NTP-Dienst kann für DoS-Attacken missbraucht werden

[frankieboy]

Folgende Mail hat ein Bekannter heute von seinem Serverbetreiber (Strato) erhalten:

Sehr geehrter Herr xxx,

hiermit informieren wir Sie darüber, dass Ihr Server (xx.xxx.xxx.xxx) mit dem Hostnamen yyy.stratoserver.net für DoS-Attacken missbraucht werden kann. Hierauf hat uns das BSI aufmerksam gemacht.

Folgende Infos liegen uns dazu vor:

[CERT-Bund#20140708xxxxxxxxx]

Sehr geehrte Damen und Herren,

in den letzten Monaten haben DDoS-Angriffe mittels NTP-Amplification weiter zugenommen. Auch eine große Anzahl in Deutschland gehosteter NTP-Server wird regelmäßig für derartige Angriffe missbraucht.

Die Angreifer nutzen dabei die 'monlist'-Funktion der NTP-Server, welche in älteren Versionen standardmäßig aktiviert war. Weitere Informationen hierzu finden Sie in den unten aufgeführten Quellen.

Im Rahmen des Shadowserver 'Open NTP Monitor Scanning Projects'
Werden NTP-Server identifiziert, welche aktuell noch eine Anfrage mittels des 'monlist'-Kommandos beantworten. Diese NTP-Server können potenziell für DDoS-Angriffe mittels NTP-Amplification missbraucht werden, sofern keine anderen Gegenmaßnahmen implementiert wurden.

Nachfolgend senden wir Ihnen eine Liste der betroffenen NTP-Server in Ihrem Netzbereich. Der Zeitstempel gibt an, wann der NTP-Server geprüft wurde und das 'monlist'-Kommando beantwortet hat.

Wir möchten Sie bitten, den Sachverhalt zu prüfen und Maßnahmen zur Absicherung der NTP-Server zu ergreifen.

Quellen:

[1] CERT-Bund: NTP: Missbrauch des monlist Kommandos ermöglicht einen
Denial-of-Service-Angriff
<https://www.cert-bund.de/advisoryshort/CB-K14-0020>

[2] CERT.org: NTP can be abused to amplify denial-of-service attack traffic
<http://www.kb.cert.org/vuls/id/348126>

[3] US-CERT: NTP Amplification Attacks Using CVE-2013-5211
<https://www.us-cert.gov/ncas/alerts/TA14-013A>

[4] NTP.org Security Notice
<http://support.ntp.org/bin/view/Main/SecurityNotice>

[5] BSI: Maßnahmen gegen Reflection Angriffe
<https://www.allianz-fuer-cybersicherhei ... downloads/
Anwender/dienste/BSI-CS_096.pdf>

[6] Shadowserver: Open NTP Monitor (Mode 7) Scanning Project
<https://ntpmonitorscan.shadowserver.org/>


Beachten Sie bitte, dass Sie für Ihren Server verantwortlich sind und erhöhter Handlungsbedarf in der Erledigung dieses Vorfalls besteht.

Wir fordern Sie hiermit auf, Ihren Server zu untersuchen, Gegenmaßnahmen zu ergreifen und uns über diese per E-Mail zu informieren.

Als spätesten Termin haben wir uns hierfür den 17.07.2014 notiert. Sollten wir bis zum Ablauf der Frist keine ausreichende Reaktion haben, müssten wir den Server zur Vermeidung weiteren Schadens spätestens sperren.

Um Ihren Server wieder abzusichern und diesen Vorgang erfolgreich zu beenden, empfehlen wir Ihnen, Ihre persönlichen Daten zu sichern und dann über Ihren gesicherten Kundenservicebereich eine Neu-Installation zu beauftragen. Anschließend sollten Sie Ihre gesicherten Daten auf Manipulationen von außen untersuchen, bevor Sie diese wieder aufspielen. Achten Sie hierbei speziell auf Veränderungen Ihrer Skripte und HTML-Dateien.

