also mit dem Schnappschuss, der in <xref linkend="snapshot" /> beschrieben wird), sollte es Ihnen möglich sein, von Zeit zu Zeit die Integrität des Systems zu überprüfen. Eine Integritätsprüfung kann Veränderungen am Dateisystem entdecken, die durch einen Eindringling oder einen Fehler des Systemadministrators entstanden sind.

en: Integrity checks should be, if possible, done offline.<footnote><para> An easy way to do this is using a Live CD, such as <ulink name="Knoppix Std" url="http://www.knoppix-std.org/" /> which includes both the file integrity tools and the integrity database for your system. </para></footnote> That is, without using the operating system of the system to review, in order to avoid a false sense of security (i.e. false negatives) produced by, for example, installed rootkits. The integrity database that the system is checked against should also be used from read-only media.
de: Überprüfungen der Integrität sollen, wenn möglich, extern durchgeführt werden.<footnote><para> Ein leichter Weg, das ist tun, ist die Verwendung einer Live-CD wie <ulink url="http://www.knoppix-std.org/" name="Knoppix Std" />, die sowohl die Programme zur Integritätsprüfung als auch die dazugehörige Datenbank enthält. </para></footnote> Das bedeutet, dass das Betriebssystem des überprüften Systems nicht verwendet wird, um den falschen Eindruck von Sicherheit (also falsche Negative) zu verhindern, der z.B. durch installierte Rootkits entstehen könnte. Die Datenbank, mit der das System verglichen wird, sollte sich daher auf einem nur-lesbaren Medium befinden.

en: You can consider doing integrity checks online using any of the filesystem integrity tools available (described in <xref linkend="check-integ" />) if taking offline the system is not an option. However, precaution should be taken to use a read-only integrity database and also assure that the integrity checking tool (and the operating system kernel) has not been tampered with.
de: Falls der Einsatz einer externen Prüfung nicht möglich ist, sollten Sie in Betracht ziehen, die Integritätsprüfung mit den verfügbaren Werkzeugen zur Prüfung der Integrität des Dateisystem durchzuführen (wie unter <xref linkend="check-integ" /> beschrieben). Allerdings sollten Vorsichtsmaßnahmen getroffen werden: Die Datenbank für die Integritätsprüfung sollte nur-lesbar sein und Sie sollten auch sicherstellen, dass das Programm, das die Integrität überprüft, (und der Kernel des Betriebssystems) nicht manipuliert wurde.

en: Some of the tools mentioned in the integrity tools section, such as <command>aide</command>, <command>integrit</command> or <command>samhain</command> are already prepared to do periodic reviews (through the crontab in the first two cases and through a standalone daemon in <command>samhain</command>) and can warn the administrator through different channels (usually e-mail, but <command>samhain</command> can also send pages, SNMP traps or syslog alerts) when the filesystem changes.
de: Einige Werkzeuge, die im Abschnitt über Programme zur Integritätsprüfung beschrieben wurden, wie z.B. <command>aide</command>, <command>integrit</command> und <command>samhain</command>, sind schon so eingerichtet, dass sie regelmäßige Nachprüfungen durchführen (mittels crontab in den ersten beiden Fällen und mittels eines eigenständigen Daemons bei <command>samhain</command>). Sie können den Administrator auf verschiedenen Wegen warnen (normalerweise E-Mail, aber <command>samhain</command> kann auch Seiten, SNMP-Traps oder einen Alarm an syslog schicken), wenn sich das Dateisystem verändert.

en: Of course, if you execute a security update of the system, the snapshot taken for the system should be re-taken to accommodate the changes done by the security update.
de: Wenn Sie eine Sicherheitsaktualisierung des System vorgenommen haben, müssen Sie natürlich den Schnappschuss des Systems neu aufzeichnen, um ihn an die Änderungen durch die Sicherheitsaktualisierung anzupassen.

en: Set up Intrusion Detection
de: Aufsetzen einer Eindringlingserkennung

en: Debian GNU/Linux includes tools for intrusion detection, which is the practice of detecting inappropriate or malicious activity on your local system, or other systems in your private network. This kind of defense is important if the system is very critical or you are truly paranoid. The most common approaches to intrusion detection are statistical anomaly detection and pattern-matching detection.
de: Debian GNU/Linux enthält Programme zur Erkennung von Eindringlingen. Das sind Programme, die unpassende oder bösartige Aktivitäten auf Ihrem lokalen System oder auf anderen System in Ihrem lokalen Netzwerk entdecken. Diese Art von Verteidigung ist wichtig, wenn das System sehr entscheidend ist oder Sie wirklich unter Verfolgungswahn leiden. Die gebräuchlichsten Herangehensweisen sind die statistische Entdeckung von Unregelmäßigkeiten und die Entdeckung bestimmter Muster.

en: Always be aware that in order to really improve the system's security with the introduction of any of these tools, you need to have an alert+response mechanism in place. Intrusion detection is a waste of time if you are not going to alert anyone.
de: Beachten Sie immer, dass Sie einen Alarm-und-Antwort-Mechanismus brauchen, um Ihre Systemsicherheit mit einer dieser Werkzeuge wirklich zu verbessern. Eindringlingserkennung ist Zeitverschwendung, wenn Sie niemanden alarmieren werden.

