10
Wie kann ich unbekannte Angriffe erkennen?
Hallo Leute,
heute wurde mein Netzwerk angegriffen. Beim Neu-Aufsetzen des Routers habe ich in der Firewall den Zugriff auf den DNS Server nicht aus dem Internet geblockt, da es meiner Meinung nach nicht so wichtig war. Doch leider wurde mein Netzwerk in den letzten drei Tagen massiv angegriffen. Die Angreifer haben einfach ein den txt Eintrag der Domain txt.pwserver.com.ua abgefragt. Mehrfach in der Sekunde. Das Führe dazu, dass die 100MBit Leitung total ausgelastet war. Dieses Verhalten blieb drei Tage lang unbemerkt, da der ganze Traffic während dieser Zeit über eine zweite 50MBit Leitung lief, die die erste dicht war.
Erst der hohe Load auf dem Router offenbarte das Problem.
Doch wie kann ich das nächste Mal solche Probleme schneller und automatisiert erkennen und mich evtl. vor eigenen Fehlern in der Firewall bzw. Netzwerkkonfiguration schützen?
heute wurde mein Netzwerk angegriffen. Beim Neu-Aufsetzen des Routers habe ich in der Firewall den Zugriff auf den DNS Server nicht aus dem Internet geblockt, da es meiner Meinung nach nicht so wichtig war. Doch leider wurde mein Netzwerk in den letzten drei Tagen massiv angegriffen. Die Angreifer haben einfach ein den txt Eintrag der Domain txt.pwserver.com.ua abgefragt. Mehrfach in der Sekunde. Das Führe dazu, dass die 100MBit Leitung total ausgelastet war. Dieses Verhalten blieb drei Tage lang unbemerkt, da der ganze Traffic während dieser Zeit über eine zweite 50MBit Leitung lief, die die erste dicht war.
Erst der hohe Load auf dem Router offenbarte das Problem.
Doch wie kann ich das nächste Mal solche Probleme schneller und automatisiert erkennen und mich evtl. vor eigenen Fehlern in der Firewall bzw. Netzwerkkonfiguration schützen?
Auf Facebook teilen
Auf Twitter teilen
Auf Reddit teilen
Auf Linkedin teilenBitte markiere auch die Kommentare, die zur Lösung des Beitrags beigetragen haben
Content-ID: 213861
Url: https://administrator.de/forum/wie-kann-ich-unbekannte-angriffe-erkennen-213861.html
Ausgedruckt am: 22.12.2024 um 18:12 Uhr
10 Kommentare
Neuester Kommentar
Beim Aufruf der von dir erwähnten Seite meldet sich mein Virenscanner mit der Meldung, dass "front.facetz.net/collect" aus Sicherheitsgründen blockiert wurde.
Na ja, du fragst wirklich wie man das Thema Dummheit oder "Menschliches Interface" ausschalten willst ?
Was erwartest du denn darauf hier vom Forum für einen Antwort ??
Wenn du dich in dein Auto setzt und das fährt nicht los kannst du ja auch nicht sagen das ich noch den Zündschlüssel ins Schloss stecken musste stand ja nirgendwo....
Gerade bei Firewall und Routerkonfigs ist besondere Vorsicht geboten und da gilt das 4 Augen Prinzip. Wenn du zu oberflächlich und nicht kundig genug bist lässt du eine 2te Person das Setup zur Sicherheit checken auf absolute Wasserdichtheit.
Ansonsten musst du dich auf ein IDS/IDP System wie z.B. Snort verlassen. Nur wenn man dort aus Unwissenheit oder Oberflächlichkeit auch Fehler macht ützt das ja herzlich wenig.
Was erwartest du denn darauf hier vom Forum für einen Antwort ??
Wenn du dich in dein Auto setzt und das fährt nicht los kannst du ja auch nicht sagen das ich noch den Zündschlüssel ins Schloss stecken musste stand ja nirgendwo....
Gerade bei Firewall und Routerkonfigs ist besondere Vorsicht geboten und da gilt das 4 Augen Prinzip. Wenn du zu oberflächlich und nicht kundig genug bist lässt du eine 2te Person das Setup zur Sicherheit checken auf absolute Wasserdichtheit.
Ansonsten musst du dich auf ein IDS/IDP System wie z.B. Snort verlassen. Nur wenn man dort aus Unwissenheit oder Oberflächlichkeit auch Fehler macht ützt das ja herzlich wenig.
Hmm...
