Heute beginnt für mein Linux-Projekt ein neuer Abschnitt.
Nach den ersten Wochen intensiver Entwicklung läuft seit einigen Tagen die geschlossene Beta-Version meines webbasierten Management- und Sicherheitssystems auf mehreren Testservern im produktiven Internet.
Und ich kann schon jetzt sagen:
Die Software funktioniert.
Die Menschheit macht mir allerdings weiterhin Sorgen.
Willkommen im Internet
Natürlich wusste ich theoretisch, dass öffentlich erreichbare Linux-Server permanent angegriffen werden.
Jeder Administrator kennt diese Aussage.
Aber Theorie und Praxis unterscheiden sich manchmal erheblich.
Seit Beginn des Beta-Tests protokolliert die Plattform sämtliche sicherheitsrelevanten Ereignisse zentral.
Und bereits nach kurzer Zeit wurde klar:
Das Internet schläft nie.
Nicht einmal für fünf Minuten.
Angriffszahlen, die beeindrucken
Je nach Server registrieren die Testsysteme derzeit täglich zwischen 10.000 und 25.000 Angriffe.
Pro Server.
Pro Tag.
Wohlgemerkt handelt es sich dabei nicht um ausgefeilte Hackerangriffe aus Hollywood-Filmen.
Der überwiegende Teil besteht aus vollständig automatisierten Angriffswellen.
Bots durchsuchen permanent das gesamte Internet nach offenen Diensten.
Findet ein Bot einen Server, beginnt sofort das immer gleiche Spiel.
SSH – der unangefochtene Spitzenreiter
Zwischen 60 und 70 Prozent aller registrierten Angriffe richten sich ausschließlich gegen den SSH-Dienst.
Das überrascht einerseits nicht.
Andererseits überrascht mich, wie konsequent automatisiert diese Angriffe inzwischen ablaufen.
Kaum erscheint ein neuer Server im Internet, dauert es oft nur wenige Minuten, bis die ersten Login-Versuche eintreffen.
Es wirkt beinahe so, als hätten Bots einen besseren Überblick über das Internet als Suchmaschinen.
Die Fantasie der Angreifer hält sich in Grenzen
Besonders interessant ist die Auswertung der Benutzernamen.
Die klare Hitliste lautet:
-
root
-
admin
-
user
-
ubuntu
-
test
Ich musste beim Lesen tatsächlich schmunzeln.
Nicht wegen der Angreifer.
Sondern weil offensichtlich Millionen Bots weltweit dieselben fünf Begriffe für ausreichend halten.
Fast möchte man ihnen zurufen:
"Vielleicht versucht ihr es beim nächsten Mal mit etwas Kreativität."
Das Passwortmuseum des Grauens
Noch interessanter wird es bei den Passwörtern.
Die fünf häufigsten Kandidaten:
-
123456
-
123
-
1234
-
password
-
12345678
Es ist erstaunlich.
Nicht die Bots.
Sondern dass diese Kennwörter offenbar immer noch genügend Erfolg versprechen, um täglich millionenfach ausprobiert zu werden.
Eigentlich ist diese Statistik keine technische Erkenntnis.
Sie ist eher ein trauriger Spiegel der Vergangenheit.
Denn offensichtlich existieren noch immer Systeme, bei denen diese Kombinationen funktionieren könnten.
65.000 unterschiedliche IP-Adressen
Besonders beeindruckend fand ich die Auswertung der Herkunft.
Während der bisherigen Beta-Phase wurden bereits mehr als 65.000 unterschiedliche IP-Adressen registriert.
65.000.
Das zeigt eindrucksvoll, wie stark heutige Angriffe verteilt sind.
Ein einzelner Angreifer existiert praktisch nicht mehr.
Stattdessen arbeiten weltweit tausende kompromittierte Systeme gleichzeitig.
Die geografische Überraschung
Soweit sich IP-Adressen eindeutig zuordnen ließen, ergibt sich aktuell folgendes Bild:
-
Russland
-
China
-
Niederlande
Die Niederlande?
Ja.
Das hat mich zunächst ebenfalls überrascht.
Nach genauerem Hinsehen relativiert sich dieses Bild allerdings.
