Erschwinglicher Schutz gegen Malware wie Emotet – die Border Gateway Protocol (BGP) Firewall

Threat Intelligence am Network Edge

Unternehmen und Netzwerkbetreiber können die BGP-Feeds mit ihrem vorhandenen Equipment nutzen. Weil keine zusätzlichen Investitionen in die Infrastruktur erforderlich sind, ist diese Lösung besonders erschwinglich. Sollten Sie kein ASN besitzen, können Sie unsere BGP-Feeds auch über ein privates ASN nutzen.

Sie können diese Threat Intelligence mit jedem Router und mit jeder modernen Firewall wie CISCO, Sophos oder Fortinet anwenden. Diese Feeds sind Listen von IP-Adressen, die bösartigen Verkehr von beeinträchtigten Geräten innerhalb Ihres Netzwerks wirksam an der Kommunikation mit externen Botnet C&C-Servern hindern. Solche Art von Verkehr direkt auf Netzwerkebene zu blockieren, verhindert Spam-Kampagnen, Datenverlust und -verschlüsselung durch Malware. Lesen Sie in unserem BGP-Leitfaden für Anfänger, wie diese Communitys/Feeds funktionieren.

Als Schutz gegen Angreifer wie Emotet haben wir eine neue BGP Community gestartet.

Bis vor Kurzem hat Spamhaus den Abonnenten seines BGP-Feeds drei BGP Communitys bereitgestellt, die mithilfe von Firewalls oder Routern bösartigen Verkehr blockieren:

• Don’t Route Or Peer (DROP). Dies ist eine Liste, die jeglichen Verkehr abweist, der von den schlimmsten IP-Adressen ausgeht, die von Cyberkriminellen entweder gekapert oder gepachtet wurden. Die hier aufgeführten Netzblöcke werden direkt von etablierten Internet-Registrierungsstellen wie z. B. Regional Internet Registry (RIR) zugewiesen.
• Extended Don’t Route Or Peer (EDROP). Dies ist eine Erweiterung des DROP-Datensatzes, die abgetretene Netzblöcke beinhaltet.
• Botnet Controller List (BCL) – Dedicated. IP-Adressen, die genutzt werden, um einen Botnet C&C-Server zu hosten, der von den Angreifern kontrolliert und zur Steuerung infizierter Geräte genutzt wird. Diese Liste beinhaltet nur IP-Adressen, die in bösartiger Absicht, d. h. von Cyberkriminellen zu dem alleinigen Zweck, einen Botnet C&C zu hosten, betrieben werden.

Als Schutz gegen Bedrohungen wie Emotet und Qakbot haben wir jetzt eine vierte Community eingeführt: Botnet Controller List (BCL) – Compromised.

Wie schützt dieser Feed vor Emotet und Qakbot (und weiteren Angreifern)?

Die meisten Betrüger nutzen für ihre Botnet C&C-Infrastruktur spezielle Hosts, die keinem anderen Zweck dienen, als die Botnets zu kontrollieren. Über unseren „BCL – Dedicated“ Feed bieten wir Schutz vor dieser Infrastruktur.

Zurzeit nutzen jedoch einige der gefährlichsten und dominantesten Bedrohungen wie Emotet und Qakbot beeinträchtigte Geräte, in der Regel in privaten Internetleitungen, als Hosts für ihre Botnet C&C-Infrastruktur. Darüber hinaus verlassen sich die Betreiber dieser Botnets vollständig auf die direkte IP-Kommunikation ganz ohne Domain Names. Das bedeutet, sie umgehen vorhandene Sicherheitsmechanismen wie DNS-Firewalls (Response Policy Zones).

Diese neu eingeführte „BGP-Feed BCL – Compromised“ schließt diese Lücke in Ihrem Verteidigungssystem und schützt Sie vor bösartigem Verkehr mit beeinträchtigten Hosts, die als Botnet C&C-Server fungieren.

Was ist mit abuse.ch?

Seit einiger Zeit arbeiten wir mit abuse.ch zusammen. Eine der Plattformen von abuse.ch, Feodo Tracker, verfolgt und validiert Botnet C&C-Infrastruktur, die mit den schlimmsten Malware-Bedrohungen assoziiert wird. abuse.ch liefert zuverlässige, validierte Daten über Botnet C&C-Infrastrukturen, die von Emotet, Qakbot und Konsorten genutzt werden. Spamhaus hat seine bewährten BCL-Datensätze erweitert und stellt nun diesen neuen Datensatz über seine BGP-Feeds bereit, um seine Nutzer noch besser zu schützen.

Verbraucher, die diese Daten über Spamhaus nutzen, profitieren vom Zugang zu technischem Support, einem robusten Service und schneller Problemlösung bei vermeintlich falsch positiven Einträgen.

Gehen wir auf den Begriff „vermeintlich falsch positiv“ ein.

Jeder ISP (und jeder, der für den Schutz eines Netzwerks verantwortlich ist) wird bei der Erwähnung „falsch positiver Einträge“ vermutlich nervös. Bei den drei ursprünglichen Communitys unserer BGP-Feeds beträgt die Rate falsch positiver Einträge null. ALLERDINGS ist da noch das kleine Wort „vermeintlich“. Wenn eine IP-Adresse einen Botnet C&C hostet, sollten Sie den Verkehr zwischen Ihrem Netzwerk und dieser IP-Adresse unterbinden. Dabei ist es irrelevant, ob unter dieser IP-Adresse ein legitimes Gerät gehostet wird. Das macht den Eintrag noch nicht falsch positiv. Ihr Netzwerk wird sicherer, wenn Sie den darüber versendeten Verkehr abweisen.

Stellen Sie sich die folgenden beiden Szenarien vor und überlegen Sie, was schlimmer ist:

• Ein Betrüger, der ein Großunternehmen mithilfe von Ransomware verschlüsselt
  oder
• Die Sperrung einer Verbindung (beispielsweise) zu einem einzelnen DSL-Abonnenten in einem Dritt-Netzwerk, in dem ein Botnet C&C gehostet wird

Da muss man nicht lange überlegen, oder?

Wenn Sie wegen falsch positiver Einträge besorgt sind, führen Sie sich vor Augen, dass die in der BCL – Compromised eingetragenen IP-Adressen eine weitaus kürzere Laufzeit haben und unser Rechercheteam die Einträge kontinuierlich neu validiert, um sich zu vergewissern, ob der Botnet C&C noch aktiv ist und weiterhin eine Bedrohung für Ihr Netzwerk und Ihre Kunden darstellt.

Würden Sie diese Daten gerne ausprobieren?

Wenn Sie gerne testen möchten, wie diese Daten in Ihrem Netzwerk funktionieren, laden wir Sie ein, unsere 30-tägige Testversion auszuprobieren. Wenn Sie die Spamhaus BGP-Feeds bereits zum Schutz Ihres Network Edge einsetzen, können Sie diese zusätzliche Community kostenlos nutzen. Melden Sie sich einfach im Kundenportal an und kontaktieren Sie uns, damit wir Ihr Profil aktualisieren können.