Original-URL des Artikels: https://www.golem.de/news/epic-fail-collection-wie-man-einen-ddos-angriff-nicht-verhindert-1512-118268.html    Veröffentlicht: 30.12.2015 19:07    Kurz-URL: https://glm.io/118268

Epic Fail Collection

Wie man einen DDoS-Angriff nicht verhindert

Wie verhindert man einen DDoS-Angriff nicht? Dieser Frage ging der Sicherheitsforscher Moshe Ziono in seinem Vortrag auf dem 32C3 nach. Demnach wird das teure Anti-DDoS-Equipment offenbar manchmal selbst zur Falle.

Der Sicherheitsforscher Moshe Ziono hat auf dem Hackerkongress 32C3 gezeigt, wie man einen DDoS-Angriff (Distributed Denial of Service) nicht verhindert. Ziono berichtete in einem Vortrag von zahlreichen Beispielen aus der Praxis, bei denen Kunden sich auf teils obskure Sicherungsmechanismen verließen, die ihnen in einem Test zum Verhängnis wurden.

Ziono arbeitet für eine Firma, die die DDoS-Resilizenz von Systemen testet. Viele der Kunden stammen aus dem Finanzumfeld, sind also in der Regel recht große Unternehmen. Alle genannten Beispiele stammen Zionos Angaben zufolge aus der Praxis, die Namen der Kunden wurden selbstverständlich nicht genannt. Zu Testzwecken benutzt das Unternehmen ein eigenes Botnetz, das Ziono als "so legitim wie möglich" beschrieb.

Webseite unbemerkt offline

In einem Fall attackierten die Sicherheitsforscher das System der Kunden - und legten die Seite innerhalb kurzer Zeit lahm. Doch die Monitoring-Systeme zeigten nach mehreren Traffic-Peaks keine ungewöhnlichen Meldungen an - und keiner schlug Alarm, obwohl die Seite weiterhin nicht erreichbar war. Der Grund dafür war trivial: Alle Systeme des Unternehmens liefen auf einem Server - der DDoS-Angriff hatte nicht nur die Webseite lahmgelegt, sondern auch das interne Voice-over-IP-Netz. Die Möglichkeit, im Web zu surfen, und die E-Mail-Kommunikation waren komplett lahmgelegt - deswegen kontaktierte niemand das IT-Team der Firma. Offenbar war unbemerkt geblieben, dass die eigene Seite nicht mehr online ist.

Eine andere weit verbreitete falsche Annahme sei, dass Backend-Systeme nicht von DDoS-Attacken betroffen seien, sagte Ziono. Diese würden meist als nicht wichtig erachtet. "Wenn du einen deiner Server als unwichtig ansiehst, dann nutze ihn nicht - er ist nur Backup", sagte er in dem Vortrag. Denn oftmals sei es möglich, eine Webseite anzugreifen, indem die dahinterliegende Datenbank mit Anfragen überfordert werde - und so Funktionen wie Logins nicht mehr funktionierten. "Wenn dein Server viel rechnen muss, ist es meistens das Backend" - dies könne man ausnutzen, um die Rechenkapazität des Systems zu erschöpfen.

Inkompetenz führt zu DDoS

Auch Inkompetenz im Einsatz von Anti-DDoS-Equipment spiele häufig eine Rolle. So habe ein Kunde nach Angaben von Ziono eine "glänzende, teure Box", die vor DDoS-Angriffen schützen sollte, in sein Netzwerk integriert. Anschließend habe er alle Geräte damit verbunden, auch das interne VoIP-Netz. Ein Angriff auf das zu Schutzzwecken eingesetzte Geräte führte dann zum Totalausfall aller Systeme. Nach Angaben von Ziono dauerte es mehr als sieben Stunden, bis das gesamte Equipment der Firma wieder einsatzbereit war. In dieser Zeit wären zahlreiche Transaktionen ausgefallen - der falsch eingesetzte DDoS-Schutz führte also nicht nur ins Leere, sondern verursachte sogar wirtschaftlichen Schaden.

In einem weiteren Fall arbeitete ein Unternehmen offenbar mit einer Sicherheitsfirma zusammen, der es nicht vertraute. Das Unternehmen sollte die ein- und ausgehenden Datenströme auf Anomalien untersuchen - bekam aber kein Zertifikat zur Entschlüsselung des Datenverkehrs. HTTPS-Verkehre konnten daher nicht untersucht werden und waren für Angriffe anfällig.

Auch der Einsatz von Content-Delivery-Netzwerken (CDN) wie Cloudflare ist offenbar beliebt, um DDoS-Angriffe abzuwehren. Es gibt statische und dynamische CDNs. Statische CDNs halten den gesamten Content eines Frontends vor und liefern diesen bei Bedarf aus. Ist die Kapazität eines Angriffes groß genug, können auch diese Netzwerke erfolgreich lahmgelegt werden. In der Regel hat die DDoS-Versicherung von Akamai und Co. eine Obergrenze an Traffic, bevor die Seite nicht mehr erreichbar ist. Bei dynamischen CDNs werden Daten, die nicht im CDN vorliegen, von der Quelle (Origin) angefordert. Gegen DDoS-Angriffe schützen sie nur bedingt - denn wenn ein Angreifer eine Seite anfordert, aber bestimmte Parameter verändert, wird die Quelle immer wieder erneut angefragt und kann daher unter Umständen lahmgelegt werden. Sind die Systeme nicht sauber konfiguriert, kann ein dynamisches CDN auch die Quelle verraten, selbst wenn diese unter einer zufällig erstellten Subdomain liegt. Denn wenn ein Angreifer nach anderen bekannten Subdomains für eine Seite sucht und die /24 bzw. /16-Netzwerke scannt, kann er die Quelle unter Umständen finden. Alternativ kann er in der Whois-Historie fündig werden.

Netzwerk blockiert sich selbst

Der größte von Ziono beschriebene Fehler führte bei einem Test zu einem selbst verschuldeten DDoS. Ein Kunde, der seinen Schilderungen nach im staatlichen Sektor Israels zu vermuten ist, blockte einfach alle verdächtigen IP-Adressen. Dabei blockte er nicht nur die individuelle, verdächtige IP, sondern ganze Blöcke. Das nutzten die Sicherheitsforscher aus und sendeten dem Kunden eine große Menge gut erkennbarer TCP-Syn-Anfragen unter gespooften IP-Adressen - die vorgaben, aus dem Netz des Kundens selbst zu kommen. Innerhalb von 15 Minuten legte sich das Netz des Kunden somit selbst lahm.  (hg)


Verwandte Artikel:
Akamai: Github übersteht bislang stärksten DDoS-Angriff   
(02.03.2018, https://glm.io/133105 )
iOS 11+1+2=23: Apple-Taschenrechner versagt bei Kopfrechenaufgaben   
(23.10.2017, https://glm.io/130761 )
Kollaborationssoftware: IBM ersetzt E-Mails durch Slack   
(26.02.2018, https://glm.io/132990 )
Kursanstieg: Bitcoin auf neuem Rekordhoch   
(24.02.2017, https://glm.io/126380 )
Trustico/Digicert: Chaos um 23.000 Zertifikate und private Schlüssel   
(01.03.2018, https://glm.io/133077 )

© 1997–2020 Golem.de, https://www.golem.de/