# 16.4 Netzwerkangriffe: DoS, DDoS, Spoofing und Man-in-the-Middle Netzwerkangriffe richten sich gegen Kommunikation, Erreichbarkeit, Identitäten oder Datenübertragung in Netzwerken. Sie können auf verschiedenen OSI-Schichten stattfinden. Typische Netzwerkangriffe sind: - DoS - DDoS - Man-in-the-Middle - ARP-Spoofing - DNS-Spoofing - IP-Spoofing - MAC-Spoofing - Sniffing - Session Hijacking - Rogue DHCP - Evil Twin - WLAN-Angriffe Merksatz: Netzwerkangriffe nutzen Schwächen in Kommunikation, Adressierung, Namensauflösung oder Erreichbarkeit aus. --- **Warum Netzwerkangriffe gefährlich sind** Netzwerke verbinden Systeme miteinander. Wenn ein Angreifer Netzwerkkommunikation beeinflusst, kann er unter Umständen: Daten mitlesen Daten verändern Benutzer auf falsche Ziele lenken Dienste überlasten Verbindungen unterbrechen Zugangsdaten abgreifen Sitzungen übernehmen interne Systeme erreichen Kommunikation manipulieren Merksatz: Wer Netzwerkverkehr kontrolliert, kann viele weitere Angriffe vorbereiten. --- **DoS** DoS steht für: Denial of Service Denial of Service bedeutet: Ein Dienst wird absichtlich so gestört, dass er nicht mehr nutzbar ist. Ziel: Verfügbarkeit angreifen Beispiele: Webserver antwortet nicht mehr. Anwendung ist überlastet. Netzwerkleitung ist voll. Firewall ist überfordert. Datenbank nimmt keine Verbindungen mehr an. Merksatz: DoS greift die Verfügbarkeit an. --- **DoS einfach erklärt** Ein Dienst kann nur eine begrenzte Menge an Anfragen verarbeiten. Wenn ein Angreifer sehr viele Anfragen sendet, kann der Dienst überlastet werden. Folge: normale Benutzer können den Dienst nicht mehr nutzen. Merksatz: DoS bedeutet: Dienst wird durch Störung oder Überlastung unbenutzbar. --- **DDoS** DDoS steht für: Distributed Denial of Service Distributed bedeutet: verteilt Bei DDoS kommt der Angriff von vielen Systemen gleichzeitig. Häufig werden Botnetze genutzt. Merksatz: DDoS ist ein verteilter DoS-Angriff. --- **DoS und DDoS vergleichen** | Merkmal | DoS | DDoS | |---|---|---| | Angriffsquelle | eine oder wenige Quellen | viele verteilte Quellen | | Abwehr | oft einfacher | deutlich schwieriger | | typische Technik | Überlastung oder Störung | massenhafte verteilte Überlastung | | Ziel | Verfügbarkeit | Verfügbarkeit | Merksatz: DoS = Dienstverweigerung. DDoS = verteilte Dienstverweigerung. --- **Typische DDoS-Ziele** DDoS-Angriffe richten sich häufig gegen: Webseiten Online-Shops DNS-Server VPN-Gateways Firewalls Load Balancer APIs Gaming-Server Cloud-Dienste Unternehmensanschlüsse Merksatz: DDoS trifft oft öffentlich erreichbare Dienste. --- **DDoS-Angriffsarten** DDoS kann unterschiedliche Ebenen treffen. Beispiele: Volumenangriff: Leitung wird mit Datenverkehr überlastet. Protokollangriff: Netzwerk- oder Transportprotokolle werden ausgenutzt. Anwendungsschichtangriff: Webanwendung wird mit vielen echten oder scheinbar echten Anfragen belastet. Merksatz: DDoS kann Leitung, Protokoll oder Anwendung treffen. --- **Volumenangriff** Ein Volumenangriff versucht, möglichst viel Datenverkehr zu erzeugen. Ziel: Bandbreite überlasten Beispiele: sehr viele UDP-Pakete große Datenmengen reflektierter Verkehr Folge: legitimer Verkehr