Angriffstechnik

Angreifer leitet verkehr über einen durch ihn kontrollierten Rechner.

Stören oder einspeisen von Fake Nachrichten sind verwandte Angriffstechniken.

MAC-Adresse: Eindeutige Hardware-Adresse einer Netzwerkkarte zur Identifikation eines Geräts im lokalen Netzwerk.

MAC-Address-Spoofing: Fälschen oder Klonen einer MAC-Adresse, um sich als ein anderes Gerät auszugeben und Zugriffsbeschränkungen zu umgehen.

ARP-Spoofing:

ARP (Address Resolution Protocol): Ein Netzwerkprotokoll, das eine IP-Adresse einer MAC-Adresse zuordnet, damit Geräte im lokalen Netzwerk miteinander kommunizieren können.

Ein Angreifer sendet falsche IP-MAC-Zuordnungen, sodass Datenverkehr an ihn statt an den eigentlichen Empfänger geleitet wird.

Ziele: Mithören (Man-in-the-Middle), Authentifizierung umgehen, DoS.

Schutzmaßnahmen (kurz)

• Statische ARP-Einträge (sicher, aber unpraktisch)

• ARP-Tabellen überwachen und Inkonsistenzen erkennen

• Doppelte IP-/MAC-Zuordnungen im Netzwerk prüfen

IP-Spoofing: Fälschen der Absender-IP-Adresse in IP-Paketen, um sich als ein anderes Gerät auszugeben. Wird häufig für DoS/DDoS-Angriffe oder zur Verschleierung des Absenders genutzt.

DNS (Domain Name System): Übersetzt Domainnamen (z. B. google.de) in IP-Adressen.

DNS-Spoofing: Manipulation von DNS-Einträgen oder dem DNS-Cache, sodass ein Benutzer auf eine gefälschte Webseite bzw. einen Server des Angreifers umgeleitet wird.

Text-/E-Mail-Spoofing: Fälschen des Absenders einer SMS oder E-Mail, um sich als vertrauenswürdige Person oder Organisation auszugeben und den Empfänger zu täuschen (z. B. Phishing, Betrug).

• Kontrolliert den Datenverkehr zwischen Intranet und Internet.

• Lässt erlaubten Verkehr durch und blockiert unerlaubten Verkehr nach festgelegten Regeln (Policies).

• Analysiert Pakete nach IP-Adresse, Port oder Inhalt.

• Protokolliert den Netzwerkverkehr und kann Intrusion Detection unterstützen.

Grenzen:

• Kein Schutz vor Insidern.

• Kein Schutz vor Verkehr, der die Firewall umgeht.

• Kein vollständiger Schutz vor unbekannten Bedrohungen, Viren, Würmern oder Trojanern.

• Ist nur wirksam als Teil eines gesamten Sicherheitskonzepts.

Komponenten:

• Paketfilter

• Circuit Level Gateway (Verbindungs-Gateway)

• Application Gateway (Proxy Server)

Komponent einer Firewall.

Ein Paketfilter prüft jedes Netzwerkpaket anhand einer Regelkette (z. B. IP-Adresse, Port, Protokoll) und entscheidet, ob es erlaubt oder verworfen wird. Je mehr Regeln, desto genauer die Kontrolle – aber auch komplexer.

Statischer Paketfilter

• Zustandslos: Entscheidung nur anhand des aktuellen Pakets (z. B. IP, Port, Protokoll).

• Einfach, aber leichter zu umgehen.

Dynamischer Paketfilter

• Zustandsbehaftet (Stateful): Berücksichtigt auch vorherige Pakete bzw. den Verbindungszustand.

• Sicherer, da nur gültige/verfolgte Verbindungen erlaubt werden und Spoofing erschwert wird.

Komponente einer Firewall.

Application-Level-Gateway (ALG / Proxy) – kurz

• Vermittelt als Zwischenstation zwischen Client und Server.

• Prüft und filtert den Inhalt auf Anwendungsebene (z. B. HTTP, FTP).

• Kann Zugriffe beschränken, Malware erkennen, Aktivitäten protokollieren und benutzerspezifische Regeln anwenden.

• Keine direkte Verbindung zwischen Client und Server → höhere Sicherheit.

Nachteile:

• Anwendungsspezifisch (für jede Anwendung eigene Konfiguration).

• Leichter angreifbar, da der Proxy direkt mit dem Internet kommuniziert.

