DoS mit Account Lockout

Die ganze Welt spricht von "Denial of Service"-Attacken (DoS) und auch über verteilte Angrifft durch BOT-Netze, bei denen mittlerweile sogar Mobiltelefone als kleine Rechner mit Internetzugang mitspielen. Auf der anderen Seite öffnen sich Firmen immer mehr, um Dienste ihren Mitarbeitern auch von Unterwegs (z.B. Outlook über HTTP, Pushmail, OWA, Lync, Sharepoint ) erreichbar zu machen. Natürlich kommt dabei eine Firewall-Lösung zum Einsatz, damit der liebe IIS nicht ungesichert aus dem Internet erreichbar ist. Aber sind sie damit wirklich "sicher" ?

Das Problem

Natürlich kann man Webseiten durch Firewalls, Portfilter und Reverse Proxy-Systeme sicher. Auch starke Kennworte sind ein effektives Mittel, um den unerlaubten Zugriff zu erschweren. Aber ein Risiko ist bei den normalen Diensten immer vorhanden:

Eine Firma ist gut beraten, ein Konto bei zu vielen fehlerhaften Anmeldungen für einige Zeit auszusperren um weitere Anmeldeversuche zu unterbinden. Dies ist üblicherweise ein effektives Mittel, um Angriffe mit Wörterbüchern auf Kennwort zu verhindern. Sie kennen dies auch von ihrer SIM-Karte im Mobiltelefon oder der EC-Karte. Dreimal falsche PIN und die Karte ist gesperrt. Ohne diese Schutzfunktion wären die in der Regel 4-stelligen Zifferncodes (von denen es also 10.000 Varianten gibt) sehr schnell gehackt. mit 1:3333 ist die Wahrscheinlichkeit aber immer noch erschreckend gut und nahe an 4-Richtige beim Lotto (1:1082), wenn Allerdings muss hier der Angreifer Zugriff auf die Karte haben, so dass dies ein eher theoretischer Wert ist. Sie müssten also schon sehr viele SIM/EC-Karten stehlen und einige Zeit vor dem Automat verbringen.

Anders sieht es im Netzwerk aus. Ohne das Internet konnten Firmen ein Konto sogar gesperrt lassen, so dass der Anwender dies erst wieder frei schalten lassen musste. Über das Eventlog können Sie zudem ermitteln, wo der Versuch statt gefunden hat.

Selbst wenn nach z.B. drei Fehlerversuchen das Konto für ein paar Minuten gesperrt war, ist das aufgefallen aber war nicht allzu tragisch.

Einfallstore

Heute dies das aber schon deutlich anders aus, da immer mehr Dienste eine Anmeldung erfordern und nicht nur Benutzer, sondern auch Dienstkonten eingesetzt werden. Und immer mehr Tore zum großen anonymen Internet machen es Angreifern natürlich leicht, einen Zugang zu finden und mit Kombinationen aus Benutzername und Kennwort eine Anmeldung versuchen können. Es gibt nämlich sehr viele Dienste, welche einfach mit Benutzername und Kennwort arbeiten. Und das beschränkt sich nicht nur auf Exchange.

Es ist also weit mehr als "nur" ein bisschen Outlook WebApp, was ihr Netzwerk öffnet und eine Kennwortattacke ermöglicht. Ich sage nicht, dass Angriffe nicht auch von innen erfolgen können. Mit einer guten Überwachen können Sie aber sehr schnell solche Angriffe erkennen, auf einen IP-Adresse oder einen Client zurückführen und mit der MAC-Adressen und dem Port bis zu Dose an der Wand gelangen. Wenn ihr Wachschutz schnell ist oder eine Zugangskontrolle erfolgt, muss jemand schon recht unerfahren sein, um von intern solche Dinge zu starten.

Lösungen

Es ist gar nicht so einfach, für die verschiedenen Dienste und Wege eine passende Lösung zu finden. Zugänge, die einen Browser verwenden, können vom Anwender zusätzliche Daten oder Informationen erfordern (/z.B. Tokens, Captchas etc.). Das geht aber nicht für Protokolle, die für den Anwender gar keine GUI anbieten. Entsprechend sind die Möglichkeiten eingeschränkt. Hier ein paar Optionen

Auch hier ist es also wieder eine Risikoanalyse, die letztlich den Ausschlag geben wird. Dazu gehört natürlich auch die angewendete Kennwortrichtlinien zu überprüfen. Vielleicht ist es auch tolerierbar, dass das Konto nicht allzu lange ausgesperrt bleibt oder ein paar Versuche mehr erforderlich sind. ehe das Konto gesperrt wird. Beachten Sie dabei auch, das diverse Dienste immer zwei Anmeldungen versuchen, z.B. die Anmeldung per Kerberos und wenn dies nicht funktioniert, dann auf NTLM zurück schwenkt. So können auch in der GPO eingestellten drei Versuche schon beim zweiten Versuch das Konto sperren.

Die ideale Lösung

Das Lync Team hat sich dieser Problematik schon mal für den Edge-Server angenommen, welcher als Einfallstor denkbar ist.

Aus meiner Sicht greift dies aber zu kurz, da auch Lync andere Dienste wie Autodiscover, EWS nutzt und auch die Lync Webservices per HTTPS mit Authentifizierung angesprochen werden. Eigentlich wäre es an der Zeit, dass die Domaincontroller, welche letztlich die fehlerhaften Anmeldungen protokollieren und das Konto sperren, dies etwas feiner Abstufen und erst mal Fehlversuche von den Clients bzw. Servern blocken und bei wiederholten Fehlversuchen das Konto dann doch sperren

Diagnose

Ob ihr Netzwerk "under Fire" ist, können Sie ohne Überwachung in der Regel an den Symptomen erkennen.

Dennoch bleibt die Sperrung von Konten durch unerlaubte externe Zugriffe eine latente Gefahr für Netzwerke. Auch wenn dadurch zwar keine Daten veruntreut werden, kann eine gezielte Sperrung von Konten mehr als nur etwas Verdruss erzeugen.

Weitere Links

Keywords:DoS Password Lockout