Deep Dive: Überlegungen zum neuen Produkt von Juniper: Cloud Workload Protection

Der Juniper Blogartikel [0] besagt, dass die Cloud Workload Protection Anwendungen vor den «OWASP Top 10» [1] Sicherheitsrisiken für Webanwendungen schützen kann. Um diese Risiken zu mindern, wird oft eine Web Application Firewall (WAF) eingesetzt. Im Datenblatt [2] wird auch erwähnt, dass das Produkt mit containerisierten Anwendungen funktioniert, und es werden verschiedene unterstützte Programmiersprachen und Laufzeiten aufgeführt. Zu meiner Überraschung sind die beliebten Sprachen Python und GO nicht in dieser Liste enthalten.

Eine weitere Eigenschaft, die dieses neue Produkt bieten soll, hat meine Aufmerksamkeit erregt: die Verhinderung von speicherbasierten Angriffen, einschliesslich solcher, die auf Pufferüberläufen und ROP-Techniken basieren. Während meiner Studienzeit habe ich mich mit einfachen Pufferüberläufen beschäftigt und glaube deshalb zu wissen, wie sie funktionieren. Vor ein paar Jahren lernte ich dann auch die ROP-Technik kennen. Todd Mortimer vom OpenBSD-Projekt härtete OpenBSD gegen diese Angriffstechnik und erklärte seine Arbeit in Vorträgen auf BSD-Konferenzen [3]. Er schrieb auch eine Abhandlung über seine Arbeit [4].

ROP steht für «Return Oriented Programming» was man auf Deutsch mit «rücksprungorientierte Programmierung» wiedergeben könnte [5]. Moderne Prozessoren und Betriebssysteme mit Unterstützung für das NX-Bit [6] können verhindern, dass ein Angreifer Code ausführt, den er eingeschleust hat. Das NX-Bit sorgt dafür, dass Speicherseiten, die beschreibbar sind, nicht ausgeführt werden können. Um dies zu umgehen, verwenden Angreifer Codefunktionen, die bereits im Speicher vorhanden sind. Dann ketten sie diese Funktionen (Gadgets genannt) aneinander - in der Regel mit dem Ziel, sich eine Shell zu verschaffen, mit der sie das System kontrollieren können. Damit dies funktioniert, muss ein Angreifer in der Lage sein, den Stack zu ändern und den Kontrollfluss des Programms zu manipulieren. Das Auffinden von Gadgets im Speicher ist nicht schwer, da gute Tools für diesen Zweck leicht zu finden sind. Die Verteidigungsmethode, die Todd Mortimer in OpenBSD angewendet hat, reduziert die Anzahl der Gadgets erheblich.

Vor diesem Hintergrund war ich gespannt zu erfahren, welche Methode Juniper verwendet, um ROP-basierte Angriffe zu stoppen. Aber ich wurde enttäuscht: Ich konnte keine technische Dokumentation auf Junipers Website finden. Es sieht so aus, als ob das Juniper Marketingteam schneller ist, als die Autoren der technischen Dokumentation.

Bei der weiteren Suche bin ich über einen Artikel auf packetpushers.net [7] gestossen. Das Juniper Cloud-Workload-Protection-Produkt ist eigentlich nicht von Juniper, sondern von deren Partner K2 Cyber Security [8]. Anscheinend hat Juniper die Integration von vSRX mit der K2-Lösung im März 2021 demonstriert [9]. Auch auf der K2-Website fand ich aber keine technische Dokumentation. Allerdings bietet K2 einige Whitepapers, Webinare und Videos an. Die meisten dieser Materialien können nur registrierte Benutzer anschauen. Die kurzen Einführungsvideos sind jedoch ohne Hindernisse zugänglich.

So habe ich mich auf der K2-Website für die 30-tägige Testversion registriert und nach ein paar Tagen und einigen E-Mails Zugang erhalten. Ich bekam ein Konto auf der webbasierten Manageranwendung von K2. Dort fand ich auch eine Installationsanleitung. Ich entschied mich für die VM/Node-Variante, die Docker benötigt, um den Agenten in einem Container auszuführen.