IoT-Botnet-Angriffe: Wie Sie sich schützen können

Wie Sie einen IoT-Botnet-Angriff verhindern

Wir haben uns in diesem Jahr bereits mit der Bedrohung durch sogenannte "Thingbots" beschäftigt - also Botnetzen, die aus Zombie-IoT-Geräten bestehen. In jüngster Zeit hatten wir dann Gelegenheit zu beobachten, dass und wie dieses Bedrohungsszenario inzwischen Realität geworden ist. Thingbots wurden bei raffinierten DDoS-Angriffen auf die Seite des Journalisten und IT-Sicherheitsbloggers Brian Krebs, KrebsOnSecurity, und beim DNS-Anbieter Dyn eingesetzt. Letzterer führte dazu, dass Nutzer auf einige der am häufigsten besuchten Websites nicht mehr zugreifen konnten.

Wie aber werden aus "unschuldigen" Dingen Thingbots?

Nehmen wir das Mirai-Botnet, verantwortlich für die beiden oben genannten Attacken, als Beispiel dafür, wie Thingbots funktionieren. Mirai umfasst derzeit weltweit rund 500.000 kompromittierte IoT-Geräte wie Überwachungskameras, Router und digitale Videorekorder (DVRs). Dabei scannt Mirai kontinuierlich auf Schwachstellen und richtet sich gegen Geräte mit häufig verwendeten Standard-Anmeldeinformationen. Man nimmt an, dass mithilfe von Wörterbuchangriffen die anvisierten Geräte in zirka zehn Minuten von Mirai kompromittiert oder übernommen werden können.
Die Wurzel des Übels sind schlechte Authentifizierungspraktiken. Die Standard-Passwörter werden während des Herstellungsprozesses im Gerät hartcodiert. Die Größe des Mirai-Botnets zeigt deutlich, dass, wenn das Gerät einmal in Gebrauch ist, die Standard-Passwörter nicht mehr aktualisiert worden sind. Das macht sie anfällig von Mirai oder anderen Botnetz-Typen ausgenutzt zu werden.

Botnetze verhindern: Best Practices für Gerätehersteller

Werfen wir einen Blick auf einige Best Practices, die Hersteller in Betracht ziehen sollten, um ihre Geräte von Anfang an davor zu schützen, Teil eines Thingbots zu werden. Prüfen Sie die Funktionen der Geräte. Brauchen sie tatsächlich einen Remote-Zugang und müssen sich die Geräte wirklich remote verwalten lassen? Oder kann man diese Authentifizierung innerhalb der Geräteumgebung eliminieren? Damit wäre dann wenigstens das Schlupfloch geschlossen, das Mirai derzeit benutzt um auf Geräte zuzugreifen und sie anschließend zu übernehmen. Wenn man unbedingt einen Remote-Zugang braucht oder verwenden will, sollte man grundsätzlich starke Geräteauthentifizierung verwenden.

Mirai macht sich nicht ohne Grund den anfälligsten Teil von Geräte-Passwörtern zunutze. Standard-Passwörter werden nicht nur selten geändert, sie sind auch selten einzigartig. Oftmals werden sie für zahlreiche Geräte wiederverwendet. OWASP hat einige grundlegende Tipps zur Passwortrichtlinie für IoT-Gerätehersteller zusammengestellt, die helfen derartige Angriffe in Zukunft zu verhindern. Empfehlenswert ist es allerdings über das Passwort hinaus starke Authentifizierungsmethoden zu erwägen. PKI beispielsweise bietet einige Vorteile für eine starke Geräteauthentifizierung. Strukturell ist eine Public Key Infrastructure so angelegt, dass es technisch schwierig bis unmöglich ist, sie zu täuschen. Verwendet man PKI als Teil des Authentifizierungsprozesses, verhindert das Wörterbuch-basierte Angriffe, wie im Fall des Mirai-Botnets. Mit PKI hat man außerdem die Möglichkeit, eindeutige Anmeldeinformationen zur Authentifizierung für die jeweiligen Entitäten (sowohl Geräte als auch Dienste) zu verwenden. Zum Zeitpunkt des Gerätebaus ist es besser eindeutige Authentifizierungsanmeldeinformationen pro Gerät aufzunehmen statt gemeinsamer oder häufiger Anmeldeinformationen für eine Reihe von Geräten. Noch besser ist es, Hardware-basierte Sicherheitselemente einzusetzen, um die privaten Schlüssel auf den Geräten zu schützen und zu verhindern, dass die Anmeldeinformationen von den Geräten selbst gestohlen oder abgezogen werden.