kommt nicht mehr durch. Merksatz: Volumenangriff überlastet die Bandbreite. --- **Protokollangriff** Ein Protokollangriff nutzt Eigenschaften von Netzwerkprotokollen aus. Ziel: Netzwerkgeräte, Firewalls, Load Balancer oder Serverzustände überlasten Beispiele: viele halboffene Verbindungen viele Verbindungsversuche ausgenutzte Protokollmechanismen Merksatz: Protokollangriff belastet Netzwerk- oder Transportmechanismen. --- **Anwendungsschichtangriff** Ein Anwendungsschichtangriff richtet sich gegen Dienste auf OSI-Schicht 7. Beispiele: viele HTTP-Anfragen teure Suchanfragen Loginversuche API-Anfragen Warenkorbaktionen Datenbanklast durch Webanfragen Problem: Der Angriff kann wie normaler Benutzerverkehr aussehen. Merksatz: Anwendungsschichtangriffe sind oft schwerer von echter Nutzung zu unterscheiden. --- **Reflexionsangriff** Bei einem Reflexionsangriff sendet der Angreifer Anfragen an fremde Server und fälscht dabei die Absenderadresse des Opfers. Die fremden Server antworten dann an das Opfer. Beispiele für missbrauchte Dienste: DNS NTP Memcached SSDP andere UDP-basierte Dienste Merksatz: Reflexionsangriff lenkt Antworten fremder Systeme auf das Opfer. --- **Amplification** Amplification bedeutet: Verstärkung Der Angreifer sendet eine kleine Anfrage, die eine deutlich größere Antwort erzeugt. Wenn die Antwort an das Opfer geht, wird der Angriff verstärkt. Merksatz: Amplification macht aus kleinen Anfragen große Angriffsdatenmengen. --- **Schutz vor DoS und DDoS** Mögliche Schutzmaßnahmen: DDoS-Schutzdienst Provider-Unterstützung Content Delivery Network Load Balancer Rate Limiting Anycast Firewall-Regeln Web Application Firewall Skalierung Monitoring Notfallplan Blackholing als Notmaßnahme Merksatz: DDoS-Schutz braucht Vorbereitung, weil man im Angriff oft wenig Zeit hat. --- **Rate Limiting** Rate Limiting begrenzt, wie viele Anfragen in einer bestimmten Zeit erlaubt sind. Beispiele: maximal 100 Anfragen pro Minute pro IP maximal 5 Loginversuche pro Minute API-Limit pro Benutzer Vorteil: automatisierte Überlastung wird erschwert. Merksatz: Rate Limiting begrenzt Anfragehäufigkeit. --- **Anycast** Anycast bedeutet: dieselbe IP-Adresse wird an mehreren Standorten angekündigt. Der Verkehr wird zum nächstgelegenen oder passenden Standort geleitet. Vorteil bei DDoS: Angriffslast kann verteilt werden. Merksatz: Anycast verteilt Verkehr auf mehrere Standorte. --- **Blackholing** Blackholing bedeutet: Verkehr zu einem Ziel wird verworfen. Das kann bei DDoS als Notmaßnahme genutzt werden. Nachteil: Der angegriffene Dienst ist dann ebenfalls nicht erreichbar. Merksatz: Blackholing schützt Infrastruktur, macht den Dienst aber meist unerreichbar. --- **Man-in-the-Middle** Man-in-the-Middle wird oft abgekürzt: MitM Dabei positioniert sich ein Angreifer zwischen zwei Kommunikationspartnern. Ziele: Daten mitlesen Daten verändern Anmeldedaten abgreifen Sitzung übernehmen Zertifikatswarnungen ausnutzen Benutzer auf falsche Dienste lenken Merksatz: MitM bedeutet: Angreifer sitzt zwischen Sender und Empfänger. --- **Man-in-the-Middle einfach erklärt** Normale Kommunikation: Client ↔ Server Mit Man-in-the-Middle: Client ↔ Angreifer ↔ Server Der