Bⁿcher und Software zum Thema:

http://www.glossar.de/glossar/z_sicheresweb.htm

Die von Bundesinnenminister Otto Schily ins Leben gerufene Task Force "Sicheres Internet" hat im April 2000 einen Katalog von Sofortma▀nahmen vorgelegt, der die Sicherheit im Internet zum Ziel hat. Angriffe gegen die Verfⁿgbarkeit von Diensten im Internet sollen damit erschwert oder ganz abgewehrt werden k÷nnen. Dies ist auch ein wesentlicher Beitrag fⁿr mehr Sicherheit im elektronischen GeschΣftsverkehr.

Als Ausl÷ser fⁿr diese Initiative dienten verschiedene "Distributed-Denial-of-Service-(DDoS)"-Angriff im Februar 2000. Der vorgelegte Katalog von Sofortma▀nahme zeigt L÷sungen auf, wie kurzfristig der Schutz vor solchen Angriffen verbessert werden kann. In einer konzertierten Aktion der Netzvermittler, Diensteanbieter, Inhalteanbieter und der Endanwender sollen 15 Sofortma▀nahmen verwirklicht werden, um deutsche Online-Einrichtungen infrastrukturell besser zu sichern.
 

siehe auch:
BSI - Bundesamt
fⁿr Sicherheit in
der Informations-
technik

Abbildung mit den genannten Zielgruppen

• Endanwender: Betreiber privater und dienstlicher Rechner, die dazu dienen, Informationen im Internet abzurufen, zu verarbeiten und wieder ins Netz einzubringen.
• Netzvermittler - wie etwa T-Online, AOL: Betreiber der Netzinfrastruktur (z.B. Netzknotenrechner, Router)
• Serverbetreiber: Mit der Administration und Konfiguration von Servern betraute Firmen. Die Server bieten Dienste und Informationen im Internet an (WWW-Server, DNS-Server, MTAs, Proxy-Server ...)
• Inhalte-Anbieter: Produzenten von redaktionellen Inhalten, die z. B. von Serverbetreibern auf WWW-Servern bereitgestellt werden.

Durch die unmittelbare Umsetzung und Einhaltung der Empfehlungen sowie durch eigene weiterfⁿhrende Sofortprogramme k÷nnen die angesprochenen Zielgruppen entscheidend dazu beitragen, dass das gemeinsame Ziel aller gesellschaftlichen Gruppen, das Internet sicher zu gestalten, erreicht wird. Eine besondere Rolle kommt den Netzvermittlern zu, die normalerweise keine Schutzfunktion fⁿr die Serverbetreiber ⁿbernehmen. Bei dem fⁿr DoS-Angriffen verwendeten IP-Spoofing sind die Netzvermittler diejenigen, die wirksam falsche Pakete schon beim Einspeisen in das Internet erkennen und verhindern k÷nnen.

Die nachfolgenden Ma▀nahmen sind bezⁿglich der Zielgruppen gegliedert, wobei die ersten fⁿnf Ma▀nahmen bei der Abwehr bzw. der Schadensbegrenzung von DDoS-Angriffen helfen, da sie bei den ▄bertragungswegen im Internet ansetzen. Die restlichen Ma▀nahmen beziehen sich auf die Auswahl, Konfiguration und Pflege der Endsysteme im Internet und erschweren die Vorbereitung eines DDoS-Angriffs, d. h. das Eindringen in eine Vielzahl von Rechnern und die dortige Installation von Angriffsprogrammen.

Restrisiken werden jedoch auch nach Umsetzung der Ma▀nahmen verbleiben, weshalb geordnete Meldeverfahren fⁿr Angriffe ⁿber das Internet entwickelt werden sollten.
 

Den Netzvermittlern kommt eine zentrale Rolle bei der Verhinderung von DoS zu. Die Netzvermittler sind zwar selber nur selten Ziel von DoS-Angriffen, haben aber indirekt Nutzen von einem sichereren Internet, da das Vertrauen aller Nutzer und damit ihre Zahl wΣchst.

