Botnetze: Unterschied zwischen den Versionen
Zur Navigation springen
Zur Suche springen
Keine Bearbeitungszusammenfassung |
Animation verlinkt |
||
| (3 dazwischenliegende Versionen desselben Benutzers werden nicht angezeigt) | |||
| Zeile 1: | Zeile 1: | ||
= | = Botnetze = | ||
== Was ist ein Botnetz? == | |||
* | *Ein '''Bot''' ist ein infizierter, fernsteuerbarer Rechner. Der Besitzer merkt davon meist nichts. | ||
*Ein '''Botnetz''' ist die Summe vieler solcher Bots, die ein Angreifer (''Botmaster'') zentral steuert. | |||
*Gesteuert wird über einen '''Command-and-Control-Server''' (C&C oder C2). Von dort kommen die Befehle, dorthin melden die Bots Ergebnisse. | |||
*Die schiere Zahl ist die Waffe: Ein einzelner Rechner richtet wenig an, Hunderttausende zusammen überlasten Dienste oder versenden Spam im großen Stil. | |||
== Wie ein Rechner zum Bot wird == | |||
#'''Infektion''': über eine Phishing-Mail, eine Schwachstelle in einem erreichbaren Dienst oder nachgeladen durch andere Schadsoftware (siehe [[Schadsoftware/Malware]]). | |||
#'''Anmelden''': Der Bot baut von innen eine Verbindung zum C&C-Server auf, meist über HTTPS auf Port 443, damit es wie normaler Web-Verkehr aussieht. | |||
#'''Warten und Gehorchen''': Der Bot fragt regelmäßig nach Befehlen (''Beaconing'') und führt sie aus. | |||
== Wofür Botnetze genutzt werden == | |||
* | *'''DDoS''': alle Bots greifen gleichzeitig ein Ziel an (siehe [[DDoS-Angriffe]]). | ||
* | *'''Spam und Phishing''' in Massen versenden. | ||
*'''Zugangsdaten und Daten stehlen'''. | |||
*'''Kryptomining''' auf fremde Kosten. | |||
*'''Weitervermieten''': Rechenleistung und Zugänge werden als Dienst verkauft (''Malware-as-a-Service''). | |||
; | == Steuerung: zentral oder verteilt == | ||
* | {| class="wikitable" | ||
* | ! Aufbau !! Prinzip !! Schwäche für den Angreifer | ||
* | |- | ||
* | | Zentral (ein C&C-Server) || einfach, alle Bots melden sich bei einer Adresse || fällt der Server weg, ist das Netz tot | ||
|- | |||
| Mehrere C&C / Domain-Wechsel || wechselnde Adressen (''Fast Flux'', ''Domain Generation'') || schwerer abzuschalten, aber aufwendiger | |||
|- | |||
| Peer-to-Peer || Bots geben Befehle untereinander weiter, kein fester Server || kaum durch Abschalten eines Servers zu stoppen | |||
|} | |||
== Erkennen und schützen == | |||
;Am einzelnen Rechner | |||
*Patchen, Virenschutz mit Verhaltenserkennung, keine Admin-Rechte im Alltag. | |||
;Im Netz (unser Kurs) | |||
*'''Ausgehenden Verkehr beobachten''': Ein Bot verrät sich durch regelmäßiges „Nachhausetelefonieren“ zu ungewöhnlichen Zielen. | |||
*Verdächtige Ziele am Proxy und per DNS-Filter sperren. | |||
*Das IDS schlägt bei bekannten C&C-Mustern an: [[OPNsense Suricata]]. | |||
*Auffälligkeiten zentral zusammenführen: [[Sicherheitsinformations- und Ereignisverwaltung (SIEM)|SIEM]]. | |||
== Animation == | |||
*[https://xinux.org/botnet-ddos.html Animation: Vom Bot zum DDoS] – wie aus einem infizierten Rechner ein Botnetz und daraus ein DDoS wird. | |||
== Merksatz == | |||
Bot = ein ferngesteuerter Rechner | Botnetz = viele davon an einem C&C | die Masse ist die Waffe | erkennbar vor allem am ausgehenden Verkehr | |||
== Siehe auch == | |||
*[[DDoS-Angriffe]] | |||
*[[Schadsoftware/Malware]] | |||
*[[Backdoor]] | |||
[[Kategorie:Cybersecurity]] | |||
<!-- Idee Animation: Rechner wird infiziert -> meldet sich beim C&C (443) -> viele Bots -> gemeinsamer DDoS/Spam. Doppelnutzung: Recap Cybersec2 + Einstieg + Selbststudium. --> | |||
Aktuelle Version vom 21. Oktober 2026, 14:51 Uhr
Botnetze
Was ist ein Botnetz?
