- Anzeigen -


Sie sind hier: Home » Fachbeiträge » Grundlagen

Große Zahl ungesicherter IoT-Geräte


Unsichere IoT-Geräte, eine Einladung zu DDoS-Angriffen
Sogenannte Amplification-Technologien, die sich auf Millionen von Geräten in einer immensen Dichte erstrecken, wie etwa Überwachungskameras, sind geeignet, die Dimensionen von DDoS-Angriffen noch weiter in die Höhe zu schrauben

- Anzeigen -





DDoS-Angriffe haben sich in den letzten sechs Monaten nahezu verdoppelt. Laut einer Studie von Corero Network Security entspricht das einem monatlichen Mittel von 237 Angriffsversuchen. Einer der Gründe für den Anstieg liegt in der hohen Zahl einfach zu übernehmenden IoT-Geräten, die zumeist nur unzureichend geschützt sind. Diese "smarten" Geräte eignen sich dann ganz vorzüglich um zu einem Teil eines riesigen Botnets zu werden. Dieses Problem wird sich weiter verschärfen. Dazu muss man nur an die unzähligen Gadgets für Endverbraucher denken, die etwa in der Weihnachtszeit über die physischen und virtuellen Ladentische gewandert sind. Diese Geräte sind eines der vordringlichen Ziele für die Übernahme durch Hacker.

Neben den Bedenken, die man im Hinblick auf die Sicherheit der Privatsphäre und vertraulicher Daten hegen kann gibt es noch eine ganze Reihe von weiteren ernsthaften Gefahren, die mit diesen Geräten verbunden sind. Hacker machen sich unsichere IoT-Geräte zunutze um riesige Bot-Netze aufzubauen und DDoS-Attacken zu lancieren. Unsichere IoT-Devices waren in einigen der größten DDoS-Angriffe auf Online-Plattformen innerhalb der letzten Jahre beteiligt. Es spielt bei DDoS-Angriffen keine Rolle, wie groß ein Unternehmen ist. Gefährdet sind alle. Und sollten entsprechend Sorge tragen, was die Sicherheit ihrer Geräte, Daten und Netzwerke anbelangt.

Die Entwicklung der Bot-Netze
Bot-Netze haben die DDoS-Landschaft verändert. Smarte Geräte sind für Hacker zu einem wichtigen Einfallstor in ein Zielnetzwerk geworden, und ganz offensichtlich vergrößern solche Geräte die Angriffsfläche für Cyberattacken und erhöhen die Wahrscheinlichkeit einer Datenschutzverletzung. Eine der größten und schwerwiegenden Angriffe dieser Art war der Mirai Bot-Netz-Virus, der zehntausende von schlecht gesicherten IoT-Geräten zu einem Bot-Netz vereint hat. Letzteres wurde dann anschließend genutzt um massive DDoS-Angriffe gegen unterschiedliche, teils sehr prominente Ziele zu fahren.

Wenn man sich prognostizierte Entwicklung des IoT ansieht wird die Zahl von schlecht bis gar nicht gesicherten Geräten wohl eher zu- als abnehmen. Man kann also getrost davon ausgehen, dass Größe und Bandbreite von DDoS-Attacken, die auf Basis solcher Bot-Netze lanciert werden, kaum eine Grenze nach oben haben.

Sogenannte Amplification-Technologien, die sich auf Millionen von Geräten in einer immensen Dichte erstrecken, wie etwa Überwachungskameras, sind geeignet, die Dimensionen von DDoS-Angriffen noch weiter in die Höhe zu schrauben. Angriffe im Terabit-Bereich sind potenziell geeignet wenn nicht das Internet als Ganzes so doch riesige Bereiche lahm zu legen. Wir gehen davon aus, dass das schon in nicht allzu ferner Zukunft passieren wird. Attacken dieser Größenordnung können praktisch jedes Unternehmen handlungsunfähig machen.

