Bundesinnenministerium legt Konzept für 'Sicheres Internet' vor

Die Empfehlungen will das Innenministerium als Leitlinie verstehen, um den Schutz vor verteilten Denial of Service (DoS) -Angriffen zu verbessern. Die Angriffe auf Yahoo und andere Onlineservices basierten auf zwei wesentlichen Schwachstellen: Zum einen wurden die Absenderadressen der angreifenden Datenpakete gefälscht (IP-Spoofing), zum anderen werden - vor den Angriffen auf ausgewählte Zielrechner - auf einer großen Anzahl weiterer, nur unzureichend geschützter Internet-Rechner unberechtigterweise Programme installiert, die ferngesteuert in Massen Datenpakete absenden können.

• Maßnahme 1 für Netzvermittler: Verhinderung von IP-Spoofing
  Viele DoS-Angriffe nutzen gefälschte IP-Absenderadressen. Dies macht einerseits einige Angriffe erst möglich und erschwert andererseits auch die Suche nach dem Verursacher. Durch entsprechende technische Regeln (RFC 2267 vom Januar 1998) in der Netzinfrastruktur der Netzvermittler können die Netzbetreiber diese Möglichkeit wesentlich einschränken, so dass gefälschten Pakete erst gar nicht weiter ins in das Internet vermittelt werden.

• Maßnahme 2 für Netzvermittler: Einsatz von Paketfiltern
  Häufig sind Server nur über eine einzelne Netzverbindung an den Netzvermittler angebunden. Selbst wenn die Server widerstandfähig gegen DoS-Angriffe sind, so ist doch diese Netzverbindung selber in ihrer Kapazität beschränkt und kann von einem Angreifer vollständig ausgelastet werden, so dass die Server aus dem Internet nicht mehr erreichbar sind. Daher sollten Netzvermittler in Erwägung ziehen, die Netzanbindung der Serverbetreiber durch den Einsatz von Paketfiltern gegen DoS-Angriffen abzuschirmen, d. h. es soll eine Paketfilterung (auf Ports) beim Verlassen der Pakete aus dem Internet durchgeführt werden.

• Maßnahme 3 für Serverbetreiber: Einsatz von Paketfiltern bei Serverbetreibern Server sollten im Normalfall nur wenige Dienste anbieten und entsprechend konfiguriert werden. Auf dem vorgeschalteten Router sollten Paketfilterregeln implementiert werden, die nur die zugehörigen Protokolle passieren lassen und beispielsweise sicherheitskritische Dienste oder gerichtete Broadcasts (RFC 2644) abblocken. Im Falle eines Angriffs können diese Router so umkonfiguriert werden, dass die Anfragen von verdächtigen einzelnen IP-Adressen oder -Adressbereichen abgewiesen werden.
  

• Maßnahme 4 für Serverbetreiber: Automatische Angriffserkennung
  DoS-Angriffe zeichnen sich normalerweise dadurch aus, dass sie Server anomal auslasten. Daher sollten typische Kennwerte (Speicherauslastung, Stacks, Netzauslastung, ...) ständig überwacht werden. Eine automatische Alarmierung ermöglicht dann, zeitnah Reaktionen einzuleiten (hostbasierte Angriffserkennung). Hierzu sind ggf. geeignete Zusatzprodukte heranzuziehen. Zusätzliche Informationen zu Intrusion Detection Systems finden sich online  .

• Maßnahme 5 für Serverbetreiber: Etablierung eines Notfallplans
  Notwendige Angaben sind dabei u. a. Ansprechpartner, Veratnwortliche, alternative Kommunikationswege, Handlungsanweisungen und Lagerort möglicherweise benötigter Resourcen (z. B. Magnetbänder). Nähere Informationen zum Umgang mit Angriffen aus dem Internet finden sich online  .

• Maßnahme 6 für Serverbetreiber: Sichere Konfiguration der Server
  Auch die Server der Serverbetreiber können als Agenten eines DoS-Angriffs missbraucht werden. Der Angreifer installiert dazu unter Ausnutzung bekannter Schwachstellen Schadsoftware. Daher müssen die Betreiber der Server diese sorgfältig und sicher konfigurieren. Nicht benötigte Netzdienste sind zu deaktivierten und die benötigten abzusichern, ein hinreichender Passwort- und Zugriffsschutz sowie rechtzeitiges Ändern (insbesondere voreingestellter) Passwörter muss sichergestellt sein. Nähere Informationen finden sich online  .

