![[externer Link]](../../../../images/link.gif)
www.kossakowski.de), der bereits ab 1992 mit dem Aufbau des ersten CERT in Deutschland betraut und bis Juni 2005 Vorsitzender des internationalen Dachverbands FIRST ( www.first.org) war.Am 11.11. um 11:11 Uhr begann wieder mal die närrische Zeit. Doch nicht jeder war in Feierlaune: Einige haben gespannt gewartet – auf einen Angriff, der nicht kam. Angekündigt war eine verteilte Denial-of-Service-Attacke (DDoS) auf Systeme westlicher Regierungen. Das Mittel der Wahl: "virtuelle Märtyrer", die ihre PCs mit einer speziellen Software – e-Jihad 3.0 – bestückt haben. Dass diesmal alles gut ging, ist nicht selbstverständlich – und Anlass für ein paar grundlegende Gedanken zu Angriffen auf die Verfügbarkeit.
Die Vorversion der Software hatte schon am Anfang des Jahres für einige Aufregung in der Presse gesorgt. Dann gab es eine neue Version der Angriffssoftware und – nach einer Ankündigung – auch ein Datum, den besagten 11. November. Nach eingehender Analyse der Software und aufgrund flankierender Maßnahmen, welche die zur Koordination des Angriffs fest einkodierten Server lahmlegten, durfte man als Verteidiger vorsichtig entspannt in diesen Tag gehen.
Dennoch bleibt die drängende Frage, die zurzeit viele für die Sicherheit verantwortliche Entscheider umtreibt: Was kann man letztlich gegen – gerade verteilte – Angriffe auf die Verfügbarkeit machen? Medienwirksam aufbereitete Informationen über die Geschehnisse von April/Mai in Estland tragen dazu bei, dass greifbar wird, was schon lange klar sein sollte: Der Schutz von Vertraulichkeit und Integrität ist schon schwierig genug, Verfügbarkeit zu schützen ist noch schwieriger. Und dieses "schwieriger" zeigt sich in allen Dimensionen: Geld, Aufwand, Restrisiko, ...
Kurz gesagt macht jeder Sicherheitsverantwortliche, der sich um das Thema kümmert, schon eine ganze Menge richtig. Wer zum Beispiel seine Sicherheitsanforderungen sauber analysiert hat, wird üblicherweise auch wissen, welche Systeme, Geschäftsprozesse und Kommunikationswege dringend verfügbar sein müssen. So lassen sich Redundanzen einrichten, Vorkehrungen treffen und Notfallpläne erstellen.
Wer Betriebssysteme und Anwendungen zeitnah patcht, schließt auch jede Menge Sicherheitslücken, welche die Verfügbarkeit direkt und unmittelbar gefährden: Allein seit März 2004 hat das DFN-CERT vor über 1785 Buffer Overflows gewarnt. Funktionsstörungen sind damit noch erheblich leichter zu bewirken als gezielte Manipulationen – und selbst das ist offenbar gar nicht so schwierig wie viele erfolgreiche Exploits beweisen.
Nicht zuletzt hilft eine konservative Netz-Architektur, die eben nicht alles in wenigen Komponenten zusammenführt, die dann leicht zum Flaschenhals oder – noch schlimmer – Single Point of Failure werden können.
Viele Sicherheitsprobleme beginnen bei der Wahl des "kleinsten gemeinsamen Nenners" der Internet-Kommunikation – der TCP/IP-Protokollfamilie. Bereits in diesen Protokollen liegen die drei Hauptursachen für den Erfolg von DDoS-Angriffen als asymmetrische Bedrohung – sprich als billige Waffe des Angreifers, die dem Verteidiger so oder so Schaden zufügt, denn auch das Aufstellen einer guten Abwehr kostet viel Geld:
Hierin liegt die besondere Problematik: Es reicht nicht aus, die eigenen Systeme zu sichern, um sich selbst zu schützen. Und die Einfallstore kann man nicht schließen, ohne sich selbst zu isolieren. Es bleibt, viel Geld und Aufwand zu investieren und trotzdem mit einem relativ hohen Restrisiko leben zu müssen.