Beachten Sie auch bitte, dass Back-Ups mit großer Sicherheit bereits infiziert sind und sich daher nicht für eine Behebung dieser Ursache eignen. Es ist auch sehr wichtig, dass Sie alle verwendeten Passwörter ändern.

Für Ihre Mitarbeit zur Klärung des Sachverhalts bedanken wir uns im Voraus bei Ihnen.

Mit freundlichen Grüßen

STRATO AG | Abuse

Demnach ist der NTP-Fehler wohl fehlerhaft konfiguriert und das müsste wohl als erstes "repariert" werden. Aber wie? Hab von NTP-Servern keine Ahnung ... ;-( Das System ist ein Debian Stable, Stand ca. Oktober 2013.

Für Hinweise bin ich dankbar.

Gruß
Frankieboy

[charno]

Stand ca. Oktober 2013.

Heisst das, du hast seit Oktober 2013 keine Updates mehr vorgenommen? Das wäre wohl mal das erste, was zu tun ist, nicht nur wegen diesem Problem.

Ansonsten: Laut https://bugs.debian.org/cgi-bin/bugrepo ... bug=733940 sollte die Standard-Konfiguration von Debian nicht vom Problem betroffen sein. Kannst du mal deine Konfiguration zeigen?

[frankieboy]

Heisst das, du hast seit Oktober 2013 keine Updates mehr vorgenommen? Das wäre wohl mal das erste, was zu tun ist, nicht nur wegen diesem Problem.

Ja, natürlich, ein "dist-upgrade" ist vorzunehmen. Ob das Problem dann aber gelöst ist, weiss ich damit immer noch nicht

Ansonsten: Laut https://bugs.debian.org/cgi-bin/bugrepo ... bug=733940 sollte die Standard-Konfiguration von Debian nicht vom Problem betroffen sein. Kannst du mal deine Konfiguration zeigen?

Hier ist sie:

Code: Alles auswählen

# /etc/ntp.conf, configuration for ntpd; see ntp.conf(5) for help

driftfile /var/lib/ntp/ntp.drift


# Enable this if you want statistics to be logged.
#statsdir /var/log/ntpstats/

statistics loopstats peerstats clockstats
filegen loopstats file loopstats type day enable
filegen peerstats file peerstats type day enable
filegen clockstats file clockstats type day enable


# You do need to talk to an NTP server or two (or three).
#server ntp.your-provider.example

# pool.ntp.org maps to about 1000 low-stratum NTP servers.  Your server will
# pick a different set every time it starts up.  Please consider joining the
# pool: <http://www.pool.ntp.org/join.html>
server ptbtime1.ptb.de
server ptbtime2.ptb.de

# Access control configuration; see /usr/share/doc/ntp-doc/html/accopt.html for
# details.  The web page <http://support.ntp.org/bin/view/Support/AccessRestrictions>
# might also be helpful.
#
# Note that "restrict" applies to both servers and clients, so a configuration
# that might be intended to block requests from certain clients could also end
# up blocking replies from your own upstream servers.

# By default, exchange time with everybody, but don't allow configuration.
restrict ptbtime1.ptb.de
restrict ptbtime2.ptb.de

# Local users may interrogate the ntp server more closely.
restrict 127.0.0.1
restrict ::1

# Clients from this (example!) subnet have unlimited access, but only if
# cryptographically authenticated.
#restrict 192.168.123.0 mask 255.255.255.0 notrust


# If you want to provide time to your local subnet, change the next line.
# (Again, the address is an example only.)
#broadcast 192.168.123.255

# If you want to listen to time broadcasts on your local subnet, de-comment the
# next lines.  Please do this only if you trust everybody on the network!
#disable auth
#broadcastclient

[charno]

Okay,

Bei mir sind folgende Zeilen in der Konfigurationsdatei zu finden:

Code: Alles auswählen

restrict -4 default kod notrap nomodify nopeer noquery
restrict -6 default kod notrap nomodify nopeer noquery

Laut dem Bugreport sind dies die Standardsettings, das noquery verhindert die gefährliche Operation.

Zur Update-Thematik: Installier doch apticron, um dich per Mail über notwendige Updates informieren zu lassen.