MODUL 4
Angriffe auf das was wir tun
4.1.1 ARP-Schwachstellen
Hosts senden eine ARP-Anfrage an andere Hosts im Netzwerksegment, um die
MAC-Adresse eines Hosts mit einer bestimmten IP-Adresse zu ermitteln. Alle Hosts
im Subnetz empfangen und verarbeiten die ARP-Anforderung. Der Host mit der
übereinstimmenden IP-Adresse in der ARP-Anforderung sendet eine ARP-Antwort.
Jeder Client kann eine unaufgeforderte ARP-Antwort senden, die als "unentgeltlicher
ARP" bezeichnet wird. Dies geschieht häufig, wenn ein Gerät zum ersten Mal
hochgefahren wird, um alle anderen Geräte im lokalen Netzwerk über die MAC-
Adresse des neuen Geräts zu informieren. Wenn ein Host einen unentgeltlichen ARP
sendet, speichern andere Hosts im Subnetz die MAC-Adresse und die IP-Adresse,
die im unentgeltlichen ARP enthalten sind, in ihren ARP-Tabellen.
Diese Funktion von ARP bedeutet jedoch auch, dass jeder Host behaupten kann, der
Eigentümer einer beliebigen IP/MAC zu sein. Ein Bedrohungsakteur kann den ARP-
Cache von Geräten im lokalen Netzwerk vergiften und so einen MiTM-Angriff
auslösen, um den Datenverkehr umzuleiten. Ziel ist es, die MAC-Adresse des
Bedrohungsakteurs mit der IP-Adresse des Standard-Gateways in den ARP-Caches
der Hosts im LAN-Segment zu verknüpfen. Dadurch wird der Bedrohungsakteur
zwischen dem Opfer und allen anderen Systemen außerhalb des lokalen Subnetzes
positioniert.
MODUL 4
Angriffe auf das was wir tun
4.1.2 ARP-Cache-Vergiftung
ARP-Cache-Poisoning kann verwendet werden, um verschiedene Man-in-the-Middle-
Angriffe zu starten..
Die Abbildung zeigt, wie ARP-Cache-Poisoning funktioniert. PC-A benötigt die MAC-Adresse
seines Standard-Gateways (R1). Daher sendet es eine ARP-Anfrage für die MAC-Adresse
[Link].
ARP-Anfrage
MODUL 4
Angriffe auf das was wir tun
ARP-Antwort
In dieser Abbildung aktualisiert R1 seinen ARP-Cache mit den IP- und MAC-Adressen von
PC-A. R1 sendet eine ARP-Antwort an PC-A, der dann seinen ARP-Cache mit den IP- und
MAC-Adressen von R1 aktualisiert.
MODUL 4
Angriffe auf das was wir tun
Gefälschte unentgeltliche ARP-Antworten
In der Abbildung sendet der Bedrohungsakteur zwei gefälschte kostenlose ARP-
Antworten unter Verwendung seiner eigenen MAC-Adresse für die angegebenen
Ziel-IP-Adressen. PC-A aktualisiert seinen ARP-Cache mit seinem Standard-
Gateway, das nun auf die Host-MAC-Adresse des Bedrohungsakteurs verweist. R1
aktualisiert auch seinen ARP-Cache mit der IP-Adresse von PC-A, die auf die MAC-
Adresse des Bedrohungsakteurs verweist.
Der Host des Bedrohungsakteurs führt einen ARP-Poisoning-Angriff aus. Der ARP-
Poisoning-Angriff kann passiv oder aktiv sein. Bei passivem ARP-Poisoning stehlen
Bedrohungsakteure vertrauliche Informationen. Bei aktivem ARP-Poisoning ändern
Bedrohungsakteure Daten während der Übertragung oder injizieren bösartige Daten.
Anmerkung: Es gibt viele Tools im Internet, um ARP MiTM-Angriffe zu erstellen, darunter
dsniff, Cain & Abel, ettercap, Yersinia und andere.
MODUL 4
Angriffe auf das was wir tun
4.1.3 DNS-Angriffe
Das DNS-Protokoll (Domain Name Service) definiert einen automatisierten Dienst,
der Ressourcennamen, z. B. [Link], mit der erforderlichen numerischen
Netzwerkadresse, z. B. der IPv4- oder IPv6-Adresse, abgleicht. Sie enthält das
Format für Abfragen, Antworten und Daten und verwendet Resource Records (RR),
um den Typ der DNS-Antwort zu identifizieren.
