Am Freitag, dem 21. Oktober 2016, versuchten Nutzer vergeblich eine Reihe populärer Websites in den USA zu erreichen. Aber es ging (fast) nichts mehr bei Twitter, PayPal, CNN, Reddit, Netflix, Github, Iheart Radio, Pinterest, Spotify, Wired und Yelp.
Die Ausfälle wurden durch eine massive Distributed-Denialof-Service-Attacke (DDoS) verursacht und richteten sich gegen die autoritativen Nameserver der betroffenen Domains. Zuständig für die Bereitstellung der Nameservices, war das Unternehmen Dyn, ein DNS Service Provider. Der Angriff startet etwa um 7:10 Uhr EDT und betraf zunächst nur die Ostküste der USA. Später breitete er sich wellenförmig über die USA, aber auch Europa aus. Die Angriffe dauerten bis in die Abendstunden an, und die betroffenen Seiten waren in weiten Teilen immer noch nicht wieder verfügbar.
Auf Gizmodo kann man genau nachvollziehen, wie sich die Attacken ausgebreitet haben. Analysen haben relativ schnell an den Tag gebracht, dass die Urheber die erst vor kurzem veröffentlichte Schadsoftware Mirai als Angriffsvektor verwendet haben. Ihr Code erlaubt es diverse Firmware- und Softwareschwachstellen in IoT-Geräten auszunutzen, wie beispielsweise in Kameras, DVRs, Thermostaten und so weiter. Die Kontrolle über ein einzelnes Gerät zu übernehmen bringt an sich nicht viel. Außer, dass der Eindringling es überhaupt ins Netzwerk geschafft hat. Bringt man aber hunderttausende dieser Geräte unter seine Kontrolle und weist sie an konzertiert zu agieren (nämlich im Rahmen einer DDoS-Attacke), ergibt das ein deutlich anderes Bild. Was dann passiert, war am letzten Freitag sinnfällig zu erleben.
Den Angreifern ist es gelungen eine riesige Zahl unzureichend geschützter Geräte zu kontrollieren und so zu programmieren, dass die betreffenden Zielserver mit einer immens hohen Zahl von DNS-Anfragen überflutet wurden. Die Anfragen wurden über offene, im Internet zugängliche Cache Resolver verstärkt. In diesem Fall waren die IP-Adressen des Dyn DNS-Servers das Ziel der Attacke. Das Vorgehen führt dazu, dass der DNS-Cache-Server sämtliche Antworten an die gespoofte Quell-IP sendet. Kombiniert mit diversen Tricks eines Amplification-Angriffs führte das dazu, dass die Zieladresse die enorme Zahl von DNS-Abfragen nicht mehr abarbeiten kann. Zudem überlasten sie die Seiten derart, dass kaum noch Bandbreite für die legitimen Anfragen zur Verfügung steht. Folge: Die Seiten sind nicht mehr erreichbar.
Üblicherweise bewegen sich Angriffe dieser Größenordnung bei Bandbreiten zwischen 500 und 1.000 Gbps. Ein solches Volumen zwingt selbst Tier-1-Netzwerk-Provider wie Level3, Sprint, Verizon oder Century Link in die Knie und kann unter Umständen für das gesamte Internet einen Kaskadierungseffekt auslösen.
Warum aber war der Angriff so überaus erfolgreich? Ein Grund ist, dass Hersteller von IoT-Geräten sich nicht um angemessene Sicherheitsvorkehrungen kümmern beziehungsweise ihre Endkunden nicht ausreichend aufklären. Einer der Anbieter, Hangzhou Xiongmai Technologys, Anbieter von DVRs und internetfähiger Kameras, hatte schon am Sonntag bekannt gegeben, dass zahlreiche seiner Produkte bei dem Angriff ausgenutzt worden seien. Alle betroffenen Geräte sind inzwischen zurückgerufen worden. Die Attacke vom vergangenen Freitag war die insgesamt dritte, die sich der Mirai-Malware bedient. Die erste überhaupt richtete sich am 21. September dieses Jahres in einer sehr gezielt gegen den Security Blogger und Journalisten Brian Krebs.
Bei der enormen Zahl vernetzter IoT-Geräte stellen sich zwei Fragen. Wie kann man gewährleisten nicht selbst Opfer eines solchen Angriffs zu werden? Und wie kann man sicherstellen nicht unwissentlich Teil der Attacke zu sein? Es gibt einige vergleichsweise einfache Schritte, die zumindest das Risiko senken.
