Denial of Services Attacken Seminar: Das Internet und seine Anwendungen. Jan Gäbler

Begriff DoS (Denial of Service) oder DDoS (Distributed Denial of Service) bezeichnen Angriffe auf Server oder deren Dienste Ziel des Angriffes ist Dienst oder Server arbeitsunfähig zu machen DDoS bezeichnet koordinierten DoS Angriff mit Vielzahl von Systemen

Funktionsweise (1) Dienst eines Servers wird durch große Anzahl von Anfragen belastet Überschreitung max. zu verarbeitbarer Anfragen führt zur Einstellung des Dienstes oder Auslauf der TTL Zeit In der Regel erfolgt kein Einbruch in das System DoS Angriffe können eigentliche Angriffe auf ein System verschleiert bzw. unterstützen

Funktionsweise (2) durch verzögerte Antwortzeiten des attackierten Systems können Sitzungen mittels gefälschter Antworten übernommen werden (DNS-Attacken) Steuerung von DDoS Angriffen über Würmer, welche Fremdsysteme kapern missbrauchen DoS Attacken sind Plattformunabhängig

Bespiele für DoS Attacken MyDoom, 2004, Ziel Website von SCO SW Fehler in Routern der Firma Netgear, 2003, sämtliche Geräte glichen weltweit ihre Zeit bei einem Server der Universität von Wisconsin ab - Zusammenbruch des Zeitservers W32.Blaster, 2003, Ziel Website von Microsoft

Grundtypen von Angriffen Ping of Death Teardrop OOB-Angriff Smurf / ICMP Storm SYN-Flooding …

Schutzmaßnahmen Wirksame Mahnamen müssen an vielen Stellen der IT Infrastruktur getroffen werden Zielrechner von DoS Angriffen können sich nicht allein gegen diese Angriffe erwehren Akteure: IT - Betreiber (Serverbetreiber), Internet Service Provider (ISP – Netzvermittler/-betreiber), Content Provider (Inhalte Anbieter) und Endnutzer. Ziel: Verhinderung oder erschweren von DoS Angriffen Verbesserung der Verfolgung der Urheber

Zielgruppen der Maßnahmen

Maßnahmen für Netzvermittler Netzvermittlern sind selten Opfer von Angriffen, können jedoch am effektivsten DoS Angriffe verhindern Maßnahme 1: Verhinderung von IP-Spoofing Gefälschte IP – Absenderadressen machen einerseits einige Angriffe erst möglich, andererseits erschwert es die Suche nach dem Verursacher. Durch Paketfilter können gefälschte Pakete verhindert werden Kunde eines Netzbetreibers hat einen bestimmten IP-Adressbereich IP – Paket des Kunden muss eine Absenderadresse aus diesem Bereich besitzen Andere Adresse  gefälschtes Paket  nicht vermitteln Paketfilterung auf Absenderadressen beim Einspeisen/Ausgang der Pakete dadurch Einschränkung möglicher Verursacher auf aktuelles Segment

Maßnahmen für Netzvermittler Maßnahme 2: Einsatz von Paketfiltern bei Netzvermittlern Wenn Server nur über eine Leitung an die Netzinfrastruktur angebunden ist, kann Zugang zu geschützten System durch falsche Anfragen blockiert werden (Flaschenhalseffekt) Zugangsknoten zu Server durch Paketfiltern schützen (Netzübergang von Netzvermittler zu Serverbetreiben) sehr effektiv in Zusammenarbeit mit einem Angriffserkennungssystem beim Serverbetreiber der Paketfilter dynamisch an den jeweils laufenden Angriff anpassen kann

Maßnahmen für Serverbtr. Maßnahme 3: Einsatz von Paketfiltern bei Serverbetreibern Server können Opfer oder Ausganspunkte für DoS sein vorgeschaltete Router sollen nur serverspezifische Protokolle durchlassen Dynamische Router können identifizierte IP Adressen oder IP Adressbereiche blocken ausgehendes IP Spoofing ist zu verhindern

Maßnahmen für Serverbtr. Maßnahme 4: Intrusion Detection Systeme DoS-Angriffe führen normalerweise zu einer anomalen Auslastung des Servers spezifische Kennwerte des Systems sollten überwacht werden (Speicherauslastung, Stacks, Netzauslastung, ...) DoS Angriffsmustern sollten im Netzverkehr gesucht werden eine automatische Alarmierung ermöglicht zeitnahe Reaktion auf Systemangriffe. z.B. snort

Maßnahmen für Serverbtr. Maßnahme 5: Notfallplan Reaktionen auf einen Angriff sollten in einem Notfallplan festgehalten werden geeignete Eskalationsprozedur festzuschreiben Ansprechpartner, Verantwortliche definieren alternative Kommunikationswege und Handlungsanweisungen festlegen Notfallressourcen definieren (Bakupsysteme … )

Maßnahmen für Serverbtr. Maßnahme 6: Sichere Konfiguration der Server schließen von bekannten Schwachstellen sichere Konfiguration Server sollten nur wenige Dienste anbieten und dünn konfiguriert werden Security Policies (Passwortschutz, Zugriffschutz, Änderungsintervalle …) restriktive Vergabe von Zugriffsrechten und Systemressourcen an Nutzer Änderungs- und Zugriffsprotokollierung

Maßnahmen für Content Prv. Maßnahme 7: Regelmäßige Datenüberprüfung nach Viren und Angriffsprogrammen Vermeidung von unbewusster Verbreitung von Trojanern und Vieren (DDoS) Einsatz von Suchprogrammen („schlafende DDoS Programme“)

Maßnahmen für Endanwender Maßnahme 8: Schutz vor Schadprogrammen Endanwenderrechner werden für DDoS Angriffe mißbraucht Schlecht geschützte Einzelsysteme gefährden Gesamtnetz Schutz durch Virenprogramme, Firewalls, OS Updates

Alle Zielgruppen IT-Grundschutz für Rechner mit Internet-Anschluss Zeitnahes Einspielen von Sicherheits-Updates Tool-Einsatz und Schulung der Mitarbeiter

Quellen und Literaturangaben Bundesamt für Datenschutz und Datensicherheit Symantec Wikipedia Cert www.computec.ch IETF Cisco