Sicherheit in Netzwerken - Allgemeine Informationen (5)

  • 04.02.08 Schutzmaßnahmen - Die "Task Force" des Bundesamtes für Sicherheit in der Informationstechnik brachte folgende 15 Hinweise zum Schutz vor (D)DoS Angriffen heraus: Maßnahmen für Netzvermittler - Den Netzvermittlern kommt eine zentrale Rolle bei der Verhinderung von DoS zu. Die Netzvermittler sind zwar selber nur selten Ziel von DoS-Angriffen, haben aber indirekt Nutzen von einem sichereren Internet, da das Vertrauen aller Nutzer und damit ihre Zahl wächst.

    - Maßnahme 1: Verhinderung von IP-Spoofing - Viele DoS-Angriffe nutzen gefälschte IP-Absenderadressen. Dies macht einerseits einige Angriffe erst möglich und erschwert andererseits die Suche nach dem Verursacher. Durch entsprechende technische Regeln (RFC 2267 vom Januar 1998) in der Netzinfrastruktur der Netzvermittler können die Netzbetreiber diese Möglichkeit wesentlich einschränken, so dass gefälschte Pakete nicht weiter ins Internet vermittelt werden. Eine Organisation, die an einen Netzbetreiber angeschlossen ist, hat einen bestimmten IP-Adressbereich zur Verfügung. Jedes IP-Paket, dass aus dieser Organisation in das Internet geschickt wird, müsste eine IP-Absenderadresse aus diesem Bereich haben. Ist dies nicht der Fall, so handelt es sich um eine gefälschte Adresse und das IP-Paket sollte vom Netzvermittler nicht weitergeleitet werden, d. h., es soll eine Paketfilterung auf die Absenderadressen beim Einspeisen der Pakete in das Internet durchgeführt werden. Zwar ist IP-Spoofing innerhalb des erlaubten Adressbereichs der Organisation noch immer möglich, jedoch ist der Kreis der möglichen Verursacher auf die Organisation eingeschränkt. Ein normaler Heimzugang in das Internet hat nur eine einzige erlaubte IP-Adresse, so dass über solche Wählzugänge IP-Spoofing gar nicht mehr möglich wäre.

    - Maßnahme 2: Einsatz von Paketfiltern bei Netzvermittlern - Häufig sind Server nur über eine einzelne Netzverbindung an den Netzvermittler angebunden. Selbst wenn die Server widerstandfähig gegen DoS-Angriffe sind, so ist doch diese Netzverbindung selber in ihrer Kapazität beschränkt und kann von einem Angreifer vollständig ausgelastet werden, so dass die Server aus dem Internet nicht mehr erreichbar sind. Daher sollten Netzvermittler in Erwägung ziehen, die Netzanbindung der Serverbetreiber durch den Einsatz von Paketfiltern gegen DoS-Angriffe abzuschirmen, d. h. es soll eine Paketfilterung (auf Ports) beim Verlassen der Pakete aus dem Internet durchgeführt werden. Dies ist insbesondere dann sehr effektiv, wenn in Zusammenarbeit mit einem Angriffserkennungssystem beim Serverbetreiber der Paketfilter dynamisch an den jeweils laufenden Angriff angepasst werden kann. (Darüber hinaus kann der Netzvermittler in Absprache mit dem Serverbetreiber den Paketfilter auch so konfigurieren, dass Maßnahme 3 auch auf der Seite des Netzvermittlers ergänzt wird.) Maßnahmen für Serverbetreiber - Die Rechner der Serverbetreiber kommen nicht nur als Opfer der DoS-Angriffe in Betracht. Wegen ihrer leistungsfähigen Anbindung an das Internet sind sie auch potentielle Ausgangsplattformen. Daher muss verhindert werden, dass diese Rechner als Ausgangspunkt für Angriffe auf weitere Rechner missbraucht werden.

    - Maßnahme 3: Einsatz von Paketfiltern bei Serverbetreibern - Server sollten im Normalfall nur wenige Dienste anbieten und entsprechend konfiguriert werden. Auf dem vorgeschalteten Router sollten Paketfilterregeln implementiert werden, die nur die zugehörigen Protokolle passieren lassen und beispielsweise sicherheitskritische Dienste oder gerichtete Broadcasts (RFC 2644) abblocken. Im Falle eines Angriffs können diese Router so umkonfiguriert werden, dass die Anfragen von verdächtigen einzelnen IP-Adressen oder -Adressbereichen abgewiesen werden. (Darüberhinaus sollte der Serverbetreiber den Paketfilter zusätzlich so konfigurieren, dass aus seinem Netz heraus IP-Spoofing nicht möglich ist und so die Maßnahme 1 unterstützt wird. Die dazu vorzunehmenden Einstellungen sind in den Systemverwalter-Handbüchern der Router beschrieben.)

