Wenn die Wespenzeit gekommen ist, flüchten viele Menschen selbst bei bestem Wetter ins Haus. Wer die Sonne trotzdem genießen will, lockt die lästigen Insekten mit Süßem weg vom Tisch in die Falle. Auf dieses Prinzip setzen auch die Security-Experten bei der Deutschen Telekom (DTAG), wenn sie Cyberkrieger auf die falsche Fährte führen wollen. Sie simulieren Schwachstellen in IT-Anwendungen, ohne dabei das System zu gefährden. "Wir lenken Hacker von ihrem eigentlichen Ziel ab oder leiten sie in speziell vorbereitete Bereiche weiter, wo sie keinen Schaden anrichten können. Vor allem sind sie aber für uns eine Säule in unserem Frühwarnsystem", erklärt Markus Schmall, Leiter Sicherheit von IT-Diensten und Anwendungen bei der DTAG.
Die Aufgabe der Fallensteller gewinnt an Bedeutung, denn täglich tauchen weltweit mehrere Zehntausend neue Computerviren, Würmer, Trojaner oder Varianten auf. Diese Bedrohung ist kaum noch beherrschbar. Inzwischen ist es üblich geworden, individuelle Angriffswerkzeuge zu entwickeln und mittels sogenannter Advanced Persistent Threats (APTs) nur noch die IT-Infrastrukturen ausgewählter Unternehmen über einen längeren Zeitraum anzugreifen. Diese Attacken bleiben zudem sehr lange unbemerkt, da die Systeme oftmals zunächst nur nach möglichen Einfallstoren ausgekundschaftet und kritische Daten anschließend ohne nachweisbare Spuren kopiert werden. Weil die Angriffe sehr gezielt und jedes Mal komplett anders verlaufen, hilft hier auch kein noch so guter Malware-Schutz mehr weiter.
Fallensteller im WWW
Eine mögliche Lösung für das Problem sind Honeypots. Damit könnten Unternehmen die Angreifer mit deren eigenen Mitteln schlagen und ihr Vorgehen schon während der Auskundschaftungsphase kennen lernen. Die Telekom betreibt schon mehr als 40 solche Honeypot-Systeme, einen Großteil davon als Web Application Honeypots. Augenscheinlich ganz normale Websites - häufig mit frei füllbaren Formularfeldern beispielsweise für Login-Prozesse ausgestattet - werden mit für den normalen Besucher im Frontend zunächst unsichtbarem, weil auskommentiertem PHP-Quellcode ergänzt, der automatisierten Angriffsskripten Sicherheitslücken auf dem Server verspricht. Entdeckt ein Skript diesen Quellcode, versucht es, die vermeintlichen Lücken beispielsweise über die Formularfelder mithilfe gängiger Lese- und Schreib-Kommandos auf http-Basis wie GET und POST auszunutzen und liefert dem Honeypot-Betreiber währenddessen wertvolle Informationen über die Art des Angriffs.
Das System lernt mit
Bei der DTAG fließen diese Erkenntnisse unter anderem in die Weiterentwicklung der eigenen Systeme ein. So lassen sich Sicherheitslücken gezielt schließen oder neue Systeme schon in der Entwicklung gegen die bekannten Gefahren schützen. Schmall: "Unsere Web-Honeypot-Systeme sind selbstlernend. Sie identifizieren Angriffe von unbekannter Seite, analysieren sie und integrieren deren Schema in den eigenen Erkenntnisprozess." Der erwähnte unsichtbare Quellcode wird also mit jeder zuvor unbekannten Angriffsart länger.
