BSI-Kurzinformationen zu aktuellen Themen der IT-Sicherheit "Maßnahmenkatalog gegen DDoS-Angriffe"

Transkript

1 BSI-Kurzinformationen zu aktuellen Themen der IT-Sicherheit "Maßnahmenkatalog gegen DDoS-Angriffe" Einleitung Zielgruppen Maßnahmen für Netzvermittler Maßnahmen für Serverbetreiber Maßnahmen für Inhalte-Anbieter Maßnahmen für Endanwender Ma ßnahmen für alle Zielgruppen Empfehlungen zum Schutz vor Denial of Service-Angriffen im Internet Version 1.1 vom Nachfolgende Empfehlungen verstehen sich als Leitlinie, den Schutz vor verteilten Denial of Service (DoS) -Angriffe zu verbessern. Gleichzeitig dienen sie als Diskussionsgrundlage zur konkreten Realisierung von Maßnahmen in den Bereichen Server-Betreiber, Netzvermittler, Inhalte-Anbieter und Endnutzer. Anlass sind die im Februar verstärkt beobachteten DoS-Angriffe auf renommierte Internet-Anbieter. Hierbei hatten sich die Angreifer Zugang zu hunderten von Rechnern im Internet verschafft, auf denen sie die Programme für die DoS-Attacken installierten. Von einem separaten Rechner aus synchronisierten sie diese Angriffsprogramme derart, dass die Wirksamkeit des Angriffs durch die Vielzahl der gleichzeitig angreifenden Rechne stark erhöht war. Diese Art Angriff wird als Distributed Denial of Service (DDoS)-Angriff bezeichnet. Die beobachteten Angriffe basierten auf zwei wesentlichen Schwachstellen: Zum einen wurden die Absenderadress der "angreifenden" Datenpakete gefälscht (IP-Spoofing), zum anderen wurden - vor den Angriffen auf ausgewählte Zielrechner - auf einer großen Anzahl weiterer, nur unzureichend geschützter Internet-Rechner unberechtigterweise Programme installiert, die ferngesteuert in Massen Datenpakete absenden können. Das besondere an diesen DDoS Angriffen ist, dass diese daher auch diejenigen treffen können, die sich ansonsten optimal vor Eindringlingen aus de Internet geschützt haben (für die Erkennung und Behandlung von Angriffen vgl. Insofern sind Rechner, auf denen noch nicht einmal sogenannte Grundschutzmaßnahmen umgesetzt sind, nicht nur für den jeweiligen Betreiber eine Gefahr, sondern au für alle anderen Rechner im Internet. So waren die Vorbereitungen zu den kürzlich bekannt gewordenen Angriffen nu dadurch möglich, dass verschiedene schon seit längerem bekannte Schwachstellen nicht beseitigt wurden. Wirksame Maßnahmen gegen verteilte Denial-of-Service-Angriffe müssen in einer konzertierten Aktion an vielen Stellen in der vorhandenen komplexen Internetstruktur getroffen werden. Serverbetreiber im Internet, die Ziel der genannten Angriffe waren, können eine Reihe von sinnvollen Maßnahmen ergreifen, aber das DoS-Problem nicht vollständig lösen. Vielmehr müssen verschiedene Zielgruppen (Inhalte-Anbieter, Serverbetreiber, Netzvermittler und Endanwender) - jeder in seinem Bereich - tätig werden. Nur gemeinsam kann das Internet im Hinblick auf die Gefährdung durch DoS-Angriffe sicherer gemacht, die Durchführung von Denial-of-Service-Angriffen erschwert sowi eine spätere Verfolgung der Urheber dieser Angriffe erleichtert werden. Durch die unten angegebenen Maßnahmenempfehlungen werden folgende Zielgruppen in ihrer Aufgabe, das Interne gegen DoS-Angriffe zu schützen, angesprochen:

