Nach den rekordbrechenden Angriffen und Botnetze, die jedes exponierte Gerät rekrutieren, kommt nun BlackNurse – eine neue Technik, die sozusagen in die entgegengesetzte Richtung geht. Anstatt Systeme mit tausenden infizierten Geräten anzugreifen, benötigt BlackNurse lediglich einen Laptop mit einer ausreichend schnellen Verbindung – zwischen 15 und 18 Megabit pro Sekunde – um kommerzielle Firewalls zu überlasten und einen Server außer Gefecht zu setzen.
Die Ära der massiven DDoS-Angriffe hat begonnen, und die Frage ist nicht mehr „Wie?“, sondern „Wann wird der nächste sein?“ Die Auswirkungen des Mirai-Malware waren erschreckend, obwohl Experten es nicht als hochwertige Ressource betrachten. Die Schwachstellen in der Hardware richten verheerende Schäden an, ihre Hersteller ergreifen nicht die notwendigen Vorsichtsmaßnahmen, und jemand mit minimalen Fähigkeiten kann innerhalb weniger Tage riesige Botnetze erstellen. Dennoch sprechen wir über ganze Legionen von Geräten. Der Schlüssel hinter jedem DDoS ist nichts anderes als rohe Gewalt, die Server und Abwehrsysteme gleichermaßen sättigt. Nun stellen wir uns einen miniaturisierten DDoS vor. Ein einzelner Computer, weniger als 20 Megabit pro Sekunde. Die meisten Anti-DDoS-Plattformen würden ihn wie ein Bonbon verschlucken, es sei denn ... der DDoS ist spezialisierter.
BlackNurse im Detail
Machen wir Platz für BlackNurse, den neuen Angriff, der von TDC SOC gemeldet wurde. Ein traditioneller DDoS basiert auf dem ICMP-Protokoll, bei dem ein System schnell mit Paketen des Typs 8 (Echo Request) und Code 0 bombardiert wird. BlackNurse greift jedoch mit ICMP-Paketen des Typs 3 (Destination Unreachable) und Code 3 (Destination Port Unreachable) an. BlackNurse erregte die Aufmerksamkeit der Spezialisten, weil die Verkehrsgeschwindigkeit und die Anzahl der Pakete pro Sekunde im Vergleich zu einem normalen DDoS sehr gering war, aber dennoch fielen ihre Kunden aus dem Netzwerk. Die Studie kommt zu dem Schluss, dass bereits ein einzelner Laptop, der mit einer 15-18 Megabit pro Sekunde schnellen Verbindung (oder 40.000 Paketen pro Sekunde) verbunden ist, ausreicht, damit BlackNurse eine extreme Last auf den Prozessoren mehrerer Unternehmens-Firewalls erzeugt. Unter diesen Bedingungen lassen die Firewalls so viele Pakete fallen, dass die Server auf der anderen Seite einfach getrennt werden.
Schutzmaßnahmen
Zum Glück betrifft BlackNurse nur eine begrenzte Anzahl von Firewalls und ist leicht zu blockieren, sofern die Administratoren die entsprechenden Filter anwenden. Das Problem ist, dass diese Filter mit den Empfehlungen einiger Hersteller kollidieren. Der in der Studie zitierte Fall ist Cisco, das empfiehlt, ICMP Typ 3 zuzulassen, da sonst der Path MTU Discovery deaktiviert wird, was wiederum den IPSec- und PPTP-Verkehr beeinträchtigt. Tatsächlich reicht es aus, ICMP Typ 3 mit Ausnahme von Code 4 (Fragmentation required) zu blockieren. Es gibt bestimmte Bedingungen für Leistungsverluste, aber alles deutet darauf hin, dass BlackNurse ohne größere Probleme eingedämmt werden kann.