Besonders stolz ist Schmall darauf, dass die Aufzeichnung und die Analyse der Attacken komplett über Open-Source-Tools wie beispielsweise Glastopf und Kippo ablaufen. Die gewonnenen Erkenntnisse werden den IT und Sicherheitsabteilungen im Konzern zur Verfügung gestellt. Weiterhin besteht eine Zusammenarbeit mit der Sicherheitscommunity und anderen ISPs. Die Telekom informiert zudem Hersteller von Antivirussoftware, damit diese bei Auftauchen eines neuen Virus' oder Trojaners in den Honeypots ihre Software möglichst zeitnah aktualisieren können.
Auf der folgenden Seite lesen Sie, was sich täglich so alles in den Honigtöpfen der Telekom verfängt...
Erschreckende Fallzahlen
Foto: Deutsche Telekom / Markus Schmall
Auch in seinen internationalen Netzen baut der Konzern die Systeme kontinuierlich aus, um neue Formen von Hackerangriffen auf breiterer Ebene zu erkennen. Dass sich der Aufwand für den Aufbau und Betrieb der Locksysteme lohnt, zeigt allein die Zahl der Attacken auf die Honeypots der Telekom. Stündlich bis zu 1400 Mal klingelten so zum Beispiel im Januar deren Alarmsysteme. Bis zu 900 verschiedene Angreifer täglich und knapp 13.000 über den Monat verteilt versuchten dabei unerlaubt am Honig zu lecken; insgesamt registrierten die Systeme des Konzerns im gleichen Zeitraum 11.300 verschiedene Angriffsmuster. Die Zahl der insgesamt von den Honeypots registrieren Angriffsversuche stieg in den vergangenen zwölf Monaten von knapp 300.000 auf über 700.000 pro Monat an.
"Die Zahlen allein sagen natürlich nicht aus, ob beispielsweise unsere Web-Produkte wie etwa Portale in gleichem Ausmaß attackiert werden", erklärt Schmall. "Deswegen ergänzen wir unser Frühwarnsystem zunehmend um Messpunkte auf Produktionsservern." Allein die Zahl der Angriffe zu registrieren oder die Angreifer abzulenken, sei aber nicht entscheidend für das Sicherheitsteam. "Wir simulieren zum Beispiel SSH-Server, zeichnen die Folgen eines erfolgreichen Angriffs auf und analysieren dabei auch den böswilligen Code." Im Detail läuft es so ab: Das System lässt den Angriff zunächst zu und loggt die Angriffsvektoren und -muster mit. Eigener ausführbarer Code kann zu keinem Zeitpunkt von dem Angreifer tatsächlich ausgeführt werden. Die nachgeladenen Schadcodes werden in einen Quarantäne-Bereich verschoben, sodass der Angreifer seine Spuren nicht mehr verwischen kann und eine spätere Analyse der Vektoren durch die Sicherheitsexperten möglich bleibt.
Gefährdungspotenzial verschieden
Wichtigste Erkenntnis der Untersuchungen: Die Schadprogramme, die sich in den Honeypots verfangen, dienen unterschiedlichsten Zwecken. So sollten sie beispielsweise den Zugriff auf Administratorenrechte in Linux ermöglichen, Scannerprogramme zum Auffinden anderer verwundbarer Systeme im Internet oder in lokalen Applikationen installieren oder mittels Brute Force Authentifizierungstechniken weiterer Systeme angreifen. Dieses letztgenannte Vorgehen, das auf Wörterbuchbasis versucht, Passwörter zu knacken, war in einem Fall sogar recht schnell erfolgreich: Lediglich vier Stunden benötigte ein Hacker, um in den Honeypot einzudringen und Malware hochzuladen. "Wir haben dann das bestehende achtstellige Passwort eines SSH-Honeypots durch ein komplexeres ersetzt. Danach gab es in zwei Monaten ganze zwei erfolgreiche Attacken", berichtet Schmall.
