Woran Sie einen Angriff im Protokoll erkennen
Einen Angriff im Netzwerk erkennen Sie an Mustern im Verkehr und in den Protokollen: ein Scan, viele fehlgeschlagene Anmeldungen, ungewöhnlich viele Anfragen. Ein einzelner Eintrag sagt wenig, die Menge sagt viel.
In dieser Lektion lernen Sie zwei Wege, einen Angriff zu finden, und wie Sie einen harmlosen starken Nutzer davon unterscheiden.
Am Ende dieser Lektion
Notiz
Ich kann einen Angriff in Verkehr und Protokollen erkennen.
Schlüsselwörter
| Begriff | Was er bedeutet | Beispiel |
|---|---|---|
| Protokolldatei | eine Datei, in die ein Dienst jedes Ereignis schreibt | access.log |
| Signatur | ein bekanntes Muster, an dem man einen Angriff erkennt | |
| Anomalie | etwas, das vom Üblichen stark abweicht | |
| Rate | wie viele Ereignisse in einer Zeitspanne eintreffen | |
| Fehlalarm | eine Meldung, obwohl kein Angriff vorliegt |
Die Zellen, die Lernende ausfüllen, bleiben in dieser Vorschau leer.
Protokolle erzählen, was geschah
Jeder Dienst schreibt in eine Protokolldatei, wer wann was angefragt hat. Eine Zeile enthält meist eine Uhrzeit, eine Quelladresse und das Ziel.
Ein Angriff hinterlässt Spuren in diesen Zeilen. Sie müssen sie nur zählen und ordnen, dann treten die Muster hervor.
Ein Beispiel: vier Zeilen eines Protokolls
| Zeit | Quelle | Zielport | Was auffällt |
|---|---|---|---|
| 12:00:01 | 203.0.113.9 | 22 | Beginn einer Folge |
| 12:00:02 | 203.0.113.9 | 23 | Anderer Port, eine Sekunde später |
| 12:00:02 | 198.51.100.4 | 443 | Nichts Besonderes |
| 12:00:03 | 203.0.113.9 | 80 | Schon der dritte Port derselben Quelle |
Die Zellen, die Lernende ausfüllen, bleiben in dieser Vorschau leer.
Die lauteste Quelle finden
printf '12:00:01 203.0.113.9 22\n12:00:02 203.0.113.9 23\n12:00:02 198.51.100.4 443\n12:00:03 203.0.113.9 80\n12:00:03 203.0.113.9 443\n12:00:04 203.0.113.9 3389\n' | cut -d' ' -f2 | sort | uniq -c | sort -rn | head -n 1Hier angezeigt, nicht ausgeführt. Erstellen Sie ein kostenloses Konto, um „Ausführen“ zu drücken und ihn im Terminal Ihres eigenen Labs einzugeben.
Was die Zählung zeigt
Der Befehl schneidet die Quelladresse aus, zählt gleiche Adressen und zeigt die häufigste. Die Ausgabe nennt 203.0.113.9 mit einer 5 davor.
Fünf Zeilen von einer Adresse in vier Sekunden und jedes Mal ein anderer Port: Das ist kein Nutzer, das ist ein Scan. Zählen ist die einfachste Erkennung.
Eine Signatur erkennt Bekanntes
Eine Signatur ist ein festes Muster, das zu einem bekannten Angriff gehört. Ein Beispiel ist die Meldung "Failed password" im Anmeldeprotokoll eines Servers.
Der Vorteil: Sie ist genau und löst selten falsch aus. Der Nachteil: Sie findet nur, was jemand schon gesehen und beschrieben hat.
Fehlgeschlagene Anmeldungen zählen
printf 'Failed password for root\nAccepted password for anna\nFailed password for root\n' | grep -c 'Failed password'Hier angezeigt, nicht ausgeführt. Erstellen Sie ein kostenloses Konto, um „Ausführen“ zu drücken und ihn im Terminal Ihres eigenen Labs einzugeben.
Was der Zähler meldet
Die Ausgabe ist 2. Der Befehl zählt die Zeilen, die das Muster enthalten. Die Zeile mit Accepted passt nicht.
In einem echten Protokoll wären es viele Zeilen. Zwanzig fehlgeschlagene Anmeldungen für root in einer Minute sind ein Hinweis auf ein Raten von Passwörtern.
Eine Anomalie fällt durch ihre Rate auf
Eine Anomalie weicht stark vom Üblichen ab. Meist hilft dabei die Rate: wie viele Ereignisse pro Minute.
Ein Webserver bekommt nachts fünf Anfragen pro Minute. Plötzlich sind es fünftausend. Das muss kein Angriff sein, aber jemand sollte nachsehen.
Ein Beispiel: Signatur und Rate im Vergleich
| Merkmal | Signatur | Rate |
|---|---|---|
| Findet | Bekannte Muster | Auch Neues |
| Fehlalarme | Selten | Häufiger |
| Schwäche | Übersieht Unbekanntes | Ein Grenzwert ist schwer zu wählen |
| Beispiel | "Failed password" in einer Zeile | Hundert Anfragen pro Sekunde von einer Adresse |
Die Zellen, die Lernende ausfüllen, bleiben in dieser Vorschau leer.
Ein häufiger Fehler
Warnung
Viele sperren die lauteste Adresse sofort. Doch ein Nutzer, der oft dieselbe Seite lädt, ist laut und harmlos. Prüfen Sie erst, ob die Anfragen auch viele verschiedene Ziele treffen.
Nach dem Fund kommt die Entscheidung
Ein Fund ist eine Frage, noch kein Urteil. Sehen Sie nach, ob es ein Fehlalarm ist. Hält sich der Verdacht, sperren Sie die Quelle mit einer Firewall-Regel und schreiben auf, was Sie gesehen haben.
Sie haben nun die Kette der Verteidigung gesehen: Fläche kennen, filtern, trennen, schützen, erkennen.