• Dual-Homed Firewall

• Screened-Host Firewall

• Screened-Subnet Firewall

Dual-Homed Host Firewall

• Ein Rechner mit zwei Netzwerkschnittstellen (Internet und Intranet).

• Keine direkte Verbindung zwischen Internet und Intranet – Kommunikation nur über den Bastion Host (Proxy).

• Nachteil: Single Point of Failure (fällt der Host aus oder wird kompromittiert, ist das ganze System betroffen).

Screened Host Firewall

• Paketfilter (Router) vor dem Bastion Host.

• Der Bastion Host ist nur mit dem Intranet verbunden.

• Mehr Sicherheit als Dual-Homed Host, aber weiterhin Single Point of Failure.

DMZ (Demilitarisierte Zone / Perimeternetz)

• Zwischen zwei Paketfiltern/Firewalls liegt eine DMZ mit öffentlich erreichbaren Servern (z. B. Webserver).

• Das Intranet ist zusätzlich geschützt.

• Vorteil: Angreifer müssen mehrere Sicherheitsstufen überwinden → höhere Sicherheit, reduziert das Single-Point-of-Failure-Problem.

Firewalls schützen das Intranet vor externen Zugriffen, erschweren aber auch berechtigten Zugriff von außen (z. B. Homeoffice). Dieser Zugriff heißt Remote Access (RAS).

Direkter Zugriff per Modem auf das Intranet. Erfordert Authentifizierung, ist aber langsam, teuer und heute kaum noch genutzt.

Benötigte Dienste werden in die DMZ verschoben und extern bereitgestellt. Dafür sind Authentifizierung und Verschlüsselung nötig; sinnvoll, wenn nur wenige Dienste extern erreichbar sein sollen.

Ein VPN (Virtual Private Network) stellt über das Internet eine sichere, verschlüsselte Punkt-zu-Punkt-Verbindung her. Es ermöglicht Remote Access oder die sichere Verbindung zweier Standorte.

Der VPN-Client authentifiziert sich beim VPN-Server (meist in der DMZ). Danach werden Schlüssel ausgetauscht und der Datenverkehr verschlüsselt durch einen VPN-Tunnel übertragen. Der Benutzer arbeitet dabei so, als wäre er direkt im Intranet.

Zwei Gateways verbinden zwei Standorte über einen verschlüsselten VPN-Tunnel. Die Gateways verschlüsseln und kapseln die Pakete ein und entschlüsseln sie am Ziel wieder.

Ein VPN gewährleistet Vertraulichkeit, Integrität und Authentizität der übertragenen Daten. Die eigentlichen Endgeräte und ihre IP-Adressen bleiben für Außenstehende verborgen.

Beim Split Tunneling läuft nur der Verkehr ins Intranet über das VPN, Internetverkehr geht direkt ins Internet. Das verbessert die Leistung, erhöht aber das Sicherheitsrisiko.

Der Rechner ist gleichzeitig mit dem Internet und dem Intranet verbunden. Ein Angreifer könnte den Rechner als Router missbrauchen und so Zugriff auf das geschützte Intranet erhalten.

Öffentliche WLANs sind nicht vertrauenswürdig. Deshalb sollten Geräte eine restriktive Personal Firewall verwenden und keine eigenen Dienste im Netzwerk anbieten.

Ein Angreifer kann ein gefälschtes öffentliches WLAN betreiben, den Datenverkehr abfangen und Webseiten manipulieren, indem er Malware in den HTML-Code einschleust. Der Nutzer bemerkt dies meist nicht und erhält scheinbar die gewünschte Webseite.

Ein Computerwurm ist Schadsoftware, die sich selbstständig verbreitet und Sicherheitslücken ausnutzt, um Systeme zu infizieren.

Würmer können Malware einschleusen, Backdoors installieren, Daten verschlüsseln oder löschen und infizierte Rechner zu Botnetzen zusammenschließen.

Internet-Würmer, E-Mail-Würmer, Filesharing-Würmer und Instant-Messaging-Würmer.

Ein Buffer Overflow entsteht, wenn mehr Daten in einen Puffer geschrieben werden, als dieser speichern kann.

Speicher wird überschrieben, Programme können abstürzen oder Angreifer Schadcode ausführen und Kontrolle über das System erhalten.

Durch fehlende Speichergrenzen-Prüfungen in Programmiersprachen oder unsicheren Standardfunktionen.