Botnetze: Unterschied zwischen den Versionen

Aus Xinux Wiki
Zur Navigation springen Zur Suche springen
← Zum vorherigen VersionsunterschiedZum nächsten Versionsunterschied →
K Thomas.will verschob die Seite Botnets nach Botnetze
Neu: Prinzip (Bot, C&C, Nutzung, Steuerung, Erkennung am ausgehenden Verkehr); veraltete Zahlen 2010-2015 entfernt
Zeile 1: Zeile 1:
=Sicherheitsrisiken durch Botnetze=
= Botnetze =
;Definition von Botnetzen:
* Ein Botnetz ist eine Gruppe automatisierter Computerprogramme, sogenannter Bots oder Roboter, die auf vernetzten Rechnern agieren.
* Diese Rechner haben Zugang zu Netzwerken, lokalen Ressourcen und Daten.
* In Deutschland gab es im Jahr 2010 über 470.000 solcher Bots, wovon durchschnittlich etwa 2.000 pro Tag aktiv waren.


;Verbreitung in Deutschland:
== Was ist ein Botnetz? ==
* Die Initiative botfrei.de stellte 2014 bei 220.000 stichprobenartig untersuchten Computern 92.000 verseuchte Systeme mit rund 725.000 infizierten Dateien fest.
*Ein '''Bot''' ist ein infizierter, fernsteuerbarer Rechner. Der Besitzer merkt davon meist nichts.
* Dies ergibt eine Infektionsrate von ca. 40 Prozent aller Computer in Deutschland.
*Ein '''Botnetz''' ist die Summe vieler solcher Bots, die ein Angreifer (''Botmaster'') zentral steuert.
*Gesteuert wird über einen '''Command-and-Control-Server''' (C&C oder C2). Von dort kommen die Befehle, dorthin melden die Bots Ergebnisse.
*Die schiere Zahl ist die Waffe: Ein einzelner Rechner richtet wenig an, Hunderttausende zusammen überlasten Dienste oder versenden Spam im großen Stil.


;Neuinfektionen und Ausbreitung:
== Wie ein Rechner zum Bot wird ==
* Im ersten Halbjahr 2015 wurden in Deutschland täglich bis zu 60.000 Systeme neu infiziert, wie vom Bundesamt für Sicherheit in der Informationstechnik (BSI) berichtet.
#'''Infektion''': über eine Phishing-Mail, eine Schwachstelle in einem erreichbaren Dienst oder nachgeladen durch andere Schadsoftware (siehe [[Schadsoftware/Malware]]).
#'''Anmelden''': Der Bot baut von innen eine Verbindung zum C&C-Server auf, meist über HTTPS auf Port 443, damit es wie normaler Web-Verkehr aussieht.
#'''Warten und Gehorchen''': Der Bot fragt regelmäßig nach Befehlen (''Beaconing'') und führt sie aus.


;Betrieb illegaler Botnetze:
== Wofür Botnetze genutzt werden ==
* Betreiber installieren die Bots ohne Wissen der Inhaber auf Computern und nutzen sie für ihre Zwecke.
*'''DDoS''': alle Bots greifen gleichzeitig ein Ziel an (siehe [[DDoS-Angriffe]]).
* Die meisten Bots können von einem Botnetz-Operator über einen Kommunikationskanal überwacht werden, der als Command-and-Control-Server (C&C-Server) bezeichnet wird.
*'''Spam und Phishing''' in Massen versenden.
*'''Zugangsdaten und Daten stehlen'''.
*'''Kryptomining''' auf fremde Kosten.
*'''Weitervermieten''': Rechenleistung und Zugänge werden als Dienst verkauft (''Malware-as-a-Service'').


;Sicherheitsprobleme für betroffene Systeme:
== Steuerung: zentral oder verteilt ==
* Infizierte Systeme können für verschiedene Zwecke genutzt werden, darunter Distributed Denial of Service (DDoS) Angriffe, Spam-Versand und Datendiebstahl.
{| class="wikitable"
! Aufbau !! Prinzip !! Schwäche für den Angreifer
|-
| Zentral (ein C&C-Server) || einfach, alle Bots melden sich bei einer Adresse || fällt der Server weg, ist das Netz tot
|-
| Mehrere C&C / Domain-Wechsel || wechselnde Adressen (''Fast Flux'', ''Domain Generation'') || schwerer abzuschalten, aber aufwendiger
|-
| Peer-to-Peer || Bots geben Befehle untereinander weiter, kein fester Server || kaum durch Abschalten eines Servers zu stoppen
|}


