Videokonferenzen: Flood-Attacken drohen

Videokonferenzen unterstützen Business Continuity, bieten aber auch Einfallstor

[datensicherheit.de, 11.08.2022] Der Einsatz sogenannter Collaboration Tools (z.B. „zoom“, „WebEx“ oder „Microsoft Teams“) für Videokonferenzen hat ganz offensichtlich die „Business Continuity“ während der „Pandemie“ deutlich erleichtert – doch Radware warnt auf der anderen Seite davor, dass damit „auch Cyber-Kriminellen ein neues Tor für Angriffe auf die Verfügbarkeit zentraler Kommunikations-Infrastrukturen“ geöffnet werde.

Foto: Radware

Michael Gießelbach: UDP anfällig für Layer-4-Angriffe

Videokonferenzen basieren auf verbindungslosem UDP- Protokoll

Videokonferenzsysteme arbeiteten mit dem sogenannten Real Time Protocol (RTP). RTP basiere auf dem „User Datagram Protocol“ (UDP), einem Protokoll, „das weder eine garantierte Zustellung von Paketen noch einen Mechanismus zur Behandlung von Paketen außerhalb der Reihenfolge bietet“.

UDP sei ein verbindungsloses Protokoll, „das in IP-Pakete eingebettete Datagramme zur Kommunikation verwendet, ohne dass eine Sitzung zwischen zwei Geräten aufgebaut werden muss“. Mit anderen Worten: Es erfordere kein „Handshake-Verfahren“. Dies ermögliche zwar einen Datenverkehr mit geringerem „Overhead“, macht UDP aber auch anfälliger für Missbrauch und eine Vielzahl von „Flutangriffen“, einschließlich „UDP Flood“-Angriffen.

Schutz für Videokonferenzen: Spezielle UDP-Tools zur Erkennung und Entschärfung von -Floods implementieren

„Mit einfachen Lösungen gegen DDoS-Angriffe wird man solcher Attacken nicht Herr“, betont Michael Gießelbach, „Regional Director DACH“ bei Radware, und führt aus:

„Um diese Angriffe zu bekämpfen, müssen in der DDoS-Engine spezielle Tools zur Erkennung und Entschärfung von UDP-Floods implementiert werden. Nur so kann man sicherstellen, dass ein UDP-Flood-Angriff keine Auswirkungen auf den Videokonferenz-Dienst hat.“

Videokonferenzen droht Überlastung des Zielnetzes

Bei einem „UDP Flood“-Angriff werde keine spezifische Schwachstelle ausgenutzt. „Stattdessen wird einfach das normale Verhalten missbraucht, und zwar in einem Ausmaß, das zu einer Überlastung des Zielnetzes führt.“ Dabei werde eine große Anzahl von UDP-Datagrammen von meist gefälschten IP-Adressen an zufällige Ports auf einem Zielserver gesendet.

„Der Server, der diesen Datenverkehr empfängt, ist nicht in der Lage, jede Anfrage zu bearbeiten.“ Der Datenverkehr verbrauche die gesamte Bandbreite des Servers, „da er versucht, ICMP-Antworten auf ,destination unreachable‘-Pakete zu senden, um zu bestätigen, dass keine Anwendung an den Zielports lauscht“. Dieses Protokoll sei anfällig für Layer-4-Angriffe wie z.B. „UDP Floods“, „UDP Garbage-Floods“, „RTP Floods“ und andere.