Benutzer glaubt, direkt mit dem Server zu kommunizieren. Tatsächlich läuft die Kommunikation über den Angreifer. Merksatz: Bei MitM wird Kommunikation heimlich zwischengeschaltet. --- **Typische MitM-Szenarien** Beispiele: unsicheres WLAN gefälschter Access Point ARP-Spoofing im lokalen Netz DNS-Spoofing manipuliertes Gateway kompromittierter Router Proxy-Angriff gefälschtes Zertifikat Session-Cookie-Diebstahl Merksatz: MitM kann über WLAN, LAN, DNS, Router oder Zertifikate entstehen. --- **Schutz vor Man-in-the-Middle** Maßnahmen: TLS korrekt nutzen HTTPS erzwingen Zertifikatswarnungen nicht ignorieren VPN in unsicheren Netzen HSTS bei Webseiten sichere WLAN-Konfiguration ARP-Schutz in Switches DNSSEC je nach Einsatz sichere DNS-Resolver MFA Session-Cookies schützen Merksatz: TLS schützt nur dann, wenn Zertifikate korrekt geprüft werden. --- **Sniffing** Sniffing bedeutet: Netzwerkverkehr wird mitgeschnitten oder beobachtet. Legitime Nutzung: Fehlersuche Protokollanalyse Performanceanalyse Sicherheitsanalyse Missbrauch: Passwörter abfangen Daten mitlesen interne Kommunikation analysieren Sitzungen übernehmen Schwachstellen finden Merksatz: Sniffing ist ein Werkzeug, das für Analyse oder Angriff genutzt werden kann. --- **Sniffing und Verschlüsselung** Unverschlüsselter Verkehr kann direkt lesbar sein. Beispiele für riskanten Klartextverkehr: HTTP Telnet FTP POP3 ohne TLS IMAP ohne TLS SMTP ohne TLS alte Protokolle Verschlüsselter Verkehr schützt Inhalte besser. Beispiele: HTTPS SSH SFTP FTPS IMAPS SMTPS VPN Merksatz: Verschlüsselung reduziert den Schaden durch Sniffing. --- **Spoofing** Spoofing bedeutet: Eine falsche Identität, Adresse oder Herkunft wird vorgetäuscht. Typische Arten: IP-Spoofing MAC-Spoofing ARP-Spoofing DNS-Spoofing E-Mail-Spoofing Merksatz: Spoofing täuscht Herkunft oder Identität vor. --- **IP-Spoofing** IP-Spoofing bedeutet: Der Angreifer fälscht die Quell-IP-Adresse. Ziele: Herkunft verschleiern Reflexionsangriffe ermöglichen Filter umgehen Vertrauen in IP-Adressen ausnutzen Grenze: Bei TCP-Verbindungen ist IP-Spoofing schwieriger, weil Antworten an die gefälschte Adresse gehen. Merksatz: IP-Spoofing fälscht die Quell-IP-Adresse. --- **MAC-Spoofing** MAC-Spoofing bedeutet: Ein Gerät gibt sich mit einer anderen MAC-Adresse aus. Mögliche Ziele: MAC-Filter umgehen Identität im LAN vortäuschen Netzwerkzugang erschleichen Geräteverwechslung erzeugen Merksatz: MAC-Adressen können gefälscht werden und sind kein starker Sicherheitsnachweis. --- **ARP** ARP steht für: Address Resolution Protocol ARP ordnet im lokalen IPv4-Netz eine IP-Adresse einer MAC-Adresse zu. Beispiel: Welche MAC-Adresse hat 192.168.1.1? Antwort: 192.168.1.1 hat MAC-Adresse aa:bb:cc:dd:ee:ff Merksatz: ARP verbindet IPv4-Adressen mit MAC-Adressen im lokalen Netz. --- **ARP-Spoofing** ARP-Spoofing manipuliert ARP-Zuordnungen im lokalen Netz. Angreifer behauptet zum Beispiel: Ich bin das Gateway. Dann senden Clients ihren Verkehr an den Angreifer. Mögliche Folgen: Man-in-the-Middle Sniffing Sitzungsdiebstahl Verbindungsstörung Merksatz: ARP-Spoofing greift lokale Layer-2-Kommunikation an. --- **Schutz vor ARP-Spoofing** Maßnahmen: Dynamic ARP