Veelvoorkomende netwerkaanvallen: DoS, spoofing en MITM

Een denial-of-serviceaanval (DoS) is erop gericht een systeem, dienst of netwerk onbeschikbaar te maken voor legitieme gebruikers door het te overspoelen met verkeer of door misbruik te maken van een kwetsbaarheid waardoor het systeem crasht. DoS-aanvallen richten zich op de pijler Beschikbaarheid van de CIA-drie-eenheid. Een DoS-aanval vanaf één bron is relatief eenvoudig te blokkeren door het IP-adres van de bron aan snelheidsbeperking te onderwerpen. Veel moderne aanvallen gebruiken echter gelijktijdig meerdere bronnen, waardoor beperking veel moeilijker wordt.

Een DDoS-aanval gebruikt duizenden of miljoenen gecompromitteerde apparaten, een botnet, om een doelwit gelijktijdig vanaf veel verschillende bronadressen te overspoelen. Hierdoor is blokkeren op basis van het bron-IP-adres onpraktisch. DDoS-aanvallen worden ingedeeld als volumetrisch (verbruikt bandbreedte, bijvoorbeeld een UDP-flood), protocolgericht (put toestandsafhankelijke bronnen uit, bijvoorbeeld een SYN-flood) of gericht op de applicatielaag (put servercapaciteit uit met geldig lijkende HTTP-verzoeken, bijvoorbeeld Slowloris). Beperkingsdiensten zoals Cloudflare, Akamai en AWS Shield vangen volumetrische aanvallen op voordat die de oorspronkelijke server bereiken.

Amplificatieaanvallen maken misbruik van protocollen die veel grotere antwoorden produceren dan het oorspronkelijke verzoek. Bij DNS-amplificatie wordt een kleine UDP-query gebruikt om een antwoord te genereren dat tot 70 keer groter is, volledig gericht op het slachtoffer. NTP-monlist-amplificatie kan een versterkingsfactor van 4.000 bereiken. De aanvaller vervalst het IP-adres van het slachtoffer als bronadres, zodat duizenden reflectoren hun grote antwoorden naar het slachtoffer sturen. Daarom wordt dit ook een reflectieaanval genoemd. Beperkingsmaatregelen zijn onder andere BCP38, validatie van bronadressen op ISP-niveau, en het uitschakelen van amplificatiediensten.

IP-spoofing is het samenstellen van pakketten met een vervalst bron-IP-adres. Spoofing wordt gebruikt bij DoS- en DDoS-reflectieaanvallen, om toegangsbeheerlijsten op basis van IP-adressen te omzeilen en om de werkelijke locatie van de aanvaller te verbergen. Voor het verzenden van vervalste pakketten zijn rechten voor raw sockets vereist. Tot de verdedigingsmaatregelen behoort inkomend filteren (BCP38). Daarbij instrueren ISP's en routers om pakketten te verwijderen die binnenkomen via een interface met een bron-IP-adres dat niet legitiem vanuit dat netwerk kan zijn verzonden. Toestandsafhankelijke firewalls helpen ook door ongevraagde binnenkomende pakketten af te wijzen die niet bij bestaande sessies horen.

ARP-spoofing, ook wel ARP-vergiftiging genoemd, houdt in dat ongevraagde ARP-antwoorden worden verzonden die het MAC-adres van de aanvaller koppelen aan een legitiem IP-adres. Hosts die de valse ARP-update ontvangen, werken hun ARP-cache bij en sturen verkeer voor dat IP-adres voortaan naar het MAC-adres van de aanvaller. Hierdoor worden man-in-the-middleaanvallen op lokale segmenten mogelijk. Hulpmiddelen zoals Arpspoof, Ettercap en Bettercap automatiseren deze aanval. Tot de verdedigingsmaatregelen behoort Dynamic ARP Inspection (DAI) op beheerde switches. Die controleert ARP-pakketten aan de hand van een vertrouwde bindingstabel van DHCP-snooping.

Een man-in-the-middleaanval (MitM) vindt plaats wanneer een aanvaller de communicatie tussen twee partijen heimelijk doorstuurt en mogelijk aanpast, terwijl beide partijen denken dat ze rechtstreeks met elkaar communiceren. MitM kan worden bereikt via ARP-spoofing, DNS-spoofing, frauduleuze wifi-toegangspunten of het kapen van BGP-routes. Zodra de aanvaller zich tussen beide partijen bevindt, kan die meeluisteren, inhoud invoegen, versleuteling verwijderen (SSL-stripping) of inloggegevens opnieuw afspelen. De belangrijkste verdediging bestaat uit wederzijdse authenticatie en versleuteling. TLS met geldige certificaten voorkomt de meeste MitM-aanvallen, omdat de client de identiteit van de server kan controleren.

