Gängige Netzwerkangriffe: DoS, Spoofing und MITM

Ein Denial-of-Service-Angriff (DoS-Angriff) zielt darauf ab, ein System, einen Dienst oder ein Netzwerk für legitime Benutzer nicht verfügbar zu machen, indem es mit Datenverkehr überlastet oder eine Schwachstelle ausgenutzt wird, die einen Absturz verursacht. DoS-Angriffe zielen auf die Säule Verfügbarkeit des CIA-Schutzziels. Ein DoS-Angriff von einer einzigen Quelle lässt sich durch eine Begrenzung der Rate für die Quell-IP relativ einfach blockieren. Viele moderne Angriffe nutzen jedoch gleichzeitig mehrere Quellen, wodurch die Abwehr deutlich schwieriger wird.

Ein DDoS-Angriff nutzt Tausende oder Millionen kompromittierter Geräte — ein Botnet —, um ein Ziel gleichzeitig von vielen verschiedenen Quelladressen aus zu überfluten. Dadurch ist das Blockieren nach Quell-IP nicht praktikabel. DDoS-Angriffe werden als volumetrisch (überlasten die Bandbreite, z. B. UDP-Flood), protokollbasiert (erschöpfen zustandsbehaftete Ressourcen, z. B. SYN-Flood) oder auf Anwendungsebene (erschöpfen die Serverkapazität durch echt wirkende HTTP-Anfragen, z. B. Slowloris) kategorisiert. Abwehrdienste wie Cloudflare, Akamai und AWS Shield absorbieren volumetrische Angriffe, bevor diese den Ursprungsserver erreichen.

Verstärkungsangriffe nutzen Protokolle aus, die wesentlich größere Antworten als die ursprüngliche Anfrage erzeugen. Bei DNS Amplification wird aus einer kleinen UDP-Anfrage eine bis zu 70-mal größere Antwort erzeugt, die vollständig an das Opfer gerichtet ist. Durch NTP-Monlist-Amplification kann ein Verstärkungsfaktor von 4.000 erreicht werden. Der Angreifer fälscht die IP-Adresse des Opfers als Quelladresse, sodass Tausende von Reflectors ihre großen Antworten an das Opfer senden — deshalb wird diese Methode auch als Reflection-Angriff bezeichnet. Zu den Gegenmaßnahmen gehören BCP38 (Quelladressvalidierung auf ISP-Ebene) und das Deaktivieren von Verstärkungsdiensten.

IP-Spoofing bezeichnet das Erstellen von Paketen mit einer gefälschten Quell-IP-Adresse. Spoofing wird bei DoS-/DDoS-Reflection-Angriffen, zur Umgehung IP-basierter Zugriffskontrolllisten und zur Verschleierung des tatsächlichen Standorts des Angreifers eingesetzt. Zum Senden gefälschter Pakete sind Raw-Socket-Berechtigungen erforderlich. Zu den Schutzmaßnahmen gehört Ingress Filtering (BCP38). Dabei werden ISPs und Router angewiesen, Pakete zu verwerfen, die an einer Schnittstelle eintreffen und eine Quell-IP-Adresse besitzen, die nicht rechtmäßig aus diesem Netzwerk stammen kann. Zustandsbehaftete Firewalls helfen ebenfalls, indem sie nicht angeforderte eingehende Pakete ablehnen, die zu keiner bestehenden Sitzung gehören.

ARP-Spoofing (auch ARP-Poisoning genannt) besteht darin, nicht angeforderte ARP-Antworten zu senden, die die MAC-Adresse des Angreifers mit einer legitimen IP-Adresse verknüpfen. Hosts, die das gefälschte ARP-Update empfangen, aktualisieren ihren ARP-Cache und senden den für diese IP-Adresse bestimmten Datenverkehr stattdessen an die MAC-Adresse des Angreifers. Dadurch werden Man-in-the-Middle-Angriffe in lokalen Segmenten ermöglicht. Werkzeuge wie Arpspoof, Ettercap und Bettercap automatisieren diesen Angriff. Zu den Schutzmaßnahmen gehört Dynamic ARP Inspection (DAI) auf verwalteten Switches, das ARP-Pakete anhand einer vertrauenswürdigen DHCP-Snooping-Binding-Tabelle validiert.

Ein Man-in-the-Middle-Angriff (MitM-Angriff) liegt vor, wenn ein Angreifer die Kommunikation zwischen zwei Parteien heimlich weiterleitet und möglicherweise verändert, während beide Parteien glauben, direkt miteinander zu kommunizieren. Ein MitM-Angriff kann durch ARP-Spoofing, DNS-Spoofing, nicht autorisierte WLAN-Access-Points oder BGP-Route-Hijacking erfolgen. Sobald der Angreifer sich in der Mitte positioniert hat, kann er Daten abhören, Inhalte einschleusen, die Verschlüsselung entfernen (SSL Stripping) oder Anmeldedaten wiederholen. Die wichtigste Gegenmaßnahme ist gegenseitige Authentifizierung und Verschlüsselung — TLS mit gültigen Zertifikaten verhindert die meisten MitM-Angriffe, da der Client die Identität des Servers überprüfen kann.