;Schutzmaßnahmen:
== Erkennen und schützen ==
* Regelmäßige Aktualisierung von Sicherheitssoftware und Betriebssystemen, um Zero-Day-Exploits zu minimieren.
;Am einzelnen Rechner
* Sensibilisierung der Nutzer für Social Engineering-Angriffe und Maßnahmen zur Vermeidung von Malware-Infektionen.
*Patchen, Virenschutz mit Verhaltenserkennung, keine Admin-Rechte im Alltag.
* Einrichtung von Firewalls und Intrusion Detection/Prevention Systemen zur Erkennung und Blockierung verdächtiger Aktivitäten.
;Im Netz (unser Kurs)
* Zusammenarbeit mit Sicherheitsbehörden und -organisationen, um gegen illegale Botnetze vorzugehen.
*'''Ausgehenden Verkehr beobachten''': Ein Bot verrät sich durch regelmäßiges „Nachhausetelefonieren“ zu ungewöhnlichen Zielen.
*Verdächtige Ziele am Proxy und per DNS-Filter sperren.
*Das IDS schlägt bei bekannten C&C-Mustern an: [[OPNsense Suricata]].
*Auffälligkeiten zentral zusammenführen: [[Sicherheitsinformations- und Ereignisverwaltung (SIEM)|SIEM]].
 
== Merksatz ==
Bot = ein ferngesteuerter Rechner | Botnetz = viele davon an einem C&C | die Masse ist die Waffe | erkennbar vor allem am ausgehenden Verkehr
 
== Siehe auch ==
*[[DDoS-Angriffe]]
*[[Schadsoftware/Malware]]
*[[Backdoor]]
 
[[Kategorie:Cybersecurity]]
<!-- Idee Animation: Rechner wird infiziert -> meldet sich beim C&C (443) -> viele Bots -> gemeinsamer DDoS/Spam. Doppelnutzung: Recap Cybersec2 + Einstieg + Selbststudium. -->

Version vom 21. Oktober 2026, 13:29 Uhr

Botnetze

Was ist ein Botnetz?

  • Ein Bot ist ein infizierter, fernsteuerbarer Rechner. Der Besitzer merkt davon meist nichts.
  • Ein Botnetz ist die Summe vieler solcher Bots, die ein Angreifer (Botmaster) zentral steuert.
  • Gesteuert wird über einen Command-and-Control-Server (C&C oder C2). Von dort kommen die Befehle, dorthin melden die Bots Ergebnisse.
  • Die schiere Zahl ist die Waffe: Ein einzelner Rechner richtet wenig an, Hunderttausende zusammen überlasten Dienste oder versenden Spam im großen Stil.

Wie ein Rechner zum Bot wird

  1. Infektion: über eine Phishing-Mail, eine Schwachstelle in einem erreichbaren Dienst oder nachgeladen durch andere Schadsoftware (siehe Schadsoftware/Malware).
  2. Anmelden: Der Bot baut von innen eine Verbindung zum C&C-Server auf, meist über HTTPS auf Port 443, damit es wie normaler Web-Verkehr aussieht.
  3. Warten und Gehorchen: Der Bot fragt regelmäßig nach Befehlen (Beaconing) und führt sie aus.

Wofür Botnetze genutzt werden

  • DDoS: alle Bots greifen gleichzeitig ein Ziel an (siehe DDoS-Angriffe).
  • Spam und Phishing in Massen versenden.
  • Zugangsdaten und Daten stehlen.
  • Kryptomining auf fremde Kosten.
  • Weitervermieten: Rechenleistung und Zugänge werden als Dienst verkauft (Malware-as-a-Service).

Steuerung: zentral oder verteilt

Aufbau Prinzip Schwäche für den Angreifer
Zentral (ein C&C-Server) einfach, alle Bots melden sich bei einer Adresse fällt der Server weg, ist das Netz tot
Mehrere C&C / Domain-Wechsel wechselnde Adressen (Fast Flux, Domain Generation) schwerer abzuschalten, aber aufwendiger
Peer-to-Peer Bots geben Befehle untereinander weiter, kein fester Server kaum durch Abschalten eines Servers zu stoppen

Erkennen und schützen

Am einzelnen Rechner
  • Patchen, Virenschutz mit Verhaltenserkennung, keine Admin-Rechte im Alltag.
Im Netz (unser Kurs)
  • Ausgehenden Verkehr beobachten: Ein Bot verrät sich durch regelmäßiges „Nachhausetelefonieren“ zu ungewöhnlichen Zielen.
  • Verdächtige Ziele am Proxy und per DNS-Filter sperren.
  • Das IDS schlägt bei bekannten C&C-Mustern an: OPNsense Suricata.
  • Auffälligkeiten zentral zusammenführen: SIEM.

Merksatz

Bot = ein ferngesteuerter Rechner | Botnetz = viele davon an einem C&C | die Masse ist die Waffe | erkennbar vor allem am ausgehenden Verkehr

Siehe auch

Abgerufen von „http://wiki.xinux.net/index.php?title=Botnetze&oldid=73871“