In den bisherigen Teilen dieser Serie haben wir die Grundlagen von IP und ICMP, die Unterschiede zwischen IPv4 und IPv6 sowie den Praxiseinsatz von ICMP behandelt. Nun widmen wir uns den Sicherheitsaspekten: Welche Risiken bestehen, und wie können Unternehmen sich schützen?
Warum ICMP ein Sicherheitsrisiko darstellen kann
ICMP ist für Diagnose und Fehlermeldungen gedacht, kann aber auch von Angreifern genutzt werden:
- Netzwerkerkennung: Ping Sweeps und ICMP-Scanning helfen Angreifern, aktive Hosts zu identifizieren.
- DoS-Angriffe: ICMP kann missbraucht werden, um Systeme oder Netzwerke zu überlasten.
- Tunneling: ICMP kann als verdeckter Kommunikationskanal genutzt werden.
Typische Angriffsszenarien
ICMP-Tunneling
Angreifer kapseln Daten in ICMP-Paketen, um Firewalls zu umgehen.
- Verwendet für Datenexfiltration oder verdeckte Command-and-Control-Kommunikation.
- Schwer zu erkennen, wenn ICMP nicht überwacht wird.
Ping Flood (DoS-Angriff)
- Überlastung eines Systems durch massenhaft ICMP Echo Requests.
- Zielsystem kann legitime Anfragen nicht mehr verarbeiten.
Smurf-Angriffe
- Angreifer senden ICMP-Requests an Broadcast-Adressen mit gefälschter Quell-IP.
- Alle Geräte im Netzwerk antworten an das Opfer → Verstärkung des Angriffs.
Reconnaissance mit ICMP
- Ping Sweeps: Finden aller aktiven Hosts in einem Netzwerk.
- ICMP Timestamp Requests: Sammeln von Zeit- und Systeminformationen.
Schutzmaßnahmen gegen ICMP-Missbrauch
Firewalls und Paketfilter
- Blockieren unnötiger ICMP-Typen, z. B. Redirect Messages oder Timestamps.
- Rate-Limiting für ICMP-Pakete, um Flood-Angriffe zu verhindern.
Beispiel (Linux, iptables):
iptables -A INPUT -p icmp --icmp-type echo-request -m limit --limit 1/s -j ACCEPT
Intrusion Detection Systeme (IDS)
- IDS wie Snort oder Suricata können ICMP-Anomalien erkennen.
- Regeln für verdächtige Muster wie ICMP-Tunneling oder Smurf-Angriffe hinterlegen.
Netzwerksegmentierung
- ICMP-Kommunikation auf kritische Bereiche beschränken.
- Trennung von Management- und Produktionsnetzwerken.
Protokollierung und Monitoring
- Logging von ICMP-Verkehr zur Analyse von Angriffen.
- Einsatz von SIEM-Systemen für Korrelation und Alarmierung.
Balance zwischen Sicherheit und Funktionalität
Ein vollständiges Blockieren von ICMP ist meist kontraproduktiv:
- Diagnose-Tools wie
pingundtraceroutewürden nicht mehr funktionieren. - Besser: Gezielte Filterung und Überwachung statt kompletter Sperrung.
Schreibe einen Kommentar