Informationen für URZ-Nutzer, in dieser Ausgabe speziell zur Umstellung der Systemsoftware zentral administrierter Computer sowie zu Sicherheitsfragen für Webserver und E-Mail

Aktuelle Softwaresysteme erlauben die verteilte Authentifizierung von Benutzern über Ver-zeichnisdienste, die sowohl im Intranet als auch im Extranet liegen und die über Domänen-grenzen hinweg die Kooperation mit Partnern ermöglichen. Der nächste Schritt ist es nun, die Autorisierung ebenfalls aus der lokalen Anwendung auszulagern und diese extern durchzu-führen – vorzugsweise unter dem Einfluss der Authentifizierungspartner. Basierend auf der Analyse des State-of-the-Art wird in dieser Arbeit ein Framework vorges-tellt, das die verteilte Autorisierung von ADFS (Active Directory Federation Services) authenti-fizierten Benutzern auf Basis ihrer Gruppen oder ihrer persönlichen Identität ermöglicht. Es wird eine prototypische Implementation mit Diensten entwickelt, die für authentifizierte Be-nutzer Autorisierungsanfragen extern delegieren, sowie ein Dienst, der diese Autorisierungs-anfragen verarbeitet. Zusätzlich zeigt die Arbeit eine Integration dieses Autorisierungs-Frameworks in das .NET Framework, um die praxistaugliche Verwendbarkeit in einer aktuel-len Entwicklungsumgebung zu demonstrieren. Abschließend wird ein Ausblick auf weitere Fragestellungen und Folgearbeiten gegeben. / Current software systems allow distributed authentication of users using directory services, which are located both in the intranet and in the extranet, to establish cooperation with part-ners over domain boundaries. The next step is to outsource the authorization out of the local applications and to delegate the authorization decisions to external parties. In particular the authorization request is back delegated to the authentication partner. Based on an analysis of the state of the art this paper presents a framework which allows the distributed authorisation of ADFS authenticated users. The authorization decisions are based on the user’s identity and groups. In this work there will be developed a prototypical imple-mentation of services which are capable of delegating authorization requests. Additionally, this work points out the integration of these services into the .NET framework to demonstrate the usability in a modern development environment. Finally there will be a prospect of further questions and work.

Master’s thesis discusses the design and implementation of network infrastructure for computer laboratory in Department of Communications. Thesis focuses on VLAN definitions and deployment of server virtualization, including network monitoring station.

Cyberattacker utgör ett stort hot för dagens företag och organisationer, med engenomsnittlig kostnad för ett intrång på ca 3,86 miljoner USD. För att minimera kostnaden av ett intrång är det viktigt att detektera intrånget i ett så tidigt stadium som möjligt. Avancerande långvariga hot (APT) är en sofistikerad cyberattack som har en lång närvaro i offrets nätverk. Efter attackerarens första intrång kommer fokuset av attacken skifta till att få kontroll över så många enheter som möjligt på nätverket. Detta steg kallas för lateral rörelse och är ett av de mest kritiska stegen i en APT. Syftet med denna uppsats är att undersöka hur och hur väl lateral rörelse kan upptäckas med hjälp av en maskininlärningsmetod. I undersökningen jämförs och utvärderas fem maskininlärningsalgoritmer med upprepad korsvalidering följt av statistisk testning för att bestämma vilken av algoritmerna som är bäst. Undersökningen konkluderar även vilka attributer i det undersökta datasetet som är väsentliga för att detektera laterala rörelser. Datasetet kommer från en Active Directory domänkontrollant där datasetets attributer är skapade av korrelerade loggar med hjälp av datornamn, IP-adress och användarnamn. Datasetet består av en syntetisk, samt, en verklig del vilket skapar ett semi-syntetiskt dataset som innehåller ett multiklass klassifierings problem. Experimentet konkluderar att all fem algoritmer klassificerar rätt med en pricksäkerhet (accuracy) på 0.998. Algoritmen RF presterar med den högsta f-measure (0.88) samt recall (0.858), SVM är bäst gällande precision (0.972) och DT har denlägsta inlärningstiden (1237ms). Baserat på resultaten indikerar undersökningenatt algoritmerna RF, SVM och DT presterar bäst i olika scenarier. Till exempel kan SVM användas om en låg mängd falsk positiva larm är viktigt. Om en balanserad prestation av de olika prestanda mätningarna är viktigast ska RF användas. Undersökningen konkluderar även att en stor mängd utav de undersökta attributerna av datasetet kan bortses i framtida experiment, då det inte påverkade prestandan på någon av algoritmerna. / Cyber attacks raise a high threat for companies and organisations worldwide. With the cost of a data breach reaching $3.86million on average, the demand is high fora rapid solution to detect cyber attacks as early as possible. Advanced persistent threats (APT) are sophisticated cyber attacks which have long persistence inside the network. During an APT, the attacker will spread its foothold over the network. This stage, which is one of the most critical steps in an APT, is called lateral movement. The purpose of the thesis is to investigate lateral movement detection with a machine learning approach. Five machine learning algorithms are compared using repeated cross-validation followed statistical testing to determine the best performing algorithm and feature importance. Features used for learning the classifiers are extracted from Active Directory log entries that relate to each other, with a similar workstation, IP, or account name. These features are the basis of a semi-synthetic dataset, which consists of a multiclass classification problem. The experiment concludes that all five algorithms perform with an accuracy of 0.998. RF displays the highest f1-score (0.88) and recall (0.858), SVM performs the best with the performance metric precision (0.972), and DT has the lowest computational cost (1237ms). Based on these results, the thesis concludes that the algorithms RF, SVM, and DT perform best in different scenarios. For instance, SVM should be used if a low amount of false positives is favoured. If the general and balanced performance of multiple metrics is preferred, then RF will perform best. The results also conclude that a significant amount of the examined features can be disregarded in future experiments, as they do not impact the performance of either classifier.