    - Maßnahme 4: Automatische Angriffserkennung - DoS-Angriffe zeichnen sich normalerweise dadurch aus, dass sie Server anomal auslasten. Daher sollten typische Kennwerte (Speicherauslastung, Stacks, Netzauslastung, ...) ständig überwacht werden. Eine automatische Alarmierung ermöglicht dann, zeitnah Reaktionen einzuleiten (hostbasierte Angriffserkennung). Hierzu sind ggf. geeignete Zusatzprodukte heranzuziehen. Zusätzliche Informationen zu Intrusion Detection Systems finden sich beispielsweise unter https://www.bsi.bund.de/DE/Pub…dien/IDS02/index_htm.html

    - Maßnahme 5: Etablierung eines Notfallplans - Im Falle eines Angriffs ist es von zentraler Bedeutung, schnell reagieren zu können. Nur so ist es möglich wirksame Gegenmaßnahmen einzuleiten, eventuell den Angreifer zu identifizieren und den Normalbetrieb innerhalb kurzer Zeit wieder herzustellen. In einem Notfallplan ist daher eine geeignete Eskalationsprozedur festzuschreiben. Notwendige Angaben sind dabei u. a. Ansprechpartner, Verantwortliche, alternative Kommunikationswege, Handlungsanweisungen und Lagerort möglicherweise benötigter Resourcen (z. B. Magnetbänder). Nähere Informationen zum Umgang mit Angriffen aus dem Internet finden sich unter (https://www.bsi.bund.de).

    - Maßnahme 6: Sichere Konfiguration der Server - Die Server der Serverbetreiber können als Agenten eines DoS-Angriffs missbraucht werden. Der Angreifer installiert dazu unter Ausnutzung bekannter Schwachstellen Schadsoftware. Daher müssen die Betreiber der Server diese sorgfältig und sicher konfigurieren. Nicht benötigte Netzdienste sind zu deaktivierten und die benötigten abzusichern, ein hinreichender Passwort- und Zugriffsschutz sowie rechtzeitiges Ändern (insbesondere voreingestellter) Passwörter muss sichergestellt sein. Nähere Informationen finden sich unter https://www.bsi.bund.de/DE/Themen/StandardsKriterien/ISi-Reihe/ISi-Server/server_node.html.

    - Maßnahme 7: Restriktive Rechtevergabe und Protokollierung - Durch Manipulationen an Servern kann ein Angreifer diese als Agenten missbrauchen oder ihre Leistungsfähigkeit einschränken. Deshalb müssen alle Änderungen und alle Zugriffe auf den Server protokolliert werden. Es ist auf eine restriktive Vergabe von Zugriffsrechten der Nutzer, auf die zur Verfügung gestellten Systemressourcen und auf eine erhöhte Sorgfalt bei Konfigurationsänderungen zu achten. In regelmäßigen Abständen ist das Dateisystem auf Integrität zu überprüfen. Werden lediglich statische Daten benötigt, kann ein manipulations-sicherer, schreibgeschützter Datenträger verwendet werden.

    - Maßnahme 8: Einsatz von Open-Source-Produkten - Für den Fall, dass Schwachstellen neu entdeckt werden, die einen DoS-Angriff ermöglichen oder erleichtern, ist es wichtig, dass diese schnell behoben werden können. Meist werden derartige Schwachstellen in Open-Source-Software wesentlich schneller behoben als in Produkten, deren Quellcode nicht veröffentlicht ist. Häufig können die Veränderungen im Quellcode sogar selbst durchgeführt werden. Daher sollten Open-Source-Produkte bei ähnlicher Leistungsfähigkeit bevorzugt werden.

    - Maßnahme 9: Auswahl geeigneter und IT-sicherheitsbewusster Serverbetreiber - Die Inhalte-Anbieter sollten durch die Wahl ihres Serverbetreibers darauf hinwirken, dass dieser Sicherheit und Verfügbarkeit als zentrale Leistungsmerkmale ansieht. Daher sollten sie einen Serverbetreiber wählen, der entsprechende Erfahrungen mit den benötigten Internet-Plattformen vorweisen und seine Bemühungen im Bereich IT-Sicherheit nachweisen kann, z. B. durch ein IT-Sicherheitskonzept.

    - Maßnahme 10: Vermeidung aktiver Inhalte - Viele WWW-Seiten im Internet sind derzeit nur nutzbar, wenn in den Browsern aus Sicherheitssicht bedenkliche Einstellungen vorgenommen werden, die von einem Angreifer missbraucht werden können. Durch bewusste Vermeidung sicherheitskritischer Techniken (z. B. aktive Inhalte) können Inhalte-Anbieter dazu beitragen, dass auf den Clients keine unsicheren Einstellungen vorhanden sein müssen.

