Lagekarte · aus unserem Betrieb

Was gerade an unserer Tür klopft.

Jede öffentliche Adresse im Internet wird rund um die Uhr abgetastet. Hier sehen Sie, was unsere Sensoren davon erkennen und abwehren: ohne Adressen, nach Herkunft, Art und Ziel, mit wenigen Minuten Verzögerung.

Lage der letzten 24 Stunden

Lade Lagedaten …

Erkannt: …; 24 Stunden
Gesperrt: …; Quellen
Letzte Stunde: …; Ereignisse
Herkunft: …; Länder

Art · zum Ausblenden wählen

Alle Arten im Detail ↓

Herkunft · 24 h

noch keine

Ziel

Erkannt von

Angriffsarten

Sechs Muster.
Eine Abwehr in Schichten.

Wie die einzelnen Arten vorgehen, wie sie im MITRE-ATT&CK-Rahmen eingeordnet sind, welcher Sensor sie erkennt und welche Maßnahmen bei uns greifen. Zahlen, Verlauf und beobachtete Muster kommen aus den aktuellen Lagedaten.

Lagedaten werden geladen

Datengrundlage

Zeitraum: …
Auflösung: je Minute
Verzögerung: …
Herkunft: …
Ereignisse: …
Rohdaten: JSON, Schema v1

Keine Adressen und keine Inhalte von Anfragen. Länderzuordnung über eine lokale Geodatenbank; einzelne Zuordnungen können abweichen. Kennzahlen je Art beruhen auf der Ereignisliste; ist sie gekürzt, wird das hier angezeigt.

01Informationen sammeln

Anteil …

Sondierung

…

Automatisierte Abfragen, die klären sollen, welche Dienste, Pfade und Programme hinter einer Adresse erreichbar sind. Gesucht wird vor allem nach offen liegenden Konfigurationsdateien wie /.env oder /.git/config, nach Sicherungsarchiven und nach Verwaltungsoberflächen.

MITRE ATT&CK: TA0043Reconnaissance T1595.002Vulnerability Scanning T1595.003Wordlist Scanning
Erkannt von: NetzsensorEdge-Sensor
Ziele: …

Beobachtet in 24 h

Lagedaten werden geladen.

Keine Meldungen dieser Art in den letzten 24 Stunden.

So wehren wir ab

Konfigurationsdateien und Sicherungen liegen nie im ausgelieferten Verzeichnis, Verwaltungsoberflächen sind aus dem Internet nicht erreichbar. Die Edge leitet nur Pfade weiter, die eine Anwendung ausdrücklich freigibt. Quellen, die weiter sondieren, werden nach wenigen Versuchen gesperrt.

Meldungen mit Sperre: …
Herkunftsländer: …
Median je Stunde: …
Spitzenstunde: …
Erste Meldung: …
Letzte Meldung: …

Herkunft

Sensoren

Ziele

Alle Muster in 24 h

Letzte Meldungen

Letzte Meldungen: Sondierung
Zeit	Herkunft	Ziel	Muster	Sensor	Ergebnis

Erkennung

Signaturen für Anfragen nach bekannten sensiblen Pfaden im Netzverkehr. An der Edge zusätzlich die Häufung fehlgeschlagener Abrufe und abgearbeiteter Pfadlisten je Quelle in kurzen Zeitfenstern.

Referenzen

MITRE D3FEND: D3-NTANetwork Traffic Analysis D3-RAPAResource Access Pattern Analysis D3-CAAConnection Attempt Analysis D3-ITFInbound Traffic Filtering
CWE: CWE-538Insertion of Sensitive Information into Externally-Accessible File or Directory CWE-527Exposure of Version-Control Repository to an Unauthorized Control Sphere CWE-215Insertion of Sensitive Information Into Debugging Code CWE-548Exposure of Information Through Directory Listing
OWASP OAT: OAT-018Footprinting OAT-014Vulnerability Scanning
BSI IT-Grundschutz: APP.3.2WebserverDER.1Detektion von sicherheitsrelevanten Ereignissen

02Eindringen

Anteil …

Ausnutzungsversuche

…

Anfragen, die eine bekannte Schwachstelle auslösen sollen, etwa CVE-2017-9841 in veralteten PHPUnit-Installationen, Befehlsausführung über Router-Oberflächen oder Pfad-Traversal. Die Werkzeuge prüfen vorher nicht, welche Software tatsächlich läuft.