Die Absicherung von DNS wird oft übersehen. Es ist jedoch entscheidend für den
Betrieb eines Netzwerks und sollte entsprechend abgesichert werden.
Zu den DNS-Angriffen gehören die folgenden:
Angriffe mit offenen DNS-Resolvern
DNS-Stealth-Angriffe
DNS-Domain-Shadowing-Angriffe
DNS-Tunneling-Angriffe
Angriffe mit offenen DNS-Resolvern
Viele Organisationen nutzen die Dienste von öffentlich zugänglichen DNS-Servern
wie GoogleDNS ([Link]), um Antworten auf Abfragen bereitzustellen. Diese Art von
DNS-Server wird als offener Resolver bezeichnet. Ein offener DNS-Resolver
beantwortet Abfragen von Clients außerhalb seiner administrativen Domäne. Offene
DNS-Resolver sind anfällig für mehrere bösartige Aktivitäten, die in der Tabelle
beschrieben werden.
DNS-Cache-Poisoning-Angriffe
Bedrohungsakteure senden gefälschte, gefälschte RR-Informationen (Record Resource) an
einen DNS-Resolver, um Benutzer von legitimen Websites auf bösartige Websites
umzuleiten. DNS-Cache-Poisoning-Angriffe können alle verwendet werden, um den DNS-
Resolver zu informieren, einen böswilligen Nameserver zu verwenden, der RR-Informationen
für böswillige Aktivitäten bereitstellt.
DNS-Amplification- und Reflection-Angriffe
Bedrohungsakteure nutzen DoS- oder DDoS-Angriffe auf offene DNS-Resolver, um das
Volumen der Angriffe zu erhöhen und die wahre Quelle eines Angriffs zu verschleiern.
Bedrohungsakteure senden DNS-Nachrichten an die offenen Resolver unter Verwendung
der IP-Adresse eines Zielhosts. Diese Angriffe sind möglich, da der offene Resolver auf
Anfragen von Personen antwortet, die eine Frage stellen.
MODUL 4
Angriffe auf das was wir tun
Angriffe auf die Auslastung von DNS-Ressourcen
Ein DoS-Angriff, der die Ressourcen der offenen DNS-Resolver verbraucht. Dieser DoS-
Angriff verbraucht alle verfügbaren Ressourcen, um den Betrieb des offenen DNS-Resolvers
negativ zu beeinflussen. Die Auswirkungen dieses DoS-Angriffs können einen Neustart des
offenen DNS-Resolvers erfordern oder das Stoppen und Neustarten von Diensten erfordern.
DNS-Stealth-Angriffe
Um ihre Identität zu verbergen, verwenden Bedrohungsakteure auch die in der
Tabelle beschriebenen DNS-Stealth-Techniken, um ihre Angriffe durchzuführen.
Fast Flux
Bedrohungsakteure nutzen diese Technik, um ihre Phishing- und Malware-
Bereitstellungsseiten hinter einem sich schnell verändernden Netzwerk von kompromittierten
DNS-Hosts zu verstecken. Die DNS-IP-Adressen werden innerhalb von Minuten
kontinuierlich geändert. Botnets verwenden häufig Fast-Flux-Techniken, um bösartige Server
effektiv vor der Entdeckung zu verbergen.
Double IP Flux
Bedrohungsakteure nutzen diese Technik, um die Zuordnungen von Hostname zu IP-
Adresse schnell zu ändern und auch den autoritativen Nameserver zu ändern. Dies
erschwert die Identifizierung der Quelle des Angriffs.
Domain Generation Algorithmus
Bedrohungsakteure nutzen diese Technik in Malware, um nach dem Zufallsprinzip
Domänennamen zu generieren, die dann als Rendezvouspunkte zu ihren Command-and-
Control-Servern (C&C) verwendet werden können.
DNS-Domain-Shadowing-Angriffe
Beim Domain-Shadowing sammelt der Bedrohungsakteur Anmeldeinformationen für
Domänenkonten, um im Hintergrund mehrere Unterdomänen zu erstellen, die
während der Angriffe verwendet werden. Diese Subdomains verweisen in der Regel
auf bösartige Server, ohne den tatsächlichen Eigentümer der übergeordneten
Domain zu benachrichtigen.