2 Endanwender: Betreiber privater und dienstlicher Rechner, die dazu dienen, Informationen im Internet abzurufen, zu verarbeiten und wieder ins Netz einzubringen. Netzvermittler: Betreiber der Netzinfrastruktur (z.b. Netzknotenrechner, Router) Serverbetreiber: Mit der Administration und Konfiguration von Servern betraute Firmen. Die Server bieten Dienste und Informationen im Internet an (WWW-Server, DNS-Server, MTAs, Proxy-Server...) Inhalte-Anbieter: Produzenten von redaktionellen Inhalten, die z. B. von Serverbetreibern auf WWW-Servern bereitgestellt werden. Bild: In der Abbildung sind die in diesem Papier verwendeten Zielgruppen (die Inhalte-Anbieter sind hier nicht von den Serverbetreibern getrennt) bezüglich der Kommunikationsstruktur im Internet angegeben. Die Nummern beschreiben, welche Maßnahmen bei den jeweiligen Komponenten zu beachten sind. Die Maßnahmen 4 und gelten für alle Komponenten und sind deshalb in der Zeichnung nicht angeführt. Durch die unmittelbare Umsetzung und Einhaltung der Empfehlungen sowie durch eigene weiterführende Sofortprogramme können die angesprochenen Zielgruppen entscheidend dazu beitragen, dass das gemeinsame Zie das Internet sicher zu gestalten, erreicht wird. Eine besondere Rolle kommt den Netzvermittlern zu, die normalerweis keine Schutzfunktion für die Serverbetreiber übernehmen. Bei dem für DoS-Angriffen verwendeten IP-Spoofing sind die Netzvermittler diejenigen, die wirksam falsche Pakete schon beim Einspeisen in das Internet erkennen und verhindern können (s.u.). Die nachfolgenden Maßnahmen sind bezüglich der Zielgruppen gegliedert, wobei die ersten fünf Maßnahmen bei der Abwehr bzw. der Schadensbegrenzung von DDoS-Angriffen helfen, da sie bei den Übertragungswegen im Internet ansetzen. Die restlichen Maßnahmen beziehen sich auf die Auswahl, Konfiguration und Pflege der Endsysteme im Internet und erschweren die Vorbereitung eines DDoS-Angriffs, d. h. das Eindringen in eine Vielzahl von Rechnern und die dortige Installation von Angriffsprogrammen. Restrisiken werden jedoch auch nach Umsetzung der Maßnahmen verbleiben, weshalb geordnete Meldeverfahren f Angriffe über das Internet entwickelt werden sollten. Maßnahmen für Netzvermittler Den Netzvermittlern kommt eine zentrale Rolle bei der Verhinderung von DoS zu. Die Netzvermittler sind zwar selber nur selten Ziel von DoS-Angriffen, haben aber indirekt Nutzen von einem sichereren Internet, da das Vertrauen aller Nutzer und damit ihre Zahl wächst.

