Wie der Name schon andeutet,
Ein Man-in-the-Middle-Angriff ist eine Art von Angriff, bei dem eine illegale Person versucht, die Kommunikation zwischen zwei Parteien abzufangen.
Entweder um die ausgetauschten kritischen Daten heimlich abzuhören oder zu stehlen, mit der Absicht, sie auszuspionieren oder die Kommunikation zu zerstören und die Daten zu beschädigen.
Wenn Sie versuchen, ein Gespräch zwischen zwei Entitäten zu belauschen, ohne dass diese davon erfahren, handelt es sich grundsätzlich um eine Art MAN-IN-THE-MIDDLE-ANGRIFF.
WAS GENAU IST EIN MAN-IN-THE-MIDDLE-ANGRIFF?
Aber bevor ich weiter auf Man-In-the-Middle-Angriffe eingehe, möchte ich, dass Sie sich umsehen!
Schauen Sie sich Ihre Smartphones, Geräte mit Internetzugang und alle Softwareanwendungen an, die Sie verwenden.
Was denken Sie? Was treibt all diese Dinge an?
DATEN! Richtig?
All diese Daten bewegen sich grenzenlos um uns herum. Von einer Quelle zum anderen sind sie keinerlei Beschränkungen unterworfen. Diese unbeobachtete Datenbewegung wirft große Fragen hinsichtlich der Privatsphäre und Sicherheit der Daten auf.
Haben Sie jemals darüber nachgedacht, diese Privatsphäre zu wahren?
Was wäre, wenn jemand bereits alle Ihre Daten auf Ihrem Telefon sieht oder Ihre privaten Informationen zu seinen eigenen Zwecken nutzt?
Während die Datenübertragung zwischen Client und Server stattfindet, platziert sich der Angreifer zwischen zwei Endpunkten der Kommunikation und stört die Datenübertragung, während er versucht, an die kritischen Informationen zu gelangen, die ausgetauscht werden.
Währenddessen denken Client und Server, dass sie miteinander interagieren, haben sie es tatsächlich mit dem Angreifer zu tun.
Erläuterung:
Nehmen wir an, A und B sind zwei Entitäten und C ist der Man-in-the-Middle. Wenn A und B nun Informationen miteinander austauschen möchten, fordert A von B einen öffentlichen Schlüssel an, sodass A verschlüsselte Daten senden kann, die nur mit diesem öffentlichen Schlüssel zugänglich sind, und nur B diese Informationen mit diesem Schlüssel öffnen kann. Sobald B seinen öffentlichen Schlüssel an A sendet, nimmt C in der Mitte diesen Schlüssel und sendet seinen eigenen öffentlichen Schlüssel an A.
A geht nun davon aus, dass der Schlüssel von B stammt, verschlüsselt die benötigten Daten und sendet sie erneut an B. C entschlüsselt diese Daten nun mit seinem eigenen öffentlichen Schlüssel, liest sie aus, ändert die Informationen entsprechend und sendet sie mit seinem öffentlichen Schlüssel an B, sodass B die Informationen entschlüsseln kann, vorausgesetzt, diese stammen direkt von A. Dieser Vorgang wird fortgesetzt. Weder A noch B erfahren, dass sie tatsächlich nicht miteinander kommunizieren.
Technisch gesehen wird immer dann eine TCP-Verbindung hergestellt, wenn zwei Parteien miteinander kommunizieren. Ein Angreifer teilt diese Verbindung in zwei Teile auf: eine Verbindung zwischen Angreifer und Client und eine zwischen Angreifer und Server, wobei der Angreifer als Proxy zwischen beiden fungiert. Eine weitere Möglichkeit für diesen Angriff ist ein Man-In-The-Browser-Angriff, bei dem ein Angreifer einen Bot auf Ihr System platziert, der alle Anmeldeinformationen und wichtigen Informationen aus Ihrem täglichen Web-Browsing sammelt und schließlich an den Angreifer sendet.
WIE FUNKTIONIERT DIESER ANGRIFF?
Angreifer sind immer auf der Suche nach einem anfälligen Netzwerk, in dem sie die Sicherheit verletzen und auf die Datenübertragung zugreifen können. Der Angriff erfolgt in zwei Phasen: Die erste Phase ist 'Abfangen' or „Verschlüsselung“ und der zweite ist 'Entschlüsselung'.
„Verschlüsselung“ und „Entschlüsselung“
Für das Abfangen eignen sich öffentliche Orte wie Bahnhöfe, Flughäfen usw. am besten, da dort kostenloses WLAN verfügbar ist (die Leute lieben kostenlose Dinge einfach). Angreifer versuchen, ein schlecht gesichertes Netzwerk zu finden und nach Schwachstellen zu suchen. Der Angreifer befindet sich zwischen dem Client-Computer des Opfers und dem Server, um die Daten abzufangen und platziert die notwendigen Tools, um an die ausgetauschten kritischen Informationen zu gelangen, die das Opfer für sicher hält. Die abgefangenen Daten müssen nun entschlüsselt werden. Nun kommt die Entschlüsselung ins Spiel, bei der die Daten entschlüsselt und weiterverarbeitet werden.
Zu kurz, oder? Es ist schließlich nur eine kurze Erklärung, um einen kleinen Eindruck zu bekommen. Lassen Sie es uns nun Schritt für Schritt verstehen.