en: When a particular attack has been detected, most intrusion detection tools will either log the event with <command>syslogd</command> or send e-mail to the root user (the mail recipient is usually configurable). An administrator has to properly configure the tools so that false positives do not trigger alerts. Alerts may also indicate an ongoing attack and might not be useful, say, one day later, since the attack might have already succeeded. So be sure that there is a proper policy on handling alerts and that the technical mechanisms to implement this policy are in place.
de: Wenn ein bestimmter Angriff entdeckt worden ist, werden die meisten Programme zur Eindringlingserkennung entweder den Vorfall mit <command>syslog</command> protokollieren oder E-Mails an Root schicken (der Empfänger der E-Mails kann normalerweise eingestellt werden). Ein Administrator muss die Programme passend konfigurieren, so dass falsche Positivmeldungen keinen Alarm auslösen. Alarme können auf einen laufenden Angriff hindeuten und wären später &ndash; sagen wir mal am nächsten Tag &ndash; nicht mehr nützlich, da der Angriff dann bereits erfolgreich beendet worden sein könnte. Stellen Sie also sicher, dass es eine passende Regelung über die Handhabung von Alarmen gibt, und dass technische Maßnahmen zur Umsetzung dieser Regelung vorhanden sind.

en: An interesting source of information is <ulink name="CERT's Intrusion Detection Checklist" url="http://www.cert.org/tech_tips/intruder_detection_checklist.html" />
de: Eine interessante Quelle für Informationen ist <ulink url="http://www.cert.org/tech_tips/intruder_detection_checklist.html" name="CERT's Intrusion Detection Checklist" />.

en: Network based intrusion detection
de: Netzwerkbasierte Eindringlingserkennung

en: Network based intrusion detection tools monitor the traffic on a network segment and use this information as a data source. Specifically, the packets on the network are examined, and they are checked to see if they match a certain signature.
de: Programme, die der netzwerkbasierten Eindringlingserkennung dienen, überwachen den Verkehr eines Netzwerkabschnitts und arbeiten auf Grundlage dieser Daten. Genauer ausgedrückt, es werden die Pakete im Netzwerk untersucht, um festzustellen, ob sie mit bestimmten Merkmalen übereinstimmen.

en: <package>snort</package> is a flexible packet sniffer or logger that detects attacks using an attack signature dictionary. It detects a variety of attacks and probes, such as buffer overflows, stealth port scans, CGI attacks, SMB probes, and much more. <command>snort</command> also has real-time alerting capability. You can use <command>snort</command> for a range of hosts on your network as well as for your own host. This is a tool which should be installed on every router to keep an eye on your network. Just install it with <literal>apt-get install snort</literal>, follow the questions, and watch it log. For a little broader security framework, see <ulink name="Prelude" url="http://www.prelude-ids.org" />.
de: <application>snort</application> ist ein vielseitiger Paketschnüffler und -logger, der Angriffe mit Hilfe einer Bibliothek von Angriffssignaturen erkennt. Es erkennt eine breite Palette von Angriffen und Tests, wie zum Beispiel Pufferüberläufe, verdecktes Abtasten von Ports (stealth port scans), CGI Angriffe, SMB Tests und vieles mehr. <command>snort</command> hat auch die Fähigkeit, einen zeitnahen Alarm auszulösen. Dies ist ein Werkzeug, das auf jedem Router installiert werden sollte, um ein Auge auf Ihr Netzwerk zu haben. Installieren Sie es einfach mit <literal>apt-get install snort</literal>, beantworten Sie die Fragen und beobachten Sie die Protokolle. Für einen etwas breiteren Sicherheitsrahmen sollten Sie sich <ulink url="http://www.prelude-ids.org" name="Prelude" /> ansehen.

en: Debian's <package>snort</package> package has many security checks enabled by default. However, you should customize the setup to take into account the particular services you run on your system. You may also want to seek additional checks specific to these services.
de: Debians Paket <application>snort</application> hat viele Sicherheitstests standardmäßig eingeschaltet. Jedoch sollten Sie die Konfiguration anpassen, um die Dienste, die auf Ihrem System laufen, zu berücksichtigen. Sie können auch zusätzliche Tests speziell für diese Dienste nutzen.

en: There are other, simpler tools that can be used to detect network attacks. <package>portsentry</package> is an interesting package that can tip you off to port scans against your hosts. Other tools like <package>ippl</package> or <package>iplogger</package> will also detect some IP (TCP and ICMP) attacks, even if they do not provide the kind of advanced techniques <command>snort</command> does.
de: Es gibt noch andere, einfachere Werkzeuge, die dazu benutzt werden können, Angriffe auf das Netzwerk zu erkennen. <application>portsentry</application> ist ein interessantes Paket, das Sie warnen kann, wenn jemand Ihre Rechner scannt. Auch andere Programme wie <application>ippl</application> oder <application>iplogger</application> erkennen bestimmte IP (TCP und ICMP) Angriffe, auch wenn sie nicht so fortgeschrittene Techniken zur Erkennung von Netzwerkangriffen wie <command>snort</command> bieten.

en: You can test any of these tools with the Debian package <package>idswakeup</package>, a shell script which generates false alarms, and includes many common attack signatures.
de: Sie können jedes dieser Werkzeuge mit dem Paket <command>idswakeup</command> testen. Das ist ein Shell-Skript, das falsche Alarme verursacht und Signaturen vieler gebräuchlicher Angriffe enthält.

