TCP/IP-Modell und gängige Ports

Das OSI-Modell (Open Systems Interconnection) unterteilt die Netzwerkkommunikation in sieben Schichten: Bitübertragung, Sicherung, Vermittlung, Transport, Sitzung, Darstellung und Anwendung. Jede Schicht erfüllt einen eigenen Zweck und kommuniziert nur mit den direkt über und unter ihr liegenden Schichten. Sicherheitskontrollen können auf jeder Schicht angewendet werden. Das Verständnis des Modells hilft Ihnen daher zu erkennen, wo ein bestimmter Angriff oder eine bestimmte Abwehrmaßnahme ansetzt. Die Eselsbrücke Please Do Not Throw Sausage Pizza Away hilft Ihnen, die Schichten von unten nach oben abzurufen.

Das TCP/IP-Modell (auch DoD-Modell genannt) fasst die OSI-Schichten in vier Schichten zusammen: Netzwerkzugriff (OSI-Schichten 1–2), Internet (OSI-Schicht 3), Transport (OSI-Schicht 4) und Anwendung (OSI-Schichten 5–7). In der Praxis und bei der Sicherheitsanalyse wird meist die TCP/IP-Terminologie verwendet. Das Verständnis der Zuordnung zwischen beiden Modellen ist für Security+ unerlässlich, da Prüfungsfragen bei der Beschreibung des Wirkungsorts eines Angriffs oder einer Kontrolle auf eines der beiden Modelle verweisen können.

IP-Adressen identifizieren Geräte in einem Netzwerk eindeutig. IPv4 verwendet 32-Bit-Adressen in Punkt-Dezimalnotation (z. B. 192.168.1.10), während IPv6 128-Bit-Adressen verwendet. Eine Subnetzmaske bestimmt, welcher Teil einer Adresse das Netzwerk und welcher den Host identifiziert. Die CIDR-Notation (z. B. /24) stellt die Subnetzmaske kompakt dar. Sicherheitsexperten verwenden Subnetze, um Netzwerke zu segmentieren und den Datenverkehr zwischen Vertrauenszonen einzuschränken.

Bevor Daten über TCP ausgetauscht werden, stellt ein Drei-Wege-Handshake eine Verbindung her: Der Client sendet ein SYN, der Server antwortet mit einem SYN-ACK, und der Client schließt den Vorgang mit einem ACK ab. Angreifer nutzen diese Abfolge bei SYN-Flood-DoS-Angriffen aus, indem sie viele SYN-Pakete senden, ohne den Handshake abzuschließen, und dadurch die Ressourcen des Servers erschöpfen. Das Verständnis des normalen Handshake-Verhaltens hilft Analysten, Anomalien in Paketmitschnitten und SIEM-Protokollen zu erkennen.

UDP (User Datagram Protocol) ist ein verbindungsloses Transportprotokoll, das Pakete sendet, ohne zuvor eine Sitzung aufzubauen. Es ist schneller, aber weniger zuverlässig als TCP, da es weder Bestätigungen noch erneute Übertragungen gibt. Dienste wie DNS, DHCP, NTP und SNMP verwenden UDP, weil eine geringe Latenz wichtiger ist als eine garantierte Zustellung. Zu den Sicherheitsrisiken zählen UDP-basierte Amplification-Angriffe, bei denen kleine Anfragen große Antworten erzeugen, die die Opfer überlasten.

Well-known Ports (0–1023) sind für gängige Dienste reserviert und werden von der IANA vergeben. Für die Security+-Prüfung ist es unerlässlich, sich die wichtigsten davon zu merken. Port 22 steht für SSH, Port 443 für HTTPS, Port 80 für HTTP, Port 25 für SMTP und Port 53 für DNS. Wenn Sie wissen, welchen Port ein Dienst verwendet, können Sie legitimen Datenverkehr besser von Angriffen unterscheiden und präzise Firewall-Regeln erstellen.