MITRE ATT&CK: TA0001Initial Access T1190Exploit Public-Facing Application
Erkannt von: NetzsensorEdge-Sensor
Ziele: …

Beobachtet in 24 h

Lagedaten werden geladen.

Keine Meldungen dieser Art in den letzten 24 Stunden.

So wehren wir ab

Ein großer Teil der angegriffenen Software ist bei uns nicht im Einsatz. Was läuft, ist auf geprüfte Versionen festgelegt und wird mehrmals täglich mit den Sicherheitsmeldungen der Hersteller abgeglichen. Quellen mit erkannten Ausnutzungsversuchen werden an der Edge gesperrt.

Meldungen mit Sperre: …
Herkunftsländer: …
Median je Stunde: …
Spitzenstunde: …
Erste Meldung: …
Letzte Meldung: …

Herkunft

Sensoren

Ziele

Alle Muster in 24 h

Letzte Meldungen

Letzte Meldungen: Ausnutzungsversuche
Zeit	Herkunft	Ziel	Muster	Sensor	Ergebnis

Erkennung

Signaturabgleich auf bekannte Ausnutzungsmuster in Pfad, Parametern und Kopfzeilen der Anfrage. Dazu Muster für Code- und Befehlseinschleusung in den Zugriffsprotokollen der Edge.

Referenzen

MITRE D3FEND: D3-NTANetwork Traffic Analysis D3-SUSoftware Update D3-AHApplication Hardening D3-ITFInbound Traffic Filtering
CWE: CWE-94Improper Control of Generation of Code (Code Injection)CWE-78Improper Neutralization of Special Elements used in an OS Command (OS Command Injection)CWE-22Improper Limitation of a Pathname to a Restricted Directory (Path Traversal)CWE-1321Improperly Controlled Modification of Object Prototype Attributes (Prototype Pollution)
OWASP OAT: OAT-014Vulnerability Scanning
CVE: CVE-2017-9841PHPUnit: Codeausführung über eval-stdin.php CVE-2018-10561GPON-Router: Umgehung der Anmeldung CVE-2018-10562GPON-Router: Befehlsausführung
BSI IT-Grundschutz: OPS.1.1.3Patch- und ÄnderungsmanagementAPP.3.1Webanwendungen und WebservicesDER.1Detektion von sicherheitsrelevanten Ereignissen

03Bewertung des Absenders

Anteil …

Gelistete Quellen

…

Verbindungen von Adressen, die auf öffentlichen Reputationslisten geführt werden, etwa wegen früherer Angriffe oder als bekannter Anonymisierungsdienst. Die Meldung bewertet den Absender, nicht die einzelne Anfrage. Sie ist deshalb für sich genommen kein Angriff, aber ein Hinweis, der in die Bewertung eingeht.

MITRE ATT&CK: Keine eigene Technik. Eingeordnet wird die Herkunft, nicht das Vorgehen.
Erkannt von: Netzsensor
Ziele: …

Beobachtet in 24 h

Lagedaten werden geladen.

Keine Meldungen dieser Art in den letzten 24 Stunden.

So wehren wir ab

Gelistete Quellen erreichen ausschließlich öffentliche Dienste. Verwaltung, Datenbanken und Überwachung liegen in getrennten Netzen und sind nur über authentifizierte Zugänge erreichbar, nie über eine öffentliche Adresse.

Meldungen mit Sperre: …
Herkunftsländer: …
Median je Stunde: …
Spitzenstunde: …
Erste Meldung: …
Letzte Meldung: …

Herkunft

Sensoren

Ziele

Alle Muster in 24 h

Letzte Meldungen

Letzte Meldungen: Gelistete Quellen
Zeit	Herkunft	Ziel	Muster	Sensor	Ergebnis

Erkennung

Abgleich jeder Absenderadresse mit öffentlich geführten Reputations- und Anonymisierungslisten, die mehrmals täglich aktualisiert werden. Bewertet wird die Quelle, unabhängig vom Inhalt der Anfrage.