Ich weiß momentan nicht wirklich, ob es Dummheit ist oder ob das 4 Augen Prinzip da so viel geholfen hätte.
Und auch wenn ich gesehen hätte, dass der DNS von Außen erreichbar ist, hätte ich sofort nichts unternommen. Denn ein aktueller Bind war für mich immer alles andere, als Evil. Dann kann eben jemand über den DNS Server Adressen auflösen. Ist doch nix dran. Offene DNS Server wie z.B. der 8.8.8.8 von Google gibt es viele im Internet.
Auch verstehe ich das Ziel dieses Angriffes nicht. Dann hat jemand meine Leitung vollgeschaufelt. Wayne, ich habe noch eine zweite. Der DNS Server ist jetzt seit gut 6 Stunden nicht mehr von Außen erreichbar. Trotzdem treffen weiter fleißig Anfragen an, die von der Firewall gedropt werden.
Gleiches kann jeder Zeit auch mit anderen Diensten passieren. Und wie andere Admins gleich ganze Protokolle zu sperren, wie ICMP = Bööööööse, das will ich einfach nicht.
Ehrlich gesagt, hätte ich gerne ein System, das mir schon etwas Arbeit abnimmt, in dem man sagt, dass dies und dies Verhalten ein normales Verhalten im Netzwerk ist und Abweichungen wie z.B. 1TB UDP Traffic innerhalb von drei Tagen oder 10.000 DNS Anfragen pro Minute nicht normal sind und der Admin mal nachschauen sollte, ob da wirklich alles mit rechten Dingen zugeht.
Gerade mti Snort habe ich mich schon beschäftigt. Doch genau da muss ich bei der Konfiguration schon zumindest erahnen, was für Gefahren auf das Netz zukommen.
Ich weiß momentan nicht wirklich, ob es Dummheit ist oder ob das 4 Augen Prinzip da so viel geholfen hätte.
Und auch wenn ich gesehen hätte, dass der DNS von Außen erreichbar ist, hätte ich sofort nichts unternommen. Denn ein aktueller Bind war für mich immer alles andere, als Evil. Dann kann eben jemand über den DNS Server Adressen auflösen. Ist doch nix dran. Offene DNS Server wie z.B. der 8.8.8.8 von Google gibt es viele im Internet.
Auch verstehe ich das Ziel dieses Angriffes nicht. Dann hat jemand meine Leitung vollgeschaufelt. Wayne, ich habe noch eine zweite. Der DNS Server ist jetzt seit gut 6 Stunden nicht mehr von Außen erreichbar. Trotzdem treffen weiter fleißig Anfragen an, die von der Firewall gedropt werden.
Gleiches kann jeder Zeit auch mit anderen Diensten passieren. Und wie andere Admins gleich ganze Protokolle zu sperren, wie ICMP = Bööööööse, das will ich einfach nicht.
Ehrlich gesagt, hätte ich gerne ein System, das mir schon etwas Arbeit abnimmt, in dem man sagt, dass dies und dies Verhalten ein normales Verhalten im Netzwerk ist und Abweichungen wie z.B. 1TB UDP Traffic innerhalb von drei Tagen oder 10.000 DNS Anfragen pro Minute nicht normal sind und der Admin mal nachschauen sollte, ob da wirklich alles mit rechten Dingen zugeht.
Gerade mti Snort habe ich mich schon beschäftigt. Doch genau da muss ich bei der Konfiguration schon zumindest erahnen, was für Gefahren auf das Netz zukommen.
Hallo,
einem Server, es gibt auch andere Konstruktionen aber das ist eben mit eine der gängigsten Varianten.
- Snort
- Suricata
Das sind die am weit verbreitetsten IDS Systeme am Markt Snort ist schon etwas älter und Suricata
ist etwas neuer und noch in der Entstehungsphase.
Ich würde Dir vorab aber empfehlen wollen Dir ein paar Bücher zu kaufen und sich einmal im Internet so richtig einzulesen
denn das ist keine schmale Kost und es geht alleine bei den theoretischen Abhandlungen richtig zur Sache, wenn Du da
schwach auf der Brust bist, würde ich eher einmal mit TCPDUMP und WireShark anfangen den Netzwerkverkehr mitzuschneiden und dann ganz sachte in die Thematik einzutauchen. Hierzu gibt es auch ein Buch, das zwar schon etwas
älter ist, aber hervorragend zu der Thematik passt!
