OSI-Schichtenangriffe: 38 Netzwerkangriffe nach Schicht und wie man sie abwehrt

Welche gängigen Angriffe zielen auf verschiedene OSI-Schichten ab?

Angriffe auf das OSI-Netzwerkmodell können auf jeder seiner sieben Schichten erfolgen. Hier sind Beispiele für Angriffe, die auf die einzelnen Schichten abzielen:

Physikalische Schicht (Schicht 1)

• Manipulation/Zerstörung von Hardware: Physischer Zugriff wird genutzt, um Netzwerkkomponenten wie Kabel oder Geräte zu beschädigen oder um unerwünschte Geräte wie Keylogger einzuschleusen.
• Signalabfang/Sniffing: Die Verwendung hochentwickelter Geräte zum Abfangen von Signalen oder das Umschalten einer Netzwerkkarte (NIC) in den Promiscuous-Modus, um alle Daten eines Segments zu erfassen.

Sicherungsschicht (Schicht 2)

• MAC-Adressen-Spoofing: Ein Angreifer gibt sich als legitimes Gerät aus, indem er dessen MAC-Adresse fälscht, um Zugriff zu erlangen oder den Datenverkehr umzuleiten.
• ARP-Spoofing: Ein Angreifer sendet gefälschte ARP-Nachrichten, um seine MAC-Adresse mit der IP-Adresse eines legitimen Geräts zu verknüpfen und so den Datenverkehr auf den Rechner des Angreifers umzuleiten.
• VLAN-Hopping: Ausnutzung von Schwachstellen in virtuellen LAN-Konfigurationen, um unbefugten Zugriff auf Netzwerksegmente zu erlangen.

Netzwerkschicht (Schicht 3)

• IP-Spoofing: Die Quell-IP-Adresse wird gefälscht, um sich als vertrauenswürdiges Gerät auszugeben.
• Routenmanipulation: Das Verändern von Routingtabellen, um Datenverkehr umzuleiten, zu blockieren oder abzufangen.
• Adversary-in-the-middle (AiTM): Abfangen oder Verändern des Datenverkehrs zwischen den Kommunikationspartnern.

Transportschicht (Schicht 4)

• TCP SYN Flooding: Erschöpfung der Serverressourcen durch das Senden unvollständiger TCP-Verbindungsanfragen.
• DDoS-Muster: Koordinierte Datenverkehrsfluten aus mehreren Quellen, um ein Ziel zu überlasten.

Sitzungsschicht (Schicht 5)

• Manipulation von Authentifizierungstoken: Fälschung oder Veränderung von Token, um unbefugten Zugriff auf Sitzungen zu erlangen.
• Ausnutzung der Sitzungspersistenz: Missbrauch der Logik des Load Balancers oder der Sitzungsverwaltung, um Sitzungen zu übernehmen.

Präsentationsschicht (Schicht 6)

• SSL/TLS-Abfang: Entschlüsselung von sicherem Datenverkehr mithilfe von gefälschten Zertifikaten oder Proxys.
• Downgrade-Angriffe: Erzwingen der Verwendung schwacher Verschlüsselung durch Ausnutzung von Protokollverhandlungen.
• Code-Injection: Einbetten von ausführbarem Code in Daten, die auf der Präsentationsschicht verarbeitet werden.

Anwendungsschicht (Schicht 7)

• Cross-Site-Scripting (XSS): Einschleusen von bösartigen Skripten in Webseiten, die von Benutzern aufgerufen werden.
• SQL-Injection: Das Einfügen bösartiger SQL-Befehle in Datenbankabfragen durch Benutzereingaben.

Im Folgenden gehen wir detaillierter auf diese und weitere Angriffe auf die OSI-Schicht ein.

Dies ist Teil einer Artikelserie über OSI-Schichten.

