- Anzeigen -


Sie sind hier: Home » Markt » Tipps & Hinweise

Netzwerk für DDoS-Attacke missbraucht


Angriff der Haushaltsgeräte: DDoS-Attacken und was man dagegen tun kann
Verhindern, dass Teile des eigenen Netzwerks für eine DDoS-Attacke missbraucht werden

- Anzeigen -





Von Jim Nitterauer, AppRiver

Am Freitag dem 21. Oktober 2016, versuchten Nutzer vergeblich eine Reihe populärer Websites in den USA zu erreichen. Aber es ging (fast) nichts mehr bei Twitter, PayPal, CNN, Reddit, Netflix, Github, Iheart Radio, Pinterest, Spotify, Wired und Yelp. Die Ausfälle wurden durch eine massive Distributed Denialof Service-Attacke (DDoS) verursacht und richteten sich gegen die autoritativen Nameserver der betroffenen Domains. Zuständig für die Bereitstellung der Nameservices, war das Unternehmen Dyn, ein DNS Service Provider. Der Angriff startet etwa um 7:10 Uhr EDT und betraf zunächst nur die Ostküste der USA. Später breitete er sich wellenförmig über die USA, aber auch Europa aus. Die Angriffe dauerten bis in die Abendstunden an,und die betroffenen Seiten waren in weiten Teilen immer noch nicht wieder verfügbar.

Auf Gizmodo kann man genau nachvollziehen, wie sich die Attacken ausgebreitet haben. Analysen haben relativ schnell an den Tag gebracht, dass die Urheber die erst vor kurzem veröffentlichte Schadsoftware Mirai als Angriffsvektor verwendet haben. Ihr Code erlaubt es diverse Firmware- und Softwareschwachstellen in IoT-Geräten auszunutzen, wie beispielsweise in Kameras, DVRs, Thermostaten und so weiter. Die Kontrolle über ein einzelnes Gerät zu übernehmen bringt an sich nicht viel. Außer, dass der Eindringling es überhaupt ins Netzwerk geschafft hat. Bringt man aber hunderttausende dieser Geräte unter seine Kontrolle und weist sie an konzertiert zu agieren (nämlich im Rahmen einer DDoS-Attacke), ergibt das ein deutlich anderes Bild. Was dann passiert, war sinnfällig zu erleben.

Den Angreifern ist es gelungen eine riesige Zahl unzureichend geschützter Geräte zu kontrollieren und so zu programmieren, dass die betreffenden Zielserver mit einer immens hohen Zahl von DNS-Anfragen überflutet wurden. Die Anfragen wurden über offene, im Internet zugängliche Cache Resolver verstärkt. In diesem Fall waren die IP-Adressen des Dyn DNS-Servers das Ziel der Attacke. Das Vorgehen führt dazu, dass der DNS-Cache-Server sämtliche Antworten an die gespoofte Quell-IP sendet.

Kombiniert mit diversen Tricks eines Amplification-Angriffs führte das dazu, kann die Zieladresse die enorme Zahl von DNS-Abfragen nicht mehr abarbeiten. Zudem überlasten sie die Seiten derart, dass kaum noch Bandbreite für die legitimen Anfragen zur Verfügung steht. Folge: Die Seiten sind nicht mehr erreichbar. Üblicherweise bewegen sich Angriffe dieser Größenordnung bei Bandbreiten zwischen 500 und 1.000 Gbps. Ein solches Volumen zwingt selbst Tier 1 Netzwerk-Provider wie Level3, Sprint, Verizonoder Century Link in die Knie und kann unter Umständen für das gesamte Internet einen Kaskadierungseffekt auslösen.

Warum aber war der Angriff so überaus erfolgreich?
Ein Grund ist, dass Hersteller von IoT-Geräten sich nicht um angemessene Sicherheitsvorkehrungen kümmern beziehungsweise ihre Endkunden nicht ausreichend aufklären. Einer der Anbieter, Hangzhou Xiongmai Technologys, Anbieter von DVRs und internetfähiger Kameras, hatte schon am Sonntag bekannt gegeben, dass zahlreiche seiner Produkte bei dem Angriff ausgenutzt worden seien. Alle betroffenen Geräte sind inzwischen zurückgerufen worden. Die Attacke vom vergangenen Freitag war die insgesamt dritte, die sich der Mirai-Malware bedient. Die erste überhaupt richtete sich am 21. September 2016 in einer sehr gezielt gegen den Security Blogger und Journalisten Brian Krebs.

Bei der enormen Zahl vernetzter IoT-Geräte stellen sich zwei Fragen. Wie kann man gewährleisten nicht selbst Opfer eines solchen Angriffs zu werden? Und wie kann man sicherstellen nicht unwissentlich Teil der Attacke zu sein? Es gibt einige vergleichsweise einfache Schritte, die zumindest das Risiko senken.