Verhindern, dass Teile des eigenen Netzwerks für eine DDoS-Attacke missbraucht werden
- Konfigurieren Sie simple Regeln für die Outbound-Firewall. Die beschriebenen Angriffe basieren auf dem Spoofing der Quell-IP-Adressen in abgehenden Datenpaketen. Die Firewall-Einstellungen sollten so gesetzt sein, dass sämtliche Pakete mit einer IP-Adresse, die nicht Teil des internen Netzwerks ist, geloggt und zurückgewiesen werden. Eine weitere Regel sollte den von UDP Port 53 (DNS) abgehenden Traffic auf die IP-Adressen beschränken, die von ausdrücklich zugelassenen DNS-Servern kommen. Im Idealfall verfügt das betreffende Netzwerk über ein Paar von DNS-Cache-Servern, die DNS für das interne Netzwerk zur Verfügung stellen. Erlauben Sie nur DNS-Anfragen aus dem internen Netzwerk zu diesen Servern. Verwerfen und loggen Sie sämtlichen Internet-gebundenen DNS-Traffic.
- Konfigurieren Sie den internen DNS-Cache-Server so, dass er sämtliche DNS-Abfragen loggt und mithilfe eines Tools wie Graylog aggregiert. Stellen Sie sicher, dass Sie wissen, was ein normales und was ein abweichendes Verhalten ist und, dass Sie im Falle eines anomalen Verhaltens benachrichtigt werden. Wenn Sie eine hohe Zahl von DNS-ANY-Abfragen beobachten, die sich an eine bestimmte Domain richten, sind Sie vielleicht schon kompromittiert worden. DNS ist der eigentliche Schlüssel zur Kommunikation. Wenn Sie den Traffic entsprechend loggen und lernen, den DNS-Datenstrom zu verstehen, erkennen Sie abweichende, potenziell schädliche Aktivitäten und können sich rechtzeitig dagegen wehren.
- Leiten Sie die DNS-Anfragen über ein DNS-Filtersystem wie beispielsweise AppRiver’sSecureSurf. Mithilfe dynamischer Dienste reduzieren Sie die Zahl der Zugriffe auf kompromittierte Webseiten, und Sie senken nachhaltig den Command-and-Control-Traffic eines Botnetzes.
- Entfernen Sie die Root-Weiterleitung vom DNS Cache-Server, wenn Sie wie gerade beschrieben einen DNS-Filtering-Server nutzen. Das stellt sicher, dass die betreffenden DNS-Server den Datenstrom nicht an diesen Servern vorbeischicken, sollten sie einmal nicht verfügbar sein.
- Konfigurieren Sie die Firewall so, dass sie nur den von Ihrem DNS-Server abgehenden IPs Outbound-DNS-Zugriff erlauben. Und gestatten Sie auch nur diesen IPs auf die entsprechend konfigurierten Server zur Weiterleitung zuzugreifen. Interne DNS-Abfragen landen dann nur auf den dafür freigegebenen DNS-Resolvern.
- Exponieren Sie interne DNS-Dienste nicht nach außen. Niemand außerhalb des LANs sollte DNS-Namen auflösen können, indem er Ihre WAN IP-Adresse nutzt.
- Implementieren Sie auf jeden Fall einen verlässlichen Spam-Filter wie AppRivers SecureTide. Damit verringern Sie die Angriffsfläche. Nutzer sind deutlich weniger durch böswillig veränderten E-Mail-Verkehr gefährdet und Angreifer können nicht auf Ihre Netzwerkressourcen zugreifen.
- Inventarisieren Sie sämtliche der im Netzwerk befindlichen Geräte. Benutzen Sie einen Netzwerk-Scanner um die MAC-Adressen zusammenzuführen und zu analysieren. Verzeichnen Sie genau, um welche Geräte es sich im Einzelnen handelt und stellen Sie sicher, dass jedes einzelne von ihnen ordnungsgemäß konfiguriert, gepatched und geschützt ist. Das heißt natürlich auch, sämtliche Standard-Passwörter und Konten zu ändern.