en: Host based intrusion detection
de: Hostbasierte Eindringlingserkennung

en: Host based intrusion detection involves loading software on the system to be monitored which uses log files and/or the systems auditing programs as a data source. It looks for suspicious processes, monitors host access, and may even monitor changes to critical system files.
de: Eine Eindringlingserkennung, die auf einem Host basiert, beruht darauf, Software auf dem zu überwachenden System zu laden, die Protokolldateien und die Überwachungsprogramme des Systems als Datengrundlage verwendet. Sie sucht nach verdächtigen Prozessen, kontrolliert den Zugang zum Host und überwacht u.U. auch Änderungen an kritischen Systemdateien.

en: <package>tiger</package> is an older intrusion detection tool which has been ported to Debian since the Woody branch. <command>tiger</command> provides checks of common issues related to security break-ins, like password strength, file system problems, communicating processes, and other ways root might be compromised. This package includes new Debian-specific security checks including: MD5sums checks of installed files, locations of files not belonging to packages, and analysis of local listening processes. The default installation sets up <command>tiger</command> to run each day, generating a report that is sent to the superuser about possible compromises of the system.
de: <application>tiger</application> ist ein älteres Programm zur Eindringlingserkennung, dass seit der Woody-Distribution auf Debian portiert wurde. <command>tiger</command> bietet Tests von verbreiteten Problemen in Zusammenhang mit Einbrüchen, wie der Stärke von Passwörtern, Problemen mit dem Dateisystem, kommunizierenden Prozessen und anderen Möglichkeiten, mit denen Root kompromittiert werden könnte. Dieses Paket umfasst neue, debianspezifische Sicherheitstests, einschließlich der MD5-Summen von installierten Programmen, des Orts von Dateien, die zu keinem Paket gehören und einer Analyse von lokalen lauschenden Prozessen. Die Standardinstallation lässt <command>tiger</command> einmal am Tag laufen und einen Bericht erstellen, der an den Superuser geschickt wird und Informationen zu möglichen Kompromittierungen enthält.

en: Log analysis tools, such as <package>logcheck</package> can also be used to detect intrusion attempts. See <xref linkend="custom-logcheck" />.
de: Programme zur Protokollanalyse, wie zum Beispiel <application>logcheck</application>, können zusätzliche benutzt werden, um Einbruchsversuche zu erkennen. Siehe <xref linkend="custom-logcheck" />.

en: In addition, packages which monitor file system integrity (see <xref linkend="check-integ" />) can be quite useful in detecting anomalies in a secured environment. It is most likely that an effective intrusion will modify some files in the local file system in order to circumvent local security policy, install Trojans, or create users. Such events can be detected with file system integrity checkers.
de: Daneben können Pakete, welche die Integrität des Dateisystems überwachen (siehe <xref linkend="check-integ" />), sehr nützlich sein, um Anomalien in einer abgesicherten Umgebung zu erkennen. Ein erfolgreicher Einbruch wird höchstwahrscheinlich Dateien auf dem lokalen Dateisystem verändern, um die lokalen Sicherheitsrichtlinien zu umgehen, Trojaner zu installieren oder Benutzer zu erstellen. Solche Ereignisse können mit Prüfwerkzeugen der Dateisystemintegrität erkannt werden.

en: Avoiding root-kits
de: Vermeiden von Root-Kits

en: Loadable Kernel Modules (LKM)
de: Ladbare Kernel-Module (LKM)

en: Loadable kernel modules are files containing dynamically loadable kernel components used to expand the functionality of the kernel. The main benefit of using modules is the ability to add additional devices, like an Ethernet or sound card, without patching the kernel source and recompiling the entire kernel. However, crackers are now using LKMs for root-kits (knark and adore), opening up back doors in GNU/Linux systems.
de: Ladbare Kernel-Module sind Dateien, die nachladbare Teile des Kernels enthalten. Sie werden dazu verwendet, die Funktionalität des Kernel zu erweitern. Der Hauptnutzen des Einsatzes von Modulen liegt darin, dass Sie zusätzliche Geräte wie eine Ethernet- oder Soundkarte hinzuzufügen können, ohne dass die Kernelquelle gepatcht und der gesamte Kernel neu übersetzt werden müsste. Allerdings können Cracker LKMs für Root-Kits (knark und adore) benutzen, um auf GNU/Linux Systemen Hintertüren zu öffnen.

en: LKM back doors are more sophisticated and less detectable than traditional root-kits. They can hide processes, files, directories and even connections without modifying the source code of binaries. For example, a malicious LKM can force the kernel into hiding specific processes from <filename>procfs</filename>, so that even a known good copy of the binary <command>ps</command> would not list accurate information about the current processes on the system.
de: LKM-Hintertüren sind ausgeklügelter und schwere zu entdecken als traditionelle Root-Kits. Sie können Prozesse, Dateien, Verzeichnisse und sogar Verbindungen verstecken, ohne den Quellcode der Programme verändern zu müssen. Zum Beispiel kann ein bösartiges LKM den Kernel dazu zwingen, bestimmte Prozesses vor <filename>procfs</filename> zu verstecken, so dass nicht einmal eine unmanipulierte Kopie des Programms <command>ps</command> alle Informationen über die aktuellen Prozesse korrekt auflisten.