Registrierte Ports (1024–49151) werden von Anwendungen verwendet, die einen festen, aber nicht privilegierten Port benötigen. Beispiele sind 3389 (RDP), 3306 (MySQL), 1433 (MSSQL) und 8080 (alternatives HTTP). Dynamische (ephemerische) Ports (49152–65535) werden vom Betriebssystem vorübergehend Clientverbindungen zugewiesen. Angreifer betreiben manchmal bösartige Dienste auf Ports mit hohen Nummern, um Firewall-Regeln zu umgehen, die nur Well-Known Ports blockieren.

ICMP (Internet Control Message Protocol) wird für Diagnose und Fehlerberichterstattung verwendet. Der Befehl ping nutzt ICMP Echo Request/Reply, um die Erreichbarkeit zu testen. ICMP ist zwar nützlich, kann aber ausgenutzt werden: Ping-Sweeps ermitteln aktive Hosts, ICMP-Redirect-Nachrichten können Routing-Tabellen manipulieren, und verdeckte Kanäle können Daten in ICMP-Nutzdaten tunneln. Viele Unternehmen blockieren ICMP am Netzwerkrand, lassen es intern zur Fehlerbehebung jedoch zu.

ARP (Address Resolution Protocol) ordnet IP-Adressen innerhalb eines lokalen Netzwerksegments MAC-Adressen zu. Wenn ein Host Datenverkehr an 192.168.1.1 senden möchte, sendet er eine ARP-Anfrage als Broadcast mit der Frage „Wer hat 192.168.1.1?“. Der zuständige Host antwortet mit seiner MAC-Adresse. ARP verfügt über keine Authentifizierung und ist daher anfällig für ARP-Spoofing (auch ARP-Poisoning genannt). Dabei sendet ein Angreifer gefälschte ARP-Antworten, um Datenverkehr für Man-in-the-Middle-Angriffe über sein eigenes Gerät umzuleiten.

DNS (Domain Name System) übersetzt für Menschen lesbare Hostnamen (www.example.com) in IP-Adressen. Eine DNS-Abfrage durchläuft eine Hierarchie: Der Client fragt einen rekursiven Resolver ab, der anschließend Root-Server, TLD-Server und schließlich autoritative Nameserver abfragt. Die Sicherheitsauswirkungen sind erheblich: DNS-Cache-Poisoning fügt gefälschte Einträge ein, DNS-Tunneling codiert Daten in Abfragen, um Daten auszuleiten oder C2-Server zu erreichen, und Typosquatting registriert ähnlich aussehende Domains, um Benutzer zu täuschen.

Zwei wichtige Tools zur Analyse von TCP/IP-Datenverkehr sind Wireshark und Nmap. Wireshark ist ein Paketanalysator, mit dem Sie einzelne Frames untersuchen, nach Protokoll filtern und TCP-Streams verfolgen können, um Sitzungen zu rekonstruieren. Nmap ist ein Netzwerkscanner, der aktive Hosts, offene Ports, laufende Dienste und Betriebssystemversionen ermittelt. Zusammen verschaffen diese Tools Sicherheitsexperten Einblick in den tatsächlichen Datenverkehr eines Netzwerks. Dadurch können Anomalien erkannt und die korrekte Funktionsweise von Firewall-Regeln bestätigt werden.

Testen Sie Ihr Verständnis der CompTIA-Security+-Konzepte (SY0-701) aus dieser Lektion.

In dieser Lektion haben Sie gelernt: Die OSI- und TCP/IP-Modelle beschreiben Netzwerkschichten, auf denen Sicherheitskontrollen arbeiten. Well-Known Ports (0–1023) kennzeichnen gängige Dienste und müssen für die Prüfung auswendig gelernt werden. Außerdem weisen Protokolle wie ARP, DNS und ICMP jeweils eigene Sicherheitsrisiken auf, darunter Spoofing, Cache-Poisoning und Tunneling. Als Nächstes befassen wir uns mit Firewalls und damit, wie sie Netzwerkdatenverkehr filtern.