As companies continue to rely more and more on information technology (IT) infrastructure, automation of most processes become increasingly viable as a way of improving efficiency and cutting costs. One such application area is staff and user management. This becomes more and more important as a company grows and hires more and more people, as manually doing these management tasks becomes increasingly time-consuming and repetitive. Moreover, these management tasks become very costly for the company in terms of cumulative man-hours and decrease the workplace enjoyment of the staff that handles this processing. Many companies rely on Active Directory (AD) as a way of managing their staff and users. With the help of PowerShell, onboarding and offboarding of users can be entirely automated - as will be described in this thesis. This thesis describes the design and analysis of the entire onboarding process for a company. This description covers the connection between the human resources (HR) and information technology (IT) systems, as well as the script that takes data from the HR system and uses it to create users in AD and assign basic access rights to the user. In addition, the scripts also handle offboarding, which involves disabling users, removing their access rights, and eventually deleting them from the AD. As the host company already had strict requirements for the onboarding process, there was little room for researching alternative models and designs for the system; therefore, this thesis focuses on the design and execution of the script rather than the design and analysis of the onboarding process. The results are analyzed both quantitatively and qualitatively in terms of accuracy and time saved in comparison with the manual execution of the same tasks. The conclusion is that using automation saves on average 585.155 seconds per new user. If a single person were to do 10 onboardings per day, this amounts to 40 hours per month, saving one entire work week each month. This automation can save money and resources by freeing this employee to focus on other projects and tasks. / Automatisering i de flesta verksamheter blir alltmer genomförbart som en strategi för att öka effektiviteten och minska kostnaderna eftersom företag fortsätter att förlita sig mer och mer på informationsteknologi (IT) infrastruktur. Administration av användare och anställda är ett sådant applikationsområde. Detta är viktigt när ett företag expanderar och anställer fler anställda eftersom att utföra dessa förvaltningsuppgifter manuellt kräver oerhört mycket tid och upprepning. Därtill ökar det ledningsansvaret, företagets totala arbetskostnader samt sänker personalenstillfredsställelse med sina jobb. Active Directory (AD) är ett populärt verktyg som används av många företag för att hantera sina anställda och användare. PowerShell kan användas för att helt automatisera användares onboarding och offboarding, vilket denna avhandling kommer att förklara. Den fullständiga introduktionsproceduren för ett företag beskrivs i denna avhandling, tillsammans med dess design och analys. Förhållandet mellan mänskliga resurser (HR) och informationsteknologi (IT) täcks i den här beskrivningen, liksom skriptet som exploaterar information från HR-systemet för att skapa användare i AD och ge användaren minimala åtkomstbehörigheter. Skripten hanterar också offboarding, vilket innebär att blockera användare, ta bort deras åtkomstprivilegier och slutligen ta bort dem från AD:t. I denna avhandling fokuserar vi på designen och utförandet av skriptet snarare än designen och analysen av onboardingprocessen av den orsaken att värdorganisationen redan hade specifika kriterier för onboardingprocessen, vilket lämnar begränsad flexibilitet för andra modeller och konstruktioner. Jämfört med manuellt slutförande av identiska aktiviteter utvärderas resultaten både statistiskt och kvalitativt i termer av noggrannhet och tidsbesparing. Studiens resultat visar att varje ny användare som använder automation sparar i genomsnitt 585.155 sekunder. En arbetsvecka skulle sparas varje månad om en enskild person genomförde 10 onboarding per dag, eller 40 timmar per månad. Genom att låta medarbetaren koncentrera sig på andra uppgifter och projekt kan denna automatisering hjälpa till att spara pengar och resurser.