Ähnliche Größenordnungen herrschen auch in den ganz frischen MySQL-Honeypots vor: Hier werden binärprotokoll-kompatible MySQL-Datenbanken emuliert, in denen sich sensible Daten befinden. "Diese Datenbanken werden aber so gut wie gar nicht attackiert, weil es wohl zu ungewöhnlich ist, dass eine solche Datenbank frei im Netz steht", erklärt Schmall. Da die meisten Schwachstellenscans nach wie vor automatisch passierten, bewegten sich die Angebote ganz einfach unter dem Radar der Angreifer. Dennoch plane die Telekom, die MySQL-Honeypots weiterhin aktiv zu lassen und bald auch für Microsoft SQL Server ähnliche Szenarien aufzubauen.
Trends: Mobile, Industrieanlagen
Die nächste große Baustelle sind die mobilen Endgeräte - und inzwischen hat das Sicherheitsteam auch für diese eine Honeypot-Lösung entwickelt. Ziel war es, Smartphones mit den Betriebssystemen iOS und Android und Zugriff auf mobile Netzwerke zu simulieren und Hackerattacken gegen sie zu erfassen. Noch gebe es keine dezidierten Attacken auf mobile Geräte, was mit der fehlenden Inter-Client-Kommunikation zusammenhänge, vermutet Schmall. Mobile Endgeräte könnten über die gängigen Funkstandards bei den meisten Providern, darunter auch der Telekom, wegen der zu kleinen Adressblöcke bisher nicht via IP untereinander kommunizieren und seien daher nicht über eine öffentliche Adresse ansteuer- und angreifbar. "Ich glaube, dass sich das mit LTE nach und nach ändern wird, da sind wir einfach noch ein halbes Jahr zu früh", sagt Schmall.
In den kommenden Monaten möchte sich sein Team zudem verstärkt um Industriesteuerungssysteme kümmern, die zunehmend ins Blickfeld der Angreifer geraten. Schmall blickt voraus: "Wir wollen nicht mehr nur die klassischen Endkundenportale im Web simulieren, sondern auch Energiesteuerungsanlagen a la Scada, um noch einmal eine ganz andere Honeypot-Sensorik zu ermöglichen."
Auf der folgenden Seite stellen wir Ihnen noch weitere Analysewerkzeuge vor, mit denen deutsche Unternehmen versuchen, den Cybergangstern beizukommen...
Weitere Analysemethoden
Neben Honeypots setzen deutsche Unternehmen, insbesondere die Zugangsprovider, weitere Verfahren ein, um Cyberattacken zu erkennen und zu analysieren. Bei der 1&1 Internet AG sind das beispielhaft die folgenden fünf:
-
Spamtraps: Das gezielte Einsammeln von Spam-Mails und der anschließende Abgleich der Absender-IP-Adressen sowie der Zeitstempel ermöglicht die Identifizierung von DSL-Systemen aus den 1&1-Netzbereichen, die möglicherweise als Spamschleudern missbraucht werden;
-
Auswertung von DDoS-Attacken: Durch die Analyse von DDoS-Angriffe lassen sich neben dem "verursachenden" Schädling auch die am Angriff beteiligten Systeme herausfinden;
-
Externe Beschwerden: 1&1 betreibt eine Abuse-Abteilung, die Hinweise aus Drittquellen auswertet, unter anderem aus den Landeskriminalämtern und dem Bundesamt für Sicherheit in der Informationstechnik;
-
Sinkholes: Das Unternehmen registriert gezielt Domains, die als Command & Control-Server für Botnetze missbraucht werden könnten. Sobald ein Malware-Algorithmus bekannt ist, lassen sich diese Domains nämlich identifizieren - wie einst beim "Conficker"-Virus. Die Zahl der Zugriffe auf die Domains gibt Rückschluss auf die Größe des Botnetzes;
-
Kooperationen: Projekte wie ProjectHoneyPot, Zeus-Tracker oder die ShadowServer Foundation analysieren neue Malware und unterwandern diese durch gezieltes Platzieren von Dronen. 1&1 unterstützt diese Projekte und erhält dafür im Gegenzug die Analysedaten zur internen Verwendung.