Honeypot für Cloud Server: Die Angriffe sind zahlreich – und verdammt schnell!

Sie ist ein elementarer Bestandteil moderner IT, ermöglicht ortsunabhängigen Datenzugriff, steigert Kosteneffizienz, vereinfacht Geschäftsprozesse und vieles mehr: Weltweit speichern immer mehr Unternehmen und Endverbraucher ihre Daten in die Cloud. Sie wirksam vor dem Zugriff von Cyberkriminellen zu schützen ist daher ein elementares Anliegen für die IT-Security. Sophos wollte wissen, wie sehr Cloud-Server potenziellen Hackerangriffen ausgesetzt sind und hat dieses im Rahmen einer 30-tägigen Studie „Exposed: Cyberattacks on Cloud Honeypots“ anhand von zehn Honeypots untersucht. Hierfür wurden in zehn der weltweit beliebtesten Amazon Web Services (AWS) Datenzentren in Frankfurt, London, Paris, Mumbai, Ohio, Sao Paolo, Singapur, Sidney Kalifornien und Irland Cloud-Honeypots eingerichtet. Die Studienergebnisse zeigen unter anderem, dass Hacker-Angriffsversuche zahlreich und schnell erfolgten und die Angreifer höchstwahrscheinlich automatisiert vorgingen.

Simulation von Fernzugriff – die Honeypots
Die eingerichteten Honeypots simulierten den Secure Shell (SSH) -Dienst, um SSH-Anmeldeversuche zu messen. SSH ist ein Fernzugriffsdienst, der nicht nur von Servern verwendet wird, sondern auch in häuslichen Umgebungen mit so unterschiedlichen Geräten wie CCTV-Kameras oder NAS-Geräten genutzt wird. Auf diesen Systemen können berechtigte Benutzer über SSH eine Verbindung herstellen, um das Gerät aus der Ferne zu konfigurieren oder auf Dateien zuzugreifen. Wenn ein Angreifer die Anmeldeaufforderung auf einem IoT-Gerät hinter sich gelassen hat, erhält er nicht nur die gleichen Zugriffsrechte wie der Besitzer, sondern erlangt häufig sogar mehr Kontrolle als er eigentlich beabsichtigt hatte. Ähnlich wie dies auch bei realen Installationen immer noch sehr oft der Fall ist, haben die Sophos-Experten auch bei der Konfiguration der Honeypots dabei werkseitig vorinstallierte Standardbenutzernamen und -kennwörter beibehalten.

10 Honeypots, 30 Tage, über fünf Millionen versuchte Angriffe
Die Untersuchung zeigt klar, dass Geräte, die nicht die erforderliche Konfiguration erhalten haben (einschließlich der Änderung von werkseitig installierten Standardkennwörtern auf vielen Geräten), einem Hacker einen relativ einfachen Zugriff auf diese Geräte gestatten. Während des 30-tägigen Testzeitraums wurden so insgesamt mehr als fünf Millionen Angriffsversuche auf das globale Honeypot-Netz gezählt. Am häufigsten traf es dabei Ohio mit rund 950.000 Versuchen, gefolgt von Mumbai, Sidney, Irland und Paris mit Angriffsraten zwischen knapp 680.000 und 613.000 und Kalifornien mit ca. 573.000 Versuchen. Frankfurt verzeichnete knapp 440.00 Angriffsversuche und London und Singapur kamen mit „nur“ rund 314.000 bzw. 313.000 Attacken davon.

Schnelle Angriffsversuche, schwache Kennwörter
Erstaunlich war auch die Schnelligkeit, mit der die Hacker ihre potenziellen Ziele ausmachten und erste Angriffe starteten. So wurde bereits 52 Sekunden nach Freischaltung der Honeypot in Sao Paolo, Brasilien attackiert. Paris und Sydney waren bei der Erst-Attacke 17 bzw. 18 Minuten am Netz, Frankfurt ereilte es nach einer guten Stunde und in Irland dauerte es mit gut 100 Minuten am längsten, bis ein erster Angriffsversuch erfolgte. Weltweit waren die Honeypot-Cloud-Server durchschnittlich jeweils 13 Mal pro Minute, bzw. 757 Mal in der Stunde das Ziel versuchter Attacken. Darauf, dass Werkskonfigurationen eben nicht geändert werden, spekulieren dabei offenbar auch die Hacker – sie verwendeten bei den meisten Anmeldeversuchen Standard-Benutzernamen und beliebte, häufig verwendete schwache Kennwörter. Die Zahlenreihe 123456 wurde etwa weltweit am häufigsten als Kennwort für einen Anmeldeversuch benutzt.

Die komplette Studie (in Englisch) kann hier als PDF nachgelesen werden: https://www.sophos.com/de-de/medialibrary/pdfs/whitepaper/sophos-exposed-cyberattacks-on-cloud-honeypots-wp.pdf

Empfehlungen: Standard darf kein Standard sein
Sophos gibt im Report Empfehlungen, um eine bessere Sicherheit zu gewährleisten und die automatisierten Angriffsversuche der Cyberkriminellen zu durchbrechen. „Die Geschwindigkeit und das Ausmaß der Angriffe zeigen einmal mehr, wie beharrlich und entschieden Cyberkriminelle sind, um Cloud-Plattformen anzugreifen,“ sagt Michael Veit, Security-Evangelist bei Sophos. „Unsere wichtigste Empfehlung ist daher immer eine starke Authentisierung per Zertifikat bzw. per Multifaktor-Authentisierung und zeitbasiertem Einmalkennwort. Die Cloud ist ein elementarer Bestandteil des modernen IT-Alltags und daraus nicht mehr wegzudenken. Der einzige zugelassene Standard darf deshalb die Sorgfalt bei der Konfiguration und eine schlagkräftige IT-Sicherheitsstrategie sein.“

Weitere Tipps zur Sicherheit zusammengefasst:

Für Endverbraucher:

1. Ändern Sie die Passwörter in den Einstellungen.
2. Verwenden Sie für jeden Dienst ein komplexes und eindeutiges Kennwort.
3. Verwenden Sie einen Passwortmanager, um die Passwörter zu verwalten, sodass Sie sich nur das Master-Passwort des Managers merken müssen.
4. Schalten Sie Universal Plug and Play auf Ihrem Router aus.

 Für Unternehmen:

1. Verwenden Sie auf SSH-Servern die schlüsselbasierte Authentifizierung und nicht nur ein Kennwort.
2. Verwenden Sie fail2ban auf Linux-Servern, um die Anzahl der Anmeldeversuche zu begrenzen.
3. Verwenden Sie ein AV-Lösung für Linux (z.B. die von Sophos), um bekannte Daten abzufangen, die vom Angreifer ansonsten gelöscht werden, sobald er Zugang erlangt hat.
4. Setzen Sie eine KI-gestützte Cloud-Security-Lösung mit Compliance-Automatisierung, wie bspw. Sophos Cloud Optix, ein..