Netzwerkangriffe verhindern oder dämpfen - Dummies

Als Certified Information Systems Security Professional (CISSP) müssen Sie Angriffe gegen Ihr Netzwerk verhindern oder abmildern. Die meisten Angriffe auf Netzwerke sind Denial of Service- (DoS-) oder DDoS-Angriffe (Distributed Denial of Service), bei denen das Ziel darin besteht, die Bandbreite eines Netzwerks zu verbrauchen, so dass Netzwerkdienste nicht mehr verfügbar sind. Es gibt jedoch mehrere andere Arten von Angriffen, von denen einige hier diskutiert werden.

Bluejacking und Bluesnarfing

Mit der zunehmenden Beliebtheit der Bluetooth-Technologie haben sich verschiedene Angriffsmethoden entwickelt, darunter Bluejacking (Senden von anonymen, unaufgeforderten Nachrichten an Bluetooth-fähige Geräte) und < bluesnarfing (Diebstahl persönlicher Daten wie Kontakte, Bilder und Kalenderinformationen von einem Bluetooth-fähigen Telefon). Noch schlimmer ist, dass bei einem Bluesnarfing-Angriff Informationen über Ihr Mobiltelefon (wie z. B. seine Seriennummer) heruntergeladen und dann zum Klonen Ihres Telefons verwendet werden können.

Fraggle

Ein

Fraggle -Angriff ist eine Variante eines Smurf-Angriffs, bei dem UDP-Echo-Pakete (UDP-Port 7) anstelle von ICMP-Paketen verwendet werden. Cisco-Router können so konfiguriert werden, dass sie die TCP- und UDP-Dienste (bekannt als TCP- und UDP-Server) deaktivieren, die bei Fraggle-Angriffen am häufigsten verwendet werden. Smurf

Ein

Smurf -Angriff ist eine Variante des ICMP-Überflutungsangriffs. Bei einem Smurf-Angriff werden ICMP-Echoanforderungspakete unter Verwendung einer gefälschten IP-Adresse im Zielnetzwerk an die Broadcast-Adresse eines Zielnetzwerks gesendet. Das Ziel oder die Bounce-Site überträgt dann die ICMP-Echoanforderung an alle Hosts im Netzwerk. Jeder Host antwortet dann mit einem Echo Reply-Paket, das die verfügbare Bandbreite und / oder Systemressourcen überfordert. Gegenmaßnahmen gegen Smurf-Angriffe beinhalten das Ablegen von ICMP-Paketen am Router.

DNS-Server-Angriffe

Es gibt verschiedene Angriffe gegen DNS-Server, die darauf abzielen, dass zielgerichtete DNS-Server den Endbenutzern fehlerhafte Antworten liefern, was dazu führt, dass Endbenutzer gesendet werden. Systeme (in der Regel Websites) zu impotzen. Zu den Sicherheitsvorkehrungen gegen DNS-Serverangriffe gehören das Verhärten von DNS-Servern und Anwendungsfirewalls.

Man-in-the-Middle

Ein

man-in-the-middle (MITM) -Angriff besteht aus einem Angreifer, der versucht, die Kommunikation zwischen zwei Parteien durch Identitätswechsel zu ändern. Eine übliche MITM-Technik greift den Aufbau einer TLS-Sitzung an, so dass der Angreifer verschlüsselte Kommunikationen zwischen den beiden Endpunkten leicht entschlüsseln kann. Zu ​​den Abwehrmaßnahmen gegen MITM-Angriffe gehören eine stärkere Authentifizierung, Implementierung von Secure DNS-Erweiterungen, Latenzprüfung und Out-of-Band-Verifizierung.

ICMP-Flut

Bei einem

ICMP-Flut -Angriff werden eine große Anzahl von ICMP-Paketen (normalerweise Echo-Anforderung) an das Zielnetzwerk gesendet, um verfügbare Bandbreite und / oder Systemressourcen zu verbrauchen. Da ICMP für normale Netzwerkoperationen nicht erforderlich ist, besteht die einfachste Abwehr darin, ICMP-Pakete am Router abzulegen oder sie an der Firewall zu filtern. Session-Hijacking (Spoofing)

IP

Spoofing beinhaltet das Ändern eines TCP-Pakets, so dass es scheinbar von einer bekannten, vertrauenswürdigen Quelle kommt und so dem Angreifer Zugriff auf das Netzwerk gewährt. Session-Hijacking (Sitzungstoken-Abfangen)

Session-Hijacking umfasst normalerweise ein Wi-Fi-Netzwerk ohne Verschlüsselung, bei dem ein Angreifer das HTTP-Sitzungscookie eines anderen Benutzers abfangen kann. Der Angreifer verwendet dann denselben Cookie, um die HTTP-Sitzung des Opfers zu übernehmen. Dies wurde mit der Firesheep Firefox-Erweiterung demonstriert.

SYN flood

Bei einem

SYN flood -Angriff fordern TCP-Pakete mit einer gefälschten Quelladresse eine Verbindung (SYN-Bit gesetzt) ​​zum Zielnetzwerk an. Das Ziel antwortet mit einem SYN-ACK-Paket, aber die gespoofte Quelle antwortet niemals. Halboffene Verbindungen sind unvollständige Kommunikationssitzungen, die auf die Beendigung des TCP-Dreiwege-Handshake warten. Diese Verbindungen können schnell die Systemressourcen überfordern, während das System darauf wartet, dass die halboffenen Verbindungen eine Zeitüberschreitung aufweisen, wodurch das System abstürzt oder auf andere Weise unbrauchbar wird. SYN-Floods werden auf Cisco-Routern mit zwei Features konterkariert:

TCP-Intercept,, der effektiv für die halboffenen Verbindungen fungiert; und Committed Access Rate (CAR), wodurch die für bestimmte Verkehrsarten verfügbare Bandbreite begrenzt wird. Die FW-1-Firewall von Checkpoint verfügt über eine Funktion, die als SYN Defender bekannt ist und ähnlich funktioniert wie die Cisco TCP-Intercept-Funktion. Andere Abwehrmaßnahmen umfassen das Ändern der standardmäßigen maximalen Anzahl von halboffenen TCP-Verbindungen und die Verkürzung der Zeitüberschreitung bei vernetzten Systemen. Teardrop

Bei einem

Teardrop -Angriff werden die Längen- und Fragmentierungs-Offset-Felder aufeinanderfolgender IP-Pakete geändert, wodurch einige Zielsysteme verwirrt werden und abstürzen. UDP-Flut

Bei einer

UDP-Flut -Attacke werden eine große Anzahl von UDP-Paketen an das Zielnetzwerk gesendet, um verfügbare Bandbreite und / oder Systemressourcen zu verbrauchen. UDP-Fluten können im Allgemeinen dadurch begegnet werden, dass unnötige UDP-Pakete am Router abgelegt werden. Wenn der Angriff jedoch einen erforderlichen UDP-Port verwendet (z. B. DNS-Port 53), müssen andere Gegenmaßnahmen ergriffen werden.