Wie ist es möglich bei einem Programm unerlaubte Datentransfers zu überprüfen

Hi !

Mal die App im Process Explorer angeschaut welche Ports angesprochen werden?

mrtux

Hallo Stefan!

Alternativ zu Wireshark eventuell das hier (einfach klein): http://technet.microsoft.com/de-de/sysinternals/bb897437.aspx

Gruß Dieter

Hi !


Ups, sorry habe die zwei Wochen doch glatt überlesen...TCPView musst Du dann aber auch immer mitlaufen lassen...Ob der Kunde da mitspielt?

mrtux

Wenn die Software nach Hause telefoniert dann wahrscheinlich zu einem Host oder einer IP Adresse.
In dem Fall kannst du dir mit dem strings Tool von sysinternals einfach mal alle Strings auflisten und gucken ob du was passendes findest.
Danach kann man sich dann mit Wireshark auf die Lauer legen.

Hi !


Jep! Gute Idee aber nur wenn kein Exe-Packer eingesetzt wurde und wenn die Firma wirklich was zu verbergen hat, dann fliegt der Wireshark Prozess schneller aus dem Speicher als Du gucken kannst...Alles schon gehabt, die Firma nannte das damals Lizenzschutz... Darum Wireshark besser auf einen anderen Rechner und den Port spiegeln oder einen alten Hub einsetzen.

mrtux

Hallo,

Tools, die die Netzwerkverbindungen nach Prozess/Exe auflisten sind zwar praktisch, in dem Fall aber nicht zuverlässig. Eine Exe muss nicht direkt in's Internet gehen, sondern kann dazu sehr einfach andere Komponenten Verwenden. Z.B. die svchost.exe - auf die Art bekommst du es nie raus.
Wozu benötigt denn ein Rechner in einer Arztpraxis Internet? Das ist doch eher ein unnötiges Sicherheitsloch, denke ich. Personal Firewalls sind zwar gelgentlich als "unsicher" verschrien, aber i.A. kann man hier schon zuverlässig nur bestimmten Programmen den Internetzugang erlauben, sprich: ein Whitelisting umsetzen. Gegen besonders geschickte Tarntechniken hilft auch das nicht, aber okay... Wenn auf dem Rechner nicht gerade im Internet gesurft wird kann man auch mal eine Woche einen Sniffer mitlaufen lassen, mit einem Caputre-Filter auf DNS-Traffic - das halte ich für relativ zuverlässig (natürlich auch nicht unbedingt einfach auszuwerten) (vielleicht kann hier sogar der DNS-Server des Routers ein Log erstellen, dass ist dann deutlich einfacher zu handhaben).

Aber daneben: Daraus, dass in einer DB (scheinbar) weniger Daten abgelegt zu werden zu schließen, dass die Software diese heimlich in DBs verschiebt, wo sie einfacher abzuziehen sind halte ich für _sehr_ gewagt. Die Verteilung von Daten auf Datenbanken ist meist ziemlich tief im Programmcode... Und alleine schon zu ermitteln, dass eine DB leichter auszuspionieren ist als eine andere ist kaum als automatische Funktion implementiert, sondern würde Personaleinsatz erfordern. Welche Motiviation könnte es für den Hersteller geben, hier so viel Aufwand reinzustecken? Das durch Maintenance-Tasks auch mal Datensätze gelöscht werden ist eher üblich. Warum sind die anderen DBs eigentlich "offen" (was auch immer das eigentlich heißen soll)?

Gruß

Filipp

[quote]
Mir fallen nur zwei Möglichkeiten ein.
Eine richtige Firewall oder WireShark.
[/quote]

Also bei einem Arzt wäre eine RICHTIGE Firewall schonmal generell kein schlechter Schritt! Was passiert denn wenn der Doc nicht nur Daten an den Hersteller schickt - sondern auch seine Patientendaten an nem Server im Web?

Nen Arzt-PC hat imo. NIEMALS etwas ohne Firewall am Netz zu suchen - und nichtmal dann ohne Proxy der da ganz rigoros alles schädliche (soweit möglich) blockt! Die Jungs gehen mit zimlich vertraulichen Daten um - und wenn die meinen die müssen da die Arbeits-PCs am Web haben dann bitte auch richtig!