Verhindern, dass Teile des eigenen Netzwerks für eine DDoS-Attacke missbraucht werden

>> Konfigurieren Sie simple Regeln für die Outbound-Firewall.
Die beschriebenen Angriffe basieren auf dem Spoofing der Quell-IP-Adressen in abgehenden Datenpaketen. Die Firewall-Einstellungen sollten so gesetzt sein, dass sämtliche Pakete mit einer IP-Adresse, die nicht Teil des internen Netzwerks ist, geloggt und zurückgewiesen werden. Eine weitere Regel sollte den von UDP Port 53 (DNS) abgehenden Traffic auf die IP-Adressen beschränken, die von ausdrücklich zugelassenen DNS-Servern kommen. Im Idealfall verfügt das betreffende Netzwerk über ein Paar von DNS-Cache-Servern, die DNS für das interne Netzwerk zur Verfügung stellen. Erlauben Sie nur DNS-Anfragen aus dem internen Netzwerk zu diesen Servern. Verwerfen und loggen Sie sämtlichen Internet-gebundenen DNS-Traffic.

>> Konfigurieren Sie den internen DNS Cache-Server so, dass er sämtliche DNS-Abfragen loggt und mithilfe eines Tools wie Graylog aggregiert. Stellen Sie sicher, dass Sie wissen, was ein normales und was ein abweichendes Verhalten ist und, dass Sie im Falle eines anomalen Verhaltens benachrichtigt werden. Wenn Sie eine hohe Zahl von DNS-ANY-Abfragen beobachten, die sich an eine bestimmte Domain richten, sind Sie vielleicht schon kompromittiert worden. DNS ist der eigentliche Schlüssel zur Kommunikation. Wenn Sie den Traffic entsprechend loggen und lernen, den DNS-Datenstrom zu verstehen, erkennen Sie abweichende, potenziell schädliche Aktivitäten und können sich rechtzeitig dagegen wehren.

>> Leiten Sie die DNS-Anfragen über ein DNS-Filtersystem. Mithilfe dynamischer Dienste reduzieren Sie die Zahl der Zugriffe auf kompromittierte Webseiten, und Sie senken nachhaltig den Command-and-Control-Traffic eines Bot-Netzes.

Entfernen Sie die Root-Weiterleitung vom DNS Cache-Server, wenn Sie wie gerade beschrieben einen DNS-Filtering-Server nutzen. Das stellt sicher, dass die betreffenden DNS-Server den Datenstrom nicht an diesen Servern vorbeischicken, sollten sie einmal nicht verfügbar sein.

>> Konfigurieren Sie die Firewall so, dass sie nur den von Ihrem DNS-Server abgehenden IPs Outbound-DNS-Zugriff erlauben. Und gestatten Sie auch nur diesen IPs auf die entsprechend konfigurierten Server zur Weiterleitung zuzugreifen. Interne DNS-Abfragen landen dann nur auf dendafür freigegebenen DNS-Resolvern.

>> Exponieren Sie interne DNS-Dienste nicht nach Außen. Niemand außerhalb des LANs sollte DNS-Namen auflösen können, indem er Ihre WAN IP-Adresse nutzt.

>> Implementieren Sie auf jeden Fall einen verlässlichen Spam-Filter. Damit verringern Sie die Angriffsfläche. Nutzer deutlich weniger durch böswillig veränderten E-Mail-Verkehr gefährdet und Angreifer können nicht auf Ihre Netzwerkressourcen zugreifen.

>> Inventarisieren Sie sämtliche der im Netzwerk befindlichen Geräte. Benutzen Sie einen Netzwerk-Scanner um die MAC-Adressen zusammenzuführen und zu analysieren. Verzeichnen Sie genau, um welche Geräte es sich im Einzelnen handelt und stellen Sie sicher, dass jedes einzelne von ihnen ordnungsgemäß konfiguriert, gepatched und geschützt ist. Das heißt natürlich auch, sämtliche Standard-Passwörter und Konten zu ändern.

>> Verwenden Sie einen Netzwerk-Scanner (wie nmapodermasscan), um die Range der internen IP-Adressen zu scannen. Damit stellen Sie sicher, dass keine TCP- oder UDP-Ports versehentlich geöffnet sind und auf eine Verbindung mit dem Netzwerk warten. Richten Sie dabei ein besonderes Augenmerk auf TCP Port 23 (Telnet) und 22 (SSH). Telnet sollte niemals aktiviert sein. Es ist per se unsicher und Anmeldeinformationen werden klarschriftlich übertragen. Erlauben Sie wenn irgend möglich SSH zu Ihren Geräten nur für eine begrenzte Zahl von internen IP-Adressen.