- Ein Bot ist ein infizierter, fernsteuerbarer Rechner. Der Besitzer merkt davon meist nichts.
- Ein Botnetz ist die Summe vieler solcher Bots, die ein Angreifer (Botmaster) zentral steuert.
- Gesteuert wird über einen Command-and-Control-Server (C&C oder C2). Von dort kommen die Befehle, dorthin melden die Bots Ergebnisse.
- Die schiere Zahl ist die Waffe: Ein einzelner Rechner richtet wenig an, Hunderttausende zusammen überlasten Dienste oder versenden Spam im großen Stil.
Wie ein Rechner zum Bot wird
- Infektion: über eine Phishing-Mail, eine Schwachstelle in einem erreichbaren Dienst oder nachgeladen durch andere Schadsoftware (siehe Schadsoftware/Malware).
- Anmelden: Der Bot baut von innen eine Verbindung zum C&C-Server auf, meist über HTTPS auf Port 443, damit es wie normaler Web-Verkehr aussieht.
- Warten und Gehorchen: Der Bot fragt regelmäßig nach Befehlen (Beaconing) und führt sie aus.
Wofür Botnetze genutzt werden
- DDoS: alle Bots greifen gleichzeitig ein Ziel an (siehe DDoS-Angriffe).
- Spam und Phishing in Massen versenden.
- Zugangsdaten und Daten stehlen.
- Kryptomining auf fremde Kosten.
- Weitervermieten: Rechenleistung und Zugänge werden als Dienst verkauft (Malware-as-a-Service).
Steuerung: zentral oder verteilt
| Aufbau | Prinzip | Schwäche für den Angreifer |
|---|---|---|
| Zentral (ein C&C-Server) | einfach, alle Bots melden sich bei einer Adresse | fällt der Server weg, ist das Netz tot |
| Mehrere C&C / Domain-Wechsel | wechselnde Adressen (Fast Flux, Domain Generation) | schwerer abzuschalten, aber aufwendiger |
| Peer-to-Peer | Bots geben Befehle untereinander weiter, kein fester Server | kaum durch Abschalten eines Servers zu stoppen |
Erkennen und schützen
- Am einzelnen Rechner
- Patchen, Virenschutz mit Verhaltenserkennung, keine Admin-Rechte im Alltag.
- Im Netz (unser Kurs)
- Ausgehenden Verkehr beobachten: Ein Bot verrät sich durch regelmäßiges „Nachhausetelefonieren“ zu ungewöhnlichen Zielen.
- Verdächtige Ziele am Proxy und per DNS-Filter sperren.
- Das IDS schlägt bei bekannten C&C-Mustern an: OPNsense Suricata.
- Auffälligkeiten zentral zusammenführen: SIEM.
Animation
- Animation: Vom Bot zum DDoS – wie aus einem infizierten Rechner ein Botnetz und daraus ein DDoS wird.
Merksatz
Bot = ein ferngesteuerter Rechner | Botnetz = viele davon an einem C&C | die Masse ist die Waffe | erkennbar vor allem am ausgehenden Verkehr