DDoS: Werkzeug von Erpressen, Kriminellen und selbsternannten Rächern
Die bekannteste Art des Angriffs von Externen ist zweifelsohne eine Distributed Denial of Service-Attacke, kurz DDoS. Angreifer nutzen dabei einen Verbund an Rechnern, um einen Dienst, meist eine Website, so lange mit Anfragen zu überhäufen, bis die Server unter der Last zusammenbrechen. Als Quellen dienen dafür häufig Botnets, also mit Viren infizierte Rechnerverbunde, die von einer zentralen Stelle Anweisungen erhalten. Der Protest rund um Wikileaks hat allerdings gezeigt, dass Protestierende auch freiwillig ihre Rechnerkapazitäten zur Verfügung stellen, wenn es um eine ihrer Meinung nach gerechte Sache geht.
Das Problem dabei: Denial of Service-Schwachstellen sind in den meisten Systemen und Programmen enthalten und, einmal entdeckt, relativ einfach auszunutzen. Allein der englische Wikipedia-Eintrag zählt dreizehn verschiedene Formen der Attacken. Die Firma Armoraid hat fünf grundsätzliche Definitionen erstellt, an denen man eine aktive DoS-Attacke erkennt:
-
Unnötiger Verbrauch eines Großteils der Rechenressourcen, etwa CPU-Leistung, Bandbreite oder Speicherplatz
-
Störung von Konfigurationsinformationen, etwa indem die Routing-Informationen verfälscht werden
-
Störung der Statusinformationen, etwa indem TCP Sessions zurückgesetzt werden,
-
Störung von physikalischen Komponenten, etwa wenn ein Server oder eine Netzwerkkomponente zum Absturz gebracht wird
-
Sabotage der Kommunikation zwischen Endstelle und Nutzer, so dass beispielsweise die Verbindung zurückgesetzt wird.
Es bringt übrigens kaum etwas, die jeweiligen Ursprungs-IP-Adressen direkt anzugehen. Neben rechtlichen Problemen sind diese meist gefälscht, wer also meint, proaktiv gegen Angreifer vorgehen zu können, attackiert im schlimmsten Fall selbst andere Systeme. Die Verwendung gefälschter IP-Adressen führt oftmals zu einem so genannten Backscatter-Effekt. Dabei schickt der Server die Pakete an die angegebene IP, da diese aber nicht der Ursprung der Anfrage ist, kann das Gegenüber nichts mit den Paketen anfangen. Spezielle Systeme können diese Pakete erkennen und so indirekt Hinweise zu einer aktiven DDoS-Attacke sammeln. Wie Backscatter funktioniert, erklärt beispielsweise die CAIDA auf dieser Seite in einer Animation.
- So schützen Sie Ihre Daten
Meistens sind es eigene Mitarbeiter oder Beschäftige von Partnerfirmen, die unternehmenskritische Daten mitgehen lassen. So können Sie sich davor schützen. - 1. Regeln für E-Mail-Kommunikation definieren:
Den Mitarbeitern muss klar sein, dass sie keine unternehmenskritischen Informationen über Web-Mail-Services oder andere ungesicherte Kanäle übertragen dürfen. Bei Bedarf sollten Unternehmen eine Data-Loss-Prevention-Lösung einsetzen. - 2. Datenverschlüsselung einsetzen:
Insbesondere Daten auf mobilen Rechnern und mobilen Speichermedien sollten grundsätzlich verschlüsselt werden, weil diese Geräte häufiger abhanden kommen. - 3. Starke Passwörter verwenden:
Die Zugangs-Codes zu Arbeitsplatzrechnern und Firmennetz sollten mindestens acht Zeichen sowie Groß- und Kleinbuchstaben, Zahlen und Sonderzeichen wie $ oder % enthalten. Alle 45 bis 60 Tage sollten die Passwörter gewechselt werden. - 4. Regelmäßig Sicherheits-Audits durchführen:
Schwachstellen werden oft nur dann offenbar, wenn die internen IT-Sicherheitsmaßnahmen überprüft werden. Weil IT-Administratoren ungern selbst auf Lücken verweisen, sind externe Anbieter ratsam. - 5. IT-Sicherheits-Regelwerk erstellen und pflegen:
Wenn definiert wird, wer wann Zugang zu welchen Netzwerk-Segmenten, Anwendungen und Daten hat, lässt sich der Zugriff auf kritische Informationen, wie etwa Entwicklungsunterlagen, steuern, überwachen und nachvollziehen. - 6. Vertrauenswürdigkeit von Partnern prüfen:
Häufig benötigen Partner oder Lieferanten für ihre Dienste sensiblen Daten (Callcenter arbeitet mit Adressdaten). Im Zweifel sollten die externen Partner Sicherheitszertifizierungen etwa nach ISO 27000 nachweisen. - 7. System-Management konsequent umsetzen:
Benutzer-Accounts von Usern und Administratoren müssen sorgfältig gepflegt werden. Verlassen Mitarbeiter das Unternehmen, müssen Zugriffsrechte gelöscht werden. - 8. Auch Systemverwalter überwachen:
Geltende Compliance-Regeln und Datenschutzgesetze schreiben auch die Kontrolle des Administrators vor. - 9. Spezielle Sicherheitssysteme nutzen:
Data-Loss-Prevention-Systeme (DLP), Datenverschlüsselung sowie Lösungen, die den Zugang zu Daten und Systemen kontrollieren (Identity- und Access-Management), sind hilfreich. - 10. Die Gebäudesicherheit nicht vergessen:
Der Schutz vor Datenklau beginnt schon beim Zugang zum Firmengelände oder zu bestimmten Abteilungen. Lieferanten oder externe Mitarbeiter sollte nicht ohne Aufsicht in Abteilungen mit IT-Arbeitsplätze arbeiten.