Inspection DHCP Snooping statische ARP-Einträge in Sonderfällen Netzwerksegmentierung Switch-Sicherheitsfunktionen Verschlüsselung durch TLS Monitoring auf ARP-Anomalien Merksatz: Gegen ARP-Spoofing helfen Switch-Schutzfunktionen und Verschlüsselung. --- **DNS** DNS steht für: Domain Name System DNS löst Namen in IP-Adressen auf. Beispiel: www.example.de → 203.0.113.10 Merksatz: DNS übersetzt Namen in IP-Adressen. --- **DNS-Spoofing** DNS-Spoofing manipuliert die Namensauflösung. Ziel: Benutzer wird zu falscher IP-Adresse geleitet. Beispiel: Benutzer ruft eine echte Domain auf, landet aber auf einer gefälschten Webseite. Mögliche Folgen: Phishing Malware-Verteilung Man-in-the-Middle Datenabfluss Merksatz: DNS-Spoofing führt Namen zu falschen Zielen. --- **DNS-Cache-Poisoning** DNS-Cache-Poisoning bedeutet: falsche DNS-Antworten werden in einem DNS-Cache gespeichert. Folge: Mehrere Benutzer erhalten falsche DNS-Antworten, bis der Cache abläuft oder korrigiert wird. Merksatz: DNS-Cache-Poisoning vergiftet zwischengespeicherte DNS-Antworten. --- **Schutz vor DNS-Spoofing** Maßnahmen: vertrauenswürdige DNS-Resolver DNSSEC DNS-over-TLS oder DNS-over-HTTPS je nach Umgebung Monitoring ungewöhnlicher DNS-Antworten TLS-Zertifikatsprüfung keine unbekannten DNS-Server per DHCP erlauben sichere Router- und DHCP-Konfiguration Merksatz: DNS-Schutz und TLS-Prüfung ergänzen sich. --- **DNSSEC** DNSSEC steht für: Domain Name System Security Extensions DNSSEC ermöglicht kryptografische Prüfung von DNS-Antworten. Ziel: Manipulation von DNS-Antworten erkennbar machen. Wichtig: DNSSEC verschlüsselt DNS-Anfragen nicht automatisch. Es prüft vor allem Echtheit und Integrität. Merksatz: DNSSEC schützt DNS-Integrität, aber nicht automatisch DNS-Vertraulichkeit. --- **Rogue DHCP** Rogue DHCP bedeutet: Ein nicht autorisierter DHCP-Server verteilt Netzwerkeinstellungen. Mögliche Folgen: falsches Gateway falscher DNS-Server falsche IP-Konfiguration Man-in-the-Middle Netzwerkstörungen Merksatz: Rogue DHCP verteilt falsche Netzwerkkonfiguration. --- **Schutz vor Rogue DHCP** Maßnahmen: DHCP Snooping Switchports absichern ungenutzte Ports deaktivieren Netzwerksegmentierung Monitoring physische Zugangskontrolle nur autorisierte DHCP-Server zulassen Merksatz: DHCP Snooping schützt vor unautorisierten DHCP-Servern. --- **DHCP Snooping** DHCP Snooping ist eine Switch-Sicherheitsfunktion. Sie unterscheidet: vertrauenswürdige Ports und nicht vertrauenswürdige Ports DHCP-Antworten sind nur auf vertrauenswürdigen Ports erlaubt. Merksatz: DHCP Snooping verhindert DHCP-Antworten von falschen Ports. --- **Session Hijacking** Session Hijacking bedeutet: Ein Angreifer übernimmt eine bestehende Sitzung. Mögliche Wege: Session-Cookie stehlen Token stehlen XSS Malware Man-in-the-Middle unsichere Verbindung kompromittiertes Endgerät Merksatz: Session Hijacking übernimmt eine laufende Anmeldung. --- **Schutz vor Session Hijacking** Maßnahmen: HTTPS überall HttpOnly Cookies Secure Cookies SameSite Cookies kurze Session-Laufzeiten Session-Rotation nach Login Schutz vor XSS MFA Geräte- und Standortprüfung Logout-Funktion Token widerrufen können Merksatz: Sitzungen müssen genauso