Ma▀nahme 1: Verhinderung von IP-Spoofing

Viele DoS-Angriffe nutzen gefΣlschte IP-Absenderadressen. Dies macht einerseits einige Angriffe erst m÷glich und erschwert andererseits auch die Suche nach dem Verursacher. Durch entsprechende technische Regeln (RFC 2267 vom Januar 1998) in der Netzinfrastruktur der Netzvermittler k÷nnen die Netzbetreiber diese M÷glichkeit wesentlich einschrΣnken, so dass gefΣlschten Pakete erst gar nicht weiter in das Internet vermittelt werden:
Eine Organisation, die an einen Netzbetreiber angeschlossen ist, hat einen bestimmten IP-Adressbereich zur Verfⁿgung. Jedes IP-Paket, dass aus dieser Organisation ins Internet geschickt wird, mⁿsste eine IP-Absenderadresse aus diesem Bereich haben. Ist dies nicht der Fall, so handelt es sich um eine gefΣlschte Adresse und das IP-Paket sollte vom Netzvermittler nicht weitergeleitet werden, d. h., es soll eine Paketfilterung auf die Absenderadressen beim Einspeisen der Pakete in das Internet durchgefⁿhrt werden. Zwar ist IP-Spoofing innerhalb des erlaubten Adressbereichs der Organisation noch immer m÷glich, jedoch ist der Kreis der m÷glichen Verursacher auf die Organisation eingeschrΣnkt. Ein normaler Heimzugang in das Internet hat nur eine einzige erlaubte IP-Adresse, so dass ⁿber solche WΣhlzugΣnge IP-Spoofing gar nicht mehr m÷glich wΣre.

Ma▀nahme 2: Einsatz von Paketfiltern bei Netzvermittlern

HΣufig sind Server nur ⁿber eine einzelne Netzverbindung an den Netzvermittler angebunden. Selbst wenn die Server widerstandfΣhig gegen DoS-Angriffe sind, so ist doch diese Netzverbindung selber in ihrer KapazitΣt beschrΣnkt und kann von einem Angreifer vollstΣndig ausgelastet werden, so dass die Server aus dem Internet nicht mehr erreichbar sind. Daher sollten Netzvermittler in ErwΣgung ziehen, die Netzanbindung der Serverbetreiber durch den Einsatz von Paketfiltern gegen DoS-Angriffen abzuschirmen, d. h. es soll eine Paketfilterung (auf Ports) beim Verlassen der Pakete aus dem Internet durchgefⁿhrt werden. Dies ist insbesondere dann sehr effektiv, wenn in Zusammenarbeit mit einem Angriffserkennungssystem beim Serverbetreiber der Paketfilter dynamisch an den jeweils laufenden Angriff angepasst werden kann. (Darⁿber hinaus kann der Netzvermittler in Absprache mit dem Serverbetreiber den Paketfilter auch so konfigurieren, dass Ma▀nahme 3 auch auf der Seite des Netzvermittlers ergΣnzt wird.
 

Die Rechner der Serverbetreiber kommen nicht nur als Opfer der DoS-Angriffe in Betracht. Wegen ihrer leistungsfΣhigen Anbindung an das Internet sind sie auch beliebte potentielle Ausgangsplattformen. Daher muss verhindert werden, dass diese Rechner als Ausgangspunkt fⁿr Angriffe auf weitere Rechner missbraucht werden.

