Erschreckende Fallzahlen
Auch in seinen internationalen Netzen baut der Konzern die Systeme kontinuierlich aus, um neue Formen von Hackerangriffen auf breiterer Ebene zu erkennen. Dass sich der Aufwand für den Aufbau und Betrieb der Locksysteme lohnt, zeigt allein die Zahl der Attacken auf die Honeypots der Telekom. Stündlich bis zu 1400 Mal klingelten so zum Beispiel im Januar deren Alarmsysteme. Bis zu 900 verschiedene Angreifer täglich und knapp 13.000 über den Monat verteilt versuchten dabei unerlaubt am Honig zu lecken; insgesamt registrierten die Systeme des Konzerns im gleichen Zeitraum 11.300 verschiedene Angriffsmuster. Die Zahl der insgesamt von den Honeypots registrieren Angriffsversuche stieg in den vergangenen zwölf Monaten von knapp 300.000 auf über 700.000 pro Monat an.
"Die Zahlen allein sagen natürlich nicht aus, ob beispielsweise unsere Web-Produkte wie etwa Portale in gleichem Ausmaß attackiert werden", erklärt Schmall. "Deswegen ergänzen wir unser Frühwarnsystem zunehmend um Messpunkte auf Produktionsservern." Allein die Zahl der Angriffe zu registrieren oder die Angreifer abzulenken, sei aber nicht entscheidend für das Sicherheitsteam. "Wir simulieren zum Beispiel SSH-Server, zeichnen die Folgen eines erfolgreichen Angriffs auf und analysieren dabei auch den böswilligen Code." Im Detail läuft es so ab: Das System lässt den Angriff zunächst zu und loggt die Angriffsvektoren und -muster mit. Eigener ausführbarer Code kann zu keinem Zeitpunkt von dem Angreifer tatsächlich ausgeführt werden. Die nachgeladenen Schadcodes werden in einen Quarantäne-Bereich verschoben, sodass der Angreifer seine Spuren nicht mehr verwischen kann und eine spätere Analyse der Vektoren durch die Sicherheitsexperten möglich bleibt.
Gefährdungspotenzial verschieden
Wichtigste Erkenntnis der Untersuchungen: Die Schadprogramme, die sich in den Honeypots verfangen, dienen unterschiedlichsten Zwecken. So sollten sie beispielsweise den Zugriff auf Administratorenrechte in Linux ermöglichen, Scannerprogramme zum Auffinden anderer verwundbarer Systeme im Internet oder in lokalen Applikationen installieren oder mittels Brute Force Authentifizierungstechniken weiterer Systeme angreifen. Dieses letztgenannte Vorgehen, das auf Wörterbuchbasis versucht, Passwörter zu knacken, war in einem Fall sogar recht schnell erfolgreich: Lediglich vier Stunden benötigte ein Hacker, um in den Honeypot einzudringen und Malware hochzuladen. "Wir haben dann das bestehende achtstellige Passwort eines SSH-Honeypots durch ein komplexeres ersetzt. Danach gab es in zwei Monaten ganze zwei erfolgreiche Attacken", berichtet Schmall.
Ähnliche Größenordnungen herrschen auch in den ganz frischen MySQL-Honeypots vor: Hier werden binärprotokoll-kompatible MySQL-Datenbanken emuliert, in denen sich sensible Daten befinden. "Diese Datenbanken werden aber so gut wie gar nicht attackiert, weil es wohl zu ungewöhnlich ist, dass eine solche Datenbank frei im Netz steht", erklärt Schmall. Da die meisten Schwachstellenscans nach wie vor automatisch passierten, bewegten sich die Angebote ganz einfach unter dem Radar der Angreifer. Dennoch plane die Telekom, die MySQL-Honeypots weiterhin aktiv zu lassen und bald auch für Microsoft SQL Server ähnliche Szenarien aufzubauen.