- IDS: intrusion Detection-Systeme (Das Handbuch)
ISBN: 3-8266-0727-9
Und wenn Du damit Tuchfühlung aufgenommen hast dann kann es weiter gehen mit ein paar anderen Büchern
die kannst Du Dir bei Amazon und Lehman´s Buchladen schnell über das Internet bestellen.
Man kann das ganze dann auch noch durch den Einsatz von Honeypots im eigenen Netzwerk ergänzen und
gerade diese dann extra durch einen Sensor beobachten lassen.
und der kennt dann halt alle IP Adressen der Klienten, klar das kostet Zeit und Geld ist aber eben auch besser wenn man
so wie Du jetzt Probleme hat.
dann gibt es eine Upgrade Lizenz und man hat zu den 10 freien Geräten noch 20 weitere frei dazu die man Überwachen kann.
dann empfiehlt sich noch der Einsatz einer Kentix Lösung, die arbeitet mit dem PRTG wunderbar zusammen und gibt
Alarmmeldungen auch per SMS und Email an den Admin ab dann weiß man immer Bescheid auch wenn Wochenende ist.
- Einmal im Jahr eine externe Firma beauftragen die das ganze Netzwerk oder besser noch die gesamte Firma angreift
auf allen Ebenen; Telefon, Internet, WLAN, Mitarbeiter, Gebäude,....
- Selber Penetration Tests durchführen, gegen das gesamte Netzwerk bzw. die gesamte Infrastruktur.
- Belohnungen für die gesamte Belegschaft ausloben für Sicherheitslöcher, Mängel und Unzulänglichkeiten
- Prämien zahlen oder extra Urlaub für alle Mitarbeiter die Regelmäßig an Schulungen teilnehmen
- Inhouse Schulungen von externen Dienstleistern oder selber diese Schulungen besuchen und dann das Personal schulen
Eines noch in der letzten Zeit verschwimmen die Grenzen zwar schon ein bisschen, aber ein Router routet und eine Firewall
trennt, was habt Ihr denn nun am laufen?
- Eine Starke Firewall von PaloAlto Network
- Ein Snort stand alone Server in der DMZ aber mit UMTS Modem und Alarm SMS auf das Admin Handy (Max. 3 Nummern)
- Einen extra DMZ Radius Server
- Einen guten Layer2 Switch mit ACL und Port Security als DMZ Switch
- Im LAN mehrere Snort Sensoren und einen Snort Server die stark genug sind die Last abzufangen
- Eine Überwachungslösung von Kentix die auch per SMS und Mail Alarmmeldungen an den Admin verschickt
- Einen Server der auch stark bzw. Kräftig genug ist und auf dem TCPDUMP, WireShark und der PRTG installiert sind!!!
- LDAP für die Kabel gebundenen Klienten und Radius Server für die WLAN Klienten, am besten WLAN Controller gestützt
- Zwei Faktor Authentifizierung am PC und Server + eigenes Management VLAN nur für die Admins via KVM Switch
- Email Gateway das die Verschlüsselung vollautomatisch für die Mitarbeiter übernimmt
- Wachdienst für die Nacht und am Wochenende anheuern am besten gleich mit Hund!
- Auf BYOD (Bring your own Device) verzichten wenn es geht
- Protokollserver (logfile Server) in die DMZ und in das LAN setzten die die Logfiles verschlüsselt ablegen!
- Gleiche Uhrzeit auf allen Switchen, Routern, Firewalls, Servern und NAS Geräten erleichtert den Abgleich der "Logfiles"
- Extra Monitor der gut sichtbar für die Admins aufgestellt wird und die Auswertung des PRTG Anzeigt
- Eine Nagios USB Ampel aufstellen und zusammen mit PRTG nutzen, kann einem auch noch den Zustand anzeigen
wenn mal die SMS oder Email Benachrichtigung "ausfällt" und sie kann auch von jeglichem Wachpersonal abgelesen
werden bei rotem Licht ruft man dann eben eine hinterlegt Telefonnummer an.
Und dann Schulungen für Dich und die anderen Admins bei Euch und vor allem noch die Mitarbeiter, das ist nicht mit Geld zu bezahlen, wenn die Mitarbeiter gut geschult sind ist das die halbe Miete.
Gruß
Dobby
Wie kann ich unbekannte Angriffe erkennen?
Wie @aqui es schon angesprochen hat Du brauchst dann ein IDS/IPS System bestehend aus mehreren Sensoren undeinem Server, es gibt auch andere Konstruktionen aber das ist eben mit eine der gängigsten Varianten.