MODUL 4
Angriffe auf das was wir tun
4.1.4 DNS-Tunneling
Botnets sind zu einer beliebten Angriffsmethode von Bedrohungsakteuren geworden. Am
häufigsten werden Botnets verwendet, um Malware zu verbreiten oder DDoS- und Phishing-
Angriffe zu starten.
DNS wird im Unternehmen manchmal als Protokoll übersehen, das von Botnets verwendet
werden kann. Aus diesem Grund ist der Angriff oft bereits vorbei, wenn DNS-Traffic als Teil
eines Vorfalls eingestuft wird. Der Cybersicherheitsanalyst muss in der Lage sein, zu
erkennen, wann ein Angreifer DNS-Tunneling verwendet, um Daten zu stehlen und den
Angriff zu verhindern und einzudämmen. Um dies zu erreichen, muss der Sicherheitsanalyst
eine Lösung implementieren, die die ausgehende Kommunikation von den infizierten Hosts
blockieren kann.
Bedrohungsakteure, die DNS-Tunneling verwenden, platzieren Nicht-DNS-Datenverkehr
innerhalb des DNS-Datenverkehrs. Auf diese Weise werden Sicherheitslösungen häufig
umgangen. Damit der Bedrohungsakteur DNS-Tunneling verwenden kann, werden die
verschiedenen Arten von DNS-Einträgen wie TXT, MX, SRV, NULL, A oder CNAME
geändert. Ein TXT-Eintrag kann beispielsweise die Befehle speichern, die als DNS-
Antworten an die infizierten Host-Bots gesendet werden. Ein DNS-Tunneling-Angriff mit
TXT funktioniert folgendermaßen:
1. Die Daten werden in mehrere codierte Blöcke aufgeteilt.
2. Jeder Block wird in eine niedrigere Domänennamenbezeichnung der DNS-Abfrage
eingefügt.
3. Da es keine Antwort vom lokalen oder vernetzten DNS auf die Abfrage gibt, wird die
Anforderung an die rekursiven DNS-Server des ISP gesendet.
4. Der rekursive DNS-Dienst leitet die Abfrage an den autoritativen Nameserver des
Angreifers weiter.
5. Der Vorgang wird so lange wiederholt, bis alle Abfragen, die die Blöcke enthalten,
gesendet wurden.
6. Wenn der autoritative Nameserver des Angreifers die DNS-Abfragen von den
infizierten Geräten empfängt, sendet er Antworten für jede DNS-Abfrage, die die
gekapselten, codierten Befehle enthält.
7. Die Malware auf dem kompromittierten Host kombiniert die Chunks neu und führt die
darin versteckten Befehle aus.
Um DNS-Tunneling stoppen zu können, muss ein Filter verwendet werden, der den DNS-
Datenverkehr überprüft. Achten Sie besonders auf DNS-Abfragen, die überdurchschnittlich
lang sind, oder solche, die einen verdächtigen Domainnamen haben. Darüber hinaus
blockieren DNS-Sicherheitslösungen wie Cisco Umbrella (ehemals Cisco OpenDNS) einen
Großteil des DNS-Tunneling-Datenverkehrs, indem sie verdächtige Domänen identifizieren.
Domänen, die mit dynamischen DNS-Diensten verknüpft sind, sollten als äußerst verdächtig
angesehen werden.
Die Abbildung zeigt einen Angreifer p c auf der rechten Seite mit einem Pfeil, der auf einen C
& C Server links vom p c zeigt. Der C & C Server hat 4 Server links davon. Unter allen
MODUL 4
Angriffe auf das was wir tun
Servern steht das Wort Bots. Neben jedem Server steht das Wort Bot. Ein Pfeil mit einer
Röhre darüber geht vom C&C-Server zu den oberen und unteren Servern. Eine normale Linie
mit einem Pfeil am Ende geht vom C & C Server auf die beiden mittleren Server. Die Wörter
oben sind 1. Kompromittieren Sie Computer. 2. Senden Sie C & C an Bots.
MODUL 4
Angriffe auf das was wir tun
4.1.5 DHCP
Normaler DHCP-Betrieb
DHCP-Server stellen Clients dynamisch IP-Konfigurationsinformationen zur
Verfügung. Die Abbildung zeigt den typischen Ablauf eines DHCP-
Nachrichtenaustauschs zwischen Client und Server.