Ma▀nahme 3: Einsatz von Paketfiltern bei Serverbetreibern

Server sollten im Normalfall nur wenige Dienste anbieten und entsprechend konfiguriert werden. Auf dem vorgeschalteten Router sollten Paketfilterregeln implementiert werden, die nur die zugeh÷rigen Protokolle passieren lassen und beispielsweise sicherheitskritische Dienste oder gerichtete Broadcasts (RFC 2644) abblocken. Im Falle eines Angriffs k÷nnen diese Router so umkonfiguriert werden, dass die Anfragen von verdΣchtigen einzelnen IP-Adressen oder -Adressbereichen abgewiesen werden. (Darⁿberhinaus sollte der Serverbetreiber den Paketfilter zusΣtzlich so konfigurieren, dass aus seinem Netz heraus IP-Spoofing nicht m÷glich ist und so die Ma▀nahme 1 unterstⁿtzt wird. Die dazu vorzunehmenden Einstellungen sind in den Systemverwalter-Handbⁿchern der Router beschrieben.)

Ma▀nahme 4: Automatische Angriffserkennung

DoS-Angriffe zeichnen sich normalerweise dadurch aus, dass sie Server anomal auslasten. Daher sollten typische Kennwerte (Speicherauslastung, Stacks, Netzauslastung, ...) stΣndig ⁿberwacht werden. Eine automatische Alarmierung erm÷glicht dann, zeitnah Reaktionen einzuleiten (hostbasierte Angriffserkennung). Hierzu sind ggf. geeignete Zusatzprodukte heranzuziehen. ZusΣtzliche Informationen zu Intrusion Detection Systems finden sich beispielsweise unter http://www.bsi.bund.de/literat/studien/ids/ids-stud.htm.

Ma▀nahme 5: Etablierung eines Notfallplans

Im Falle eines Angriffs ist es von zentraler Bedeutung, schnell reagieren zu k÷nnen. Nur so ist es m÷glich wirksame Gegenma▀nahmen einzuleiten, eventuell den Angreifer zu identifizieren und den Normalbetrieb innerhalb kurzer Zeit wieder herzustellen. In einem Notfallplan ist daher eine geeignete Eskalationsprozedur festzuschreiben. Notwendige Angaben sind dabei u. a. Ansprechpartner, Verantwortliche, alternative Kommunikationswege, Handlungsanweisungen und Lagerort m÷glicherweise ben÷tigter Resourcen (z. B. MagnetbΣnder). NΣhere Informationen zum Umgang mit Angriffen aus dem Internet finden sich unter http://www.bsi.de/literat/cebit99/angriff.htm.

Ma▀nahme 6: Sichere Konfiguration der Server

Auch die Server der Serverbetreiber k÷nnen als Agenten eines DoS-Angriffs missbraucht werden. Der Angreifer installiert dazu unter Ausnutzung bekannter Schwachstellen Schadsoftware. Daher mⁿssen die Betreiber der Server diese sorgfΣltig und sicher konfigurieren. Nicht ben÷tigte Netzdienste sind zu deaktivierten und die ben÷tigten abzusichern, ein hinreichender Passwort- und Zugriffsschutz sowie rechtzeitiges ─ndern (insbesondere voreingestellter) Passw÷rter muss sichergestellt sein. NΣhere Informationen finden sich unter http://www.bsi.bund.de/bsi-cert/webserv.htm.

Ma▀nahme 7: Restriktive Rechtevergabe und Protokollierung

Durch Manipulationen an Servern kann ein Angreifer diese als Agenten missbrauchen oder ihre LeistungsfΣhigkeit einschrΣnken. Deshalb mⁿssen alle ─nderungen und alle Zugriffe auf den Server protokolliert werden. Es ist auf eine restriktive Vergabe von Zugriffsrechten der Nutzer, auf die zur Verfⁿgung gestellten Systemressourcen und auf eine erh÷hte Sorgfalt bei KonfigurationsΣnderungen zu achten. In regelmΣ▀igen AbstΣnden ist das Dateisystem auf IntegritΣt zu ⁿberprⁿfen. Werden lediglich statische Daten ben÷tigt, kann ein manipulationssicherer, schreibgeschⁿtzter DatentrΣger verwendet werden.