- Snort
- Suricata
Das sind die am weit verbreitetsten IDS Systeme am Markt Snort ist schon etwas älter und Suricata
ist etwas neuer und noch in der Entstehungsphase.
Ich würde Dir vorab aber empfehlen wollen Dir ein paar Bücher zu kaufen und sich einmal im Internet so richtig einzulesen
denn das ist keine schmale Kost und es geht alleine bei den theoretischen Abhandlungen richtig zur Sache, wenn Du da
schwach auf der Brust bist, würde ich eher einmal mit TCPDUMP und WireShark anfangen den Netzwerkverkehr mitzuschneiden und dann ganz sachte in die Thematik einzutauchen. Hierzu gibt es auch ein Buch, das zwar schon etwas
älter ist, aber hervorragend zu der Thematik passt!
- IDS: intrusion Detection-Systeme (Das Handbuch)
ISBN: 3-8266-0727-9
Und wenn Du damit Tuchfühlung aufgenommen hast dann kann es weiter gehen mit ein paar anderen Büchern
die kannst Du Dir bei Amazon und Lehman´s Buchladen schnell über das Internet bestellen.
Man kann das ganze dann auch noch durch den Einsatz von Honeypots im eigenen Netzwerk ergänzen und
gerade diese dann extra durch einen Sensor beobachten lassen.
heute wurde mein Netzwerk angegriffen.
Wie, von wem, warum, wodurch und wer denn?Beim Neu-Aufsetzen des Routers habe ich in der Firewall den Zugriff auf den DNS Server nicht aus dem Internet geblockt, da es meiner Meinung nach nicht so wichtig war.
Man kann auch einen eigenen DNS Server in der DMZ betrieben und der kennt dann nur den DNS Server im LANund der kennt dann halt alle IP Adressen der Klienten, klar das kostet Zeit und Geld ist aber eben auch besser wenn man
so wie Du jetzt Probleme hat.
Doch leider wurde mein Netzwerk in den letzten drei Tagen massiv angegriffen.
Direkt Euer Netzwerk bei Euch in der Firma oder nur eine Webseite die Ihr irgend wo "gehostet" habt?Die Angreifer haben einfach ein den txt Eintrag der Domain txt.pwserver.com.ua abgefragt. Mehrfach in der Sekunde. Das Führe dazu, dass die 100MBit Leitung total ausgelastet war.
Einen MS Server mit PRTG installieren und auf Eurer Webseite einen Werbebutton von PRTG sichbar anbringen,dann gibt es eine Upgrade Lizenz und man hat zu den 10 freien Geräten noch 20 weitere frei dazu die man Überwachen kann.
Dieses Verhalten blieb drei Tage lang unbemerkt, da der ganze Traffic während dieser Zeit über eine zweite 50MBit Leitung lief, die die erste dicht war.
Ein Blick auf den PRTG und Du hättest Bescheid gewusst! Und wenn es hart auf hart kommen soll,dann empfiehlt sich noch der Einsatz einer Kentix Lösung, die arbeitet mit dem PRTG wunderbar zusammen und gibt
Alarmmeldungen auch per SMS und Email an den Admin ab dann weiß man immer Bescheid auch wenn Wochenende ist.
Erst der hohe Load auf dem Router offenbarte das Problem.
Na das geht doch, stell Dir mal vor ihr findet die Arbeit des letzten halben Jahres auf Pastbin und müsst dann auch gar nicht mehr ein Patent dafür anmelden! Aber das Geld für die Forschung von 500.000 € sind dann auch futsch.Doch wie kann ich das nächste Mal solche Probleme schneller und automatisiert erkennen und mich evtl. vor eigenen Fehlern in der Firewall bzw. Netzwerkkonfiguration schützen?
- Einmal im Jahr eine externe Firma beauftragen die das ganze Netzwerk oder besser noch die gesamte Firma angreift
auf allen Ebenen; Telefon, Internet, WLAN, Mitarbeiter, Gebäude,....
- Selber Penetration Tests durchführen, gegen das gesamte Netzwerk bzw. die gesamte Infrastruktur.
- Belohnungen für die gesamte Belegschaft ausloben für Sicherheitslöcher, Mängel und Unzulänglichkeiten
- Prämien zahlen oder extra Urlaub für alle Mitarbeiter die Regelmäßig an Schulungen teilnehmen
- Inhouse Schulungen von externen Dienstleistern oder selber diese Schulungen besuchen und dann das Personal schulen
Eines noch in der letzten Zeit verschwimmen die Grenzen zwar schon ein bisschen, aber ein Router routet und eine Firewall
trennt, was habt Ihr denn nun am laufen?
