Invalid TCP-Flags Angriffe

[DiZ|MadDog]

Hi,
ich bin etwas verunsichert. Immer wenn ich den eMule mal laufen habe, werd ich mit ziemlicher Sicherheit laut Norton Internet Security angegriffen durch "Invalid-TCP Flags", was aber gottseidank geblockt wird.
Zum drumrum:
Mein Rechner ist an einem Router angeschlossen, der die Ports vom emule an mich weiterleitet. Auf meinem Rechner ist zusätzlich die Norton Firewall aktiv, wie schon erwähnt.

Jetzt frag ich mich, was es eigentlich mit dieser Art Attacke auf sich hat, bzw. ob der emule da vielleicht mit dran schuld ist, direkt oder indirekt (durch öffnen von Sicherheitslöchern...).
Denn wenn ich zwar online bin, evtl. stundenlang, aber der emule gar nicht an ist/war, bekomme ich einen derartigen Angriff sehr sehr selten, eigentlich gar nicht. Ich habe einige der Angriffe mal per Norton zurückverfolgen lassen. Die letzten kamen alle aus Holland, einmal war China dabei, am meisten alelrdings kriegte ich den Telekom Server in Berlin angezeigt, auch exoten wie Südamerika oder was weiß ich wo waren schon dabei. Muss ja nix heissen, kann ja bloss n proxy seín.

Habt ihr ne Ahnung, was das ist? Ich kann damit gar nix anfangen. Ich hab ein bißchen Ahnung von Netzwerken, ihr müsst mir das nicht unbedingt für doofe erklären, aber ich kenne mich nicht so aus, als dass ich das wüsste. Ich möchte ja schließlich möglichst schaden abwenden.

[Andy1]

Habe mal das dazu gefunden.
TCP Attacken

Das TCP Protokoll ist das Standard-Protokoll in der Familie der TCP/IP Protokolle und wird für fast alle Dienste wie zum Beispiel FTP, SMTP oder Telnet verwendet und es ist gleichzeitig das sicherste Protokoll, da es nur vollständige Daten ohne Duplikate liefert.

Eine normale TCP-Verbindung wird mit einem so genannten "Three Way Handshake" (RFC 793) aufgebaut, der folgend funktioniert:


TCP A TCP B

Geschlossen Horchend
SYN senden SYN empfangen
Verbindung akzeptiert SYN senden
Verbindung akzeptiert Verbindung akzeptiert
Verbindung akzeptiert Verbindung akzeptiert



Es wird also zunächst ein SYN-Paket (Synchronisation) an den Zielrechner gesendet, der mit einem SYN/ACK-Paket (Synchronisation akzeptiert) antwortet. Diese Antwort wird mit einer Bestätigung des Quellrechners akzeptiert. Für diesen Vorgang wird ein entsprechender Speicher belegt.

SYN-Flood Attacken
Syn-Flood Attacken setzen genau hier an. Der Aggressor sendet SYN-Requests (Antworten) mit einer nicht existierenden Absender-Adresse an den Rechner des Opfers. Der Opfer-Rechner antwortet mit einer SYN/ACK Antwort an die nicht existierende Adresse, erhält daher keine Antwort und wartet eine bestimmte Zeit auf eine Rückmeldung. Erfolgt diese nicht innerhalb einer Zeitspanne, wird die Verbindung erfolglos unterbrochen. Sinn der SYN-Flood Attacke ist, genügend schnell SYN Pakete an den Opfer-Rechner zu senden, bevor die Verbindung wegen Erfolglosigkeit vom Opfer-Rechner beendet wird. Erfolgen die Attacken ausreichend schnell, wird der Speicher des Opfer-Rechners mit sinnlosen Verbindungsanfragen überfüllt und er wirkt wie eingefroren oder stürzt unkontrolliert ab.

Identifizieren lassen sich SYN-Flood Attacken mit einem leistungsfähigen Firewallsystem und integriertem Intrusion-Detection-System, mit dem die Art des Angriffs analysiert wird oder weniger spezifisch mit der Ermittlung der Anzahl von Verbindungsversuchen durch ein einfaches Firewallsystem.

Eine erweiterte Form der SYN-Flood Attacken wird über so genannte DDoS-Werkzeuge ausgelöst, die einzig zum Zweck verteilter Angriffe entwickelt wurden. Hier installiert der Aggressor zunächst Agents auf verschiedenen Rechnern und insbesondere auf Rechnern, die über einen Breitband-Internetanschluß verfügen, um die notwendige Leistung für Angriffe zur Verfügung zu haben.

Diese Agenten werden ähnlich trickreich in harmlos erscheinende Dateien und/oder Bildschirmschoner gepackt, die sich beim Öffnen der Datei unbemerkt auf dem Zielrechner installieren und zunächst friedlich vor sich hin schlummern, bis sie durch einen zentralen Befehl des Angreifers gleichzeitig zum Leben erwachen und den Zielrechner mit unzähligen Scans förmlich bombardieren.

Solche verteilten Angriffe sind leicht zu bemerken an der großen Anzahl an Verbindungsversuchen pro Minute von 600 bis 800 Versuchen oder mehr innerhalb dieser Zeit.


Der Andy

P.S. alles nachzulesen auch unter dieser Seite http://www.firewallinfo.de/index.php