Ma▀nahme 8: Einsatz von Open Source Produkten

Fⁿr den Fall, dass Schwachstellen neu entdeckt werden, die einen DoS-Angriff erm÷glichen oder erleichtern, ist es wichtig, dass diese schnell behoben werden k÷nnen. Meist werden derartige Schwachstellen in Open-Source-Software wesentlich schneller behoben als in Produkten, deren Quellcode nicht ver÷ffentlicht ist. HΣufig k÷nnen die VerΣnderungen im Quellcode sogar selbst durchgefⁿhrt werden. Daher sollten Open-Source-Produkte wie LINUX bei Σhnlicher LeistungsfΣhigkeit bevorzugt werden (siehe http://linux.kbst.bund.de/).
 

Ma▀nahme 9: Auswahl geeigneter und IT-sicherheitsbewu▀ter Serverbetreiber

Die Inhalte-Anbieter sollten schon durch die Wahl ihres Serverbetreibers darauf hinwirken, dass dieser Sicherheit und Verfⁿgbarkeit als zentrale Leistungsmerkmale ansieht. Daher sollten sie einen Serverbetreiber wΣhlen, der entsprechende Erfahrungen mit den ben÷tigten Internet-Plattformen vorweisen und seine Bemⁿhungen im Bereich IT-Sicherheit nachweisen kann, z. B. durch ein IT-Sicherheitskonzept.

Ma▀nahme 10: Vermeidung aktiver Inhalte

Viele WWW-Seiten im Internet sind derzeit nur nutzbar, wenn in den Browsern aus Sicherheitssicht bedenkliche Einstellungen vorgenommen werden, die von einem Angreifer missbraucht werden k÷nnen. Durch bewusste Vermeidung sicherheitskritischer Techniken (z. B. aktive Inhalte) k÷nnen Inhalte-Anbieter dazu beitragen, dass auf den Clients keine unsicheren Einstellungen vorhanden sein mⁿssen.

Ma▀nahme 11: TΣgliche ▄berprⁿfung von Dateien auf Viren und Angriffsprogrammen

Viele Inhalte-Anbieter stellen auf ihren WWW-Seiten Programme und Dokumente zum Download bereit. Gelingt es einem Angreifer, dort ein trojanisches Pferd einzubringen, so kann er in kurzer Zeit auf eine gro▀e Verbreitung seines Programmes hoffen. Eine solche Vorgehensweise ist insbesondere bei DDoS-Angriffen fⁿr Angreifer sehr verlockend, da dabei eine gro▀e Zahl von Rechnern fⁿr einen wirkungsvollen Angriff ben÷tigt wird. Der Inhalte-Anbieter sollte deshalb tΣglich mit speziellen Suchprogrammen ⁿberprⁿfen, ob auf seinen Seiten Programme mit Schadenfunktionen (Viren, Trojanische Pferde, DoS-Programme, etc.) verfⁿgbar sind zur Verfⁿgung gestellt werden (fⁿr die Suche nach DDoS-Programmen siehe z. B. http://foia.fbi.gov/nipc/trinoo.htm).
 

Rechner der Endanwender sind im Normalfall nicht Ziel von DoS-Angriffen. Allerdings k÷nnen diese Rechner dazu benutzt werden, dass ein Angreifer in einem ersten Schritt Programme auf ihnen installiert, die ihm dann ferngesteuert einen DoS-Angriff auf beliebige Rechner erm÷glichen. Daher k÷nnen auch Endanwender einen Beitrag zum Schutz vor DoS-Angriffen leisten.

Ma▀nahme 12: Schutz vor Schadprogrammen

Rechner von Endanwendern k÷nnen als Agenten fⁿr Angriffe missbraucht werden. Am leichtesten lassen sich solche Agenten ⁿber Viren, trojanische Pferde oder durch aktive Inhalte (insbesondere ActiveX) auf die einzelnen Rechner installieren. Daher ist ein zuverlΣssiger und aktueller Virenschutz und das Abschalten aktiver Inhalte im Browser dringend anzuraten. Ggf. kann auch der Einsatz von Hilfsprogrammen zum Online-Schutz des Clients (beispielsweise PC-Firewalls) erwogen werden. Weitere Empfehlungen werden auf den WWW-Seiten des BSI (http://www.bsi.bund.de) und der Initiative Sicherheit im Internet (http://www.sicherheit-im-internet.de) gegeben.
 