- Eine Starke Firewall von PaloAlto Network
- Ein Snort stand alone Server in der DMZ aber mit UMTS Modem und Alarm SMS auf das Admin Handy (Max. 3 Nummern)
- Einen extra DMZ Radius Server
- Einen guten Layer2 Switch mit ACL und Port Security als DMZ Switch
- Im LAN mehrere Snort Sensoren und einen Snort Server die stark genug sind die Last abzufangen
- Eine Überwachungslösung von Kentix die auch per SMS und Mail Alarmmeldungen an den Admin verschickt
- Einen Server der auch stark bzw. Kräftig genug ist und auf dem TCPDUMP, WireShark und der PRTG installiert sind!!!
- LDAP für die Kabel gebundenen Klienten und Radius Server für die WLAN Klienten, am besten WLAN Controller gestützt
- Zwei Faktor Authentifizierung am PC und Server + eigenes Management VLAN nur für die Admins via KVM Switch
- Email Gateway das die Verschlüsselung vollautomatisch für die Mitarbeiter übernimmt
- Wachdienst für die Nacht und am Wochenende anheuern am besten gleich mit Hund!
- Auf BYOD (Bring your own Device) verzichten wenn es geht
- Protokollserver (logfile Server) in die DMZ und in das LAN setzten die die Logfiles verschlüsselt ablegen!
- Gleiche Uhrzeit auf allen Switchen, Routern, Firewalls, Servern und NAS Geräten erleichtert den Abgleich der "Logfiles"
- Extra Monitor der gut sichtbar für die Admins aufgestellt wird und die Auswertung des PRTG Anzeigt
- Eine Nagios USB Ampel aufstellen und zusammen mit PRTG nutzen, kann einem auch noch den Zustand anzeigen
wenn mal die SMS oder Email Benachrichtigung "ausfällt" und sie kann auch von jeglichem Wachpersonal abgelesen
werden bei rotem Licht ruft man dann eben eine hinterlegt Telefonnummer an.
Und dann Schulungen für Dich und die anderen Admins bei Euch und vor allem noch die Mitarbeiter, das ist nicht mit Geld zu bezahlen, wenn die Mitarbeiter gut geschult sind ist das die halbe Miete.
Gruß
Dobby
Und auch wenn ich gesehen hätte, dass der DNS von Außen erreichbar ist, hätte ich sofort nichts unternommen.
Wenn jemand Deinem Bind Server Server Millionen Anfragen schickt die mit einer vorgetäuschten (gespooften) IP Adresse abgeschickt werden und das macht derjenige mit 50.000 DNS Servern und die antworten dann auch noch alle weil sie von jemandem Administriert werden der das nicht schnallt ist die DDoS Attacke perfekt!Denn ein aktueller Bind war für mich immer alles andere, als Evil. Dann kann eben jemand über den DNS Server Adressen auflösen. Ist doch nix dran.
Na warte mal ab was passiert wenn einer eine Google Seite nachbaut die verseucht ist und dann alle Eure Leutedarauf umleitet, dann ist der halbe Betrieb von Euch an einem Tag voll verseucht und die PCs werden Spam Zombies!
Super Hoschi toll gemacht, wegen solchen wie Dir haben wir alle so viele Probleme das man es bald nicht mehr glaubt.
Offene DNS Server wie z.B. der 8.8.8.8 von Google gibt es viele im Internet.
Jo leider noch viel zu viele.Auch verstehe ich das Ziel dieses Angriffes nicht.
Du hast vorne an der Firewall Ports offen und dahinter Server in einer DMZ.Jetzt versucht jemand den Server in die Knie zu zwingen oder "ab zu schießen" bis er nicht mehr reagiert oder neu
bootet und während dieser zeit versucht man eben Euren Router oder Eure Firewall zu "entern" oder schlicht in Euer
Netzwerk einzubrechen.
Den Rest spare ich mir jetzt lieber einmal denn ich möchte hier nicht abgemahnt werden!
Ich weiß momentan nicht wirklich, ob es Dummheit ist oder ob das 4 Augen Prinzip da so viel geholfen hätte.
Ob das nun menschliche Augen sind oder mechanische Augen ist doch völlig egal, aber man kommt eben auch schnelldahinter das etwas nicht läuft oder offen ist!
Ehrlich gesagt, hätte ich gerne ein System, das mir schon etwas Arbeit abnimmt, in dem man sagt, dass dies und dies Verhalten ein normales Verhalten im Netzwerk ist....
