Honigtöpfe - Cybercrime in der Cloud

Mit dem Begriff Honigtöpfe meint man in der IT Sicherheit natürlich nicht die mit dem süßen Produkt der Bienen gefüllten Gefäße. In der IT Sicherheit stehen Honigtöpfe für Systeme, die ein Angriffsziel lediglich imitieren. Ähnlich wie die realen Honigtöpfe eine Anziehungskraft auf Bienen ausüben, sollen Honigtöpfe oder auch „Honeypots“ im Sinne der IT Sicherheit Cyberkriminelle anlocken, indem Sie ein leichtes Angriffsziel imitieren. Sie werden überrascht sein, wie anziehend solche Cloud-Server-Honeypots in einem Versuch von Sophos waren!

Honigtöpfe in der Cloud

Wie bereits erwähnt imitieren Honigtöpfe leichte Angriffsziele, um so Cyberkriminelle anzulocken, deren Angriffe dann analysiert werden können. Cloud-Server bieten sich hierbei gut an. Ein Team von Sophos hat für die Studie „Exposed: Cyberattacks on Cloud Honeypots“ zehn Cloud-Server-Honeypots ins Netz gestellt. Dafür wurden 10 Amazon-Web-Services-Datenzentren auf der ganzen Welt ausgewählt und nach 30 Tagen das cyberkriminelle Treiben ausgewertet.

Dabei wurde der SSH-Dienst simuliert, um zu messen, welche Anmeldeversuche erfolgten. SSH steht für Secure-Shell und stellt eine Möglichkeit dar, mit der man mit entfernten Geräten eine verschlüsselte Verbindung aufbauen kann. Damit kann dann auf entfernte Daten zugegriffen werden oder die Geräte können aus der Ferne konfiguriert werden. Zuletzt sei noch erwähnt, dass das Sophos-Team bei der Konfiguration der Honeypots die werksseitig bereits voreingestellten Standardbenutzernamen sowie die entsprechenden Passwörter beibehalten hat.

Wie reagierten die Cyberkriminellen?

Insgesamt kamen innerhalb von 30 Tagen über 5 Millionen Angriffsversuche zusammen. Nicht einmal eine Minute nachdem die Honeypots im Netz waren, fand schon die erste Attacke statt. Auch die anderen Honeypots wurden spätestens nach einigen Minuten bzw. nach ca. 1,5 Stunden attackiert. Im Schnitt wurden die Cloud-Server-Honeypots rund 750 Mal pro Stunde angegriffen. Das entspricht ungefähr 13 Angriffsversuchen pro Minute!

Wichtig sind die vorhin erwähnten Werkseinstellungen, die nicht geändert wurden. Die Cyberkriminellen haben anscheinend genau darauf gesetzt und benutzten für ihre Anmeldeversuche Standardbenutzernamen bzw. unsichere Passwörter. Es sei erwähnt, dass die Zahlenfolge „123456“ weltweit am häufigsten für einen Angriffsversuch benutzt wurde!

Fazit

Wieder einmal hat eine Studie gezeigt, welches Ausmaß Cyberkriminalität angenommen hat. Erstaunliche Angriffsgeschwindigkeiten und –frequenzen zeigen, dass es sich bei den Cyberkriminellen nicht um irgendwelche Hobby-Hacker sondern professionelle Angestellte einer ganz eigenen Industrie handelt. BRANDMAUER IT Security kann bei solchen Zahlen bezüglich Angriffen auf Cloud-Server nur eindringlich dazu mahnen, auf keinen Fall die werksseitig voreingestellten Benutzernamen und Passwörter zu behalten, sondern diese sofort zu ändern! Das gilt übrigens nicht nur für Unternehmen, sondern auch für den privaten Gebrauch. Smart-Home-Geräte beispielsweise müssen ebenfalls schnellstmöglich mit einem neuen Benutzernamen und einem sicheren Passwort versehen werden. Für Unternehmen gilt, dass eine gute IT Sicherheitsstrategie bzw. eine starke allgemeine IT Sicherheit im Unternehmen die Basis sein sollte, auf der Cloud-Technologien eingesetzt werden. Wenn Sie hier Unterstützung brauchen, kontaktieren Sie uns!