Referenzen

MITRE D3FEND: D3-ITFInbound Traffic Filtering D3-NTFNetwork Traffic Filtering D3-NINetwork Isolation
BSI IT-Grundschutz: NET.1.1Netzarchitektur und -designNET.3.2Firewall

04Inhalte abgreifen

Anteil …

Aggressive Bots

…

Programme, die Seiten in hoher Frequenz abrufen, Inhalte kopieren oder Schwachstellen für spätere Angriffe katalogisieren. Erkennbar an auffälligen Kennungen, an einfachen Skript-Bibliotheken als Absender oder an der Abrufgeschwindigkeit.

MITRE ATT&CK: TA0043Reconnaissance T1595Active Scanning
Erkannt von: Edge-SensorNetzsensor
Ziele: …

Beobachtet in 24 h

Lagedaten werden geladen.

Keine Meldungen dieser Art in den letzten 24 Stunden.

So wehren wir ab

Abrufe sind je Quelle an der Edge begrenzt, bei Wiederholung folgt die Sperre. Seiten werden vorab erzeugt und komprimiert ausgeliefert: Ein Bot verursacht dadurch kaum Last und erhält nur, was ohnehin öffentlich ist.

Meldungen mit Sperre: …
Herkunftsländer: …
Median je Stunde: …
Spitzenstunde: …
Erste Meldung: …
Letzte Meldung: …

Herkunft

Sensoren

Ziele

Alle Muster in 24 h

Letzte Meldungen

Letzte Meldungen: Aggressive Bots
Zeit	Herkunft	Ziel	Muster	Sensor	Ergebnis

Erkennung

Auffällige Client-Kennungen, Kennungen bekannter Scan-Werkzeuge und Abrufraten je Quelle über gleitende Zeitfenster.

Referenzen

MITRE D3FEND: D3-RAPAResource Access Pattern Analysis D3-NTANetwork Traffic Analysis D3-ITFInbound Traffic Filtering
CWE: CWE-799Improper Control of Interaction Frequency
OWASP OAT: OAT-011Scraping OAT-004Fingerprinting OAT-014Vulnerability Scanning
BSI IT-Grundschutz: APP.3.1Webanwendungen und WebservicesNET.3.2Firewall

05Konten übernehmen

Anteil …

Anmeldeangriffe

…

Wiederholte Anmeldeversuche mit erratenen oder anderswo erbeuteten Zugangsdaten, meist gegen Postfächer, Fernzugänge und Anmeldeseiten. Häufig verteilt über viele Adressen, damit keine einzelne auffällt.

MITRE ATT&CK: TA0006Credential Access T1110.001Password Guessing T1110.003Password Spraying T1110.004Credential Stuffing
Erkannt von: Mail-SensorEdge-Sensor
Ziele: …

Beobachtet in 24 h

Lagedaten werden geladen.

Keine Meldungen dieser Art in den letzten 24 Stunden.

So wehren wir ab

Betriebsoberflächen sind nicht öffentlich erreichbar, und die zentrale Anmeldung verlangt einen zweiten Faktor. Der Mailserver sperrt Quellen nach wiederholten fehlgeschlagenen Anmeldungen.

Meldungen mit Sperre: …
Herkunftsländer: …
Median je Stunde: …
Spitzenstunde: …
Erste Meldung: …
Letzte Meldung: …

Herkunft

Sensoren

Ziele

Alle Muster in 24 h

Letzte Meldungen

Letzte Meldungen: Anmeldeangriffe
Zeit	Herkunft	Ziel	Muster	Sensor	Ergebnis

Erkennung

Fehlgeschlagene Anmeldungen je Quelle und Dienst über gleitende Zeitfenster, am Mailserver und an Anmeldeseiten.

Referenzen

MITRE D3FEND: D3-MFAMulti-factor Authentication D3-ANETAuthentication Event Thresholding D3-NINetwork Isolation D3-ITFInbound Traffic Filtering
CWE: CWE-307Improper Restriction of Excessive Authentication Attempts CWE-521Weak Password Requirements
OWASP OAT: OAT-008Credential Stuffing OAT-007Credential Cracking
BSI IT-Grundschutz: ORP.4Identitäts- und BerechtigungsmanagementAPP.5.3Allgemeiner E-Mail-Client und -Server

06Dienste stören

Anteil …

Überlastversuche

…

Versuche, einen Dienst durch die Menge oder die Kosten von Anfragen unbenutzbar zu machen, von einzelnen Quellen bis zu verteilten Wellen aus vielen Netzen.

