Technische Unterstützung
Dokumentation
Anmeldung
Kontakt
Absicherung von Linux-Netzwerken: Verstehen von Angriffsvektoren und Gegenmaßnahmen
Artem Karasev
September 18, 2023 - Senior Product Marketing Manager
Linux-Betriebssysteme erfreuen sich bei Webentwicklern großer Beliebtheit, da sie Anwendungen für Server, Router, Mobiltelefone und sogar einige Desktop-Computer entwickeln. Diese Betriebssysteme werden häufig gewählt, um Datenbanken zu betreiben, die sensible Informationen enthalten. Außerdem wird für ihren Betrieb oft eine erhebliche Rechenleistung bereitgestellt. Durch diese umfangreiche Nutzung sind sie jedoch auch anfällig für einer Vielzahl einer Vielzahl potenzieller externer und interner Angriffsvektoren aus. In diesem Artikel werden einige der häufigsten Cyberangriffsvektoren, die auf die Sicherheit von Linux-Netzwerken abzielen, kategorisiert und näher beleuchtet. die Sicherheit von Linux-Netzwerkenabzielen, sowie Strategien, um ihnen effektiv entgegenzuwirken.
Externe Angriffsvektoren in Linux-Netzwerken
Bei den externen Angriffsvektoren handelt es sich in vielen Fällen um Netzwerkangriffe, die Schwachstellen in der Implementierung des TCP/IP-Protokollstapels, offene Ports interner Netzwerkanwendungen und externe Netzwerkpaketabhörer aufgrund von falsch konfigurierten Netzwerk-Firewalls oder Schwachstellen in Netzwerksoftware, die für die Verwendung außerhalb des Computersystems konzipiert wurde, ausnutzen. Angriffe, bei denen bekannte Schwachstellen in Softwarekomponenten ausgenutzt werden, und Angriffe über die Lieferkette, bei denen böswillige Akteure auf Schwachstellen in Komponenten oder Software von Drittanbietern abzielen, die in das System integriert sind, sind weitere wichtige Aspekte externer Angriffe.
Verstärkung Linux-Netzwerksicherheit mit Host-basierten Firewalls
Eine der effektivsten Methoden zur Stärkung der Linux-Netzwerksicherheit ist die Verwendung einer hostbasierten Firewall. In Linux-Kernel-basierten Betriebssystemen werden seit einiger Zeit Tools wie iptables, ip6tables und arptables eingesetzt. Diese Tools nutzen die Netfilter-Kernelschnittstelle, um Regeln zum Filtern von Paketen aufzustellen.
In modernen Distributionen gibt es eine aktuellere Netzwerk-Firewall-Implementierung namens nftables. Dieses Tool verwendet eine neue Schnittstelle, die es ermöglicht, einen einfachen virtuellen Maschinencode in den Kernel zu laden, der für die gleichzeitige Verarbeitung von IPv4-, IPv6- und ARP-Protokollen verwendet wird.
Heute ist die Verwendung von nftables vorzuziehen, da iptables von modernen Kernel-Versionen bald nicht mehr unterstützt wird. Außerdem ist der iptables-Code viel komplexer, und die Regeln, die damit erstellt werden können, sind im Vergleich zu den mit nftables generierten Regeln deutlich weniger flexibel. Außerdem bietet nftables eine bessere Leistung und erhöht die Widerstandsfähigkeit des Computersystems gegen DDoS-Angriffe (Distributed Denial of Service).
Strategien zur Verteidigung gegen DDoS-Angriffe
DDoS-Angriffe auf Linux-Netzwerke können verheerende Folgen haben. Bei diesen Angriffen wird ein Netzwerk, ein Server oder ein Dienst mit einer immensen Menge an Datenverkehr aus mehreren Quellen überlastet, so dass er für legitime Benutzer nicht mehr zugänglich ist. Linux-basierte Systeme sind trotz ihrer Robustheit nicht immun gegen DDoS-Angriffe. Angreifer können Schwachstellen ausnutzen, Netzwerkverbindungen überfluten oder Botnets einsetzen, um diese Angriffe zu orchestrieren. Als Reaktion darauf müssen Linux-Netzwerkadministratoren spezielle Maßnahmen zur DDoS-Abwehr implementieren.
Um DDoS-Angriffe auf Linux-Netzwerke abzuwehren, können Sie mehrere wirksame Methoden einsetzen.