en: Detecting root-kits
de: Erkennen von Root-Kits

en: There are two approaches to defending your system against LKM root-kits, a proactive defense and a reactive defense. The detection work can be simple and painless, or difficult and tiring, depending on the approach taken.
de: Es gibt zwei Herangehensweisen, um Ihr System gegen LKM-Root-Kits zu verteidigen: die aktive Verteidigung und die reaktive Verteidigung. Die Sucharbeit kann einfach und schmerzlos sein oder schwierig und ermüdend, ganz abhängig von der Maßnahme, die Sie ergreifen.

en: Proactive defense
de: Proaktive Verteidigung

en: The advantage of this kind of defense is that it prevents damage to the system in the first place. One such strategy is <emphasis>getting there first</emphasis>, that is, loading an LKM designed to protect the system from other malicious LKMs. A second strategy is to remove capabilities from the kernel itself. For example, you can remove the capability of loadable kernel modules entirely. Note, however, that there are rootkits which might work even in this case, there are some that tamper with <filename>/dev/kmem</filename> (kernel memory) directly to make themselves undetectable.
de: Der Vorteil dieser Art der Verteidigung ist, dass schon verhindert wird, dass das System Schaden nimmt. Eine mögliche Strategie ist, <emphasis>das Ziel als Erster zu erreichen</emphasis>, also ein LKM zu laden, das dazu da ist, das System vor anderen böswilligen LKMs zu schützen. Eine andere Maßnahme ist es, dem Kernel Fähigkeiten zu entziehen. Zum Beispiel können Sie aus dem Kernel vollständig die Fähigkeit von ladbaren Kernel-Modulen entfernen. Beachten Sie allerdings, dass es Root-Kits gibt, die selbst in diesen Fällen funktionieren. Es gibt auch welche, die direkt <filename>/dev/kmem</filename> (Kernelspeicher) manipulieren, um sich zu verstecken.

en: Debian GNU/Linux has a few packages that can be used to mount a proactive defense:
de: Debian GNU/Linux hat ein paar Pakete, die dazu verwendet werden können, eine aktive Verteidigung aufzusetzen:

en: <package>lcap</package> - A user friendly interface to remove <emphasis>capabilities</emphasis> (kernel-based access control) in the kernel, making the system more secure. For example, executing <literal>lcap CAP_SYS_MODULE</literal> <footnote><para> There are over 28 capabilities including: <literal>CAP_BSET</literal>, <literal>CAP_CHOWN</literal>, <literal>CAP_FOWNER</literal>, <literal>CAP_FSETID</literal>, <literal>CAP_FS_MASK</literal>, <literal>CAP_FULL_SET</literal>, <literal>CAP_INIT_EFF_SET</literal>, <literal>CAP_INIT_INH_SET</literal>, <literal>CAP_IPC_LOCK</literal>, <literal>CAP_IPC_OWNER</literal>, <literal>CAP_KILL</literal>, <literal>CAP_LEASE</literal>, <literal>CAP_LINUX_IMMUTABLE</literal>, <literal>CAP_MKNOD</literal>, <literal>CAP_NET_ADMIN</literal>, <literal>CAP_NET_BIND_SERVICE</literal>, <literal>CAP_NET_RAW</literal>, <literal>CAP_SETGID</literal>, <literal>CAP_SETPCAP</literal>, <literal>CAP_SETUID</literal>, <literal>CAP_SYS_ADMIN</literal>, <literal>CAP_SYS_BOOT</literal>, <literal>CAP_SYS_CHROOT</literal>, <literal>CAP_SYS_MODULE</literal>, <literal>CAP_SYS_NICE</literal>, <literal>CAP_SYS_PACCT</literal>, <literal>CAP_SYS_PTRACE</literal>, <literal>CAP_SYS_RAWIO</literal>, <literal>CAP_SYS_RESOURCE</literal>, <literal>CAP_SYS_TIME</literal>, and <literal>CAP_SYS_TTY_CONFIG</literal>. All of them can be de-activated to harden your kernel. </para></footnote> will remove module loading capabilities (even for the root user).<footnote><para> You don't need to install <package>lcap</package> to do this, but it's easier than setting <filename>/proc/sys/kernel/cap-bound</filename> by hand. </para></footnote> There is some (old) information on capabilities at Jon Corbet's <ulink name="Kernel development" url="http://lwn.net/1999/1202/kernel.php3" /> section on LWN (dated December 1999).
de: <application>lcap</application> - eine benutzerfreundliche Schnittstelle, um dem Kernel <emphasis>Fähigkeiten</emphasis> zu entziehen (kernelbasierte Zugriffskontrolle), um das System sicherer zu machen. Beispielsweise wird das Ausführen von <literal>lcap CAP_SYS_MODULE</literal> <footnote><para> Es gibt über 28 Fähigkeiten einschließlich <literal>CAP_BSET</literal>, <literal>CAP_CHOWN</literal>, <literal>CAP_FOWNER</literal>, <literal>CAP_FSETID</literal>, <literal>CAP_FS_MASK</literal>, <literal>CAP_FULL_SET</literal>, <literal>CAP_INIT_EFF_SET</literal>, <literal>CAP_INIT_INH_SET</literal>, <literal>CAP_IPC_LOCK</literal>, <literal>CAP_IPC_OWNER</literal>, <literal>CAP_KILL</literal>, <literal>CAP_LEASE</literal>, <literal>CAP_LINUX_IMMUTABLE</literal>, <literal>CAP_MKNOD</literal>, <literal>CAP_NET_ADMIN</literal>, <literal>CAP_NET_BIND_SERVICE</literal>, <literal>CAP_NET_RAW</literal>, <literal>CAP_SETGID</literal>, <literal>CAP_SETPCAP</literal>, <literal>CAP_SETUID</literal>, <literal>CAP_SYS_ADMIN</literal>, <literal>CAP_SYS_BOOT</literal>, <literal>CAP_SYS_CHROOT</literal>, <literal>CAP_SYS_MODULE</literal>, <literal>CAP_SYS_NICE</literal>, <literal>CAP_SYS_PACCT</literal>, <literal>CAP_SYS_PTRACE</literal>, <literal>CAP_SYS_RAWIO</literal>, <literal>CAP_SYS_RESOURCE</literal>, <literal>CAP_SYS_TIME</literal> und <literal>CAP_SYS_TTY_CONFIG</literal>. Alle können deaktiviert werden, um Ihren Kernel abzuhärten. </para></footnote> die Fähigkeit der ladbaren Module entfernen (sogar für Root).<footnote><para> Um dies tun zu können, müssen Sie nicht <application>lcap</application> installieren, aber damit ist es einfacher, als von Hand <filename>/proc/sys/kernel/cap-bound</filename> anzupassen. </para></footnote> Weitere (etwas ältere) Informationen zu Kernelfähigkeiten finden Sie in Jon Corbets Abschnitt <ulink url="http://lwn.net/1999/1202/kernel.php3" name="Kernel development" /> auf LWN vom Dezember 1999.