- Verwenden Sie einen Netzwerk-Scanner (wie nmapodermasscan), um die Range der internen IP-Adressen zu scannen. Damit stellen Sie sicher, dass keine TCP- oder UDP-Ports versehentlich geöffnet sind und auf eine Verbindung mit dem Netzwerk warten. Richten Sie dabei ein besonderes Augenmerk auf TCP Port 23 (Telnet) und 22 (SSH). Telnet sollte niemals aktiviert sein. Es ist per se unsicher und Anmeldeinformationen werden klarschriftlich übertragen. Erlauben Sie wenn irgend möglich SSH zu Ihren Geräten nur für eine begrenzte Zahl von internen IP-Adressen.
Senken Sie das Risiko, Ziel einer DDoS-Attacke zu werden
Will man eine gezielte Attacke verhindern oder einen Angreifer davon abhalten, ein ganz bestimmtes Ziel zu attackieren, wird das im übertragenen Sinne ein »steiler Aufstieg«. Tut man nichts, gibt es auch nichts, das im Falle eines Falles verhindert Opfer einer DDoS-Attacke zu werden. Machen Sie es den Angreifern also nicht leichter als unbedingt nötig. Die meisten Strategien zur Abwehr von DDoS-Angriffen enthalten Hinweise zur ordnungsgemäßen Konfiguration des Network Edge Routers wie diese:
- Konfigurieren Sie die Firewall-Regeln des Routers im Hinblick auf WAN-Verbindungen so, dass sämtliche in RFC 1918 gelistete IP-Adressen grundsätzlich abgewiesen werden. Seien Sie vorsichtig, falls auf dieser Schnittstelle IPSEC- oder DMVPN-Tunnel liegen. Es kann sonst passieren, dass auch der LAN-Verkehr über VPN geblockt wird. Eventuell müssen Sie das zusätzlich über Zugriffslisten steuern und die lokalen LAN-IP-Bereiche mit einbeziehen.
- Stellen Sie sicher, dass der Router IP-gesteuerte Sendungen blockt.
- Nicht erreichbare IPs sollten an allen WAN-Schnittstellen deaktiviert sein.
- Wenn Sie können, konfigurieren Sie Ihren Router so, dass Bogon-IP-Adressbereiche alle ins Leere laufen (Blackholing). Listen bekommen Sie via BGP vom Team Cmyru.
- Stellen Sie die Regeln so ein, dass alle eingehenden Port-Verbindungen an Ports weiter geleitet werden, auf denen keine öffentlich zugänglichen Dienste laufen.
- Setzen die Einstellungen Ihrer Firewall so, dass eingehender Traffic abgewiesen wird, wenn er nicht für die WAN IP bestimmt ist.
- Begrenzen Sie die von NTP-Servern eingehenden Verbindungen auf solche, auf die Sie zugreifen müssen.
- Lagern Sie öffentliche Dienste an Provider aus, die sich darauf spezialisiert haben, solche Dienste anzubieten.
- Stellen Sie sicher, dass Telnet (TCP 23) ausdrücklich blockiert und überall sonst deaktiviert ist. Blockieren oder limitieren Sie SSH (TCP 22) über das Internet. Das Mirai-Botnetz arbeitet genau damit: Die Software sucht für den Aufbau des Botnetzes gezielt nach Geräten mit Telnet- oder SSH-Schwachstellen.
- Überprüfen Sie alle eingehenden Verbindungen, besonders diejenigen, die sich direkt an TCP 9001, 80 und 443 richten. Das kann ein Zeichen für C&C-Traffic eines Botnets sein.
Befolgt man diese vergleichsweise simplen Vorgaben, verringert man automatisch die Angriffsfläche und Sie erhalten eine Benachrichtigung, wenn etwas vom als normal definierten abweicht. Lassen Sie Vorsicht walten, wenn Sie Sicherheitskontrollen implementieren. Suchen Sie sich verlässliche Partner, dokumentieren Sie alle Veränderungen und überwachen Sie Ihr Netzwerk im Hinblick auf Verhaltensanomalien und Abweichungen. Wägen Sie sehr sorgfältig zwischen den erforderlichen Sicherheitsmaßnahmen und Sicherheitskontrollen und der notwendigen Verfügbarkeit und Funktionalität ab.
Von Jim Nitterauer, AppRiver, https://de.appriver.com
Web-Security-Trends 2016: komplexe DDoS-Attacken und IoT-Angriffe
Unternehmen kämpfen gegen »plötzlichen Tod« durch DDoS-Attacken
Das Internet der Dinge wird zunehmend für DDoS-Attacken genutzt
IoT-Sicherheit: Vier Lehren aus dem massiven DDoS-Angriff auf DynDNS