MITRE ATT&CK: TA0040Impact T1498Network Denial of Service T1499Endpoint Denial of Service
Erkannt von: Edge-SensorNetzsensor
Ziele: …

Beobachtet in 24 h

Lagedaten werden geladen.

Keine Meldungen dieser Art in den letzten 24 Stunden.

So wehren wir ab

Abrufe sind je Quelle begrenzt, jede Anwendung hat feste Ressourcengrenzen, und statische Seiten werden vorkomprimiert ohne Datenbankabfrage ausgeliefert. Die Anwendungen laufen getrennt voneinander, damit Last auf einer Anwendung die übrigen nicht beeinträchtigt.

Meldungen mit Sperre: …
Herkunftsländer: …
Median je Stunde: …
Spitzenstunde: …
Erste Meldung: …
Letzte Meldung: …

Herkunft

Sensoren

Ziele

Alle Muster in 24 h

Letzte Meldungen

Letzte Meldungen: Überlastversuche
Zeit	Herkunft	Ziel	Muster	Sensor	Ergebnis

Erkennung

Anfrageraten je Quelle und Ziel über gleitende Zeitfenster sowie Signaturen bekannter Überlastwerkzeuge im Netzverkehr.

Referenzen

MITRE D3FEND: D3-NTANetwork Traffic Analysis D3-ITFInbound Traffic Filtering
CWE: CWE-400Uncontrolled Resource Consumption CWE-770Allocation of Resources Without Limits or Throttling
OWASP OAT: OAT-015Denial of Service
BSI IT-Grundschutz: APP.3.2WebserverNET.3.2Firewall

Ereignisse

Die letzten Meldungen.

Je Meldung Minute, Herkunftsland, Art, Zielbereich und Sensor. Adressen und Inhalte der Anfragen bleiben in unseren Protokollen und werden hier nicht gezeigt.

Die letzten erkannten Ereignisse
Zeit	Herkunft	Art	Ziel	Sensor	Ergebnis
Lade …

Woher die Daten kommen

Ohne Adressen, verzögert, nachprüfbar.

Die Karte zeigt echte Meldungen unserer eigenen Sensoren, keine Animation aus Zufallszahlen. Daten Dritter gehen nur als öffentliche Reputationslisten in die Einordnung ein.

01 · Quellen

Drei Sensoren am Rand.

Der Netzsensor prüft den Verkehr vor den Diensten, der Edge-Sensor erkennt Angriffsmuster in den Anfragen und sperrt die Quelle, der Mail-Sensor meldet wiederholte Fehlanmeldungen am Mailserver. Alle drei laufen auf unserer Plattform in Deutschland.

02 · Ohne Adressen

Land statt Adresse.

Für die Karte bildet das SOC jede Absenderadresse auf ein Land ab; in die Zusammenfassung gelangt nur das Land. Länder, aus denen in 24 Stunden weniger als drei verschiedene Absenderadressen auffielen, fassen wir als „Andere Länder“ zusammen. Übrig bleiben Minute, Land, Art, Zielbereich und Sensor.

03 · Weg

Kein Weg ins SOC.

Die Zusammenfassung wird jede Minute von innen abgeholt, gegen ein festes Schema geprüft und an der Edge abgelegt. Eine Verbindung von außen in das SOC gibt es nicht. Öffentlich ist nur diese eine Datei.

04 · Lesart

Erkannt ist nicht eingedrungen.

Der größte Teil der Meldungen stammt von automatisierten Scannern, die das gesamte Internet abfragen. „Erkannt“ bedeutet gesehen und eingeordnet, „gesperrt“ bedeutet, dass die Edge die Quelle abweist.

Wie wir Sicherheit bauen Schwachstelle melden

Kontakt

Ihre Website hinter denselben Sensoren?

Auf unserer Plattform läuft Ihre Website hinter derselben Edge, denselben Sensoren und demselben SOC. Sprechen wir darüber, was das für Ihr Projekt bedeutet.

E-Mailkontakt@raumbyte.de AnfrageProjekt beschreiben