Die hier empfohlenen Ma▀nahmen sind Standardma▀nahmen (vgl. http://www.bsi.de/literat/doc/fuhrberg.htm). Die Praxis zeigt jedoch, dass sie aus den unterschiedlichsten Grⁿnden hΣufig nicht umgesetzt werden.

Ma▀nahme 13: IT-Grundschutz fⁿr Rechner mit Internet-Anschluss

Rechner, die ⁿber einen Internet-Anschluss verfⁿgen, sollten durch konsequente Umsetzungen der IT-Grundschutzma▀nahmen aus den Kapiteln 6.1, 6.2 und 6.4 fⁿr vernetzte Unix-Systeme bzw. Windows NT des IT-Grundschutzhandbuchs ein angemessenes Sicherheitsniveau erreichen. Damit ist gewΣhrleistet, dass typischen GefΣhrdungen entgegengewirkt wird. Das IT-Grundschutzhandbuch kann unter (http://www.bsi.bund.de/gshb) eingesehen und unter (gshb@bsi.de) kostenlos auf CD-ROM bezogen werden.

Ma▀nahme 14: Zeitnahes Einspielen von Sicherheits-Updates

Immer wieder werden neue sicherheitsrelevante Schwachstellen in den Betriebssystemen und der Serversoftware entdeckt, die wenig spΣter durch Updates (Patches) der Hersteller behoben werden. Um m÷glichst zeitnah reagieren zu k÷nnen, ist es notwendig, die Mailinglisten des Computer Emergency Response Teams (CERT) unter http://www.cert.org und der Hersteller zu abonnieren und auszuwerten. Die relevanten Updates sind schnellst m÷glich einzuspielen, um die bekannt gewordenen Schwachstellen zu beheben.

Ma▀nahme 15: Tool-Einsatz und Schulung der Mitarbeiter

Um einen Rechner vor Risiken und Gefahren zu schⁿtzen, ist z. T. erhebliches Know-How zur Erarbeitung einer guten effektiven IT-Sicherheitskonfiguration notwendig. Administratoren mⁿssen daher ausreichend aus- und weitergebildet werden. Zur Unterstⁿtzung der Administrationsaufgaben sollten zudem Sicherheits-Tools herangezogen werden. Besonders geeignet ist hier das BSI-Tool USEIT (http://www.bsi.bund.de/aufgaben/projekte/useitool/useit.htm), das es erm÷glicht, Schwachstellen in der Installation und Konfiguration von Unix-Rechnern zu finden.

 
siehe auch (auf anderen Glossar-Seiten):

Browser
Computervirus
Cookies
Datenschutz
Domain-Namen, DNS
E-Mail
E-Commerce / Electronic Commerce
Hacker
HOAX (sowie "Melissa" und "Loveletter")
HTML (Homepage-Erstellung)
Internet
Internet-Zahlen / Community
Newsgroup
ShareSniffer
TCP/IP
World Wide Web
Verschlⁿsselung, Digital-ID

siehe auch Beitrag im AEC-WEB (nur mit einer Online-Verbindung):

INTERNET und Architekten

siehe auch :

• Bundesministerium des Inneren
• Bundesamt fuer Sicherheit in der Informationstechnik

Bestellungen aus
Deutschland werden
von unserem Partner
AMAZON.de
versandkostenfrei
und ohne
Mindestbestellwert
bearbeitet!

Noch mehr
ausgewΣhlte Bⁿcher
gibt es bei
BAUBUCH.de.

 
- - - - -
# A B C D E F G H I J K L M N O P Q R S T U V W X Y Z