Senken Sie das Risiko, Ziel einer DDoS-Attacke zu werden
Will man eine gezielte Attacke verhindern oder einen Angreifer davon abhalten, ein ganz bestimmtes Ziel zu attackieren, wird das im übertragenen Sinne ein "steiler Aufstieg". Tut man nichts, gibt es auch nichts, das im Falle eines Falles verhindert Opfer einer DDoS-Attacke zu werden. Machen Sie es den Angreifern also nicht leichter als unbedingt nötig. Die meisten Strategien zur Abwehr von DDoS-Angriffen enthalten Hinweise zur ordnungsgemäßen Konfiguration des Network Edge Routers wie diese:

>> Konfigurieren Sie die Firewall-Regeln des Routers im Hinblick auf WAN-Verbindungen so, dass sämtliche in RFC 1918 gelistete IP-Adressen grundsätzlich abgewiesen werden. Seien Sie vorsichtig, falls auf dieser Schnittstelle IPSEC- oder DMVPN-Tunnel liegen. Es kann sonst passieren, dass auch der LAN-Verkehr über VPN geblockt wird. Eventuell müssen Sie das zusätzlich über Zugriffslisten steuern und die lokalen LAN-IP-Bereiche mit einbeziehen.

>>Stellen Sie sicher, dass der Router IP-gesteuerte Sendungen blockt.

>> Nicht erreichbare IPs sollten an allen WAN-Schnittstellen deaktiviert sein.

>> Wenn Sie können, konfigurieren Sie Ihren Router so, dass Bogon-IP-Adressbereiche alle ins Leere laufen (Blackholing). Listen bekommen Sie via BGP vom Team Cmyru.

>> Stellen Sie die Regeln so ein, dass alle eingehenden Port-Verbindungen an Ports weiter geleitet werden, auf denen keine öffentlich zugänglichen Dienste laufen.

>> Setzen die Einstellungen Ihrer Firewall so, dass eingehender Traffic abgewiesen wird, wenn er nicht für die WAN IP bestimmt ist.

>> Begrenzen Sie die von NTP-Servern eingehenden Verbindungen auf solche, auf die Sie zugreifen müssen.

>> Lagern Sie öffentliche Dienste an Provider aus, die sich darauf spezialisiert haben, solche Dienste anzubieten.

>> Stellen Sie sicher, dass Telnet (TCP 23) ausdrücklich blockiert und überall sonst deaktiviert ist. Blockieren oder limitieren Sie SSH (TCP 22) über das Internet. Das Mirai-Bot-Netz arbeitet genau damit: Die Software sucht für den Aufbau des Bot-Netzes gezielt nach Geräten mit Telnet-oderSSH-Schwachstellen.

>> Überprüfen Sie alle eingehenden Verbindungen, besonders diejenigen, die sich direkt an TCP 9001, 80 und 443 richten. Das kann ein Zeichen für C&C-Traffic eines Botnets sein.

Befolgt man diese vergleichsweise simplen Vorgaben, verringert man automatisch die Angriffsfläche und Sie erhalten eine Benachrichtigung, wenn etwas vom alsnormal definierten abweicht. Lassen Sie Vorsicht walten, wenn Sie Sicherheitskontrollen implementieren. Suchen Sie sich verlässliche Partner, dokumentieren Sie alle Veränderungen und überwachen Sie Ihr Netzwerk im Hinblick auf Verhaltensanomalien und Abweichungen. Wägen Sie sehr sorgfältig zwischen den erforderlichen Sicherheitsmaßnahmen und –kontrollen und der notwendigen Verfügbarkeit und Funktionalität ab. (AppRiver: ra)

eingetragen: 20.12.16
Home & Newsletterlauf: 18.01.17


AppRiver: Kontakt und Steckbrief

Der Informationsanbieter hat seinen Kontakt leider noch nicht freigeschaltet.


Meldungen: Tipps & Hinweise

  • Gefahr für jedes Sicherheitssystem

    Auch wenn die Methoden von Cyber-Angreifern immer raffinierter werden, die Hauptangriffswege bleiben gleich: gefälschte E-Mails und bösartige Downloads. Nur eine vollständige Isolierung dieser Gefahrenherde garantiert ein sicheres Surfen und Downloaden von Dokumenten, meint Sicherheitssoftware-Anbieter Bromium. Cyber-Angreifer nehmen Unternehmen und Behörden nach wie vor unter Nutzung der Angriffswege E-Mail und Download ins Visier. So vergeht kaum ein Tag, an dem nicht neue Phishing-Mails mit gefährlicher Schadsoftware auftauchen. Auch Social Engineering, das vor allem in Form von Spear-Phishing-Mails auftritt, liegt im Trend und stellt eine große Gefahr für jedes Sicherheitssystem dar. Zudem stellen bösartige Downloads, also Downloads mit unbekanntem Schadcode, die IT immer noch vor vermeintlich unlösbare Probleme. Bei Downloads von Dateien aus externen Quellen besteht immer die Gefahr, Opfer von Malware zu werden: sei es durch die Installation von Programmen oder das Starten von FTP-Filetransfers. Die Angriffsvarianten der Hacker sind dabei äußerst vielfältig: Sie reichen von Fake-Updates über URL-Weiterleitungen und DNS-Manipulationen bis hin zu fingierten Treibern und System-Tools.