3 Maßnahme 1: Verhinderung von IP-Spoofing Viele DoS-Angriffe nutzen gefälschte IP-Absenderadressen. Dies macht einerseits einige Angriffe erst möglich und erschwert andererseits die Suche nach dem Verursacher. Durch entsprechende technische Regeln (RFC 2267 vom Januar 1998) in der Netzinfrastruktur der Netzvermittler können die Netzbetreiber diese Möglichkeit wesentlich einschränken, so dass gefälschte Pakete nicht weiter ins Internet vermittelt werden. Eine Organisation, die an einen Netzbetreiber angeschlossen ist, hat einen bestimmten IP-Adressbereich zur Verfügung. Jedes IP-Paket, dass aus dieser Organisation in das Internet geschickt wird, müsste eine IP-Absenderadresse aus diesem Bereich haben. Ist dies nicht der Fall, so handelt es sich um eine gefälschte Adresse und das IP-Paket sollte vom Netzvermittler nicht weitergeleitet werden, d. h., es soll eine Paketfilterung auf die Absenderadressen beim Einspeisen der Pakete in da Internet durchgeführt werden. Zwar ist IP-Spoofing innerhalb des erlaubten Adressbereichs der Organisation noch immer möglich, jedoch ist der Kreis der möglichen Verursacher auf die Organisation eingeschränkt. Ein normaler Heimzugang in das Internet hat nur eine einzige erlaubte IP-Adresse, so dass über solche Wählzugänge IP-Spoofing gar nicht mehr möglich wäre. Maßnahme 2: Einsatz von Paketfiltern bei Netzvermittlern Häufig sind Server nur über eine einzelne Netzverbindung an den Netzvermittler angebunden. Selbst wenn die Serve widerstandfähig gegen DoS-Angriffe sind, so ist doch diese Netzverbindung selber in ihrer Kapazität beschränkt und kann von einem Angreifer vollständig ausgelastet werden, so dass die Server aus dem Internet nicht mehr erreichba sind. Daher sollten Netzvermittler in Erwägung ziehen, die Netzanbindung der Serverbetreiber durch den Einsatz von Paketfiltern gegen DoS-Angriffe abzuschirmen, d. h. es soll eine Paketfilterung (auf Ports) beim Verlassen der Pake aus dem Internet durchgeführt werden. Dies ist insbesondere dann sehr effektiv, wenn in Zusammenarbeit mit einem Angriffserkennungssystem beim Serverbetreiber der Paketfilter dynamisch an den jeweils laufenden Angriff angepas werden kann. (Darüber hinaus kann der Netzvermittler in Absprache mit dem Serverbetreiber den Paketfilter auch so konfigurieren, dass Maßnahme 3 auch auf der Seite des Netzvermittlers ergänzt wird.) Maßnahmen für Serverbetreiber Die Rechner der Serverbetreiber kommen nicht nur als Opfer der DoS-Angriffe in Betracht. Wegen ihrer leistungsfähigen Anbindung an das Internet sind sie auch potentielle Ausgangsplattformen. Daher muss verhindert werden, dass diese Rechner als Ausgangspunkt für Angriffe auf weitere Rechner missbraucht werden. Maßnahme 3: Einsatz von Paketfiltern bei Serverbetreibern Server sollten im Normalfall nur wenige Dienste anbieten und entsprechend konfiguriert werden. Auf dem vorgeschalteten Router sollten Paketfilterregeln implementiert werden, die nur die zugehörigen Protokolle passieren lassen und beispielsweise sicherheitskritische Dienste oder gerichtete Broadcasts (RFC 2644) abblocken. Im Falle eines Angriffs können diese Router so umkonfiguriert werden, dass die Anfragen von verdächtigen einzelnen IP- Adressen oder -Adressbereichen abgewiesen werden. (Darüberhinaus sollte der Serverbetreiber den Paketfilter zusätzlich so konfigurieren, dass aus seinem Netz heraus IP-Spoofing nicht möglich ist und so die Maßnahme 1 unterstützt wird. Die dazu vorzunehmenden Einstellungen sind in den Systemverwalter-Handbüchern der Router beschrieben.) Maßnahme 4: Automatische Angriffserkennung DoS-Angriffe zeichnen sich normalerweise dadurch aus, dass sie Server anomal auslasten. Daher sollten typische Kennwerte (Speicherauslastung, Stacks, Netzauslastung,...) ständig überwacht werden. Eine automatische Alarmierung ermöglicht dann, zeitnah Reaktionen einzuleiten (hostbasierte Angriffserkennung). Hierzu sind ggf.