en: If you don't really need many kernel features on your GNU/Linux system, you may want to disable loadable modules support during kernel configuration. To disable loadable module support, just set CONFIG_MODULES=n during the configuration stage of building your kernel, or in the <filename>.config</filename> file. This will prevent LKM root-kits, but you lose this powerful feature of the Linux kernel. Also, disabling loadable modules can sometimes overload the kernel, making loadable support necessary.
de: Wenn Sie diese vielen Möglichkeiten auf Ihrem GNU/Linux System nicht wirklich brauchen, sollten Sie die Unterstützung für ladbare Module während der Konfiguration des Kernels abschalten. Das erreichen Sie, indem Sie einfach CONFIG_MODULES=n während des Konfiguration Ihres Kernels oder in der Datei <filename>.config</filename> festsetzen. So werden LKM-Root-Kits vermieden, aber Sie verlieren eine leistungsfähige Eigenschaft des Linux-Kernels. Außerdem kann das Abschalten der nachladbaren Module den Kernel überladen, so dass die Unterstützung ladbarer Module notwendig wird.

en: Reactive defense
de: Reaktive Verteidigung

en: The advantage of a reactive defense is that it does not overload system resources. It works by comparing the system call table with a known clean copy in a disk file, <filename>System.map</filename>. Of course, a reactive defense will only notify the system administrator after the system has already been compromised.
de: Der Vorteil reaktiver Verteidigung ist, dass sie die Systemressourcen nicht überlädt. Sie funktioniert durch das Vergleichen von einer Tabelle der Systemaufrufe mit einer bekanntermaßen sauberen Kopie (<filename>System.map</filename>). Eine reaktive Verteidigung kann den Systemadministrator natürlich nur benachrichtigen, wenn das System bereits kompromittiert wurde.

en: Detection of some root-kits in Debian can be accomplished with the <package>chkrootkit</package> package. The <ulink name="Chkrootkit" url="http://www.chkrootkit.org" /> program checks for signs of several known root-kits on the target system, but is not a definitive test.
de: Die Entdeckung von Root-Kits vollbringt unter Debian <application>chkrootkit</application>. Das Programm <ulink name="Chkrootkit" url="http://www.chkrootkit.org" /> prüft Anzeichen von bekannten Root-Kits auf dem Zielsystem. Es ist aber kein völlig sicherer Test.

en: Genius/Paranoia Ideas - what you could do
de: Geniale/paranoide Ideen &mdash; was Sie tun können

en: This is probably the most unstable and funny section, since I hope that some of the "duh, that sounds crazy" ideas might be realized. The following are just some ideas for increasing security - maybe genius, paranoid, crazy or inspired depending on your point of view.
de: Dies ist wahrscheinlich der unsicherste und lustigste Abschnitt, da ich hoffe, dass manche der »Wow, das klingt verrückt«-Ideen umgesetzt werden. Im Folgenden werden nur ein paar Ideen vorgestellt, wie Sie Ihre Sicherheit erhöhen können &mdash; abhängig von Ihrem Standpunkt aus können Sie sie für genial, paranoid, verrückt oder sicher halten.

en: Playing around with Pluggable Authentication Modules (PAM). As quoted in the Phrack 56 PAM article, the nice thing about PAM is that "You are limited only by what you can think of." It is true. Imagine root login only being possible with fingerprint or eye scan or cryptocard (why did I use an OR conjunction instead of AND?).
de: Mit Pluggable Authentication Modules (PAM) herum spielen. Wie in einem phrack 56 Artikel geschrieben wurde, ist das Schöne an PAM, dass »Ihrer Fantasie keine Grenzen gesetzt sind.« Das stimmt. Stellen Sie sich vor, Root kann sich nur mit einen Fingerabdruck oder Abtastung des Auges oder einer Kryptokarte einloggen (warum habe ich hier nur »oder« und nicht »und« gesagt?).