Mehr Sicherheit heißt immer mehr Arbeit und nie weniger das wünscht sich jeder aber das ist eben ein Trugschlussund besser man macht sich selber nichts vor.
....und Abweichungen wie z.B. 1TB UDP Traffic innerhalb von drei Tagen oder 10.000 DNS Anfragen pro Minute nicht normal sind und der Admin mal nachschauen sollte, ob da wirklich alles mit rechten Dingen zugeht.
Jo und das kann man sicherlich auch machen nur muss man eben eine echtes Konzept haben und dann einerichtige Strategie aufbauen, sonst wird das nichts!
Gerade mti Snort habe ich mich schon beschäftigt. Doch genau da muss ich bei der Konfiguration schon zumindest erahnen, was für Gefahren auf das Netz zukommen.
Kauf Dir dazu am besten mal zwei oder drei Bücher und dann geht es einem etwas leichter von der Hand.Trotzdem treffen weiter fleißig Anfragen an, die von der Firewall gedropt werden.
Weil da wohl wieder einer gedacht hat DNS ist doch nicht so wild der kann ruhig von außen.........Gruß
Dobby
Als allererste Banalmassnahme solltest du ICMP (Ping) und natürlich den Konfig Zugriff am WAN Port auf dem Router vollständig deaktivieren.
Es ist völlig normal das man permanent Ping Tests und Port Scans am Router hat.
Ist der Router aber nicht pingbar und zeigt auch keine offenen Ports an ist er quasi unsichtbar.
Angreifer lassen in aller Regel erst einen Ping Scan laufen.
Wer dann so naiv ist und ICMP aktiviert hat sagt dem Angreifer ja direkt "hallo hier gibts was zu holen..." darauf folgt dann postwendend ein Portscan.
Das ist der erste wichtige Schritt. Sämtliches Port Forwarding sollte deaktiviert sein. Wenn remote Zugriff, dann ausschliesslich nur VPN....
Alles so banale Grundlagen die man hier eigentlich nicht posten müsste in einem "Admin Forum" ?!
Den Rest hat Dobby ja schon explizit genannt...
Es ist völlig normal das man permanent Ping Tests und Port Scans am Router hat.
Ist der Router aber nicht pingbar und zeigt auch keine offenen Ports an ist er quasi unsichtbar.
Angreifer lassen in aller Regel erst einen Ping Scan laufen.
Wer dann so naiv ist und ICMP aktiviert hat sagt dem Angreifer ja direkt "hallo hier gibts was zu holen..." darauf folgt dann postwendend ein Portscan.
Das ist der erste wichtige Schritt. Sämtliches Port Forwarding sollte deaktiviert sein. Wenn remote Zugriff, dann ausschliesslich nur VPN....
Alles so banale Grundlagen die man hier eigentlich nicht posten müsste in einem "Admin Forum" ?!
Den Rest hat Dobby ja schon explizit genannt...
Danke für deine Stellungnahme, es gibt bei der ganzen Geschichte nur ein Problem. Es geht garnicht um irgendein Firmennetzwerk, sondern um mein privates Netzwerk zu hause, bzw. mein Home Office. Hier im Netzwerk gibt es meiner Meinung nach nichts, was einen solchen Angriff rechtfertigen würde. Das der Angriff gegen mich gerichtet war, zeigt dass die DNS Anfragen nicht von einer IP kamen, die evtl. gespooft wurde, sondern von hunderten wenn nicht tausenden.
Hmm...
Die andere Frage ist eben, wie ich mit solchen Angriffen in Zukunft wohl umgehen werde. Was ich ausschließen kann, ist dass ich mich durch irgendeinen externen Dienstleister auf Auftrag angreifen lassen werde. Dazu ist einfach das Geld nicht da. Die andere Frage ist, in wie weit ich die Ressourcen habe, mich gegen die Angriffe zu wehren. Okay, Ich hatte heute wenig zutun, deshalb konnte ich dem Angriff jetzt nachgehen, aber sonst.... Momentan ist das Netzwerk auf Stabilität ausgeführt. Ich brauche einen Internetanschluss, egal was passiert. Wenn 100MBit Anschluss nicht funktioniert, wird VDSL funktionieren. Wenn VDSL nicht funktioniert, dann 4-2G von Vodafone und T-Mobile.