Angriffe auf der physikalischen Schicht (Schicht 1)

1. Manipulation der Hardware

Hardware-Manipulation bezeichnet die unbefugte Manipulation von Netzwerkgeräten wie Switches, Routern oder Netzwerkkarten. Angreifer können manipulierte Geräte installieren, Konfigurationen verändern oder Systeme physisch kompromittieren, um dauerhaften Zugriff zu erlangen oder einen Denial-of-Service-Angriff (DoS) zu verursachen. Der physische Zugriff auf die Infrastruktur macht übergeordnete Sicherheitsmechanismen oft wirkungslos, da Angreifer logische Kontrollen vollständig umgehen können.

Bei Manipulationsfällen werden möglicherweise keine digitalen Spuren hinterlassen, was die Erkennung und Zuordnung im Vergleich zu Angriffen auf höheren Ebenen erschwert.

2. Signalabfang

Signalabfang stellt eine weitere Bedrohung auf der physikalischen Ebene dar, bei der Angreifer Rohdaten abfangen, während diese durch Kabel oder drahtlose Signale übertragen werden. Mithilfe spezieller Tools können sie elektrische, optische oder Hochfrequenzsignale abfangen und so unverschlüsselte Daten oder sensible Anmeldeinformationen offenlegen. Diese Art des Abfangens erfordert keinen logischen Netzwerkzugriff, sondern lediglich die Nähe zu Kommunikationshardware oder Übertragungskanälen.

Bei den Verteidigungsstrategien liegt der Fokus auf physischen Zugangsbarrieren, der Abriegelung von Anlagen und der Verwendung von abgeschirmten oder gepanzerten Kabeln, um die Möglichkeiten für Manipulationen und Abhören einzuschränken.

3. Elektromagnetische Angriffe

Elektromagnetische Angriffe nutzen die unbeabsichtigten Emissionen elektronischer Geräte aus. Diese Emissionen können durch Seitenkanalanalyse sensible Informationen wie kryptografische Schlüssel, Passwörter oder Dokumentinhalte auslesen. Angreifer sammeln die von Netzwerkgeräten, Computern oder Monitoren ausgesendeten elektromagnetischen Signale und verwenden spezielle Algorithmen, um die abgefangenen Daten zu rekonstruieren.

Zur Minderung solcher Risiken gehören die elektromagnetische Abschirmung und die Vermeidung der Platzierung kritischer Netzwerkinfrastruktur in der Nähe öffentlicher oder nicht vertrauenswürdiger Orte.

4. Funkfrequenzangriffe

Funkfrequenzangriffe zielen auf drahtlose Netzwerktechnologien ab, die häufig für WLAN, Bluetooth oder andere Funkkommunikation genutzt werden. Angreifer können Funksignale abfangen, einspeisen oder stören, um legitimen Funkverkehr abzufangen, zu unterbrechen oder zu imitieren. Funkstörungen können ein gesamtes drahtloses Netzwerk lahmlegen, während versierte Angreifer mit manipulierten Basisstationen Man-in-the-Middle-Angriffe durchführen können.

Zu den Verteidigungsmaßnahmen gehören die Überwachung des HF-Spektrums, eine sichere drahtlose Authentifizierung und Umgebungssteuerungen, um die Angriffsfläche zu minimieren.

5. Kabelanzapfen

Beim Kabelanzapfen wird eine physische Verbindung zur Netzwerkverkabelung hergestellt, um Datenaustausch abzuhören oder aufzuzeichnen. Angreifer fügen Abhörgeräte oder Splitter in Kupfer- oder Glasfaserleitungen ein, oft mit minimalen Auswirkungen auf den Netzwerkbetrieb. Glasfaser-Abhörgeräte sind besonders schwer zu erkennen, da sie die Lichtübertragung nicht merklich unterbrechen.

Regelmäßige Netzwerküberprüfungen, die Verwendung manipulationssicherer Kabel und der Einsatz verschlüsselter Datenübertragung sind notwendig, um dem Risiko des Abhörens von Kabeln entgegenzuwirken.

