Angreifer outet sich als Localhost

Ups, ihr habt ja noch etwas geschrieben!

Jemand wollte noch wissen, von welchem System ich gesprochen habe. Also, es ist ein virtueller Server auf Basis von (Windows Server 2019), der sich bei einem Hoster befindet. Ich habe Zugang per Remote-Desktop und führe im Eigentlichen nur Datenschutzanalysen darauf aus.

VPN habe ich noch nicht eingerichtet, sollte ich aber zeitnahe tun. Trotz allem habe ich den Zugang abgesichert. Ein anderer Server hat eine Ausnahmegenehmigung für Remote-Desktop, die an dessen IP gebunden ist. Bevor ich mich von Zuhause aus auf dem virtuellen System per Remote einloggen kann, muss ich mir am zweiten Server zuvor eine Art Ticket besorgen, wobei meine dynamische IP ebenfalls in die Firewall eingetragen wird. Das ist schon ein ganz guter Schutz. Ruft jemand den Port 3389 ohne Ausnahmegenehmigung auf, wird er direkt ausgesperrt.

Für mein ergänzendes Skript zur Windows-Firewall habe ich folgende Strategie und freue mich auf euer Für und Wider:

Mittels PHP und MySQL setze ich das Projekt um. Mein Ziel ist es - wie ich bereits erwähnt habe - eine Früherkennung von Angriffen zu realisieren.

Das Skript geht wie folgt vor:

Mit tShark von Wireshark analysiere ich den Datenverkehr 24/7 in Echtzeit.

Meinen eigenen Traffic und IPs, die zum System gehören, filtere ich aus, sodass nur noch fremder Verkehr übrig bleibt.

Direkt zu Anfang beschaffe ich mir die Geo-Daten des Aufrufers und kann Kontinente, Zeitzonen oder Länder im ISO-Format ausfiltern, bzw. direkt blockieren. Mir ist natürlich klar, dass Angreifer ihren Standort manipulieren können. Mit einer Gegenprüfung der IP könnte ich rausbekommen, ob am System Ports geöffnet sind, die ein normaler User nicht nutzt. Das überlege ich mir noch.

Danach kanalisiere ich den Verkehr in "ein Port wurde übermittelt" und "es wurde kein Port übermittelt".

Falls kein Port übermittelt worden ist, filtere ich das nach PING aus und lasse nur jene zu, die vom eigenen Rechenzentrum erzeugt werden. Das Übrige dokumentiere ich und blockiere es zunächst. Wofür brauche ich einen PING aus Indien oder Pakistan?

Ganz zu Anfang mache ich einen externen Portscan auf mein eigenes System und trage die Ports in die Datenbank ein, die im Regelbetrieb geöffnet sind.

Kommen wir zu dem Verkehr, bei dem Ports übertragen werden. Diese gleiche ich mit den geprüften Ports ab. Steht ein Port gar nicht zur Verfügung, blockiere ich den Aufruf direkt. Ich nutze beispielsweise keinen FTP-Server. Daher kann ein Aufruf darauf nur von einem Angreifer erfolgen.

Existiert ein Port, analysiere ich die IP wie folgt:

1.) Ich löse die IP in ihren Hostnamen auf. Und protokolliere zunächst, das Ergebnis. Nicht alle IPs haben - aus gutem Grund - einen Hostnamen hinterlegt. Ich möchte aber gern wissen, wie das Verhältnis bei reinem Kundenverkehr ist.

2.) Falls ich den Hostnamen bekomme, löse ich ihn postwendend wieder in seine IP oder seine IPs auf. Sollte der Aufrufer die IP: 127.0.0.1 oder 0.0.0.0 oder gar eine andere nichtöffentliche IP nutzen, blockiere ich ihn direkt.

3.) Es gibt noch zwei Ergebnisse, die womöglich interessant sind. Bei manchen Auflösungen vom Hostnamen zu dessen IPs befindet sich die ursprüngliche Remote-IP darunter und manchmal auch nicht. Letzteres könnte ein Hinweis darauf sein, dass jemand den Hostnamen gefälscht hat.

Nachdem ich diese Tests durchgeführt habe, prüfe ich die Datenpakete bezüglich der verwandten Flags. Womit SYN, SYN-ACK, ACK und die übrigen Abwandlungen gemeint sind.

In einem nächsten Schritt möchte ich das Verhältnis zwischen SYN und ACK analysieren, um feststellen zu können, ob jemand überhaupt darauf bedacht war, eine Seite abzurufen oder ob er das System nur analysieren möchte.

Dabei prüfe ich auch, ob die aufgerufenen Seiten existieren. Ruft jemand durchweg Seiten auf, die nicht vorhanden sind, ist das als vorbereitender Angriff zu bewerten.

Das Windows-Ergebnisprotokoll zeigt gescheiterte Versuche bei Anmeldung an meine Datenbank. Die IPs parse ich mittels PHP und sperre sie über die Firewall aus.

Ein altes Skript möchte ich noch einbinden, womit sich Mensch von Maschine unterscheiden lässt. Berührt jemand sein Display oder verwendet er die Maus, ist das eher ein Zeichen für einen menschlichen Aufrufer. Auch die Menge der Aufrufe hintereinander geben Aufschluss darüber.

Ich denke, es gibt reichlich an Möglichkeiten, Angreifer früh zu ertappen und auszusperren. Ich möchte die ungern so lange wirken lassen, bis sie Erfolg haben.

Was denkt ihr darüber? Nicht vergessen, das befindet sich noch in experimenteller Phase, ist aber schon relativ weit fortgeschritten.

Meinen Server nutze ich nur allein und nur über drei Ports. Innerhalb weniger Stunden habe ich mehrere tausend IPs blockiert, die aus vielen verschiedenen Ländern stammen und wohl nichts Gutes im Schilde geführt haben.