Laut einer Analyse von F5 Labs ist Europa mehr Angriffen von innerhalb der eigenen Grenzen ausgesetzt als jeder andere Teil der Welt. Dieses Ergebnis basiert auf der Untersuchung des Datenverkehrs vom 1. Dezember 2018 bis 1. März 2019 im Vergleich zu den USA, Kanada und Australien. [...]
Demnach stammen die meisten Angriffe auf europäische Systeme von IP-Adressen in den Niederlanden, gefolgt von den USA, China, Russland, Frankreich, Iran, Vietnam, Kanada, Indien und Indonesien. Dabei machten die aus den Niederlanden stammenden Attacken das Anderthalbfache der Angriffe aus den USA und China zusammengenommen sowie das Sechsfache der Attacken aus Indonesien aus. Insgesamt ähneln die Ursprungsländer der europäischen Angriffe denen Australiens und Kanadas, aber nicht den USA, da hier weniger europäische IP-Adressen beteiligt sind.
Die häufigsten Angreifer und Opfer
Das niederländische Netzwerk von HostPalace Web Solutions initiierte die größte Anzahl von Angriffen, gefolgt vom französischen Online SAS und dem niederländischen NForce Entertainment. Alle drei Unternehmen sind Webhosting–Provider, die routinemäßig in den Listen der gefährlichsten Akteursnetzwerke von F5 Labs erscheinen.
In Europa war der am stärksten angegriffene Port 5060. Er wird vom SIP (Session Initiation Protocol) für VoIP (Voice-over-IP)-Verbindungen zu Telefonen und Videokonferenzsystemen genutzt. Während globaler politischer Veranstaltungen, wie den jüngsten Gipfeltreffen von Donald Trump mit Kim Jong-un und Wladimir Putin, handelt es sich um einen häufig anvisierten Port. Die nächsten am häufigsten angegriffenen Ports sind der Microsoft SMB (Server Message Block)-Port 445, gefolgt von 2222, der häufig als nicht standardisierter SSH (Secure-Shell)-Port verwendet wird.
Schutzmaßnahmen
Auf Basis dieser Ergebnisse empfiehlt F5, dass Unternehmen kontinuierlich Überprüfungen auf Schwachstellen durchführen sollten. Damit können sie feststellen, welche Systeme über welche spezifischen Ports öffentlich zugänglich sind. Insbesondere die am stärksten angegriffenen offenen Ports – wie der Microsoft SMB-Port 445 sowie die SQL-Ports 3306 und 1433 – sollten entweder durch Firewalls geschützt oder für das Schwachstellenmanagement priorisiert werden.
Darüber hinaus sind Webanwendungen, die Datenverkehr über Port 80 aufnehmen, mit einer Web Application Firewall abzusichern. Die Webanwendungen sollten kontinuierlich auf Sicherheitslücken durchsucht sowie für das Schwachstellenmanagement priorisiert werden, unter anderem für Bugfixes und Patches. F5 Labs weist auch darauf hin, dass viele der Angriffe auf Ports, die Zugriffsdienste wie SSH unterstützen, Brute-Force-Attacken sind. Daher sollte jede öffentliche Anmeldeseite über angemessene Schutzmaßnahmen verfügen.
Netzwerkadministratoren und Sicherheitstechniker sollten auch die Netzwerkprotokolle auf Verbindungen zu den wichtigsten angreifenden IPs überprüfen. Wenn sie Angriffe von einer dieser IP-Adressen bemerken, sollten sie entsprechende Beschwerden an die Betreiber richten, damit diese die angreifenden Systeme herunterfahren. Das Blockieren des Datenverkehrs ganzer Netzwerke oder eines ISPs kann aber problematisch sein, da möglicherweise auch eigene Kunden betroffen sind. Es sei denn, der ISP ist in einem Land tätig, das außerhalb der Vertriebsregionen liegt. Dann kann die geolokalisierte Blockierung auf Länderebene effektiv eine große Menge an Angriffsverkehr vermeiden. Aus diesem Grund hat es sich bewährt, den Datenverkehr basierend auf dem Angriffsmuster auf die eigenen Netzwerk- und Web Application Firewalls zu unterbinden.
*Ralf Sydekum ist Technical Manager DACH bei F5 Networks.
Be the first to comment