Aber Größe und die Fähigkeit zu skalieren sind nicht die einzigen Eigenschaften von Bot-Netzen, die sich weiter entwickelt haben. Bot-Netze werden auch zunehmend komplexer, was die Technologien anbelangt, die sie benutzen. Reaper oder IoTroop richten sich gezielt gegen schlecht gesicherte IoT-Geräte um daraus ganze Armeen zusammenzustellen. Reaper hat schon unter Beweis gestellt, das es mehr kann als herkömmliche. Es wird als besonders gefährlich eingestuft, weil es in der Lage ist bekannte Schwachstellen im Code solcher unsicherer Geräte für sich auszunutzen. Ist ihm das gelungen verhält es sich praktisch wie ein Wurm, der von einem infizierten Gerät aus sich rasant über andere Geräte hinweg verbreitet.

Allerdings sollten sich Unternehmen nicht nur auf Angriffe mit spektakulär gigantischen Ausmaßen konzentrieren. Bevor Bot-Netze zum Einsatz kommen, testen Hacker in aller Regel, ob ihre Techniken tatsächlich funktionieren. Das tun sie üblicherweise mit kurzen Angriffen, die nur sehr wenig Bandbreite für sich in Anspruch nehmen und deshalb von IT-Abteilungen oftmals gar nicht als DDoS-Angriffe wahrgenommen werden. Aufgrund ihrer geringen Größe sind solche Angriffe in der Lage traditionelle Maßnahmen zur Abwehr von DDoS-Angriffen zu umgehen, die meist mit einem bestimmten Schwellenwert operieren. Und die solche Angriffe deshalb gerne "übersehen".

Die Folge sind deshalb so weitreichend, weil diese Angriffe meist weit schwerwiegendere im Schlepptau haben. Organisierte Hackergruppen testen nicht selten über solche Angriffsvektoren wie weit sie ungefährdet gehen können. Würde man solche Techniken mit einer der eingangs beschriebenen gigantischen Attacken paaren wären die Folgeschäden kaum abzusehen.

DDoS-Trends 2017
Neben einer wachsenden Zahl von ungesicherten IoT-Geräten haben die Analysten von Corero auch noch einen weiteren Trend ausgemacht. Nämlich einen steigenden Trend DDoS-Angriffe auch noch auf andere Art und Weise zu kommerzialisieren, als DDoS-for-Hire-Services. Hier kann, wem das nötige Programmier-Know-how fehlt für vergleichsweise kleines Geld eine DDoS-Attacke einfach mieten. Wie einfach das ist, zeigt eine schnelle Google-Suche. Praktisch jeder kann für einen Betrag von um die 50 US-Dollar eine DDoS-Kampagne mieten. DDoS-Angriffe sind damit einfacher und kosteneffizienter geworden als jemals zuvor.

Parallel dazu nutzen Hacker aber auch sehr ausgefeilte Angriffe, mit unterschiedlichen Vektoren, die wie eine Kettenreaktion oder auch quasi simultan ablaufen. Die Angreifer kombinieren verschiedene Techniken in der Hoffnung, dass es mithilfe einer oder auch mehrerer von ihnen gelingt das anvisierte Netzwerk zu infiltrieren. Manche dieser Attacken werden ganz gezielt als Ablenkungstaktik für die IT-Abteilung gefahren. Sie vernebeln sozusagen ihre eigentliche Absicht. Währenddessen richtet sich der eigentliche Angriffe etwa gegen Unternehmensdatenbanken, die nach sensiblen Daten wie Kreditkartennummern oder E-Mail-Adressen durchforstet werden.

Ein weiterer Trend, der sich gerade im dritten Quartal dieses Jahres gezeigt hat ist die Rückkehr von Ransom Denial of Service. Bei einer RDoS-Attacke wird dem Opfer damit gedroht eine DDoS-Attacke gegen das Unternehmen zu fahren, wenn nicht der geforderte Lösegeldbetrag bis zu einem Stichdatum gezahlt wird. Eine Technik der sich in diesem Jahr beispielsweise eine Hacker-Gruppierung unter dem Namen Phantom Squad bedient hat, um Unterthemen in Europa, den USA und Asien anzugreifen. RDoS ist definitiv auf dem Vormarsch und richtet sich gegen eine ganze Reihe von verschiedenen Branchen. Dazu zählen Banken und Finanzinstitute, Hosting Provider, aber auch Anbieter von Onlinespiele-Plattformen und SaaS-Anbieter.

