[infowar.de] heise online: RIPE NCC Ziel einer grossen DDOS-Attacke

[listen -! - fx3 - de]

Infowar.de, http://userpage.fu-berlin.de/~bendrath/liste.html
-------------------------------------------------------------

Diese Meldung aus dem heise online-Newsticker wurde Ihnen
von "listen -!
- fx3 -
 de" gesandt.
Wir weisen darauf hin, dass die Absenderangabe nicht verifiziert
ist. Sollten Sie Zweifel an der Authentizität des Absenders haben,
ignorieren Sie diese E-Mail bitte.
--------------------------------------------------------------------
Spekulieren kann man natuerlich viel, vor allem, wenn es einen der wenigen Root-Server ausserhalb des US-Hoheitsgebietes trifft. 
--------------------------------------------------------------------
RIPE NCC Ziel einer großen DDOS-Attacke



 Das Netz von RIPE NCC[1] in Amsterdam war heute Nachmittag Ziel einer
großangelegten Distributed Denial of Service Attacke. Wie Carsten
Schiefner, Sprecher bei RIPE NCC gegenüber heise online bestätigte, ist man
noch mit der Analyse des Angriffs beschäftigt. Die verschiedenen Dienste
wie der Whois-Server sind inzwischen allerdings wieder erreichbar. 

 Um 14 schrillten die Alarmglocken bei der IP-Nummern-Registry. "Bei dem
Angriff handelte es sich um eine ICMP Echo Attacke", erklärte Andrei
Robachevsky, CTO bei RIPE NCC, in einer ersten schriftlichen Stellungnahme.
Durch die dabei massenhaft gesendeten Pings waren die RIPE Homepage, die
RIPE Whois-Datenbank, der DNS-Server und der FTP-Server für mehr als zwei
Stunden nicht erreichbar. Noch um kurz nach 16 Uhr wandte sich das RIPE mit
Bitten an seine Peering-Partner, die entsprechenden Pakete auszufiltern.
Auf diese Weise, so Robachevsky, konnte der Angriff entschärft werden.
Gegen 16.30 Uhr, so die Auskunft, sein das RIPE-Netz erst einmal wieder
normal erreichbar gewesen.

 Über den oder die Angreifer und ihre Ziele kann man beim RIPE zum jetzigen
Zeitpunkt noch keine Angaben machen. Selbstverständlich habe man sich
bereits während des Angriffs auch sofort um die Rückverfolgung der Pakete
gekümmert, so Schiefner. Eine genaue Analyse werde aber noch dauern. Beim
SQL-Slammer hatte das RIPE NCC mit dem von ihm entwickelten Test Traffic
Measurment im Nachhinein zeigen können, dass die Beeinträchtigung vor allem
an die "Ränder" des Netzes und weniger die großen internationalen
Backbone-Strecken betrafen.

 Weitergehende Befürchtungen, dass der heutige Angriff auf das RIPE-Netz
dem vom RIPE NCC betriebenen K-Root-Server galt oder dafür lediglich als
Vorbereitung diente, sei eher unwahrscheinlich, so Schiefner. Zum einen
steht der K-Root Server in London und nicht in Amsterdam. Außerdem wäre in
diesem Fall die Art des Angriffs "als ob man mit Kanonen auf Spatzen
schießt". Die Ping-Flut lässt sich relativ einfach ausfiltern. Root-Servern
würde eher eine Flut gefälschter DNS-Anfragen zu schaffen machen. Auch die
Überlegung, dass ein Angreifer die eben eingeführte DNS-Server Software
Name Server Daemon habe testen wollen, scheide durch die Art des Angriffs
aus. Schiefner bezeichnete sie als Spekulation. 

 Erst seit knapp einer Woche läuft der K-Server mit NSD anstelle des
bekannten BIND. Man habe mit NSD für Diversität und damit eine geringere
Angreifbarkeit des DNS sorgen wollen, so Schiefner. Außerdem soll NSD durch
eigens auf den autoritativen Name-Serverbetrieb zugeschnittenes Design für
mehr Performanz sorgen. Für mehr Sicherheit des Root-Servers soll künftig
auch das Anycast-Modell für den K-Server sorgen. (Monika Ermert) /
(anw[2]/c't)

URL dieses Artikels:
 http://www.heise.de/newsticker/data/anw-27.02.03-010/

Links in diesem Artikel:
 [1] http://www.ripe.net/
 [2] mailto:anw -!
- ct -
 heise -
 de

--------------------------------------------------------------------
Copyright 2003 by Heise Zeitschriften Verlag

---------------------------------------------------------------
Liste verlassen: 
Mail an infowar -
 de-request -!
- infopeace -
 de mit "unsubscribe" im Text.