4 geeignete Zusatzprodukte heranzuziehen. Zusätzliche Informationen zu Intrusion Detection Systems finden sich beispielsweise unter Maßnahme 5: Etablierung eines Notfallplans Im Falle eines Angriffs ist es von zentraler Bedeutung, schnell reagieren zu können. Nur so ist es möglich wirksame Gegenmaßnahmen einzuleiten, eventuell den Angreifer zu identifizieren und den Normalbetrieb innerhalb kurzer Zeit wieder herzustellen. In einem Notfallplan ist daher eine geeignete Eskalationsprozedur festzuschreiben. Notwendige Angaben sind dabei u. a. Ansprechpartner, Verantwortliche, alternative Kommunikationswege, Handlungsanweisung und Lagerort möglicherweise benötigter Resourcen (z. B. Magnetbänder). Nähere Informationen zum Umgang mit Angriffen aus dem Internet finden sich unter Maßnahme 6: Sichere Konfiguration der Server Die Server der Serverbetreiber können als Agenten eines DoS-Angriffs missbraucht werden. Der Angreifer installier dazu unter Ausnutzung bekannter Schwachstellen Schadsoftware. Daher müssen die Betreiber der Server diese sorgfältig und sicher konfigurieren. Nicht benötigte Netzdienste sind zu deaktivierten und die benötigten abzusichern ein hinreichender Passwort- und Zugriffsschutz sowie rechtzeitiges Ändern (insbesondere voreingestellter) Passwörter muss sichergestellt sein. Nähere Informationen finden sich unter Maßnahme 7: Restriktive Rechtevergabe und Protokollierung Durch Manipulationen an Servern kann ein Angreifer diese als Agenten missbrauchen oder ihre Leistungsfähigkeit einschränken. Deshalb müssen alle Änderungen und alle Zugriffe auf den Server protokolliert werden. Es ist auf eine restriktive Vergabe von Zugriffsrechten der Nutzer, auf die zur Verfügung gestellten Systemressourcen und auf eine erhöhte Sorgfalt bei Konfigurationsänderungen zu achten. In regelmäßigen Abständen ist das Dateisystem auf Integrität zu überprüfen. Werden lediglich statische Daten benötigt, kann ein manipulationssicherer, schreibgeschützter Datenträger verwendet werden. Maßnahme 8: Einsatz von Open-Source-Produkten Für den Fall, dass Schwachstellen neu entdeckt werden, die einen DoS-Angriff ermöglichen oder erleichtern, ist es wichtig, dass diese schnell behoben werden können. Meist werden derartige Schwachstellen in Open-Source- Software wesentlich schneller behoben als in Produkten, deren Quellcode nicht veröffentlicht ist. Häufig können die Veränderungen im Quellcode sogar selbst durchgeführt werden. Daher sollten Open-Source-Produkte bei ähnlicher Leistungsfähigkeit bevorzugt werden (siehe Maßnahmen für Inhalte-Anbieter Maßnahme 9: Auswahl geeigneter und IT-sicherheitsbewußter Serverbetreiber Die Inhalte-Anbieter sollten durch die Wahl ihres Serverbetreibers darauf hinwirken, dass dieser Sicherheit und Verfügbarkeit als zentrale Leistungsmerkmale ansieht. Daher sollten sie einen Serverbetreiber wählen, der entsprechende Erfahrungen mit den benötigten Internet-Plattformen vorweisen und seine Bemühungen im Bereich IT Sicherheit nachweisen kann, z. B. durch ein IT-Sicherheitskonzept. Maßnahme 10: Vermeidung aktiver Inhalte Viele WWW-Seiten im Internet sind derzeit nur nutzbar, wenn in den Browsern aus Sicherheitssicht bedenkliche