en: Fascist Logging. I would refer to all the previous logging discussion above as "soft logging". If you want to perform real logging, get a printer with fanfold paper, and send all logs to it. Sounds funny, but it's reliable and it cannot be tampered with or removed.
de: Faschistisches Protokollieren. Ich würde sagen, dass alles, was wir bisher über Protokollieren besprochen haben, unter »weiches Loggen« fällt. Wenn Sie echtes Protokollieren betreiben wollen, besorgen Sie sich einen Drucker mit Endlos-Papier und schicken ihm alle Protokolle. Hört sich lustig an, ist aber zuverlässig und kann nicht manipuliert oder entfernt werden.

en: CD distribution. This idea is very easy to realize and offers pretty good security. Create a hardened Debian distribution, with proper firewall rules. Turn it into a boot-able ISO image, and burn it on a CDROM. Now you have a read-only distribution, with about 600 MB space for services. Just make sure all data that should get written is done over the network. It is impossible for intruders to get read/write access on this system, and any changes an intruder does make can be disabled with a reboot of the system.
de: CD-Distribution. Diese Idee ist sehr leicht zu realisieren und bewirkt ganz gute Sicherheit. Erstellen Sie eine abgesicherte Debian-Distribution mit passenden Firewall-Regeln. Erstellen Sie davon ein bootbares ISO-Image und brennen Sie es auf eine CD-ROM. Jetzt haben Sie eine nur lesbare Distribution mit etwa 600 MB Speicherplatz für Dienste. Stellen Sie lediglich sicher, dass alle Daten, die geschrieben werden sollen, übers Netz geschrieben werden. Für einen Eindringling ist es unmöglich, Schreibzugriff auf diesem System zu erhalten. Alle Änderungen, die ein Eindringling vornimmt, werden mit einem Neustart des Systems rückgängig gemacht.

en: Switch module capability off. As discussed earlier, when you disable the usage of kernel modules at kernel compile time, many kernel based back doors are impossible to implement because most are based on installing modified kernel modules.
de: Schalten Sie die Modul-Fähigkeiten des Kernels ab. Wenn Sie die Nutzung von Kernel-Modulen während der Kernel-Kompilierung abschalten, werden viele kernelbasierte Hintertüren nicht einsetzbar, da die meisten von ihnen darauf beruhen, modifizierte Kernel-Module zu installieren (siehe oben).

en: Logging through serial cable (contributed by Gaby Schilders). As long as servers still have serial ports, imagine having one dedicated logging system for a number of servers. The logging system is disconnected from the network, and connected to the servers via a serial-port multiplexer (Cyclades or the like). Now have all your servers log to their serial ports, write only. The log-machine only accepts plain text as input on its serial ports and only writes to a log file. Connect a CD/DVD-writer, and transfer the log file to it when the log file reaches the capacity of the media. Now if only they would make CD writers with auto-changers... Not as hard copy as direct logging to a printer, but this method can handle larger volumes and CD-ROMs use less storage space.
de: Protokollieren über ein serielles Kabel (von Gaby Schilders). So lange Server immer noch serielle Schnittstellen haben: Stellen Sie sich ein Protokollsystem für eine Anzahl von Servern vor. Es ist vom Netz abgeschnitten und mit den Servern über einen Multiplexer für serielle Schnittstellen (Cyclades oder ähnliches) verbunden. Jetzt sollen alle Ihre Server die Protokolle an ihre serielle Schnittstelle schicken, einfach nur hinschreiben. Die Protokollmaschine akzeptiert nur einfachen Text als Eingabe auf ihrer seriellen Schnittstelle und schreibt ihn lediglich in eine Protokolldatei. Schließen Sie einen CD- oder DVD-Brenner an. Brennen Sie die Protokolldatei, wenn sie die Größe des Mediums erreicht hat. Wenn es jetzt nur noch CD-Brenner mit automatischem Medien-Wechsel gäbe ... Nicht so dauerhaft gespeichert wie ein Ausdruck, aber mit dieser Methode kann man größere Mengen handhaben und die CD-ROMs nehmen nicht so viel Platz weg.

en: Change file attributes using <command>chattr</command> (taken from the Tips-HOWTO, written by Jim Dennis). After a clean install and initial configuration, use the <command>chattr</command> program with the <literal>+i</literal> attribute to make files unmodifiable (the file cannot be deleted, renamed, linked or written to). Consider setting this attribute on all the files in <filename>/bin</filename>, <filename>/sbin/</filename>, <filename>/usr/bin</filename>, <filename>/usr/sbin</filename>, <filename>/usr/lib</filename> and the kernel files in root. You can also make a copy of all files in <filename>/etc/</filename>, using <command>tar</command> or the like, and mark the archive as immutable.
de: Ändern Sie die Dateiattribute mit <command>chattr</command> (dem Tipps-HOWTO von Jim Dennis entnommen). Nachdem Sie Ihr System sauber installiert und konfiguriert haben, verwenden Sie das Programm <command>chattr</command> mit dem Attribut <literal>+i</literal>, um Dateien unveränderbar zu machen (die Datei kann nicht gelöscht, umbenannt, verlinkt oder beschrieben werden). Sie sollten dieses Attribut für alle Dateien in <filename>/bin</filename>, <filename>/sbin/</filename>, <filename>/usr/bin</filename>, <filename>/usr/sbin</filename>, <filename>/usr/lib</filename> und den Kerneldateien in root. Sie können auch eine Kopie aller Dateien in <filename>/etc/</filename> mit <command>tar</command> oder dergleichen erstellen und das Archiv als unveränderbar kennzeichnen.

