Die Logfiles analysieren wir regelmäßig, um Angriffe oder bereits bestehende Infektionen zu erkennen.
Aus dem Internet kommt der Hauptanteil der Angriffe. Oft sieht man hier auch die Folgen der Aktionen,
die der Vorbesitzer einer IP-Adresse verursacht hat. Diese zeigen sich meist dann, wenn der Provider
dem Kunden eine neue IP-Adresse zuweist.
Die Alarme werden aktuell noch optimiert, um Anzahl der False-Positives zu reduzieren. Dabei werden bekannte
Vorfälle, welche nicht relevant sind, aus der Alarmierung genommen.
Nachfolgend sieht man die Alarme am WAN Interface nach Häufigkeit sortiert:
Der Kunde betreibt an seinem Anschluss auch eine Fritzbox. Diese bedient
die IP-Telefone im Unternehmen. Wenn wir uns die Liste noch einmal genauer
anschauen, bemerken wir, dass die Fritzbox einige Angriffe aushalten müsste.
Die
SIPVicious tool suite
beispielsweise, besteht aus mehreren einzelnen Tools, mit denen sich Passwörter
von SIP Accounts erraten lassen. Diese Tools findet man besonders oft. Hat man damit
erst einmal Passwörter gefunden, kann ein Angreifer
die Telefonnummer übernehmen und Gespräche zu 0900-Servicenummern aufbauen, an denen
er meist selbst Gewinn macht.
Auf einer Fritzbox bekommt man leider nicht mit, daß ein entsprechender Anteil der
Bandbreite eigentlich für einen Angriff verbraucht wird. Anders als auf einem Intrusion-Detection-System.
Falls Angriffe stattgefunden haben, sind diese hier zu sehen:
Da wir diese Angriffe bereits auf der vorgelagerten OPNsense-Firewall erkennen,
lassen sich diese blockieren und erreichen die Fritzbox somit nicht.
Diese Webseite aktualisieren wir täglich, um ihnen einen Eindruck zu vermitteln,
welchen Angriffen auch ihr heimischer DSL-Anschluss ausgesetzt ist.
Für ein kleines Unternehmen sind die Folgen eines erfolgreichen Angriffs sicherlich grösser, sollten
interne Daten verloren gehen. Weitaus schlimmer: Die Firmendaten finden sich
im Internet wieder und dokumentieren den schlechten Umgang mit sensiblen
Informationen.
Damit genau das nicht passiert, ist Netzwerk-Sicherheit kombiniert mit
Host-Security und einer gut abgestimmten Backup-Strategie die beste Vorbereitung,
einen bevorstehenden Schaden soweit wie möglich in die Zukunft zu verschieben...
... denn die Frage ist nicht: "Ob es passiert?", sondern: "Wann?".