5 Einstellungen vorgenommen werden, die von einem Angreifer missbraucht werden können. Durch bewusste Vermeidung sicherheitskritischer Techniken (z. B. aktive Inhalte) können Inhalte-Anbieter dazu beitragen, dass auf den Clients keine unsicheren Einstellungen vorhanden sein müssen. Maßnahme 11: Tägliche Überprüfung von Dateien auf Viren und Angriffsprogrammen Viele Inhalte-Anbieter stellen auf ihren WWW-Seiten Programme und Dokumente zum Download bereit. Gelingt es einem Angreifer, dort ein trojanisches Pferd einzubringen, so kann er in kurzer Zeit auf eine große Verbreitung hoffe Eine solche Vorgehensweise ist insbesondere bei DDoS-Angriffen für Angreifer verlockend, da dabei eine große Za von Rechnern für einen wirkungsvollen Angriff benötigt wird. Der Inhalte-Anbieter sollte deshalb täglich mit speziellen Suchprogrammen überprüfen, ob auf seinen Seiten Programme mit Schadenfunktionen (Viren, Trojanische Pferde, DoS-Programme, etc.) verfügbar sind (für die Suche nach DDoS-Programmen siehe z. B. Maßnahmen für Endanwender Rechner der Endanwender sind im Normalfall nicht Ziel von DoS-Angriffen. Allerdings können diese Rechner dazu benutzt werden, dass ein Angreifer in einem ersten Schritt Programme auf ihnen installiert, die dann ferngesteuert einen DoS-Angriff auf beliebige Rechner ermöglichen. Daher können auch Endanwender einen Beitrag zum Schutz vor DoS-Angriffen leisten. Maßnahme 12: Schutz vor Schadprogrammen Rechner von Endanwendern können als Agenten für Angriffe missbraucht werden. Am leichtesten lassen sich solche Agenten über Viren, trojanische Pferde oder durch aktive Inhalte (insbesondere ActiveX) auf die einzelnen Rechner installieren. Daher ist ein zuverlässiger und aktueller Virenschutz und das Abschalten aktiver Inhalte im Browser dringend anzuraten. Ggf. kann auch der Einsatz von Hilfsprogrammen zum Online-Schutz des Clients (beispielsweise PC-Firewalls) erwogen werden. Weitere Empfehlungen werden auf den WWW-Seiten des BSI ( und der Initiative Sicherheit im Internet ( gegeben. Maßnahmen für alle Zielgruppen Die hier empfohlenen Maßnahmen sind Standardmaßnahmen (vgl. Die Praxis zeigt jedoch, dass sie aus unterschiedlichen Gründen häufig nicht umgesetzt werden. Maßnahme 13: IT-Grundschutz für Rechner mit Internet-Anschluss Rechner, die über einen Internet-Anschluss verfügen, sollten durch konsequente Umsetzungen der IT- Grundschutzmaßnahmen aus den Kapiteln 6.1, 6.2 und 6.4 für vernetzte Unix-Systeme bzw. Windows NT des IT Grundschutzhandbuchs ein angemessenes Sicherheitsniveau erreichen. Damit ist gewährleistet, dass typischen Gefährdungen entgegengewirkt wird. Das IT-Grundschutzhandbuch kann unter ( eingesehen und unter kostenlos auf CD-ROM bezogen werden. Maßnahme 14: Zeitnahes Einspielen von Sicherheits-Updates Immer wieder werden neue sicherheitsrelevante Schwachstellen in den Betriebssystemen und der Serversoftware entdeckt, die wenig später durch Updates (Patches) der Hersteller behoben werden. Um möglichst zeitnah reagieren zu können, ist es notwendig, die Mailinglisten des Computer Emergency Response Teams (CERT) unter und der Hersteller zu abonnieren und auszuwerten. Die relevanten Updates sind schnellst mö

6 einzuspielen, um die bekannt gewordenen Schwachstellen zu beheben. Maßnahme 15: Tool-Einsatz und Schulung der Mitarbeiter Um einen Rechner vor Risiken und Gefahren zu schützen, ist z. T. erhebliches Know-How zur Erarbeitung einer effektiven IT-Sicherheitskonfiguration notwendig. Administratoren müssen daher ausreichend aus- und weitergebilde werden. Zur Unterstützung der Administrationsaufgaben sollten zudem Sicherheits-Tools herangezogen werden. Besonders geeignet ist hier das BSI-Tool USEIT (im Internet unter das es ermöglicht, Schwachstellen in der Installation und Konfiguration von Unix-Rechnern zu finden.