Dass dabei bereits eine "normale" Nutzung die Verfügbarkeit gefährden kann, bleibt weitgehend unbeachtet: Ereignisse nach medienwirksamen Katastrophen (oder sogar unerwarteten PR-Erfolgen) haben schon häufig webgestützte Informationsdienste zusammenbrechen lassen oder zumindest stark behindert. Zumindest solange, bis dort nachgerüstet wurde oder wirksame Verfahren zur Reduktion der Last (z. B. weniger Multimedia) umgesetzt waren. Wenn nun schon eine an sich erwünschte Nutzung die Verfügbarkeit bedroht, wie soll man dann im Falle eines Angriffs noch eine Nutzung gewährleisten können?
Schuld sind auch hier die Protokolle: Server erbringen – in Erwartung eines normalen Benutzers – aufwändige Dienste, ohne dass ein Client zunächst beweisen müsste, dass eine Kommunikation autorisiert, authentisch und gewollt ist. Ähnliche Probleme haben Spam als Verfügbarkeitsbedrohung für E-Mail-Server und -Leser erst ermöglicht.
Die <kes>-Rubrik CERT News berichtet über aktuelle Entwicklungen aus dem Umfeld von Computer Emergency bzw. Security Incident Response Teams (CERTs/CSIRTs). Betreuer dieser Kolumne ist Klaus-Peter Kossakowski ( www.kossakowski.de), der bereits ab 1992 mit dem Aufbau des ersten CERT in Deutschland betraut und bis Juni 2005 Vorsitzender des internationalen Dachverbands FIRST ( www.first.org) war.
Das perfekte Verbrechen ist eines, das nicht als solches wahrgenommen wird. Auch ein "IT-Unfall" oder menschliches Versagen können durchaus gravierende Verfügbarkeitsprobleme bewirken. Vergibt ein Administrator die falsche IP-Adresse an ein Gateway oder macht er einen Fehler bei einer Firewall-Regel, dann sind die Folgen genauso real wie bei einem DoS-Angriff. Die Ursachen solcher Vorfälle sind mehr oder weniger schnell aufzudecken, die Bewertung fällt bisweilen schwer. Denn sie erschließt sich eben nicht aus der Technik, sondern aus dem Umfeld des Vorfalls und dem Hintergrund der involvierten Personen. Cyber-Terroristen möchten immerhin, dass jeder sieht, wer für einen "glorreichen" Angriff verantwortlich war – wirtschaftskriminelle Sabotageakte sind da subtiler, was die Bedrohung womöglich sogar noch erhöht.
Am 13. und 14. Februar 2008 feiert das DFN-CERT mit dem 15. Workshop auch gleichzeitig sein Jubiläum. Am 2. Januar 1993 nahm das damalige Projekt an der Universität Hamburg mit zwei wissenschaftlichen Mitarbeitern seine Arbeit auf. Heute arbeiten 26 Mitarbeiterinnen und Mitarbeiter in dem als GmbH organisierten Dienstleistungsspezialisten.
Das Programm für den Workshop verspricht auch 2008 einen spannenden Einblick in den Grenzbereich zwischen Wissenschaft und Praxis: Besonders gespannt darf jeder auf den Eröffnungsvortrag von "Identity-2.0"-Protagonist Dick Hardt sein, der zum ersten Mal in Deutschland auftritt und über die besonderen Probleme beim Identity-Management referiert.
Überdies wird auch das Thema Online-Durchsuchung auf der Tagesordnung stehen: mit zwei Vorträgen und anschließender Vertiefung der rechtlichen Aspekte in einem dreistündigen Tutorium zu dieser und anderen praktischen Rechtsfragen. Details über die Themen, Redner und die Veranstaltung liefert https://www.dfn-cert.de/ws2008/
© SecuMedia-Verlags-GmbH, 55205 Ingelheim (DE),
<kes> 2007#6, Seite 36
tag:kes.info,2007:art:2007-6-036
| 