Was ist die Border Gateway Protocol (BGP) Firewall? Leitfaden für Anfänger

Was ist das Border Gateway Protocol (BGP)?

Bevor wir beginnen, weisen wir noch kurz darauf hin, dass es sich bei BGP und BGP-Firewall um unterschiedliche Dinge handelt. Alle Router „sprechen“ Border Gateway Protocol (BGP), ein Routingprotokoll (d. h. ein Regelsatz), das es autonomen Systemen (sehr einfach: Netzwerke mit eigenem IP-Adressraum) ermöglicht, auf standardisierte Weise auszutauschen, über welche Daten sie erreichbar sind. BGP ist also eine gemeinsame „Sprache“, die dafür sorgt, dass das Internet effizient funktionieren kann.

Was ist die Border Gateway Protocol Firewall?

Im Prinzip handelt es sich um eine Schutzmaßnahme, mit der das Routing so sicher wie möglich gemacht und Verbindungen zu bösartigen Akteuren verhindert werden sollen. Die BGP-Firewall beinhaltet Feeds (auch Communitys genannt), in denen bösartige IP-Adressen gelistet sind und mithilfe derer Sie Verbindungen am Network Edge in Echtzeit abweisen können.

Als „bösartige IP“ bezeichnen wir spezielle Botnet Command-and-Control-Server (C&Cs), Botnet C&Cs, die beispielsweise auf beeinträchtigten Geräten gehostet werden, oder IP-Adressräume, die von Cyberkriminellen gekapert oder gepachtet wurden. Die IP-Adressen werden für Spam, für von Malware infizierte Websites, zur Verbreitung von Phishing-E-Mail und für den Start von DDoS-Angriffen gegen andere Netzwerke verwendet.

Indem Sie diese Verbindungen unterbinden, hindern Sie bereits infizierte Geräte in Ihrem Netzwerk daran, mit den damit zusammenhängenden Botnet C&Cs zu kommunizieren, und verhindern die Infektion weiterer Geräte. Damit tragen Sie auch dazu bei, dass Spamkampagnen, Datenverlust und Verschlüsselung durch Ransomware nicht weiter verbreitet werden können.

Die BGPF ist eine besonders preiswerte Lösung, weil Sie mit Ihrer vorhandenen Infrastruktur vermeiden können, dass gefährliche Angreifer Ihr Netzwerk missbrauchen. Die BGPF kann entweder mit der DENY-Tabelle Ihres Routers oder einer traditionellen Firewall wie CISCO zusammenarbeiten.

Wie funktioniert die BGP-Firewall?

Um die Funktionsweise der BGP-Firewall zu verstehen, gehen wir hier noch einmal darauf ein, wie Internetnetzwerke und Routing überhaupt funktionieren. Da es sich hier um einen Leitfaden für Anfänger handelt, werden die Sachverhalte natürlich stark vereinfacht dargestellt. Wer sich mit den technischen Feinheiten auskennt, kann auch direkt weiterlesen.

Damit ein Gerät sich mit dem Internet verbinden kann – um eine Website aufzurufen oder, wie in diesem Fall, um sich mit einem Botnet C&C-Server zu verbinden – muss das Gerät die IP der Zieladresse kennen. Mit dieser IP …

Wenn keine BGPF zum Einsatz kommt, wird das Paket mit der bösartigen IP ohne Weiteres an den Web Server der Zieladresse weitergeleitet und eine Verbindung zum Gerät hergestellt. Für das Gerät besteht nun die Gefahr, dass Malware Daten abschöpft und Befehle von Angreifern wie den oben aufgeführten empfängt.

Sie haben bemerkt, dass wir uns in unserer Erklärung auf den nach außen gerichteten Netzwerkverkehr zu Botnet C&C-Servern konzentrieren. Natürlich wird die Verbindung in beiden Richtungen blockiert. Doch in der Regel ist es das infizierte Gerät, das den Verbindungsversuch vom Perimeter des Nutzers aus startet.

Wie erfährt der Nutzer von der abgewiesenen Verbindung?

Auf BGP-Ebene wird der Nutzer normalerweise nicht benachrichtigt (was nicht unbedingt schlecht ist). Es kann zwar eine Fehlerseite angezeigt werden, dies ist jedoch unüblich, besonders wenn der Router von einem ISP verwaltet wird.

Das ist jedoch vor allem bei versuchten Verbindungen mit einem Botnet-Controller kein Problem, da der Nutzer von diesem Verbindungsversuch gar nichts weiß.

Die Malware startet automatisch einen Verbindungsversuch zu ihrem Botnet C&C, ohne dass der Nutzer dies bemerkt. Wird der Verbindungsversuch abgewehrt, ohne dass eine Fehlerseite angezeigt wird, ist das kein Problem, weil der Nutzer ja nichts erwartet. Es ist also kein Schaden entstanden.

Für den Eigentümer des Netzwerks sieht die Sache schon anders aus. Diese Informationen sind nützlich, um weitere Untersuchungen einzuleiten, und damit ein wertvolles Element der Lösung. Hierzu muss BGP-Logging eingerichtet werden, um zu verfolgen, welcher Verkehr blockiert wurde. Alternativ können Sie BGP-Feeds über Ihre traditionelle Firewall wie Cisco und Fortinet einrichten, die blockierte Verbindungen ebenfalls protokollieren.

