Verschleierungstaktik

Verschleierungstaktik

Wer angreift, will nicht erkannt werden

• Jede aktive Handlung hinterlässt eine Herkunft
• Die eigene IP-Adresse ist die direkteste Spur zum Angreifer
• Verschleierung trennt die Handlung von der Identität
• Ziel ist Anonymität und das Erschweren der Rückverfolgung

Warum Verschleierung

• Verbergen der eigenen Herkunft gegenüber dem Ziel
• Umgehen von geografischen Sperren und Filtern
• Erschweren der Zuordnung durch Logs und Forensik
• Verteilen der Aktivität über viele Quellen

Grundprinzip

Zwischen Angreifer und Ziel wird etwas geschaltet

• Der Datenverkehr läuft nicht mehr direkt zum Ziel
• Eine oder mehrere Zwischenstationen übernehmen die Herkunft
• Das Ziel sieht nur die letzte Station, nicht den Ursprung
• Je mehr Stationen, desto schwerer die Rückverfolgung

Grenzen

Verschleierung ist nicht Unsichtbarkeit

• Zwischenstationen können selbst protokollieren
• Verhaltensmuster bleiben trotz verdeckter Herkunft erkennbar
• Fehler in der Kette führen zur Deanonymisierung
• Vollständige Anonymität ist ein Anspruch, kein garantierter Zustand

Einordnung

Spuren und Verschleierung gehören zusammen

• Auf der Angriffsseite Mittel zur Verdeckung der Herkunft
• Auf der Analyseseite die Frage, was trotzdem sichtbar bleibt
• Brücke zur Forensik und zum Monitoring

Beispiele

• Open-Proxy-Server
• Tor
• Darknet
• Kommerzielle VPN Dienste
• Portforwarding
• Proxychains
• Botnets