Meldung

Clouds unter Dauerfeuer

Sophos wollte wissen, wie sehr Cloudserver potenziellen Hackerangriffen ausgesetzt sind und hat dieses im Rahmen einer 30-tägigen Studie 'Exposed: Cyberattacks on Cloud Honeypots' anhand von zehn Honeypots untersucht. Hierfür wurden in zehn der weltweit beliebtesten AWS-Datenzentren in Frankfurt, London, Paris, Mumbai, Ohio, Sao Paolo, Singapur, Sidney Kalifornien und Irland Cloud-Honeypots eingerichtet. Die Angriffe gingen in die Millionen.
Versuchter Datenklau: Die Honeypot-Cloudserver von Sophos wurden innerhalb eines Monats millionenfach angegriffen.
Die eingerichteten Honeypots simulierten den Secure Shell (SSH) -Dienst, um SSH-Anmeldeversuche zu messen. SSH ist ein Fernzugriffsdienst, der nicht nur von Servern verwendet wird, sondern auch in häuslichen Umgebungen mit so unterschiedlichen Geräten wie Webcams oder NAS-Geräten genutzt wird.

Auf diesen Systemen können berechtigte Benutzer über SSH eine Verbindung herstellen, um das Gerät aus der Ferne zu konfigurieren oder auf Dateien zuzugreifen. Wenn ein Angreifer die Anmeldeaufforderung auf einem IoT-Gerät hinter sich gelassen hat, erhält er nicht nur die gleichen Zugriffsrechte wie der Besitzer, sondern erlangt häufig sogar mehr Kontrolle als er eigentlich beabsichtigt hatte.

Ähnlich wie dies auch bei realen Installationen immer noch sehr oft der Fall ist, haben die Sophos-Experten auch bei der Konfiguration der Honeypots dabei werkseitig vorinstallierte Standardbenutzernamen und -kennwörter beibehalten.

10 Honeypots, 30 Tage, über fünf Millionen versuchte Angriffe

Die Untersuchung zeigt klar, dass Geräte, die nicht die erforderliche Konfiguration erhalten haben (einschließlich der Änderung von werkseitig installierten Standardkennwörtern auf vielen Geräten), einem Hacker einen relativ einfachen Zugriff auf diese Geräte gestatten.

Während des 30-tägigen Testzeitraums wurden so insgesamt mehr als fünf Millionen Angriffsversuche auf das globale Honeypot-Netz gezählt. Am häufigsten traf es dabei Ohio mit rund 950.000 Versuchen, gefolgt von Mumbai, Sidney, Irland und Paris mit Angriffsraten zwischen knapp 680.000 und 613.000 und Kalifornien mit rund 573.000 Versuchen. Frankfurt verzeichnete knapp 440.00 Angriffsversuche und London und Singapur kamen mit "nur" rund 314.000 beziehungsweise 313.000 Attacken davon.

Schnelle Angriffsversuche, schwache Kennwörter

Erstaunlich war auch die Schnelligkeit, mit der die Hacker ihre potenziellen Ziele ausmachten und erste Angriffe starteten. So wurde bereits 52 Sekunden nach Freischaltung der Honeypot in Sao Paolo, Brasilien, attackiert. Paris und Sydney waren bei der Erst-Attacke 17 beziehungsweise 18 Minuten am Netz, Frankfurt ereilte es nach einer guten Stunde und in Irland dauerte es mit gut 100 Minuten am längsten, bis ein erster Angriffsversuch erfolgte. Weltweit waren die Honeypot-Cloud-Server durchschnittlich jeweils 13 Mal pro Minute, beziehungsweise 757 Mal in der Stunde das Ziel versuchter Attacken.

Darauf, dass Werkskonfigurationen eben nicht geändert werden, spekulieren dabei offenbar auch die Hacker – sie verwendeten bei den meisten Anmeldeversuchen Standard-Benutzernamen und beliebte, häufig verwendete, schwache Kennwörter. Die Zahlenreihe 123456 etwa wurde weltweit am häufigsten als Kennwort für einen Anmeldeversuch benutzt.

Empfehlungen: Standard darf kein Standard sein

Sophos gibt im Report [1] Empfehlungen, um eine bessere Sicherheit zu gewährleisten und die automatisierten Angriffsversuche der Cyberkriminellen zu durchbrechen. „Die Geschwindigkeit und das Ausmaß der Angriffe zeigen einmal mehr, wie beharrlich und entschlossen Cyberkriminelle sind, um Cloud-Plattformen anzugreifen,“ sagt Michael Veit, Security-Evangelist bei Sophos.

"Unsere wichtigste Empfehlung ist daher immer eine starke Authentisierung per Zertifikat beziehungsweise per Multifaktor-Authentisierung und zeitbasiertem Einmalkennwort. Die Cloud ist ein elementarer Bestandteil des modernen IT-Alltags und daraus nicht mehr wegzudenken. Die einzigen zugelassenen Standards dürfen deshalb nur die Sorgfalt bei der Konfiguration und eine schlagkräftige IT-Sicherheitsstrategie sein."
10.04.2019/dr

Tipps & Tools

Download der Woche: Whonix [25.06.2019]

Wenn Sie Ihren Rechner vor Gefahren schützen wollen, kann das Linux-basierte Betriebssystem "Whonix" weiterhelfen. Dabei sorgt eine rekonfigurierte Debian-Base, die auf zwei virtuellen Maschinen auf dem Host-OS läuft, für besonders hohe Sicherheit. Diese Open-Source-Architektur agiert als wirksame Schutzschicht gegen Malware und IP-Leaks. [mehr]

Sichere RFID-Geldbörse [15.06.2019]

Das ungewollte Auslesen von Chipsätzen auf Basis von NFC- oder RFID-Technologie stellt eine reale Gefahr da. Um hier für mehr Sicherheit zu sorgen, können Sie mit dem praktischen Kartenetui alle Ihre wichtigen Träger von Informationen wie Personalausweis oder Kreditkarten von der Außenwelt abschotten. Insgesamt lassen sich bis zu 15 Karten in dem Portemonnaie aus leichtem Carbon-Material unterbringen. [mehr]

Fachartikel

Windows Server 2016: Mit dem Webanwendungsproxy Applikationen veröffentlichen (2) [17.06.2019]

Unter Windows Server 2016 lassen sich Webanwendungen wie Exchange im Internet mit dem Webanwendungsproxy zur Verfügung zu stellen. Dieser fungiert als sichere Schnittstelle vom internen Netzwerk zum Internet und ist somit der legitime Nachfolger des von Microsoft abgekündigten Threat Management Gateway. Als Windows-Server-Bordmittel arbeitet der Webanwendungsproxy zudem oft besser mit den vorhandenen Infrastrukturdiensten zusammen als lizenzpflichtige TMG-Alternativen von Drittanbietern. Im zweiten Teil des Workshops erklären wir, wie Sie das Active Directory passend konfigurieren, Exchange anpassen und ADFS einrichten. [mehr]

Buchbesprechung

Anzeigen