Es gibt noch weitere Möglichkeiten, Angriffe auf die Netzwerksicherheit durchzuführen. Lassen Sie uns einige dieser Angriffe kurz besprechen:
Beispiele ~
1. Schnüffeln:
Dabei handelt es sich um einen Prozess zur Analyse und Erfassung von Datenpaketen mit vertraulichen Informationen, die von einem Netzwerk zum anderen fließen. Die Daten fließen in Form kleiner Datenpakete von der Quelle zum Ziel, und Angreifer können auf diese Datenströme zugreifen und die für den Angriff erforderlichen privaten Informationen abgreifen.
2. Paketinjektion:
Bei dieser Technik stört der Angreifer das bestehende Netzwerk, indem er sein eigenes Paket in den regulären Datenfluss zwischen vertrauenswürdigen Einheiten einfügt, um zu verhindern, dass böswillige Aktivitäten übersehen oder ignoriert werden. Diese Art der Störung des Paketprozesses wird bei DDoS- und Man-In-The-Middle-Angriffen verwendet.
3. Sitzungsentführung:
Wenn sich ein Benutzer bei einer Website anmeldet, sendet er über seinen Browser eine Anfrage an den Server der aufgerufenen Website. Die Anfrage wird analysiert, eine Antwort über das Netzwerk an den Benutzer gesendet und eine Sitzung für den Zugriff auf die Website eingerichtet. Währenddessen versucht der Angreifer, diese Sitzung zu kapern. Er kann sie abfangen und die für einen erfolgreichen Angriff erforderlichen privaten Informationen abgreifen.
4. SSL-Stripping:
Angreifer nutzen dieses Verfahren, um die für sichere Verbindungen verwendete SSL/TLS-Verschlüsselung zu entfernen und die Netzwerkverbindung des Benutzers von HTTPS auf HTTP umzustellen. Das Opfer ist durch den Wechsel von einer sicheren zu einer ungesicherten Verbindung anfällig. Für den Angreifer ist es ein Leichtes, das Opfer in seine eigene Umgebung zu drängen und dort Informationen des Opfers zu extrahieren. KRACK und MITM sind einige der Angriffe, die mit der SSL-Stripping-Methode durchgeführt werden.
WIE KANN MAN SICH VOR DIESEN ANGRIFFEN SCHÜTZEN?
Im Folgenden sind einige der Schritte aufgeführt, die wir unternehmen können, um solche Cyberangriffe zu verhindern:
-
Verwenden Sie eine HTTPS-Verbindung über HTTP, da HTTPS sicherer ist und eine zuverlässige Möglichkeit bietet, eine Verbindung zu jedem Netzwerk herzustellen.
-
Halten Sie Browser-Cookies und Cache leer, um zu verhindern, dass Angreifer Informationen aus diesen Ressourcen stehlen.
-
Verwendung von HSTS über HTTPS. Diese Webserver-Direktive zwingt jede Web-App, eine Verbindung mit HTTPS herzustellen und alle anderen Inhalte zu blockieren, die das HTTP-Protokoll verwenden.
-
Klicken Sie nicht auf unnötige E-Mails und Werbung.
-
Verwenden Sie keinen ungesicherten öffentlichen WLAN-Zugang und tätigen Sie keine Zahlungen darüber.
-
Halten Sie die erforderlichen Sicherheitstools immer auf dem neuesten Stand, um Ihr System zu schützen.
-
Sorgen Sie stets für die Sicherheit Ihres Arbeitsnetzwerks.
-
Laden Sie niemals Raubkopien von Daten herunter.
SEQRITE Unified Threat Machine: IPS
Angrifferkennungssystem
IPS ist ein Netzwerksicherheitssystem, das das Netzwerk Ihres Unternehmens vor externen Angriffen, Eindringversuchen, Malware und Bedrohungen schützt. Es überwacht den eingehenden Netzwerkverkehr, identifiziert potenzielle Bedrohungen und reagiert entsprechend den festgelegten Regeln. Dabei werden als schädlich eingestufte Pakete verworfen und der gesamte weitere Datenverkehr von dieser IP-Adresse oder diesem Port blockiert.
Seqrite UTM verfügt über eine Funktion namens AngrifferkennungssystemEs überwacht und blockiert Schwachstellen, die Angreifer nutzen, um eine Anwendung oder einen Rechner zu unterbrechen und die Kontrolle zu erlangen. Es besteht aus einem vorkonfigurierten Satz eingebetteter Signaturen, die mit den Signaturen der eingehenden Datenpakete übereinstimmen. Stimmt eine eingehende Signatur mit einer vorhandenen überein, verwirft das IPS das Paket oder richtet eine Alarmmeldung ein.rm.
Funktionserklärung
Das Bild unten zeigt den Status von IPS und verschiedene Einstellungen, die unter IPS fallen, sowie die relevanten Informationen wie
- Vorgesehene Aktion.
- Warnen oder verwerfen Sie das verdächtige Paket.
- Anzahl der Vorkommen und Beschreibung.
Möglicherweise müssen Sie Ihrer vorhandenen Signaturliste neue Signaturen hinzufügen. In Seqrite UTM IPS: Sie können Ihre eigenen benutzerdefinierten Signaturen hinzufügen. Sie können dies über die Registerkarte „Erweitert“ auf der IPS-Seite tun.
Ihr Unternehmen muss möglicherweise den gesamten eingehenden, ausgehenden und Intranet-Verkehr überwachen. Mit dieser Funktion können Sie alle oder einzelne Verkehrstypen überwachen.
REFERENZEN
a) thesslstore.com
b) veracode.com
c) securebox.comodo.com
d) Man-In-The-Middle-Attack Prevention Using HTTPS and SSL, IJCSMC, Vol. 5, Issue. 6, Juni 2016, S. 569 – 579