<p>NinetechGruppen AB is an IT service providing company with about 30 employees, primarily based in Karlstad, Sweden. The company began to have problems with their DNS administration because the number of administrated domains had grown too large. A single employee was responsible for all the administration, and text editors were used for modifying the DNS configuration files directly on the name servers. This was an error prone process which also easily led to inconsistencies between the documentation and the real world.</p><p>NinetechGruppen AB decided to solve the administrative problems by incorporating a DNS administration system, either by using an existing product or by developing a new sys-tem internally. This thesis describes the process of simplifying the DNS administration procedures of NinetechGruppen AB.</p><p>Initially, an investigation was conducted where existing DNS administration tools were sought for, and evaluated against the requirements the company had on the new system.</p><p>The system was going to have a web administration interface, which was to be developed in ASP.NET 2.0 with C# as programming language. The administration interface had to run on Windows, use SQL Server 2005 as backend database server, and base access control on Active Directory. Further, the system had to be able of integrating customer handling with the domain administration, and any changes to the system information had to follow the Informa-tion Technology Infrastructure Library change management process.</p><p>The name servers were running the popular name server software BIND and ran on two different Linux distributions – Red Hat Linux 9 and SUSE Linux 10.0.</p><p>The investigation concluded that no existing system satisfied the requirements; hence a new system was to be developed, streamlined for the use at NinetechGruppen AB. A requirement specification and a functional description was created and used as the basis for the development. The finalized system satisfies all necessary requirements to some extent, and most of them are fully satisfied.</p>

Workshop "Netz- und Service-Infrastrukturen" Ausgehend von den Spezifika und Zielen des Verzeichnisdienstes Active Directory werden die Differenzen zur aktuellen Technologie des URZ aufgezeigt. Es sollen Möglichkeiten dargestellt werden, Active Directory einzusetzen.

One thing that everyone seems to be worried about when it comes to his or her computer is security. If your computer is not secure then private information could be stolen. Many people now use passwords to protect themselves though they are discovering that using multi-factor authentication is much more secure. It allows you to use multiple different proofs of who you are. Biometrics is one of the ways to prove identity. Using it, you could log into a system with just a fingerprint, which is something that is very difficult to steal. We present a suite of software tools that allows you to log into a network using multi-factor authentication. This thesis describes our design of a multi-factor authentication solution, the problems we encountered realizing this design, and Microsoft's own biometric system.

Katalogtjänster är och förblir en central och kritisk del i informationssystem. I katalogtjänsterna samlas stora mängder information om användare och behörigheter för respektive användare. I högriskmiljöer, där bland annat hemlig och annan skyddsvärd information samlas, är katalogtjänsterna i en utsatt situation. Om en katalogtjänst svarar fel på en resursförfrågan kan konsekvenserna vara stora. Arbetet grundade sig i att med hjälp av olika säkerhetshöjande åtgärder bygga upp ett mer robust system för att skydda katalogtjänsten mot att behörighetsprinciperna bryts och ger obehörig personal eller andra aktörer tillgång till skyddsvärda resurser. Arbetet syftade till att öka medvetenheten kring de hypotetiska sårbarheterna som finns i en katalogtjänst och baserat på detta resultera i hur de potentiella sårbarheterna i åtkomstprinciperna kan motverkas eller mildras. För att uppnå detta resonerades det fram två testfall varav ett teoretiskt. Dessa byggde på att ett Intrusion Prevention System (IPS) implementerades i ett av testfallen och en brandvägg i det andra teoretiska fallet. Båda åtgärderna implementerades i trafikflödets riktning i respektive nätverkssegment för att kontrollera användarnas behörigheter i realtid. Testfallen byggdes upp simulerat med hjälp av bland annat GNS3 och Virtualbox. Det experiment som upprättades med IPS:en som huvudkomponent gav ett positivt utfall där enheten med hjälp av en uppsättning regler kunde utläsa specifika trafikflöden till resurser som den avsedda användaren inte hade tillgång till och baserat på detta utföra olika typer av åtgärder. Experimentet med brandväggen gav däremot inte önskat resultat, detta berodde på att det inte fanns stöd för den eftersökta funktionaliteten i de brandväggar med öppen källkod som undersöktes för implementationen. Det resultat som genererades med hjälp av IPS:ens förmåga att analysera trafik i realtid och baserat på detta utföra fördefinierade åtgärder betyder att det effektivt kan byggas upp ytterligare en barriär av skydd utöver katalogtjänstens egna säkerhet. Vidare medför detta även att om en IPS implementeras krävs det att två av varandra oberoende säkerhetsåtgärder fallerar innan ett felsvar realiseras vilket är att användaren får tillgång till resursen.

Organizations are continuously expanding their use of computer ser-vices. As the number of applications in an organization grows, so does the load on the user management. Registering and unregistering users both from within the organization and also from partner organizations, as well as managing their privileges and providing support all accumu-lates significant costs for the user management. FIdM is a solution that can centralize user management, allow partner organizations to feder-ate, ease users’ password management, provide SSO functionality and externalize the authentication logic from application development. An FIdM system with two organizations, AD FS and two applications have been deployed. The applications are constructed in .NET, with WIF, and in Java using a custom implementation of WS-Federation. In order to evaluate the system, a functional test and a security analysis have been performed. The result of the functional test shows that the system has been implemented successfully. With the use of AD FS, users from both organizations are able to authenticate within their own organization and are then able to access the applications in the organizations without any repeated authentication. The result of the security analysis shows that the overall security in the system is good. The use of AD FS does not allow anyone to bypass authentication. However, the standard integra-tion of WIF in the .NET application makes it more susceptible to a DoS attack. It has been indicated that FIdM can have positive effects on an organization’s user management, a user’s password management and login procedures, authentication logic in application development, while still maintaining a good level of security.