Jeder Trend ist für sich betrachtet schon erschreckend genug. Aber unzureichend gesicherte IoT-Geräte vergrößern diese Probleme in einem bisher unbekannten Ausmaß.

Sichere IoT-Geräte und wie Firmen sich gegen die wachsende DDoS-Bedrohung am besten wappnen
Will man verhindern, dass Angreifer IoT-Geräte zu einem Teil eines Bot-Netzes machen, sollten Firmen sehr genau auf die Geräteeinstellungen achten. Wo immer es möglich ist, sollte man diese Geräte vom Internetzugriff trennen und das Vernetzen mit anderen Devices unterbinden. Hilfreich ist es auch die IoT-Geräte in die Anlageninventur mit einzubeziehen und grundlegende Sicherheitsempfehlungen zu beherzigen. Dazu gehört es auf jeden Fall die Standardeinstellungen dieser Geräte zu ändern und die WiFi-Passwörter regelmäßig zu ändern.

Um mit den Veränderungen in der DDoS-Landschaft Schritt zu halten, brauchen Unternehmen eine umfassende Transparenz über das, was in ihrem Netzwerk vor sich geht. Nur dann ist es möglich auf Bedrohungen zu reagieren, wenn sie auftauchen. Die schiere Zahl der Geräte allein stellt schon ein nicht zu unterschätzendes Sicherheitsrisiko dar. Jedes Gerät mit einer Verbindung zum Internet und einem Prozessor kann letzten Endes auch angegriffen und Schwachstellen ausgenutzt werden.

Angesichts dieser Entwicklung muss eine effektive DDoS-Abwehr Angriffe in Echtzeit erkennen und blockieren, aber darüber hinaus auch langfristige Trends analysieren. Nur so kann man überhaupt mit den Veränderungen Schritt halten. (Corero Network Security: ra)

eingetragen: 08.02.18
Home & Newsletterlauf: 15.02.18


Corero Network Security: Kontakt und Steckbrief

Der Informationsanbieter hat seinen Kontakt leider noch nicht freigeschaltet.

- Anzeigen -





Kostenloser IT SecCity-Newsletter
Ihr IT SecCity-Newsletter hier >>>>>>

- Anzeigen -


Meldungen: Grundlagen

  • Was ist Certificate Transparency?

    Möglicherweise haben Sie schon vor einigen Jahren von Certificate Transparency (CT) gehört, als Google die Anforderung für alle Extended Validation (EV) SSL/TLS-Zertifikate ankündigte, die nach dem 1. Januar 2015 ausgestellt worden sind. Seitdem hat Google die Anforderung auf alle Arten von SSL-Zertifikaten ausgedehnt und zuletzt eine Frist bis zum April 2018 gesetzt. Zertifikaten, die nicht CT-qualifiziert sind und die nach diesem Datum ausgestellt werden, wird in Chrome nicht vertraut. GlobalSign hat im Hintergrund bereits daran gearbeitet, dass alle Zertifikate mit CT ausgestattet werden - Extended Validation (EV) seit 2015, Domain Validated (DV) seit August 2016 und Organisation Validated (OV) ab Oktober 2017 - GlobalSign-Kunden sind damit für den Fristablauf seitens Google gerüstet.

  • Wo ist der Authentifizierungsprozess fehlbar?