Der Vorteil des Schutzes am Network Edge

Da der Nutzer bei diesem Vorgang keine aktive Rolle spielt, ist das Risiko verärgerter Nutzer praktisch nicht vorhanden. Das gilt auch für das Risiko falsch positiver Listeneinträge. Die BGP-Firewall von Spamhaus prüft die IP-Adressen auf Herz und Nieren, um sicherzugehen, dass es sich tatsächlich um bösartige Akteure handelt. Weitere Informationen zu diesem Thema finden Sie hier.

Welche Communitys unterhält Spamhaus, um bösartigen Verkehr zu unterbinden?

Wir haben vier Communitys, mit denen wir unsere Nutzer vor den bösartigsten Bedrohungen schützen. Um den Schutz weiter zu erhöhen, enthält die Botnet Controller List (BCL) von Spamhaus Daten von unserem Datenpartner abuse.ch.

Eine der Plattformen von abuse.ch, Feodo Tracker, verfolgt und validiert Botnet C&C-Infrastruktur, die mit den schlimmsten Malware-Bedrohungen assoziiert wird. abuse.ch liefert zuverlässige, validierte Daten über Botnet C&C-Infrastrukturen, die von Emotet, Qakbot und Konsorten genutzt werden, und erfüllt damit eine wichtige Schutzfunktion.

Unsere vier BGP-Firewall Communitys:

• Don’t Route Or Peer (DROP): Dies ist eine Liste, die jeglichen Verkehr abweist, der von den schlimmsten IP-Adressen ausgeht, die entweder von Cyberkriminellen gekapert oder gepachtet wurden. Die hier aufgeführten Netzblöcke werden direkt von etablierten Internet-Registrierungsstellen wie z. B. Regional Internet Registry (RIR) zugewiesen.
• Extended Don’t Route Or Peer (EDROP): Dies ist eine Erweiterung des DROP-Datensatzes, die abgetretene Netzblöcke beinhaltet.
• Botnet Controller List (BCL) – Dedicated Hosts: IP-Adressen, die genutzt werden, um einen Botnet C&C-Server zu hosten, der infizierte Geräte steuert. Diese Liste beinhaltet nur einzelne IP-Adressen (/32), die in bösartiger Absicht betrieben werden, d. h. von Cyberkriminellen zu dem alleinigen Zweck, einen Botnet C&C zu hosten.
• Botnet Controller List (BCL) – Compromised Hosts: Dies sind IP-Adressen von Botnet C&Cs, die auf beeinträchtigten Geräten gehostet werden, z. B. wenn ein Angreifer ein Gerät eines legitimen Nutzers als Host eines Botnet C&C missbraucht. Dies ist unsere neueste Community; mehr zu diesem Thema erfahren Sie hier.

Verbraucher, die diese Daten über Spamhaus nutzen, profitieren vom Zugang zu technischem Support, einem robusten Service und schneller Problemlösung bei vermeintlich falsch positiven Einträgen.

30 Tage kostenloser Schutz

Wenn Sie gerne testen möchten, wie diese Daten in Ihrem Netzwerk funktionieren, laden wir Sie ein, unsere 30-tägige Testversion auszuprobieren. Sie müssen dafür keine Zahlungsdaten angeben und sind nach der Einrichtung sofort gegen die schlimmsten Angreifer geschützt.

Die beste Freundin der BGP-Firewall – die DNS-Firewall

In einem Bericht über BGP darf natürlich die DNS-Firewall nicht fehlen. Die beiden ergänzen sich perfekt und sind zusammen als Netzwerkschutz unschlagbar.

Die BGPF befindet sich auf Routerebene und kann nur IP-Adressen verarbeiten. Das ist wichtig, um Angreifer zu stoppen, die auf die direkte IP-Kommunikation setzen, wie Emotet, Qakbot und Dridex. Wird kein Domain Name für die Botnet C&C-Kommunikation genutzt, ist die Routerebene die einzige Möglichkeit, solche Verbindungen zu blockieren. Dadurch entziehen sich solche Angreifer der Erkennung.

Es gibt auch Angreifer, die durchaus Domain Names für Botnet Command-and-Control nutzen. Das heißt nicht, dass sie leichter erkannt werden. Werden sie ertappt und der Hosting-Provider nimmt den Server mit der entsprechenden IP-Adresse der Domain vom Netz, sucht sich der Angreifer einfach einen neuen Hosting-Provider. Er setzt einfach einen neuen Server ein, lässt seine Botnet C&C Domain Names darauf verweisen, und schon ist er wieder im „Geschäft“.

Hier kommt die DNS-Firewall ins Spiel. Im Gegensatz zur Routerebene werden bei Verbindungen auf DNS-Ebene die Domain Names abgefragt. Das bedeutet auch, dass, wenn ein Domain Name verwendet wird, bösartige Verbindungen unterbunden werden können, bevor sie auf IP-Ebene etabliert werden. DNS-Firewall bietet also einen zusätzlichen Schutz gegen Botnet C&Cs, die Domain Names nutzen, blockiert aber auch Verbindungen zu Bedrohungen wie Phishing, Malware, Adware und Cryptomining.

BGP in Kürze

Das war unser kurzer Einstieg in die Welt der BGP-Firewall. Wir hoffen, dass wir das Wichtigste erklären konnten. Sollten Sie noch Fragen haben, stehen wir Ihnen gerne zur Verfügung. Sie erreichen uns über unsere Kanäle in den sozialen Medien (Twitter und LinkedIn); wir antworten Ihnen umgehend.

Bleiben Sie gesund.