Aber ich muss mich mal wieder intensiv mit Snort beschäftigen. Inwieweit ich PRTG anwenden kann, kann ich nicht sagen, da ich nur einen Windows Server im Netzwerk habe. Sonst ist alles Linux/FreeBSD und Mac.
Hmm...
Die andere Frage ist eben, wie ich mit solchen Angriffen in Zukunft wohl umgehen werde. Was ich ausschließen kann, ist dass ich mich durch irgendeinen externen Dienstleister auf Auftrag angreifen lassen werde. Dazu ist einfach das Geld nicht da. Die andere Frage ist, in wie weit ich die Ressourcen habe, mich gegen die Angriffe zu wehren. Okay, Ich hatte heute wenig zutun, deshalb konnte ich dem Angriff jetzt nachgehen, aber sonst.... Momentan ist das Netzwerk auf Stabilität ausgeführt. Ich brauche einen Internetanschluss, egal was passiert. Wenn 100MBit Anschluss nicht funktioniert, wird VDSL funktionieren. Wenn VDSL nicht funktioniert, dann 4-2G von Vodafone und T-Mobile.
Aber ich muss mich mal wieder intensiv mit Snort beschäftigen. Inwieweit ich PRTG anwenden kann, kann ich nicht sagen, da ich nur einen Windows Server im Netzwerk habe. Sonst ist alles Linux/FreeBSD und Mac.
Hallo nochmal,
Wer einen eigenen DNS Server betreibt, ist in der Regel immer eine recht große Firma und da gibt es immer etwas zu holen.
Vielleicht hast Du auch nur auf Deiner Webseite irgend einen Quatsch geschrieben den irgend jemand anderes nicht mehr sehen will kann oder möchte und der fährt jetzt einen DDoS Attacke auf Deinen Server!
der die Informationen auch noch graphisch darstellen kann! und wenn Du schon einen Windows Server hast das wäre das doch eine willkommene Sache den PRTG einzusetzen oder?
Eine Soekris net6501 und ein 3G/UMTS Modem zusammen mit einem Linux OS könnten auch den Syslog Server, das Snort IDS beheimaten
keine Frage nur muss man eben ein wenig Geld in die Hand nehmen ohne wird es ganz schwer werden. und auf dem Windows PC sollte man auch TCPDUMP und eine Wireshark
Installation bereit halten, denn im Fall der Fälle hat man dann schnell etwas zur Hand um mitzuschneiden und/oder aufzuzeichnen, eine "Alarmanlage" und eine graphische Auswertung
und das ist doch schon einmal mehr als Du jetzt hast.
Gruß
Dobby
Es geht garnicht um irgendein Firmennetzwerk, sondern um mein privates Netzwerk zu hause, bzw. mein Home Office.
Das hätte man ja auch gleich einmal dazu schreiben können, oder?Wer einen eigenen DNS Server betreibt, ist in der Regel immer eine recht große Firma und da gibt es immer etwas zu holen.
Vielleicht hast Du auch nur auf Deiner Webseite irgend einen Quatsch geschrieben den irgend jemand anderes nicht mehr sehen will kann oder möchte und der fährt jetzt einen DDoS Attacke auf Deinen Server!
Die andere Frage ist, in wie weit ich die Ressourcen habe, mich gegen die Angriffe zu wehren. Okay, Ich hatte heute wenig zutun, deshalb konnte ich dem Angriff jetzt nachgehen, aber sonst....
Ja nur man muss eben auch die Logfiles einmal anschauen und wenn man das nicht immer manuell machen möchte sollte man sie eben durch einen Lofgile Server auswerten lassender die Informationen auch noch graphisch darstellen kann! und wenn Du schon einen Windows Server hast das wäre das doch eine willkommene Sache den PRTG einzusetzen oder?
Eine Soekris net6501 und ein 3G/UMTS Modem zusammen mit einem Linux OS könnten auch den Syslog Server, das Snort IDS beheimaten
keine Frage nur muss man eben ein wenig Geld in die Hand nehmen ohne wird es ganz schwer werden. und auf dem Windows PC sollte man auch TCPDUMP und eine Wireshark
Installation bereit halten, denn im Fall der Fälle hat man dann schnell etwas zur Hand um mitzuschneiden und/oder aufzuzeichnen, eine "Alarmanlage" und eine graphische Auswertung
und das ist doch schon einmal mehr als Du jetzt hast.
Gruß
Dobby
Das gleiche was oben steht gilt doch logischerweise auch für ein Netzwerk zuhause ! Das sagt einem doch schon der gesunde Menschenverstand !!