Normaler DHCP-Betrieb
In der Abbildung sendet ein Client eine DHCP-Ermittlungsnachricht. Der DHCP-Server antwortet mit einem
Unicast-Angebot, das Adressinformationen enthält, die der Client verwenden kann. Der Client sendet eine
DHCP-Anforderung, um dem Server mitzuteilen, dass der Client das Angebot annimmt. Der Server
antwortet mit einer Unicast-Bestätigung, die die Anforderung akzeptiert.
In der Abbildung sendet ein Client eine DHCP-Ermittlungsnachricht. Der DHCP-Server antwortet mit
einem Unicast-Angebot, das Adressinformationen enthält, die der Client verwenden kann. Der Client
sendet eine DHCP-Anforderung, um dem Server mitzuteilen, dass der Client das Angebot annimmt.
Der Server antwortet mit einer Unicast-Bestätigung, die die Anforderung akzeptiert.
MODUL 4
Angriffe auf das was wir tun
4.1.6 DHCP-Angriffe
DHCP-Spoofing-Angriff
Ein DHCP-Spoofing-Angriff tritt auf, wenn ein nicht autorisierter DHCP-Server mit
dem Netzwerk verbunden ist und legitimen Clients falsche IP-
Konfigurationsparameter zur Verfügung stellt. Ein nicht autorisierter Server kann eine
Vielzahl irreführender Informationen bereitstellen:
Falsches Standard-Gateway - Der Bedrohungsakteur stellt ein ungültiges
Gateway oder die IP-Adresse seines Hosts bereit, um einen MiTM-Angriff zu
erstellen. Dies kann völlig unentdeckt bleiben, da der Eindringling den
Datenfluss durch das Netzwerk abfängt.
Falscher DNS-Server - Der Bedrohungsakteur gibt eine falsche DNS-
Serveradresse an, die den Benutzer auf eine bösartige Website verweist.
Falsche IP-Adresse -Der Bedrohungsakteur gibt eine ungültige IP-Adresse,
eine ungültige Standard-Gateway-IP-Adresse oder beides an. Der
Bedrohungsakteur erstellt dann einen DoS-Angriff auf den DHCP-Client.
Angenommen, ein Bedrohungsakteur hat einen nicht autorisierten DHCP-Server
erfolgreich mit einem Switch-Port verbunden, der sich im selben Subnetz wie die
Zielclients befindet. Das Ziel des nicht autorisierten Servers besteht darin, Clients
falsche IP-Konfigurationsinformationen zur Verfügung zu stellen.
Klicken Sie auf die einzelnen Überschriften, um eine Illustration und
Erläuterung der Schritte bei einem DHCP-Spoofing-Angriff anzuzeigen.
MODUL 4
Angriffe auf das was wir tun
1. Client sendet DHCP-Discovery-Nachrichten
In der Abbildung stellt ein legitimer Client eine Verbindung mit dem Netzwerk her und
erfordert IP-Konfigurationsparameter. Der Client sendet eine DHCP Discover-Anforderung,
die nach einer Antwort von einem DHCP-Server sucht. Beide Server erhalten die Nachricht.
MODUL 4
Angriffe auf das was wir tun
2. DHCP-Server antworten mit Angeboten
Die Abbildung zeigt, wie der legitime und der nicht autorisierte DHCP-Server jeweils mit
gültigen IP-Konfigurationsparametern antworten. Der Kunde antwortet auf das erste
erhaltene Angebot.
MODUL 4
Angriffe auf das was wir tun
3. Client akzeptiert nicht autorisierte DHCP-Anfrage
In diesem Szenario hat der Client zuerst das nicht autorisierte Angebot erhalten. Er sendet
eine DHCP-Anforderung, die die Parameter vom nicht autorisierten Server akzeptiert, wie in
der Abbildung gezeigt. Der legitime und der nicht autorisierte Server erhalten die
Anforderung.
4. Rogue DHCP bestätigt die Anfrage
Allerdings sendet nur der nicht autorisierte Server eine Unicast-Antwort an den Client, um
seine Anforderung zu bestätigen, wie in der Abbildung dargestellt. Der legitime Server
beendet die Kommunikation mit dem Client, da die Anforderung bereits bestätigt wurde.
MODUL 4
Angriffe auf das was wir tun