• Maßnahme 7 für Serverbetreiber: Restriktive Rechtevergabe und Protokollierung
  Es müssen alle Änderungen und alle Zugriffe auf den Server protokolliert werden. Es ist auf eine restriktive Vergabe von Zugriffsrechten der Nutzer, auf die zur Verfügung gestellten Systemressourcen und auf eine erhöhte Sorgfalt bei Konfigurationsänderungen zu achten. In regelmäßigen Abständen ist das Dateisystem auf Integrität zu überprüfen. Werden lediglich statische Daten benötigt, kann ein manipulationssicherer, schreibgeschützter Datenträger verwendet werden.

• Maßnahme 8 für Serverbetreiber: Einsatz von Open Source Produkten
  Für den Fall, dass Schwachstellen neu entdeckt werden, die einen DoS-Angriff ermöglichen oder erleichtern, ist es wichtig, dass diese schnell behoben werden können. Meist werden derartige Schwachstellen in Open-Source-Software wesentlich schneller behoben als in Produkten, deren Quellcode nicht veröffentlicht ist.

• Maßnahme 9 für Inhaltsanbieter: Auswahl sicherheitsbewußter Serverbetreiber
  Die Inhaltsanbieter sollten einen Serverbetreiber wählen, der entsprechende Erfahrungen mit den benötigten Internet-Plattformen vorweisen und seine Bemühungen im Bereich IT-Sicherheit nachweisen kann, z. B. durch ein IT-Sicherheitskonzept.

• Maßnahme 10 für Inhaltsanbieter: Vermeidung aktiver Inhalte
  Durch bewusste Vermeidung sicherheitskritischer Techniken (z. B. aktive Inhalte) können Inhalte-Anbieter dazu beitragen, dass auf den Clients keine unsicheren Einstellungen vorhanden sein müssen.

• Maßnahme 11 für Inhaltsanbieter: Tägliche Überprüfung von Dateien auf Viren und Angriffsprogrammen
  Der Inhalte-Anbieter sollte deshalb täglich mit speziellen Suchprogrammen überprüfen, ob auf seinen Seiten Programme mit Schadenfunktionen (Viren, Trojanische Pferde, DoS-Programme, etc.) aktiv sind (Suchprogramme nach DDoS-Programmen  ).

• Maßnahme 12 für Endanwender: Schutz vor Schadprogrammen
  Rechner von Endanwendern können als Agenten für Angriffe missbraucht werden. Am leichtesten lassen sich solche die Agenten über Viren, trojanische Pferde oder durch aktive Inhalte (insbesondere ActiveX) auf die einzelnen Rechner installieren. Daher ist ein zuverlässiger und aktueller Virenschutz und das Abschalten aktiver Inhalte im Browser dringend anzuraten.

• Maßnahme 13 für Endanwender: IT-Grundschutz für Internet-Rechner
  Rechner, die über einen Internet-Anschluss verfügen, sollten sicher gemacht werden. Das IT-Grundschutzhandbuch kann online eingesehen   und per E-;Mail   kostenlos auf CD-ROM bezogen werden.

• Maßnahme 14 für Endanwender: Zeitnahes Einspielen von Sicherheits-Updates
  Immer wieder werden neue sicherheitsrelevante Schwachstellen in den Betriebssystemen und der Serversoftware entdeckt, die wenig später durch Updates (Patches) der Hersteller behoben werden. Um möglichst zeitnah reagieren zu können, ist es notwendig, die Mailinglisten des Computer Emergency Response Teams (CERT)   zu abonnieren und auszuwerten. Die relevanten Updates sind schnellst möglich einzuspielen, um die bekannt gewordenen Schwachstellen zu beheben.

• Maßnahme 15 für Endanwender: Tool-Einsatz und Schulung der Mitarbeiter
  Um einen Rechner vor Risiken und Gefahren zu schützen, ist z. T. erhebliches Know-How zur Erarbeitung einer guten effektiven IT-Sicherheitskonfiguration notwendig. Administratoren müssen daher ausreichend aus- und weitergebildet werden. Zur Unterstützung der Administrationsaufgaben sollten zudem Sicherheits-Tools herangezogen werden wie das BSI-Tool USEIT   gegen Schwachstellen in der Installation und Konfiguration von Unix-Rechnern.