Erstens ist die Implementierung von Verkehrsfilterung und Ratenbegrenzung an der Netzwerkgrenze von entscheidender Bedeutung. Mit dieser Strategie können Sie Datenverkehr aus verdächtigen oder übermäßigen Quellen abweisen oder begrenzen und so verhindern, dass das Netzwerk von bösartigem Datenverkehr überschwemmt wird.
Zweitens kann die Nutzung eines Content Delivery Network (CDN) von großem Nutzen sein. CDNs verteilen den eingehenden Datenverkehr über mehrere Server und Rechenzentren, wodurch die Last effektiv verteilt und die Auswirkungen von DDoS-Angriffen abgefangen werden. Dadurch wird sichergestellt, dass legitime Nutzer auch während eines Angriffs weiterhin auf Ihre Ressourcen zugreifen können.
Und schließlich ist es eine kluge Entscheidung, Cloud-basierte DDoS-Schutzdienste von seriösen Anbietern in Betracht zu ziehen. Diese Dienste lassen sich automatisch skalieren, um groß angelegte Angriffe abzufangen, und bieten einen robusten Schutz vor DDoS-Bedrohungen.
Sperren des SSH-Zugangs
Ein wichtiger Angriffsvektor, der berücksichtigt werden muss, ist SSH (Secure Shell). SSH ermöglicht den Aufbau sicherer, verschlüsselter Verbindungen zwischen vertrauenswürdigen Parteien und wird häufig für die Konfiguration von Remote-Servern, die Übertragung von Dateien und die Überwachung verwendet. Leider hat sich SSH auch als Ziel für bösartige Aktivitäten etabliert. Angreifer nutzen häufig SSH-Schwachstellen aus, um Kryptowährungs-Mining-Software oder IoT-Malware auf dem Zielsystem zu installieren.
Um SSH-Angriffe abzuwehren, ist es wichtig, die Authentifizierung des Root-Benutzers zu blockieren und die passwortbasierte Anmeldung zu deaktivieren, so dass der Systemzugang ausschließlich über die schlüsselbasierte Authentifizierung erfolgt. Verwenden Sie die sichersten verfügbaren kryptografischen Algorithmen, z. B. cipher: aes256-gcm, mac: hmac-sha2-256, kex: curve25519-sha256, key: ecdsa-sha2-nistp521. Verschlüsseln Sie alle privaten Schlüssel mit starken Passphrasen. Wenn der öffentliche Schlüssel des Servers geändert wird, ist es wichtig, dass der Systemadministrator diese Änderung rechtzeitig an alle Benutzer weitergibt.
Software-Schwachstellen als Einfallstor für Ransomware
Die Ausnutzung von Schwachstellen in nicht gepatchten Systemen ist einer der am weitesten verbreiteten Angriffsvektoren, die auf Linux-Netzwerksicherheit. Ransomware-Angriffe auf Linux-basierte Systeme beispielsweise um 75 % gestiegen im Jahr 2022 gegenüber dem gleichen Zeitraum im Jahr 2021. Während Windows-Ransomware das Ziel in der Regel per E-Mail infiziert, nutzt Linux-Ransomware Systemschwachstellen oder Servicefehler aus.
Wirklich erschreckend ist, dass die Datenbankserver, Dateiserver und E-Mail-Server der meisten Unternehmen unter Linux laufen. Auf Linux laufen die meisten Netzwerke der US-Regierung und des Militärs sowie Finanz- und Bankensysteme, und es ist das am weitesten verbreitete Betriebssystem im Energie- und Fertigungssektor. Wenn sich also ein Angreifer Zugang zu einer Linux-Umgebung verschafft, erhält er höchstwahrscheinlich Zugriff auf die wichtigsten Systeme und Daten.
Das rechtzeitige Aufspielen von Sicherheits-Patches ist hier eine grundlegende Verteidigungsstrategie. Durch die rasche Behebung bekannter Schwachstellen können Unternehmen ihre Widerstandsfähigkeit gegenüber Cyberangriffen, einschließlich Ransomware, erheblich verbessern und ihre Angriffsfläche verringern.
Gleichzeitig haben Unternehmen Schwierigkeiten, ihre Linux-Systeme schnell zu patchen, da Sicherheits-Patches in der Regel einen Neustart erfordern. Und angesichts der kritischen Natur dieser Systeme ist die Aufrechterhaltung ihres kontinuierlichen Betriebs von größter Bedeutung. Die beste Lösung wäre die Live-Patching-Technologie. Sie ermöglicht es uns, Schwachstellen oder andere kritische Probleme in Echtzeit zu beheben, ohne den laufenden Betrieb zu unterbrechen. KernelCare Enterpriseist zum Beispiel die einzige Lösung auf dem Markt, die alle gängigen Linux-Distributionen live patchen kann und damit eine robuste Lösung für Linux-Netzwerksicherheit.