en: This strategy will help limit the damage that you can do when logged in as root. You won't overwrite files with a stray redirection operator, and you won't make the system unusable with a stray space in a <command>rm -fr</command> command (you might still do plenty of damage to your data - but your libraries and binaries will be safer).
de: Mit dieser Vorgehensweise können Sie den Schaden zu begrenzen, den Sie anrichten können, wenn Sie als Root eingeloggt sind. Sie können nicht mehr Dateien mit einer fehlgeleiteten Umleitung überschreiben oder Ihr System durch ein fehlplatziertes Leerzeichen im Kommando <command>rm -fr</command> unbenutzbar machen (Sie können aber Ihren Daten immer noch einigen Schaden zufügen &ndash; aber Ihre Bibliotheken und Programme sind sicherer).

en: This strategy also makes a variety of security and denial of service (DoS) exploits either impossible or more difficult (since many of them rely on overwriting a file through the actions of some SETUID program that <emphasis>isn't providing an arbitrary shell command</emphasis>).
de: Dies macht auch verschiedene Sicherheits- und Denial-of-Service (DoS) Exploits entweder unmöglich oder weitaus schwieriger (da viele von ihnen darauf beruhen, Dateien durch Aktionen eines SETUID-Programms zu überschreiben, das <emphasis>keinen frei wählbaren Shellbefehl zur Verfügung stellt</emphasis>.<!-- SB (20050313): Was will uns das sagen? "that <emphasis>isn't providing an arbitrary shell command</emphasis>" -->

en: One inconvenience of this strategy arises during building and installing various system binaries. On the other hand, it prevents the <command>make install</command> from over-writing the files. When you forget to read the Makefile and <command>chattr -i</command> the files that are to be overwritten, (and the directories to which you want to add files) - the make command fails, and you just use the <command>chattr</command> command and rerun it. You can also take that opportunity to move your old bin's and libs out of the way, into a .old/ directory or tar archive for example.
de: Eine Unbequemlichkeit dieser Vorgehensweise macht sich bemerkbar, wenn Sie verschiedene Systemprogramme bauen und installieren. Auf der anderen Seite verhindert dies auch, dass <command>make install</command> die Dateien überschreibt. Wenn Sie vergessen, das Makefile zu lesen, und die Dateien, die überschrieben werden sollen, mit chattr -i behandelt haben (und die Verzeichnisse, in denen Sie neue Dateien erstellen wollen), schlägt der make-Befehl fehl. Sie müssen nur das Kommando <command>chattr</command> ausführen und make neu aufrufen. Sie können diese Gelegenheit gleich dazu benutzen, Ihre alten bin's und libs auszumisten und sie z.B. in ein .old/-Verzeichnis oder Tar-Archiv zu verschieben.

en: Note that this strategy also prevents you from upgrading your system's packages, since the files updated packages provide cannot be overwritten. You might want to have a script or other mechanism to disable the immutable flag on all binaries right before doing an <command>apt-get update</command>.
de: Beachten Sie, dass dies Sie auch daran hindert, die Pakete Ihres Systems zu aktualisieren, da die Dateien aus den Paketen nicht überschrieben werden können. Also sollten Sie vielleicht ein Skript oder einen anderen Mechanismus haben, der das immutable-Flag auf allen Dateien deaktiviert, bevor Sie ein <command>apt-get update</command> ausführen.

en: Play with UTP cabling in a way that you cut 2 or 4 wires and make the cable one-way traffic only. Then use UDP packets to send information to the destination machine which can act as a secure log server or a credit card storage system.
de: Spielen Sie mit der UTP-Verkabelung herum. Schneiden Sie dazu zwei oder vier Kabel durch und stellen ein Kabel her, das nur Verkehr in eine Richtung zulässt. Verwenden Sie dann UDP-Pakete, um Informationen an die Zielmaschine zu schicken, die ein sicherer Protokollserver oder ein System zur Speicherung von Kreditkartennummern sein kann.

en: Building a honeypot
de: Einrichten eines Honigtopfes (honeypot)

en: A honeypot is a system designed to teach system administrators how crackers probe for and exploit a system. It is a system setup with the expectation and goal that the system will be probed, attacked and potentially exploited. By learning the tools and methods employed by the cracker, a system administrator can learn to better protect their own systems and network.
de: Ein Honigtopf ist ein System, das darauf ausgelegt ist, Systemadministratoren beizubringen, wie Cracker ein System abtasten und darin einbrechen. Es ist eine Systemeinstellung mit der Erwartung und dem Zweck, dass das System abgetastet und angegriffen und möglicherweise darin eingebrochen wird. Wenn Systemadministratoren erfahren, welche Werkzeuge und Methoden Cracker anwenden, können sie daraus lernen, wie sie ihr System und Netzwerk besser schützen.