    Ich habe den größten Teil meines beruflichen Lebens damit verbracht Authentifizierungslösungen zu programmieren, zu implementieren, weiterzuentwickeln und zu patentieren. Daher nehme ich mir das Recht heraus zu sagen, letzten Endes funktioniert Authentifizierung einfach nicht. Mit "funktionieren" im engeren Sinne meine ich, dass es zu 100Prozent garantiert ist, dass es sich tatsächlich um eine vertrauenswürdige Identität handelt, wenn eine Benutzeridentität von einer Authentifizierungslösung an den betreffenden Partner weitergeleitet wird. Und genau das lässt sich nicht garantieren. Es lässt sich belegen, dass und wie der eigentliche Validierungsprozess innerhalb der Authentisierung funktioniert. Das bedeutet, wir verifizieren mathematisch und empirisch, dass die von einem Authentifizierungsmechanismus zusammengestellte Entität mit den Werten übereinstimmt, die in der Datenbank des akzeptierenden Dritten gespeichert sind, also "matched". Das kann ein Passwort sein, ein Einmal-Passwort, OTP, X.509-basierte Verschlüsselung, biometrische Merkmale, mobile Push-Werte oder eine Gesichtserkennung. In einem Satz: Der Authentisierungsprozess lässt sich validieren und damit auch, dass das technische System korrekt arbeitet.

  • Rollende Sicherheitslücken

    Viele Fahrzeuge sind heutzutage längst zu rollenden Computern geworden, denn bereits jetzt stecken in der Software eines modernen Oberklasse-PKW etwa 100 Millionen Codezeilen. Zum Vergleich: Die Flugsoftware einer Boeing 787 Dreamliner kommt mit etwa 14 Millionen Zeilen aus. Die Erwartungen an das zukünftige autonom fahrende Auto sind vielzählig: Mehr Sicherheit auf den Straßen, mehr Komfort, beispielsweise durch selbstständiges Einparken, die Nutzung eines Autopiloten im Stau oder komplett fahrerlose Roboterautos, welche im Car-Sharing-Verfahren neue Infrastrukturmöglichkeiten bieten könnten. Dem gegenüber stehen die Ängste: Bei Technikfehlern nur noch ein hilfloser Passagier an Board zu sein oder Opfer eines Hacker-Angriffs zu werden.

  • Warum BYOD an den Geräten scheitert

    Bring Your Own Device (BYOD) genießt im Geschäftsumfeld seit einigen Jahren den Ruf als innovatives Konzept. Der zeitlich uneingeschränkte Zugang zu Unternehmensdaten kann Firmen verbesserte Effizienz in den Arbeitsabläufen bescheren und den Mitarbeitern wiederum mehr Komfort im täglichen Arbeiten. Sie können auf ihren gewohnten Geräten arbeiten, zu flexiblen Arbeitszeiten. Insbesondere bei neu gegründeten Unternehmen, in denen die Mitarbeiter viel unterwegs sind, wird es überaus geschätzt, wenn kein weiteres, unternehmenseigenes Gerät mitgeführt werden muss. Die Zufriedenheit der Mitarbeiter mit der Arbeitsweise wiederum trägt auch zur Attraktivität des Unternehmens bei.

  • Offensichtlich lukrativste Angriffsmethode

    In regelmäßigen Abständen sehen wir uns einer neuen Bedrohung gegenüber, die bei Angreifern gerade Konjunktur hat. Gezielte Langzeitangriffe, sogenannte Advanced Persistent Threats (APTs) beherrschen die Schlagzeilen und Unternehmen beeilen sich, diese Attacken zu stoppen, deren Urheber sich gut versteckt durch das Netzwerk bewegen. Neben Phishing ist Ransomware die erfolgreichste und offensichtlich lukrativste Angriffsmethode für Cyber-Kriminelle. Schätzungen zufolge kosteten Ransomware-Scams die Opfer allein im letzten Jahr fast 1 Milliarde US-Dollar weltweit. Und es ist kein Wunder, dass sie so gut funktionieren: Sie beruhen auf dem althergebrachten Modell der Schutzgelderpressung, das bereits lange von Banden und der Mafia genutzt und jetzt in digitalem Format erfolgreich wieder aufgelegt wird. Die digitale Transformation ist nicht nur für Unternehmen Realität, sondern längst auch für Kriminelle eine lohnenswerte Einnahmequelle.