DNS-cachevergiftiging voegt schadelijke DNS-records toe aan de cache van een resolver, zodat legitieme domeinnamen worden omgezet in IP-adressen die door de aanvaller worden beheerd. Bij de klassieke aanval van Kaminsky uit 2008 werd misbruik gemaakt van voorspelbare transactienummers om resolvers op grote schaal te vergiftigen. Wanneer de resolver van een gebruiker is vergiftigd, wordt die doorgestuurd naar valse sites die inloggegevens kunnen stelen of malware kunnen verspreiden. DNSSEC (DNS Security Extensions) ondertekent DNS-records digitaal, zodat resolvers de authenticiteit kunnen controleren. DNS over HTTPS (DoH) voorkomt bovendien dat query's onderweg worden onderschept.

Een aanvaller op het pad (in het pad) bevindt zich op een netwerkpositie vanwaar die verkeer tijdens de overdracht kan zien en wijzigen. De aanvaller bevindt zich fysiek of logisch tussen de twee communicerende eindpunten. ARP-spoofing creëert zo'n positie op een lokaal segment. Een aanvaller buiten het pad kan het verkeer niet zien, maar kan wel blinde aanvallen proberen, zoals het invoegen van vervalste TCP RST-pakketten om verbindingen te verbreken met behulp van geraden volgnummer. TLS beperkt beide scenario's, omdat onderschept verkeer niet kan worden ontsleuteld of vervalst zonder de privésleutel.

BGP-kaping (Border Gateway Protocol) vindt plaats wanneer een kwaadwillig of verkeerd geconfigureerd autonoom systeem specifiekere IP-prefixen aankondigt om verkeer aan te trekken dat voor een andere organisatie bestemd is. Hierdoor kan internetverkeer op grote schaal via het netwerk van een aanvaller worden omgeleid. BGP-kaping is gebruikt om cryptovalutatransacties te onderscheppen, e-mail te stelen en bankverkeer om te leiden. Tot de verdedigingsmaatregelen behoort RPKI (Resource Public Key Infrastructure), waarmee de autorisaties voor de oorsprong van routes cryptografisch worden gevalideerd, en het bewaken van BGP-aankondigingen op onverwachte wijzigingen.

Een SYN-flood maakt misbruik van de TCP-handshake in drie stappen door veel SYN-pakketten met vervalste bron-IP-adressen te verzenden. Daardoor reserveert de server toestandsinformatie voor halfopen verbindingen, terwijl deze wacht op ACK's die nooit aankomen. De verbindingstabel van de server raakt vol, waardoor die geen nieuwe legitieme verbindingen meer kan accepteren. Verdedigingsmaatregelen zijn onder andere SYN-cookies, waarbij de server de toestand codeert in het volgnummer van de SYN-ACK en pas bronnen reserveert nadat de ACK is ontvangen, het verkorten van de SYN-time-out en het beperken van het aantal SYN-pakketten per bronadres.

Voor het detecteren van DoS-, spoofing- en MitM-aanvallen heb je inzicht op meerdere punten nodig. Gegevens uit NetFlow/IPFIX laten plotselinge verkeerspieken vanuit veel bronnen zien. Correlatieregels voor SIEM kunnen waarschuwen voor afwijkende ARP-activiteit (één MAC-adres dat meerdere IP-adressen claimt) of DNS-antwoorden met verdacht korte TTL-waarden. IDS/IPS-signaturen detecteren SYN-floods en hulpmiddelen voor ARP-spoofing. Mogelijke reacties zijn onder andere snelheidsbeperking op edge-routers, het activeren van DDoS-scrubbingdiensten, het isoleren van getroffen segmenten en het opnieuw inschakelen van dynamische ARP-inspectie of het leegmaken van vergiftigde caches.

In deze les heb je geleerd dat DDoS-aanvallen botnets gebruiken om doelen vanuit veel bronnen te overspoelen en worden ingedeeld als volumetrische aanvallen, protocolaanvallen of aanvallen op de applicatielaag, dat ARP-spoofing caches in lokale netwerken vergiftigt om MitM-aanvallen mogelijk te maken en wordt tegengegaan met Dynamic ARP Inspection, en dat SYN-floods de verbindingsstatus van servers uitputten en worden bestreden met SYN-cookies en snelheidsbeperking. Hierna bekijken we Wi-Fi-beveiligingsprotocollen van WEP tot en met WPA3.