geschützt werden wie Passwörter. --- **WLAN-Angriffe** WLAN ist besonders angreifbar, weil Funk nicht an Wände gebunden ist. Typische Risiken: schwache Verschlüsselung unsichere Passwörter Evil Twin Rogue Access Point unsichere Gastnetze Abhören unverschlüsselter Verbindungen Deauthentication-Angriffe falsche Captive Portals Merksatz: WLAN braucht starke Verschlüsselung und saubere Trennung. --- **Evil Twin** Ein Evil Twin ist ein gefälschter WLAN-Access-Point, der wie ein echtes WLAN aussieht. Ziel: Benutzer verbinden sich mit dem falschen WLAN. Folgen: Man-in-the-Middle Phishing Datenmitschnitt falsche Loginseiten Malware-Verteilung Merksatz: Evil Twin imitiert ein echtes WLAN. --- **Rogue Access Point** Ein Rogue Access Point ist ein nicht autorisierter Access Point im Netzwerk. Beispiele: Mitarbeiter steckt eigenen WLAN-Router an. Angreifer platziert Access Point im Gebäude. falsch konfigurierte Geräte öffnen WLAN. Risiko: Sicherheitsregeln werden umgangen. internes Netz wird unkontrolliert erreichbar. Merksatz: Rogue Access Point ist ein unerlaubter WLAN-Zugangspunkt. --- **Schutz vor WLAN-Angriffen** Maßnahmen: WPA2-Enterprise oder WPA3 nutzen starke Passwörter Gastnetz vom internen Netz trennen 802.1X Zertifikatsprüfung Rogue-AP-Erkennung regelmäßige WLAN-Überprüfung sichere Captive-Portals VPN in unsicheren WLANs keine offenen internen WLANs Merksatz: WLAN-Sicherheit braucht Verschlüsselung, Authentifizierung und Segmentierung. --- **802.1X** 802.1X ist ein Standard für netzwerkbasierte Zugangskontrolle. Er wird genutzt bei: LAN WLAN Enterprise-Netzen Grundidee: Gerät oder Benutzer muss sich authentifizieren, bevor Netzwerkzugriff erlaubt wird. Merksatz: 802.1X kontrolliert Netzwerkzugang vor der Freigabe. --- **Netzwerksegmentierung gegen Angriffe** Segmentierung trennt Netzbereiche voneinander. Beispiele: Clientnetz Servernetz Gastnetz Managementnetz Produktionsnetz Backupnetz WLAN-Gastnetz IoT-Netz Vorteil: Angriffe können sich schlechter ausbreiten. Zugriffe können gezielter gefiltert werden. Merksatz: Segmentierung begrenzt Schaden und Ausbreitung. --- **Firewall-Regeln gegen Netzwerkangriffe** Firewalls begrenzen, welche Kommunikation erlaubt ist. Gute Regeln sind: so eng wie möglich dokumentiert begründet regelmäßig geprüft nach Quelle, Ziel, Port und Protokoll definiert Merksatz: Firewall-Regeln sollen erlauben, was nötig ist, und blockieren, was nicht nötig ist. --- **IDS und IPS gegen Netzwerkangriffe** IDS: erkennt verdächtigen Netzwerkverkehr und meldet ihn IPS: erkennt verdächtigen Netzwerkverkehr und kann ihn blockieren Beispiele für Erkennung: Portscans bekannte Angriffssignaturen ungewöhnlicher Datenverkehr Exploit-Versuche verdächtige DNS-Anfragen Merksatz: IDS erkennt. IPS blockiert zusätzlich. --- **Netzwerk-Monitoring** Netzwerk-Monitoring hilft, Angriffe und Störungen zu erkennen. Überwacht werden können: Bandbreite Paketverlust Latenz ungewöhnliche Verbindungen DNS-Anfragen Firewall-Drops VPN-Zugriffe ARP-Anomalien DHCP-Anomalien Portscans DDoS-Anzeichen Merksatz: Netzwerk-Monitoring erkennt Auffälligkeiten im Datenverkehr. --- **Typische Anzeichen für Netzwerkangriffe** Mögliche Hinweise: plötzlich sehr hohe Netzwerklast viele fehlgeschlagene Verbindungen ungewöhnliche DNS-Antworten Benutzer landen auf falschen Webseiten Zertifikatswarnungen viele Loginversuche unbekannte DHCP-Server doppelte IP-Adressen ungewöhnliche ARP-Einträge unbekannte Access Points viele Firewall-Drops Merksatz: Netzwerkangriffe zeigen sich oft durch ungewöhnliche Muster. --- **Fehlersuche bei Verdacht auf Netzwerkangriff** Sinnvolle Reihenfolge: 1. Betroffene Systeme bestimmen. 