DNS-Cache-Poisoning schleust schädliche DNS-Einträge in den Cache eines Resolvers ein, sodass legitime Domainnamen in IP-Adressen unter Kontrolle des Angreifers aufgelöst werden. Der klassische Kaminsky-Angriff (2008) nutzte vorhersehbare Transaktions-IDs aus, um Resolver in großem Maßstab zu vergiften. Ist der Resolver eines Benutzers vergiftet, wird dieser auf gefälschte Websites umgeleitet, die möglicherweise Anmeldedaten stehlen oder Malware ausliefern. DNSSEC (DNS Security Extensions) signiert DNS-Einträge digital, sodass Resolver deren Authentizität überprüfen können. DNS over HTTPS (DoH) verhindert außerdem das Abfangen von Anfragen auf dem Übertragungsweg.

Ein On-Path-Angreifer (In-Path-Angreifer) verfügt über eine Netzwerkposition, von der aus er Datenverkehr während der Übertragung sehen und verändern kann — er befindet sich physisch oder logisch zwischen den beiden kommunizierenden Endpunkten. ARP-Spoofing schafft eine On-Path-Position in einem lokalen Segment. Ein Off-Path-Angreifer kann den Datenverkehr nicht sehen, aber Blindangriffe versuchen, etwa das Einschleusen gefälschter TCP-RST-Pakete zum Abbau von Verbindungen mithilfe erratener Sequenznummern. TLS mindert beide Szenarien, da abgefangener Datenverkehr ohne den privaten Schlüssel weder entschlüsselt noch gefälscht werden kann.

BGP-Hijacking (Hijacking des Border Gateway Protocol) tritt auf, wenn ein böswillig handelndes oder falsch konfiguriertes Autonomes System spezifischere IP-Präfixe ankündigt, um Datenverkehr anzuziehen, der für eine andere Organisation bestimmt ist. Dadurch kann internetweiter Datenverkehr über das Netzwerk des Angreifers umgeleitet werden. BGP-Hijacking wurde eingesetzt, um Kryptowährungstransaktionen abzufangen, E-Mails zu stehlen und Bankdatenverkehr umzuleiten. Zu den Schutzmaßnahmen gehört RPKI (Resource Public Key Infrastructure), das die Autorisierung des Routenursprungs kryptografisch validiert. Außerdem sollten BGP-Ankündigungen auf unerwartete Änderungen überwacht werden.

Eine SYN-Flood nutzt den TCP-Drei-Wege-Handshake aus, indem viele SYN-Pakete mit gefälschten Quell-IPs gesendet werden. Dadurch reserviert der Server Zustandsinformationen für halboffene Verbindungen und wartet auf ACKs, die niemals eintreffen. Die Verbindungstabelle des Servers läuft voll, sodass er keine neuen legitimen Verbindungen mehr annehmen kann. Zu den Schutzmaßnahmen gehören SYN-Cookies (der Server codiert den Zustand in der Sequenznummer des SYN-ACK und reserviert Ressourcen erst nach Eingang des ACK), die Verkürzung des SYN-Timeouts und die Begrenzung der SYN-Paketrate pro Quelladresse.

Das Erkennen von DoS-, Spoofing- und MitM-Angriffen erfordert Transparenz an mehreren Punkten. NetFlow/IPFIX-Daten zeigen plötzliche Verkehrsspitzen aus vielen Quellen. SIEM-Korrelationsregeln können auf anomale ARP-Aktivitäten (eine MAC-Adresse beansprucht viele IP-Adressen) oder DNS-Antworten mit verdächtig kurzen TTLs aufmerksam machen. IDS/IPS-Signaturen erkennen SYN-Floods und ARP-Spoofing-Tools. Zu den Reaktionsmaßnahmen gehören die Ratenbegrenzung an Edge-Routern, die Aktivierung von DDoS-Scrubbing-Diensten, die Isolierung betroffener Segmente sowie die erneute Aktivierung von Dynamic ARP Inspection oder das Leeren vergifteter Caches.

Testen Sie Ihr Verständnis der CompTIA-Security+-Konzepte (SY0-701) aus dieser Lektion.

In dieser Lektion haben Sie gelernt: DDoS-Angriffe verwenden Botnetze, um Ziele aus vielen Quellen zu überlasten, und werden als volumetrische Angriffe, Protokollangriffe oder Angriffe auf der Anwendungsschicht kategorisiert. ARP-Spoofing vergiftet lokale Netzwerk-Caches, um MitM-Angriffe zu ermöglichen, und wird durch Dynamic ARP Inspection abgewehrt. SYN-Floods erschöpfen den Verbindungsstatus eines Servers und werden durch SYN-Cookies und Ratenbegrenzung abgewehrt. Als Nächstes untersuchen wir WLAN-Sicherheitsprotokolle von WEP bis WPA3.