[1] DDoS und Botnetze Alexander Gruschina Mario Kotoy.

Präsentation zum Thema: "[1] DDoS und Botnetze Alexander Gruschina Mario Kotoy."—  Präsentation transkript:

1 [1] DDoS und Botnetze Alexander Gruschina Mario Kotoy

2 DoS, DDoS? Denial of Service Distributed Denial of Service

3 DDoS flooding attacks Attacken über Netzwerk-/Transportschicht (TCP,UDP,SCTP,IPv4,IPv6,…) Attacken über Anwendungsschicht (HTTP,FTP,SMTP,POP,…)

4 flooding attack Angriff zielt auf Netzwerkbandbreite
Attacken über Netzwerk-Transportschicht: flooding attack Angriff zielt auf Netzwerkbandbreite Bandbreite wird durch Angriff überlastet Bsp.: UDP flood, ICMP flood (Ping flooding)

5 protocol exploitation
Attacken über Netzwerk-Transportschicht: protocol exploitation Angriffe nutzen spezielle features oder Bugs, um Zugriff auf Ressourcen des Opfers zu erlangen. Bsp.: TCP SYN-flood, TCP ACK-SYN-flood, Ping of Death, …

6 reflection/amplification
Attacken über Netzwerk-Transportschicht: reflection/amplification Reflection: gefälschte Anfragen werden an Reflector gesendet, dieser sendet Antwort an Opfer Amplification: Dienste werden genutzt um Angriff zu verstärken(z.B. Broadcastaddresse) Bsp.: smurf attack, fraggle attack, …

7 reflection/amplification
Attacken über Anwendungsschicht: reflection/amplification Selbe Technik wie bei Netzwerk- und Transportschicht. Bsp.: DNS amplification attack, VoIP-flood, …

8 HTTP flooding attacks Session flooding attacks
Attacken über Anwendungsschicht: HTTP flooding attacks Session flooding attacks Request flooding attacks Asymmetric attacks Slow request/response attacks

9 HTTP: Session flooding attacks
Attacken über Anwendungsschicht: HTTP: Session flooding attacks Hohe Anzahl an session connection requests werden gesendet. Bsp.: HTTP get/post flooding attack (a.k.a. excessive VERB)

10 HTTP: Request flooding attacks
Attacken über Anwendungsschicht: HTTP: Request flooding attacks Angriff sendet session mit hoher Anzahl an Requests Seit HTTP1.1 mehrer requests in einer session Bsp.: single session HTTP get/post flooding attack (a.k.a. excessive VERB single session)

11 HTTP: Asymmetric attacks
Attacken über Anwendungsschicht: HTTP: Asymmetric attacks Angriff sendet sessions mit hohem workload Bsp.: multiple HTTP get/post flood, faulty application, …

12 HTTP: slow request/response
Attacken über Anwendungsschicht: HTTP: slow request/response Wie bei asymmetric attacks, wird session mit hohem workload gesendet. Bsp.: slowloris attack (a.k.a. slow headers), HTTP fragmentation attack, slowpost attack (a.k.a. RUDY, slow request bodies), slowreading attack (slow response attack)

13 Botnet? Software Bots Vernetzt, oft auf globaler Ebene
Gemeinsam sind wir stark Ziele vorwiegend krimineller Natur [2]

14 Entstehung eines Botnets
[3]

15 Ziel des Botnets Einsatzgebiet variiert stark SPAM PHISHING DDOS PROXY
CLICK FRAUD [4]

16 Etwas genauer bitte… Infektionswege: Emails mit Malware
Drive-By-Malware Plug-In Sicherheitslücken (JAVA! Flash!) Externe Speichermedien Viren, Würmer

17 Etwas genauer bitte… Kommunikation zwischen Bots und Master:
Command & Conquer Server Covert channel Auch möglich: IRC Kommunikation Bot läuft versteckt im Hintergrund Redundanter Netzverbund Ständiger Informationsaustausch

18 Zentralisiert [5]

19 Dezentralisiert [5]

20 DDOS-Botnets WORDPRESS
Default admin portal username : admin Dictionary attack individuelle IP Adressen betroffene Websites Weiter CMS-Ziele [6]

21 SPAMHAUS Angriff Niederländische Firma landete auf Blacklist
Angriff mit mehr als 75 Gbps via DNS Reflection Cloudflare half bei Datenstromverteilung Angriff auf Cloudflare Größter DDOS Angriff in der Geschichte [8] [7]

22 Andere Beispiele Conficker (Win32 Conficker) 10.500.000+ Bots
Spam mails pro Tag Einbettung via Windows Lücken und Dictionary Attacks

23 Andere Beispiele BredoLab 30.000.000 Bots
Spam mails pro Tag Einbettung via Spam mails Nov 2010 entschärft

24 Bin ich Teil eines Botnets?
Traffic beobachten Anti-Viren-Programme meldet sich häufiger CPU-Auslastung beobachten Festplattenzugriffe beobachten Router-Statistik bei Inaktivität (Botnet Detection Services)

25 Wie kann ich mich schützen?
Kein naives Verhalten im Internet s bei unbekanntem Sender am besten gleich verwerfen Sämtliche Sicherheitsmaßnahmen im Netzwerk aktiv Alle Schutzprogramme regelmäßig updaten Unnötige Browser Plug-Ins aktivieren (Java!!!) Falls Befall festgestellt wurde, System vollständig neu aufsetzen (hilft auch nicht immer)

26 DDoS Tools Low Orbit Ion Cannon: LOIC.exe HttpDos: HttpDosTool

27 Quellen html

28 Bildquellen zSnyHtKWJ6XLnWShg illustration.jpg