Die Niederlande gehören zu den bedeutendsten Standorten großer Hosting-Anbieter und Cloud-Infrastrukturen Europas.
Viele kompromittierte Server, virtuelle Maschinen oder gemietete Systeme laufen dort völlig unabhängig von ihrer tatsächlichen Herkunft.
Die IP-Adresse verrät also nicht zwangsläufig etwas über den eigentlichen Angreifer.
Sie verrät lediglich, wo der letzte bekannte Server steht.
Der größte Teil bleibt anonym
Noch interessanter ist allerdings eine andere Zahl.
Ein erheblicher Anteil aller registrierten IP-Adressen konnte überhaupt keinem Land eindeutig zugeordnet werden.
Das liegt unter anderem an:
-
VPN-Diensten
-
Proxy-Netzwerken
-
Cloud-Plattformen
-
Anycast-Netzen
-
unvollständigen GeoIP-Datenbanken
-
wechselnden Infrastrukturadressen
Mit anderen Worten:
Die sichtbare Weltkarte zeigt nur einen Teil des tatsächlichen Geschehens.
Genau deshalb entsteht dieses Projekt
Während ich diese Statistiken ausgewertet habe, wurde mir noch einmal bewusst, warum ich dieses Projekt überhaupt begonnen habe.
Nicht um Apache zu konfigurieren.
Nicht um LDAP zu verwalten.
Nicht um UFW schöner aussehen zu lassen.
Sondern um Zusammenhänge sichtbar zu machen.
Denn einzeln betrachtet erzählen diese Programme jeweils nur einen kleinen Teil der Geschichte.
Erst wenn Logdateien, Firewalls, Fail2ban, Virenscanner und Benutzerverwaltung gemeinsam betrachtet werden, entsteht ein vollständiges Lagebild.
Erste intelligente Funktionen
Die Beta-Version enthält bereits einige der Funktionen, die mir von Anfang an wichtig waren.
Beispielsweise erkennt das System automatisch:
-
wiederkehrende Angriffsquellen
-
auffällige IP-Netze
-
ungewöhnliche Angriffsmuster
-
auffällige Kombinationen aus Benutzername und Passwort
-
Angriffshäufigkeiten über mehrere Server hinweg
Dadurch entstehen erstmals Sicherheitsinformationen, die einzelne Programme allein gar nicht liefern könnten.
Was als Nächstes kommt
Die kommenden Wochen stehen ganz im Zeichen der Optimierung.
Geplant sind unter anderem:
-
automatische Korrelation zwischen mehreren Servern
-
bessere GeoIP-Auswertungen
-
intelligente Sperrvorschläge für UFW
-
Visualisierung kompletter Angriffswellen
-
Risikobewertungen einzelner Netze
-
zentrale Ereignisanalysen
Die Plattform soll nicht einfach Daten sammeln.
Sie soll dabei helfen, aus Daten Entscheidungen abzuleiten.
Mein persönliches Fazit
Ich hätte erwartet, viele interessante technische Erkenntnisse zu gewinnen.
Das ist auch passiert.
Was mich allerdings wirklich beeindruckt hat, ist die schiere Größenordnung.
10.000 bis 25.000 Angriffe täglich auf einen einzelnen Server sind keine Ausnahme.
Sie sind inzwischen Normalität.
Und genau deshalb reicht klassische Serveradministration heute nicht mehr aus.
Moderne Sicherheitswerkzeuge müssen Informationen zusammenführen, bewerten und verständlich darstellen.
Genau daran arbeite ich.
Der Beta-Test zeigt bereits jetzt, dass die Grundidee funktioniert.
Nicht, weil plötzlich weniger Angriffe stattfinden.
Ganz im Gegenteil.
Die Angriffe werden sichtbar.
Sie werden messbar.
Und sie werden verständlich.
Das ist vielleicht der wichtigste Schritt überhaupt.
Denn Sicherheit beginnt nicht erst beim Blockieren eines Angriffs.
Sie beginnt beim Verstehen dessen, was jeden einzelnen Tag im Hintergrund passiert.
Und wenn ich ehrlich bin:
Ich freue mich schon jetzt auf die nächsten Auswertungen.
Ich bin mir ziemlich sicher, dass das Internet noch einige Überraschungen für mich bereithält.