6. Kabelverklemmung

Störsender beeinträchtigen die Netzwerkleistung, indem sie Kommunikationsleitungen stören und legitime Signale überlagern, wodurch Geräte unbrauchbar werden. Auf der physikalischen Schicht können Störsender durch gezielte Angriffe oder Umwelteinflüsse entstehen. Der Schaden ist in der Regel kurzzeitig, aber äußerst störend und führt zu Datenverlust und Verbindungsabbrüchen, bis die Störung aufhört.

Zu den Schutzmaßnahmen gehören elektromagnetische Abschirmung, redundante Kabelwege sowie Echtzeitüberwachung auf Signalanomalien und schnelle Reaktion auf physikalische Störungen.

Angriffe auf die Sicherungsschicht (Schicht 2)

7. MAC-Adressen-Spoofing

MAC-Spoofing ist eine Technik, bei der Angreifer die MAC-Adresse (Media Access Control) ihres Geräts verschleiern, um sich als anderes Netzwerkgerät auszugeben. Da Netzwerk-Switches MAC-Adressen zur Weiterleitung des Datenverkehrs verwenden, ermöglicht dies Angreifern, Sitzungen zu übernehmen, unbefugten Zugriff zu erlangen oder Datenverkehr abzufangen, der für andere Geräte bestimmt ist. MAC-Spoofing ist besonders schädlich in Umgebungen, in denen Netzwerkrichtlinien auf MAC-basierter Authentifizierung oder Zugriffskontrolle beruhen.

Zu den Gegenmaßnahmen gehören Port-Sicherheit, Geräteauthentifizierung und Netzwerkzugriffskontrollen auf Basis von Zertifikaten oder 802.1X-Standards.

8. MAC-Flooding

MAC-Flooding nutzt das Verhalten von Switches aus, indem es diese mit zahlreichen gefälschten MAC-Adressen überflutet und sie so zwingt, in den Broadcast-Modus zu wechseln. In diesem Zustand wird sensibler Datenverkehr, der für einen bestimmten Empfänger bestimmt ist, an alle Geräte im Netzwerksegment gesendet, wodurch Angreifer die Datenpakete leicht abfangen können.

Netzwerkadministratoren können MAC-Flooding verhindern, indem sie die Portsicherheit konfigurieren, die Anzahl der pro Port zulässigen MAC-Adressen begrenzen und eine Netzwerksegmentierung implementieren, um die Broadcast-Domäne einzudämmen.

9. Luftvergiftung

ARP-Spoofing (auch ARP-Poisoning genannt) zielt auf das Address Resolution Protocol (ARP) ab, das IP-Adressen MAC-Adressen in einem lokalen Netzwerk zuordnet. Angreifer senden gefälschte ARP-Nachrichten und verleiten so Geräte dazu, die MAC-Adresse des Angreifers einer gültigen IP-Adresse zuzuordnen. Diese Technik ermöglicht Man-in-the-Middle-Angriffe, Session Hijacking oder Denial-of-Service-Attacken.

Zu den Abwehrmaßnahmen gegen ARP-Poisoning gehören statische ARP-Einträge für kritische Systeme, dynamische ARP-Inspektionsfunktionen auf Switches und die routinemäßige Überwachung des Netzwerkverkehrs auf Anomalien.

10. VLAN-Hopping

VLAN-Hopping ermöglicht es Angreifern, Pakete in ein virtuelles LAN-Segment (VLAN) einzuschleusen, auf das sie keinen Zugriff haben sollten, und so die logische Netzwerksegmentierung zu umgehen. Dies geschieht durch Fehlkonfigurationen von Switches, doppelte Kennzeichnung oder Ausnutzung von Schwachstellen in nativen VLANs. Sobald Angreifer in ein unautorisiertes VLAN eingedrungen sind, können sie auf geschützte Systeme zugreifen oder sensible Kommunikation abfangen.

Zu den vorbeugenden Maßnahmen gehören das Deaktivieren ungenutzter Switch-Ports, eine strikte VLAN-Konfiguration und das Entfernen der Standard-VLAN-Zuweisung von allen Ports.

