BSI IT-Sicherheitsinformation: Brute-Force-Angriffe auf exponierte Systeme

Aktuell werden dem BSI verstärkt Brute-Force-Angriffe gegen Citrix Netscaler Gateways aus verschiedenen KRITIS-Sektoren sowie von internationalen Partnern gemeldet. Es gibt auch Medienberichte dazu [BORN24]. Citrix Gateway ist eine weitverbreitete Lösung für Remotezugriff, die es Benutzern ermöglicht, von beliebigen Geräten aus auf verschiedene Anwendungen zuzugreifen. Bei Brute-Force-Angriffen versuchen Angreifende mit einer massiven Zahl von Login-Versuchen schwache Benutzernamen-Passwort-Kombinationen zu erraten. Die aktuellen Angriffe heben sich aktuell lediglich in ihrer berichteten Menge von üblichen Angriffen dieser Art heraus. Nachdem Angreifende erfolgreich Zugriff erhalten haben, versuchen sie üblicherweise weitere interne Systeme zu kompromittieren. Dabei kann es zu Datenabfluss bis hin zu einer vollständigen Verschlüsselung mit Ransomware kommen.
Als Ziel solcher Angriffe werden in aktuellen Berichten zwar Citrix Gateways gemeldet. Jedoch ist diese Cyber-Sicherheitswarnung für alle exponierten Systeme, also IT-Systemen oder Geräte, die direkt aus dem Internet zugänglich sind, relevant.

Bewertung

Zugriffsversuche auf exponierte Systeme erfolgen ständig. Sie sind ein normales “Hintergrundrauschen” im Internet. Der Schutz vor Brute-Force-Angriffen ist daher eine der notwendigsten Basis-Maßnahmen. In der Praxis wird dieser Schutz leider teils vernachlässigt. CERT-Bund erhält regelmäßig Kenntnis von Vollkompromittierungen, die in dieser Art des Angriffs Ihren Ursprung haben. Erfolgreiche Brute-Force-Angriffe sind für Angreifer ein typisches Einfallstor in interne Netze.
Besonders anfällig sind exponierte Systeme, deren Zugangsdaten leicht zu erraten sind bzw. in kompromittierten Datensätzen auftauchen. Es ist wichtig, nicht nur eine ausreichende Passwort-Komplexität sicherzustellen, sondern auch ergänzende Sicherheitsmaßnahmen wie Multi-Faktor-Authentifizierung einzusetzen.

Maßnahmen

Priorisieren Sie Ihre exponierte Angriffsfläche:

• Welche Ihrer Systeme sind aus dem Internet erreichbar?
• Werden Systeme derzeit besonders stark angegriffen?
• Würde Ihnen ein erfolgreicher Brute-Force-Angriff auffallen? Werden die relevanten Logs regelmäßig geprüft?
• Wird die Authentifizierung ausreichend sicher umgesetzt?

Reduzieren Sie die Angriffsfläche:

• Reduzieren Sie die Zahl der Systeme, die direkt aus dem Internet erreichbar sind.
• Minimieren Sie die aus dem Internet nutzbaren administrativen Zugänge bzw. Management-Oberflächen.
• Minimieren Sie die Anzahl der aktiven Konten, insbesondere der Administrator-Konten.
• Stellen Sie sicher, dass Konten nur die notwendigen Berechtigungen erhalten (Least-Privilege-Prinzip).
• Erzwingen Sie die Verwendung von komplexen Passwörtern und ändern Sie alle vorangestellte Passwörter.
• Sofern möglich, nutzen Sie nicht gängige Nutzernamen wie “admin” oder “root”

Schützen Sie sich:
Auch wenn Geo-IP Blocking (eine Technik, bei der der Zugriff auf bestimmte Websites, Server oder Netzwerke basierend auf der geografischen Herkunft der IP-Adresse eines Nutzers eingeschränkt oder blockiert wird) kurzfristig zu wirken scheint: es ist nicht ausreichend. Ein laufender Angriff stellt sich oft darauf ein.

Sie sollten daher folgendes umsetzen:

• Erzwingen Sie starke Passwörter (erschwert es für Angreifende, Passwörter zu raten; besonders Administratoren sollten je Dienst individuelle Passwörter nutzen)
• Aktivieren Sie Multi-Faktor-Authentisierung (erschwert erfolgreiche Ausnutzung von bekannten Passwörtern deutlich, auch aus Passwort-Leaks; muss für ausreichenden Schutz auf allen Konten aktiv sein)
• Erhöhen Sie die Wartezeit zwischen erfolglosen Login-Versuchen, oder sperren Sie Konten nach einer bestimmten Anzahl fehlgeschlagener Logins (reduziert die Menge an Angriffsversuchen pro Konto)
• Prüfen Sie die verfügbaren technischen Schutzmöglichkeiten (bspw. Captchas) des jeweiligen Produkts. Üblicherweise stellen Hersteller Best Practices zur Absicherung ihrer Systeme zur Verfügung
• Prüfen Sie, ob Ihr systematisches Erfassen, Speichern und Verwalten von Ereignissen, Aktivitäten oder Zuständen, die in einem IT-System, einer Anwendung oder einem Netzwerk auftreten  (Logging) ausreicht. Sie möchten erfolgreiche Angreifer-Logins detektieren und Angreiferaktivitäten auf dem System nachvollziehen können
• Löschen Sie ungenutzte bzw. unnötige Daten und Accounts (kurzfristige und regelmäßige Maßnahme)

Langfristig sollten Sie sicherstellen, dass die Kompromittierung eines exponierten System nicht zur Kompromittierung / zum Ausfall von kritischen Systemen oder des kompletten Büro-Netzes führen kann (Defense in Depth-Maßnahmen, kritische Prozesse redundant auslegen, Backups).

Weitere technische Hilfestellungen zum sicheren Fernzugriff auf interne Netzwerke können in der BSI-Studie zur
Internet-Sicherheit (ISi-S) gefunden werden [BSI21].

Quellen: 

CERT-Bund Warnmeldung 2024-049 Brute-Force-Angriffe auf exponierte Systeme
[BORN24] Borns IT- und Windows-Blog – Massive Angriffswelle auf Citrix Netscaler Gateways (5.12.2024)?
[BSI21] Sicherer Fernzugriff auf das interne Netz (ISi-S)