Interne Angriffsvektoren
Interne Angriffsvektoren betreffen die Nutzer von Time-Sharing-Systemen. Sie können unbeabsichtigt oder absichtlich bösartige Software starten. Die Betriebssysteme der GNU/Linux-Familie verwenden standardmäßig ein von UNIX geerbtes Zugriffskontrollsystem. Trotz seiner hohen Effektivität und Benutzerfreundlichkeit hat es einen entscheidenden Nachteil: Ein Benutzer, dem eine Datei gehört, kann sich selbst Ausführungsrechte erteilen und sie starten. Ein ausgeführter Prozess würde sofort Zugriff auf alle Systemaufrufe erhalten, was das Risiko einer erfolgreichen Ausnutzung von Schwachstellen des ersten Tages erheblich erhöht.
Erweiterte Zugangskontrollsysteme
Erweiterte Zugriffskontrollsysteme, nämlich SELinux und AppArmor, wurden zum Schutz vor internen Bedrohungen entwickelt. Diese Systeme werden als Kernelmodule geliefert und funktionieren in einem privilegierten Modus. Sie erweitern das integrierte diskretionäre Zugangskontrollsystem und implementieren eine zusätzliche obligatorische Zugangskontrollschicht.
Das SELinux-System wird in Red Hat verwendet, CentOSund Fedora-Distributionen verwendet. Das AppArmor-System wurde von Canonical entwickelt und wird in der Ubuntu-Distribution verwendet. Dank seiner Einfachheit kann dieses System leicht in eine andere Distribution integriert werden.
Die Systeme SELinux und AppArmor ermöglichen die Festlegung von Sicherheitsprofilen für einzelne Dateien. Eines der wichtigsten Merkmale dieser Systeme ist die Filterung von Systemaufrufen. Der Administrator des Computersystems kann eine Teilmenge von Systemaufrufen festlegen, die für den Betrieb vertrauenswürdiger Software erforderlich sind, und die Verwendung aller anderen Systemaufrufe verbieten. Im Falle eines Pufferüberlaufangriffs oder einer entfernten Codeausführung wird die Verwendung bestimmter Systemaufrufe zur Durchführung der Angriffe unmöglich.
Umgang mit der Eskalation von Privilegien und Daemon-Sicherheit
Interne Angriffe nutzen häufig das System zur Übertragung von Berechtigungen, sudo, aus. Eine mangelhafte Konfiguration kann dazu führen, dass Benutzer des Computersystems ihre Privilegien ausweiten können.
Zu den wichtigsten Richtlinien gehören die Verwendung von Passwörtern zur Authentifizierung und die Beschränkung der Mitgliedschaft in der privilegierten Gruppe "wheel" auf vertrauenswürdige Benutzer. Außerdem ist es wichtig, das sudo-System immer mit der neuesten stabilen Version zu aktualisieren. Wenn im System Daemons laufen, sollten diese von separaten Benutzern mit den minimal erforderlichen Rechten ausgeführt werden. Dadurch werden die Auswirkungen erfolgreicher Angriffe zur Ausführung von Remotecode verringert. Zusätzlich können Mechanismen der Containerisierung eingesetzt und mit systemd implementiert werden, das in allen modernen Linux-Distributionen vorhanden ist.
Schlussfolgerung
Die weite Verbreitung von Linux-Betriebssystemen auf einer Vielzahl von Plattformen unterstreicht ihre Bedeutung in der heutigen Technologielandschaft. Diese weit verbreitete Nutzung setzt sie jedoch auch einer Reihe von internen und externen Bedrohungen aus. Die potenziellen Risiken, die sowohl von benutzerbasierten Aktionen als auch von externen Netzwerkangriffen ausgehen, machen deutlich, dass robuste Verteidigungsstrategien erforderlich sind. Daher ist der Schutz von Linux-Netzwerksicherheit ein ständiges Unterfangen, das Wachsamkeit, Anpassungsfähigkeit und die Umsetzung bewährter Praktiken erfordert, um eine widerstandsfähige und sichere digitale Umgebung zu gewährleisten.