2. Zeitpunkt eingrenzen. 3. Änderungen prüfen. 4. Netzwerklogs prüfen. 5. Firewall-Logs prüfen. 6. DNS prüfen. 7. DHCP prüfen. 8. ARP-Tabelle prüfen. 9. Routing prüfen. 10. Paketmitschnitt erstellen. 11. Benutzerberichte vergleichen. 12. Angriff eingrenzen. 13. Schutzmaßnahmen aktivieren. 14. Vorfall dokumentieren. Merksatz: Netzwerkangriffe systematisch mit Logs, Tabellen, Routen und Mitschnitten untersuchen. --- **Typische Schutzmaßnahmen gegen Netzwerkangriffe** Wichtige Maßnahmen: Firewall IDS IPS Netzwerksegmentierung VLANs sichere WLAN-Konfiguration WPA2-Enterprise oder WPA3 802.1X DHCP Snooping Dynamic ARP Inspection DNSSEC je nach Einsatz TLS VPN DDoS-Schutz Rate Limiting Monitoring Logging Patchmanagement sichere Router- und Switch-Konfiguration Merksatz: Netzwerkangriffsschutz besteht aus Technik, Konfiguration Überwachung und klaren Regeln. --- **Typische IHK-Fragen** In AP1 und AP2 kann zum Beispiel gefragt werden: - Was ist ein DoS-Angriff? - Was ist ein DDoS-Angriff? - Was ist der Unterschied zwischen DoS und DDoS? - Was ist ein Man-in-the-Middle-Angriff? - Was bedeutet Sniffing? - Was bedeutet Spoofing? - Was ist IP-Spoofing? - Was ist MAC-Spoofing? - Was ist ARP-Spoofing? - Was ist DNS-Spoofing? - Was ist DNS-Cache-Poisoning? - Was ist DNSSEC? - Was ist Rogue DHCP? - Was ist DHCP Snooping? - Was ist Session Hijacking? - Was ist ein Evil Twin? - Was ist ein Rogue Access Point? - Wie schützt Netzwerksegmentierung gegen Angriffe? - Was ist der Unterschied zwischen IDS und IPS? - Welche Schutzmaßnahmen helfen gegen DDoS? --- **Typische Prüfungsfallen** DoS und DDoS unterscheiden. DDoS ist verteilt. DoS greift Verfügbarkeit an. MitM sitzt zwischen Kommunikationspartnern. Sniffing ist nicht automatisch Angriff, kann aber missbraucht werden. Spoofing täuscht Identität oder Herkunft vor. ARP-Spoofing betrifft lokale IPv4-Netze. DNS-Spoofing führt Namen zu falschen IP-Adressen. DNSSEC schützt Integrität, nicht automatisch Vertraulichkeit. Rogue DHCP verteilt falsche Netzwerkeinstellungen. DHCP Snooping schützt vor falschen DHCP-Servern. Session Hijacking betrifft laufende Sitzungen. WLAN ist wegen Funkreichweite besonders zu schützen. Evil Twin imitiert ein echtes WLAN. Rogue Access Point ist ein unerlaubter Access Point. MAC-Filter allein ist keine starke Sicherheit. TLS-Zertifikatswarnungen nicht ignorieren. Segmentierung begrenzt Ausbreitung. IDS erkennt, IPS blockiert zusätzlich. DDoS-Schutz muss vorbereitet sein. --- **Wichtige Begriffe kurz erklärt** | Begriff | Kurze Erklärung | |---|---| | DoS | Dienstverweigerung | | DDoS | verteilte Dienstverweigerung | | Botnet | viele fremdgesteuerte Systeme | | Volumenangriff | Überlastung durch Datenmenge | | Protokollangriff | Ausnutzung von Protokollmechanismen | | Anwendungsschichtangriff | Überlastung einer Anwendung | | Reflexionsangriff | Antworten fremder Systeme treffen Opfer | | Amplification | Verstärkung kleiner Anfragen | | Rate Limiting | Begrenzung von Anfragen | | Anycast | gleiche IP an mehreren Standorten | | Blackholing | Verwerfen von Verkehr | | MitM | Man-in-the-Middle | | Sniffing | Mitschneiden von Netzwerkverkehr | | Spoofing | Vortäuschen falscher Identität | | IP-Spoofing | gefälschte Quell-IP | | MAC-Spoofing | gefälschte MAC-Adresse | | ARP | Zuordnung IPv4 zu MAC im LAN | | ARP-Spoofing | Manipulation von ARP-Zuordnungen | | DNS | Namensauflösung | | DNS-Spoofing | Manipulation von DNS-Antworten | | DNS-Cache-Poisoning | falsche DNS-Antwort im Cache | | DNSSEC | Schutz der DNS-Integrität | | Rogue DHCP | unautorisierter DHCP-Server | | DHCP Snooping | Schutz vor falschen DHCP-Servern | | Session Hijacking | Übernahme einer laufenden Sitzung | | Evil Twin | gefälschter WLAN-Access-Point | | Rogue Access Point | unerlaubter Access Point | | 802.1X | Netzwerkzugangskontrolle | | IDS | Angriffserkennung | | IPS | Angriffserkennung mit Blockierung | --- **IHK-sichere Kurzformulierung** Netzwerkangriffe richten sich gegen Kommunikation, Erreichbarkeit, Adressierung oder Namensauflösung in Netzwerken. DoS und DDoS greifen die Verfügbarkeit von Diensten an, wobei DDoS von vielen verteilten Quellen ausgeht. Bei einem Man-in-the-Middle-Angriff befindet sich ein Angreifer zwischen zwei Kommunikationspartnern und kann Daten mitlesen oder manipulieren. Spoofing täuscht Identität oder Herkunft vor, zum Beispiel durch gefälschte IP-, MAC-, ARP- oder DNS-Informationen. Schutzmaßnahmen sind Firewalls, IDS/IPS, Netzwerksegmentierung, sichere WLAN-Konfiguration, TLS, VPN, DNSSEC, DHCP Snooping, Dynamic ARP Inspection, DDoS-Schutz, Rate Limiting, Monitoring und Logging. --- **Merksätze** Netzwerkangriffe treffen Kommunikation und Erreichbarkeit. DoS greift Verfügbarkeit an. DDoS ist verteilter DoS. DDoS-Schutz muss vorbereitet sein. Volumenangriff überlastet Bandbreite. Protokollangriff belastet Netzwerkmechanismen. Anwendungsschichtangriff trifft Dienste auf Schicht 7. Reflexionsangriff nutzt fremde Systeme. Amplification verstärkt Angriffsdaten. Rate Limiting begrenzt Anfragen. Anycast verteilt Verkehr. Blackholing verwirft Verkehr. MitM sitzt zwischen Client und Server. Sniffing schneidet Verkehr mit. Verschlüsselung schützt gegen Mitlesen. Spoofing täuscht Herkunft oder Identität vor. IP-Spoofing fälscht Quell-IP. MAC-Spoofing fälscht MAC-Adresse. ARP verbindet IPv4 und MAC. ARP-Spoofing manipuliert lokale Zuordnung. DNS übersetzt Namen in IP-Adressen. DNS-Spoofing führt zu falschen Zielen. DNSSEC schützt DNS-Integrität. Rogue DHCP verteilt falsche Einstellungen. DHCP Snooping schützt vor Rogue DHCP. Session Hijacking übernimmt Sitzungen. WLAN braucht starke Absicherung. Evil Twin imitiert echtes WLAN. Rogue Access Point ist unerlaubt. 802.1X kontrolliert Netzwerkzugang. Segmentierung begrenzt Ausbreitung. IDS erkennt. IPS blockiert zusätzlich. Netzwerk-Monitoring erkennt Auffälligkeiten. Logs und Mitschnitte helfen bei Analyse.