"Hier im Netzwerk gibt es meiner Meinung nach nichts, was einen solchen Angriff rechtfertigen würde"
Dieses mehr als naive Statement meinst du nicht im Ernst, oder ??
Wie soll denn auch der Chinese, Bulgare, Rumäne oder Russe der da reinwill anhand der IP Adresse wissen ob da Lieschen Müller (oder der LLord persönlich) hinter der NAT Firewall sitzt oder ein Unternehmensnetzwerk... Da gehts immer nach dem Motto...wenn da was ist (Ping usw.) dann sehen wir mal genauer nach ! Wie würdest du es denn sonst machen säßest du auf der anderen Seite ??
Wenn du deinen Router oder Firewall ins Internet entsprechend wasserdicht hast schon mit den o.a. einfachsten Mitteln kannst du evtl. Angriffen ja sehr gelassen gegenübertreten und dich entspannt zurücklehnen wie die sich an deiner FW die Zähne ausbeissen. Wozu also bitte diese Aufregung !!
Wenn du natürlich laienhaft Türen offengelassen hast ist das ja in erster Linie mal dein humanoides Problem ! Selbiges liegt dann wie immer zwischen Stuhl und Tastatur...sorry ! Dagegen hilft natürlich der intelligenteste Computer nicht... noch wenigstens nicht.
"Hier im Netzwerk gibt es meiner Meinung nach nichts, was einen solchen Angriff rechtfertigen würde"
Dieses mehr als naive Statement meinst du nicht im Ernst, oder ??
Wie soll denn auch der Chinese, Bulgare, Rumäne oder Russe der da reinwill anhand der IP Adresse wissen ob da Lieschen Müller (oder der LLord persönlich) hinter der NAT Firewall sitzt oder ein Unternehmensnetzwerk... Da gehts immer nach dem Motto...wenn da was ist (Ping usw.) dann sehen wir mal genauer nach ! Wie würdest du es denn sonst machen säßest du auf der anderen Seite ??
Wenn du deinen Router oder Firewall ins Internet entsprechend wasserdicht hast schon mit den o.a. einfachsten Mitteln kannst du evtl. Angriffen ja sehr gelassen gegenübertreten und dich entspannt zurücklehnen wie die sich an deiner FW die Zähne ausbeissen. Wozu also bitte diese Aufregung !!
Wenn du natürlich laienhaft Türen offengelassen hast ist das ja in erster Linie mal dein humanoides Problem ! Selbiges liegt dann wie immer zwischen Stuhl und Tastatur...sorry ! Dagegen hilft natürlich der intelligenteste Computer nicht... noch wenigstens nicht.
Und wie soll das Blocken von ICMP die Sicherheit des Netzwerkes steigern?
Dann sieht er eben, dass da eine Antwort zurückkommt. Ja und?
Dann führt er einen Portscan aus und sieht, dass mittlerweile kein Dienst mehr antwortet. Ja und?
Obwohl man hier schon die IP des Angreifers blocken könnte, nachdem man den Portscan bemerkt hat.
Ich sehe keine Vorteile, die das Blocken von ICMP mit sich bringt. Ganz im Gegenteil wird der TCP Traffic dadurch langsamer, wenn ich ICMP generell blocke. Ich übertrage das gerne mal auf die reale Welt. Mein Haus ist auch nicht unter einem unsichtbaren Vorhang versteckt, sondern ist jedem sichtbar => "hallo hier gibts was zu holen" Aber es ist abgesichert, sodass da keiner einbrechen kann. Außerdem wäre ICMP Blocken nicht RFC Konform und würde die Fehlersuche erschweren.
Dann sieht er eben, dass da eine Antwort zurückkommt. Ja und?
Dann führt er einen Portscan aus und sieht, dass mittlerweile kein Dienst mehr antwortet. Ja und?
Obwohl man hier schon die IP des Angreifers blocken könnte, nachdem man den Portscan bemerkt hat.
Ich sehe keine Vorteile, die das Blocken von ICMP mit sich bringt. Ganz im Gegenteil wird der TCP Traffic dadurch langsamer, wenn ich ICMP generell blocke. Ich übertrage das gerne mal auf die reale Welt. Mein Haus ist auch nicht unter einem unsichtbaren Vorhang versteckt, sondern ist jedem sichtbar => "hallo hier gibts was zu holen" Aber es ist abgesichert, sodass da keiner einbrechen kann. Außerdem wäre ICMP Blocken nicht RFC Konform und würde die Fehlersuche erschweren.