en: Debian GNU/Linux systems can easily be used to setup a honeynet, if you dedicate the time to implement and monitor it. You can easily setup the fake honeypot server as well as the firewall<footnote><para>You will typically use a bridge firewall so that the firewall itself is not detectable, see <xref linkend="bridge-fw" />.</para></footnote> that controls the honeynet and some sort of network intrusion detector, put it on the Internet, and wait. Do take care that if the system is exploited, you are alerted in time (see <xref linkend="log-alerts" />) so that you can take appropriate measures and terminate the compromise when you've seen enough. Here are some of the packages and issues to consider when setting up your honeypot:
de: Debian GNU/Linux-Systeme können leicht als Honigtopf eingerichtet werden, wenn Sie Zeit opfern, sie aufzusetzen und zu überwachen. Sie können leicht den gefälschten Server, die Firewall<footnote><para>Sie sollten typischerweise eine Bridge-Firewall einsetzen, damit die Firewall selbst nicht entdeckt werden kann. Lesen Sie mehr dazu unter <xref linkend="bridge-fw" />.</para></footnote>, die den Honigtopf überwacht, und ein Programm, das Eindringling ins Netzwerk entdecken kann, einrichten. Verbinden Sie den Honigtopf mit dem Internet und warten Sie ab. Stellen Sie sicher, dass Sie rechtzeitig alarmiert werden (siehe <xref linkend="log-alerts" />), wenn in das System eingedrungen wird, damit Sie geeignete Schritte einleiten und den Angriff beenden können, wenn Sie genug gesehen haben. Hier folgen einige Pakete und Probleme, die Sie in Betracht ziehen sollten, wenn Sie einen Honigtopf einrichten:

en: The firewall technology you will use (provided by the Linux kernel).
de: die Firewall-Technologie, die Sie verwenden (verfügbar durch den Linux-Kernel)

en: <package>syslog-ng</package>, useful for sending logs from the honeypot to a remote syslog server.
de: <application>syslog-ng</application>: nützlich, um Protokolle des Honigtopfs zu einem entfernen syslog-Server zu schicken

en: <package>snort</package>, to set up capture of all the incoming network traffic to the honeypot and detect the attacks.
de: <application>snort</application>, um allen eingehenden Netzwerkverkehr auf den Honigtopf mitzuschneiden und die Angriffe zu erkennen

en: <package>osh</package>, a SETUID root, security enhanced, restricted shell with logging (see Lance Spitzner's article below).
de: <application>osh</application>, eine eingeschränkte Shell mit Protokollfunktion, die unter SETUID-Root läuft und verbesserte Sicherheit hat (siehe den Artikel von Lance Spitzner weiter unten)

en: Of course, all the daemons you will be using for your fake server honeypot. Depending on what type of attacker you want to analyse you will or will <emphasis>not</emphasis> harden the honeypot and keep it up to date with security patches.
de: natürlich alle Daemons, die Sie auf dem falschen Honigtopfserver verwenden wollen: Je nachdem, welche Art von Angreifer Sie analysieren wollen, können Sie den Honigtopf abhärten und die Sicherheitsaktualisierungen einspielen (oder eben <emphasis>nicht</emphasis>).

en: Integrity checkers (see <xref linkend="check-integ" />) and The Coroner's Toolkit (<package>tct</package>) to do post-attack audits.
de: Integritätsprüfer (siehe <xref linkend="check-integ" />) und das Coroner's Toolkit (<application>tct</application>), um nach dem Angriff eine Analyse durchzuführen

en: <package>honeyd</package> and <package>farpd</package> to setup a honeypot that will listen to connections to unused IP addresses and forward them to scripts simulating live services. Also check out <package>iisemulator</package>.
de: <application>honeyd</application> und <application>farpd</application>, um einen Honigtopf einzurichten, der auf Verbindungen zu ungenutzten IP-Adressen lauscht und diese an Skripte weiterleitet, die echte Dienste simulieren. Sehen Sie sich auch <application>iisemulator</application> an.

en: <package>tinyhoneypot</package> to setup a simple honeypot server with fake services.
de: <application>tinyhoneypot</application>, um einen einfachen Honigtopf-Server mit gefälschten Diensten einzurichten

en: If you cannot use spare systems to build up the honeypots and the network systems to protect and control it you can use the virtualisation technology available in <command>xen</command> or <command>uml</command> (User-Mode-Linux). If you take this route you will need to patch your kernel with either <package>kernel-patch-xen</package> or <package>kernel-patch-uml</package>.
de: Falls Sie kein System übrig haben, um die Honigtöpfe und Systeme, die das Netzwerk schützen und kontrollieren, zu bauen, können Sie die Technologie zur Virtualisierung einsetzen, die in <command>xen</command> oder <command>uml</command> (User-Mode-Linux) enthalten ist. Wenn Sie diesen Weg wählen, müssen Sie Ihren Kernel entweder mit <application>kernel-patch-xen</application> oder <application>kernel-patch-uml</application> patchen.

en: You can read more about building honeypots in Lanze Spitzner's excellent article <ulink name="To Build a Honeypot" url="http://www.net-security.org/text/articles/spitzner/honeypot.shtml" /> (from the Know your Enemy series). Also, the <ulink name="Honeynet Project" url="http://project.honeynet.org/" /> provides valuable information about building honeypots and auditing the attacks made on them.
de: Sie können mehr über das Aufstellen eines Honigtopfs in Lanze Spitzners exzellentem Artikel <ulink url="http://www.net-security.org/text/articles/spitzner/honeypot.shtml" name="To Build a Honeypot" /> (aus der Know your Enemy Serie). Außerdem stellt das <ulink url="http://project.honeynet.org/" name="Honeynet Project" /> wertvolle Informationen über das Aufstellen von Honigtöpfen und der Analyse von Angriffen auf sie zur Verfügung.