    - Maßnahme 11: Tägliche Überprüfung von Dateien auf Viren und Angriffsprogrammen - Viele Inhalte-Anbieter stellen auf ihren WWW-Seiten Programme und Dokumente zum Download bereit. Gelingt es einem Angreifer, dort ein trojanisches Pferd einzubringen, so kann er in kurzer Zeit auf eine große Verbreitung hoffen. Eine solche Vorgehensweise ist insbesondere bei DDoS-Angriffen für Angreifer verlockend, da dabei eine große Zahl von Rechnern für einen wirkungsvollen Angriff benötigt wird. Der Inhalte-Anbieter sollte deshalb täglich mit speziellen Suchprogrammen überprüfen, ob auf seinen Seiten Programme mit Schadenfunktionen (Viren, Trojanische Pferde, DoS-Programme, etc.) verfügbar sind (für die Suche nach DDoS-Programmen siehe z. B. https://sourceforge.net/projects/x4u-doser/). Maßnahmen für Endanwender - Rechner der Endanwender sind im Normalfall nicht Ziel von DoS-Angriffen. Allerdings können diese Rechner dazu benutzt werden, dass ein Angreifer in einem ersten Schritt Programme auf ihnen installiert, die dann ferngesteuert einen DoS-Angriff auf beliebige Rechner ermöglichen. Daher können auch Endanwender einen Beitrag zum Schutz vor DoS-Angriffen leisten.

    - Maßnahme 12: Schutz vor Schadprogrammen - Rechner von Endanwendern können als Agenten für Angriffe missbraucht werden. Am leichtesten lassen sich solche Agenten über Viren, trojanische Pferde oder durch aktive Inhalte (insbesondere ActiveX) auf die einzelnen Rechner installieren. Daher ist ein zuverlässiger und aktueller Virenschutz und das Abschalten aktiver Inhalte im Browser dringend anzuraten. Ggf. kann auch der Einsatz von Hilfsprogrammen zum Online-Schutz des Clients (beispielsweise PC-Firewalls) erwogen werden. Weitere Empfehlungen werden auf den WWW-Seiten des BSI (http://www.bsi.bund.de) gegeben. Maßnahmen für alle Zielgruppen - Die hier empfohlenen Maßnahmen sind Standardmaßnahmen (Schutz vor Schadprogrammen - BSI). Die Praxis zeigt jedoch, dass sie aus unterschiedlichen Gründen häufig nicht umgesetzt werden.

    - Maßnahme 13: IT-Grundschutz für Rechner mit Internet-Anschluss - Rechner, die über einen Internet-Anschluss verfügen, sollten durch konsequente Umsetzungen der IT-Grundschutzmaßnahmen aus den Kapiteln 6.1, 6.2 und 6.4 für vernetzte Unix-Systeme bzw. Windows NT des IT-Grundschutzhandbuchs ein angemessenes Sicherheitsniveau erreichen. Damit ist gewährleistet, dass typischen Gefährdungen entgegengewirkt wird. Das IT-Grundschutzhandbuch kann unter (http://www.bsi.bund.de/gshb) eingesehen und unter gshb@bsi.de kostenlos auf CD-ROM bezogen werden.

    - Maßnahme 14: Zeitnahes Einspielen von Sicherheits-Updates - Immer wieder werden neue sicherheitsrelevante Schwachstellen in den Betriebssystemen und der Serversoftware entdeckt, die wenig später durch Updates (Patches) der Hersteller behoben werden. Um möglichst zeitnah reagieren zu können, ist es notwendig, die Mailinglisten des Computer Emergency Response Teams (CERT) unter http://www.cert.org und der Hersteller zu abonnieren und auszuwerten. Die relevanten Updates sind schnellst möglich einzuspielen, um die bekannt gewordenen Schwachstellen zu beheben.

    - Maßnahme 15: Tool-Einsatz und Schulung der Mitarbeiter - Um einen Rechner vor Risiken und Gefahren zu schützen, ist z. T. erhebliches Know-How zur Erarbeitung einer effektiven IT-Sicherheitskonfiguration notwendig. Administratoren müssen daher ausreichend aus- und weitergebildet werden. Zur Unterstützung der Administrationsaufgaben sollten zudem Sicherheits-Tools herangezogen werden. Besonders geeignet ist hier das BSI-Tool USEIT (im Internet unter http://www.bsi.bund.de/aufgaben/projekte/useitool/useit.htm), das es ermöglicht, Schwachstellen in der Installation und Konfiguration von Unix-Rechnern zu finden. http://www.bsi.de - Quelle: Bundesamt für Sicherheit in der Informationstechnik