  • Sicherheits-Tipps für das Arbeiten von unterwegs

    Immer mehr Menschen arbeiten bei schweißtreibenden Temperaturen nicht nur im Büro, sondern auf dem Balkon, im Schwimmbad, an Urlaubsorten oder wo auch immer Abkühlung geboten wird. Einige verwandeln ihren gesamten Arbeitsplatz in eine Weltreise: Die Zahl der digitalen Nomaden beläuft sich laut Schätzungen auf eine halbe Million Menschen. Das Arbeiten von unterwegs bietet zwar eine willkommene Ablenkung, aber auch ein erhöhtes Sicherheitsrisiko. Deshalb hat die OTRS AG folgende Tipps zusammengestellt, wie das Sicherheitsrisiko beim Arbeiten außerhalb des Büros möglichst gering gehalten werden kann.

  • KRITIS-Unternehmen sind attraktive Ziele

    Der Schutz Kritischer Infrastrukturen (KRITIS) vor Cyberangriffen ist eine besonders heikle Aufgabe, da bei erfolgreichen Cyberangriffen darauf nicht nur die öffentliche Ordnung bedroht ist und gravierende Störungen von vielen Lebensbereichen eintreten werden, sondern auch ganz konkret Menschenleben in Gefahr sind. Wenn Strom plötzlich nicht mehr so fließt, wie es die Menschen und Unternehmen gewohnt sind, funktionieren beispielsweise schlagartig keine Ampeln mehr. Verkehrsunfälle sind vorprogrammiert. Umso länger der Strom wegbleibt, umso schlimmer werden die Folgen: Produktion, Transport und Verkauf von Wasser, Lebensmitteln, Arzneimitteln und vielem mehr kommen fast vollständig zum Erliegen. Der breiten Öffentlichkeit wurde ein solches Horrorszenario - ein länger andauernder europaweiter Stromausfall - erstmals durch den Roman Blackout von Marc Elsberg veranschaulicht.

  • Verwendung von PGP und Keyservern

    In letzter Zeit traten gehäuft Probleme bei der Verwendung von PGP und Keyservern auf: Bereits Angriffe mit einfachsten Methoden auf SKS Keyserver führten zu Überlastungen und dazu, dass Schlüssel unbrauchbar wurden. Darauf machen die IT-Sicherheitsexperten der PSW Group aufmerksam. Die E-Mail-Verschlüsselung per PGP ist attraktiv: Kostenfrei und mit wenig Aufwand können Anwender ihren Mail-Verkehr verschlüsseln. Dieses Verfahren hat jedoch deutliche Schwächen, die dazu führen, dass das vermeintliche Gefühl von Sicherheit tatsächlich beeinträchtigt wird. "Mittels eines PGP Key Servers kann jeder Nutzer auf einfache Art ein Schlüsselpaar erstellen. Das allerdings ist das erste Problem: Jeder kann für jeden x-beliebigen anderen Menschen eine Nutzerkennung anlegen, die aus Vor- und Zunamen sowie der E-Mail-Adresse besteht. Eine Identitätsprüfung findet dabei nicht statt", so Christian Heutger, CTO der PSW Group. Stattdessen verifizieren und bestätigen andere Nutzer die Identität nach dem Ansatz des Web of Trust: Durch eine PGP-Signatur bekunden PGP-Nutzer ihr Vertrauen am öffentlichen Schlüssel.

  • Laterales Phishing: Die wachsende Bedrohung

    Der Missbrauch gehackter E-Mail-Konten durch Cyberkriminelle ist nach wie vor eine der größten Bedrohungen für die E-Mail-Sicherheit. Dabei entwickeln Angreifer ihre Taktiken kontinuierlich weiter: In Zusammenarbeit mit Forschern der UC Berkeley und der UC San Diego entdeckten Sicherheitsforscher von Barracuda eine neue und wachsende Art des Kontoübernahme-Angriffs: das laterale Phishing. Bei lateralen Phishing-Angriffen missbrauchen Cyberkriminelle kompromittierte Konten, um Phishing-Mails an eine Reihe von Empfängern zu senden, von engen Kontakten innerhalb des Unternehmens bis hin zu Geschäftspartnern anderer Unternehmen. Die Studie ergab, dass eines von sieben Unternehmen in den letzten sieben Monaten laterale Phishing-Angriffe erlebt hat.