Trends: Mobile, Industrieanlagen
Die nächste große Baustelle sind die mobilen Endgeräte - und inzwischen hat das Sicherheitsteam auch für diese eine Honeypot-Lösung entwickelt. Ziel war es, Smartphones mit den Betriebssystemen iOS und Android und Zugriff auf mobile Netzwerke zu simulieren und Hackerattacken gegen sie zu erfassen. Noch gebe es keine dezidierten Attacken auf mobile Geräte, was mit der fehlenden Inter-Client-Kommunikation zusammenhänge, vermutet Schmall. Mobile Endgeräte könnten über die gängigen Funkstandards bei den meisten Providern, darunter auch der Telekom, wegen der zu kleinen Adressblöcke bisher nicht via IP untereinander kommunizieren und seien daher nicht über eine öffentliche Adresse ansteuer- und angreifbar. "Ich glaube, dass sich das mit LTE nach und nach ändern wird, da sind wir einfach noch ein halbes Jahr zu früh", sagt Schmall.
In den kommenden Monaten möchte sich sein Team zudem verstärkt um Industriesteuerungssysteme kümmern, die zunehmend ins Blickfeld der Angreifer geraten. Schmall blickt voraus: "Wir wollen nicht mehr nur die klassischen Endkundenportale im Web simulieren, sondern auch Energiesteuerungsanlagen a la Scada, um noch einmal eine ganz andere Honeypot-Sensorik zu ermöglichen."
- Ein guter Weg zum sicheren Passwort
Wer sein Passwort nach dieser Vorgehensweise anlegt, kann sicher sein, ein schwer zu knackendes und starkes Passwort zu besitzen (nach Anregungen aus dem Microsoft Safety & Security Center). - Das Safety & Security Center von Microsoft bietet auch die Möglichkeit, ein Passwort auf seine Verschlüsselungsstärke zu testen
Hier wurde ein Passwort eingegeben, dass nach der Tabelle in Bild 1 erstellt wurde. - Warum manuell ein Passwort erstellen, wenn es auch dafür Software gibt?
Mit der freien Software PWGen werden wirklich sichere und sehr komplexe Passworte erstellt. - Nach einmal die Überprüfung
Hier wurde ein Passwort eingegeben, das zuvor mittels des Programms PWGen erstellt worden ist. Allerdings ist der Hinweis wichtig, dass diese Überprüfung allein kein sicheres Passwort garantieren kann. - Die Anmeldung an die Passwort-Datenbank
Hier sind alle wichtigen Passworte versammelt und können übersichtlich verwaltet werden. - Wer mit wirklich komplexen unterschiedlichen Passworten arbeitet, kommt um den Einsatz eines Passwort-Managers nicht herum
Hier die Open-Source-Lösung KeePass, die durch ihre vielfältigen Möglichkeiten auch sehr gut in Unternehmensnetzwerken eingesetzt werden kann. - Professionelle Lösungen wie die hier gezeigte Lösung Passwort-Depot bieten natürlich noch viel mehr Möglichkeiten
Hier steht beispielsweise auch eine umfangreiche Suchmöglichkeit in der Datenbank zur Verfügung. - Vielfältige Möglichkeiten
Das Passwort-Depot ermöglicht es, die gesicherten und verschlüsselten Daten auch auf externe Medien auszulagern. - Integration ist wichtig
Sollen die Anwender leicht und schnell mit den komplexen Passworten umgehen können, so ist wie hier eine direkte Einbindung in den Browser sinnvoll: Die Nutzer geben dann die Passworte direkt aus dem „Safe“ in die Webseite ein. - Enge Integration in den jeweiligen Browser
Die Lösung Robo kann ebenfalls Passworte verwalten, ist aber primär darauf ausgerichtet, den Anwender beim sicheren Ausfüllen von Web-Formularen zu unterstützen. - Master-Passwort
Das Master-Passwort wird bei Installation von RoboForm auch daraufhin untersucht, ob es entsprechend sicher und komplex genug ist. - Nach der Installation
Roboform kommt auch ins Spiel, wenn sich der Anwender über Web auf einem anderen Windows-System anmelden will. - Direkte Erinnerung
Das Programm wird direkt in den Browser integriert – die funktioniert neben dem Internet-Explorer auch im Firefox und unter Opera. - Zusatzfunktionen
Das eigentliche RoboForm-Programm stellt dem Anwender neben der reinen Verwaltung von Passworten noch andere Funktionen zur Verfügung, so auch die Möglichkeit Notizen sicher abzuspeichern.
Auf der folgenden Seite stellen wir Ihnen noch weitere Analysewerkzeuge vor, mit denen deutsche Unternehmen versuchen, den Cybergangstern beizukommen...