Startseite > Datacenter & Verkabelung > Schwachstelle Domain-Name-Server

Denial-of-Service-Attacken

Schwachstelle Domain-Name-Server

13. August 2014, 13:49 Uhr | Jean-Yves Bisiaux, CTO von EfficientIP

Fortsetzung des Artikels von Teil 1

Motive der Hacker und Angriffsziele

Geld ist immer ein Motiv. Auch für Hacker. DoS-Angriffe können zu Geld gemacht werden. Vor allem von Kriminellen, die den riskanten Weg der Erpressung gehen, frei nach dem Motto: „Wenn du unsere Forderung nicht bezahlst, werden wir deinen Internetdienst einfrieren.“ Laut dem Arbor-WISR-Report ist dieses Motiv aber eher unüblich. An der Spitze der üblichen Motive stehen vielmehr politische und/oder ideologische Ziele, also keine gewöhnliche Cyber-Kriminalität, sondern „Hacktivisten“. Vielen mittleren und kleinen Firmen mag dieses Motiv unwichtig erscheinen, da sie sich nicht als Ziel sehen, aber man sollte dabei bedenken, wen man beliefert und unterstützt. Vielleicht ist man als Zwischenlieferer durchaus interessant für einen DoS-Angriff, da man einen leichteren Zugang zum DNS-Server bietet als der gut geschützte Partner oder Kunde.

Manche Hacker wollen einfach nur zeigen, dass sie es können, um sich in der Hackergemeinde zu positionieren. Das Ziel, welches dabei attackiert wird ist deshalb unwichtig und man wird zum unglücklichen Opfer. Und dann gibt es das altbekannte Motiv der Wettbewerbsrivalität, bei der Firmen mit ähnlichen Interessen digitale Grabenkämpfe führen, um sich wirtschaftlichen Schaden zuzufügen. Meist geschieht dies in jungen, sich entwickelnden Märkten.

Last, but not least stehen Ablenkungsattacken auf dem Plan. Sie beschäftigen eine IT-Abteilung, um in der Infrastruktur eine zielgerichtetere Attacke vorzubereiten. Form einer solchen Ablenkung ist beispielsweise ein Flash-Crowd, der per se nicht illegal ist, aber ein unerwarteter Ansturm auf ein spezielles Video oder angebotene Coupons überfordert die IT schnell.

Cloud-basierte Dienste sind in diesem Rahmen ein zweischneidiges Schwert. Es ist möglich, dass man nicht das Ziel ist, sich aber der gleichen Ressourcen bedient, wie die eigentliche Zielfirma. Genauso wird dieser kollaterale Schaden durch die Cloud auch wieder aufgehoben, da es dem Provider möglich sein sollte, weitere Ressourcen so lange bereitzustellen, wie sie benötigt werden. Hinzu kommt, dass der Cloud-Anbieter meist eine eigene DoS-Verteidigung bereitstellt.

Folgen der Angriffe

Die Folgen der Angriffe sind enorm. Hacker greifen oft Firmen an, die sehr stark von ihren Onlinediensten abhängig sind, wie Online-Casinos oder Einzelhändler. Das bedeutet, dass jeder Angriff dem Betreiber empfindliche Geldeinbußen verursacht, da ihr Dienst entweder komplett oder teilweise lahmgelegt ist. Bei einem Einzelhändler reichen oft nur Sekunden, um erhebliche Summen zu verlieren. Wenn der Zugriff auf die Website nicht möglich ist, wandern die Kunden ab, das Kundenvertrauen und Teile des Renommees gehen verloren.

Tipps und Lösungen

Rege genutzte Resolver und DNS-Server sind sehr attraktive Ziele für Hacker, da sie sich vor ihrem Angriff die Reichweite, also ihr Erfolgspotenzial ansehen. Eine dezentralisierte Infrastruktur ist demnach zu empfehlen. Je dezentraler die Infrastruktur ist, desto schwieriger wird ein Angriff, da die Zahl der Opfer begrenzt bleibt. Erst kürzlich, am 12.02.2014, wurde der Chaos Computer Club (CCC) Berlin laut eigener Meldung Opfer eines Cache-Poisoning. Sie verwendeten die Software BIND und dabei war der Zugang zum Resolver offen. Gelöst hat der CCC das Problem mit der Software „unbound“, die von DNS-Infrastrukturbetreibern als Ersatz für BIND geschaffen wurde und die fortwährend aktualisiert wird. Die bereits erwähnte Signierung der Domain durch ICANN oder DNSSEC ist ebenfalls ein Mittel, um den Angriffen vorzubeugen. Und seit Neuestem gibt es die hybride DNS-Technologie.

Hybride DNS-Technologie

Die Software BIND ist auf Grund der perfekten Mischung von Sicherheit und Schnelligkeit äußerst beliebt. Genau das ist aber auch ihre Schwachstelle. Hacker können mit hoher Wahrscheinlichkeit annehmen, dass BIND die verwendete Software ist und wie jede Software hat auch BIND übersehene Programmierfehler, die sich Hacker zu Nutze machen. Um dem vorzubeugen wurde die hybride DNS-Technologie entwickelt. Sie beinhaltet drei verschiedene DNS-Dienste: BIND, „unbound“ und NSD (von NLnet Labs). Der Schutz entsteht jetzt durch den ungleichzeitigen Einsatz der Dienste und die Trennung der autoritativen und rekursiven Elemente im Namensserver. Hacker können nicht mehr sicher sein, welcher der Dienste gerade verwendet wird, da sie mit verschiedenartigen Algorithmen arbeiten und auf gefälschte DNS-Anfragen unterschiedliche Antworten geben. Aktuell ist es eine Anschaffung wert, wenn es um die Sicherheit von DNS-Servern geht.