11. Unbefugte Zugangspunkte

Unbefugte Zugriffspunkte sind nicht autorisierte drahtlose Geräte, die mit einem kabelgebundenen Netzwerk verbunden sind und Angreifern einen Zugangspunkt bieten. In großen Netzwerken bleiben diese Geräte oft unbemerkt und ermöglichen es Angreifern, Daten abzuhören, Angriffe zu starten oder bestehende Sicherheitsvorkehrungen zu umgehen.

Die automatisierte Erkennung und Authentifizierung aller netzwerkverbundenen Geräte sowie regelmäßige Überprüfungen des WLAN-Netzwerks sind unerlässlich, um unbefugte Zugriffspunkte zu erkennen und zu eliminieren. Der Einsatz von WLAN-Intrusion-Detection-Systemen und die Festlegung zulässiger MAC-Adressen in den Zugriffspunktkonfigurationen reduzieren das Risiko zusätzlich.

12. Drahtlose Störung

Drahtlose Störungen beeinträchtigen die Kommunikation, indem sie WLAN-Frequenzen mit Rauschen oder Interferenzen überlasten und so verhindern, dass legitime Geräte Verbindungen herstellen oder aufrechterhalten können. Gezielte Störungen können bestimmten kritischen Systemen oder Nutzern den Dienst verweigern, während großflächige Angriffe ganze Netzwerksegmente betreffen.

Organisationen sollten Spektrumanalysetools einsetzen, die drahtlose Infrastruktur physisch sichern und Frequenzsprung- oder Spread-Spectrum-Technologien implementieren, um die Auswirkungen von vorsätzlichen Störangriffen zu minimieren.

Mehr dazu erfahren Sie in unserem ausführlichen Leitfaden zu OSI-Schicht 2 (in Kürze verfügbar).

Angriffe auf der Netzwerkschicht (Schicht 3)

13. IP-Spoofing

IP-Spoofing bezeichnet das Fälschen der Quell-IP-Adresse in Netzwerkpaketen, um sich als legitime Benutzer oder Geräte auszugeben. Dadurch können Angreifer die IP-basierte Authentifizierung umgehen, Sicherheitsüberwachungen aushebeln oder den Datenverkehr über schädliche Rechner umleiten. IP-Spoofing ist die Grundlage vieler komplexer Bedrohungen, darunter DDoS-Angriffe (Distributed Denial-of-Service) und Session Hijacking.

Zu den Abwehrmaßnahmen gehören strenge Filterung des ein- und ausgehenden Datenverkehrs, Validierung der Netzwerkadresse und der Einsatz von Überwachungstools, die Anomalien in der IP-Nutzung erkennen.

14. Routenmanipulation

Routenmanipulationsangriffe nutzen dynamische Routing-Protokolle (wie OSPF, BGP oder RIP) aus, um legitime Netzwerkpfade zu verändern. Angreifer können falsche Routenankündigungen einschleusen, wodurch der Datenverkehr umgeleitet, blockiert oder überwacht wird. Solche Angriffe können zu massivem Datenabfangen oder Dienstausfällen in großem Umfang führen.

Der Schutz vor Routenmanipulation erfordert sichere Routing-Protokollkonfigurationen, Authentifizierung zwischen benachbarten Routern und eine aggressive Routenvalidierung mit Überwachung auf verdächtige Änderungen in der Netzwerktopologie.

16. ICMP-Umleitung

ICMP-Redirect-Angriffe nutzen das Internet Control Message Protocol (ICMP), um den Datenverkehr von seinem ursprünglichen Ziel umzuleiten. Bösartige ICMP-Redirect-Nachrichten weisen Hosts an, Pakete über vom Angreifer kontrollierte Gateways umzuleiten, wodurch das Abfangen oder Mithören von Datenverkehr ermöglicht wird. Da viele Systeme ICMP-Redirects standardmäßig vertrauen, können Angreifer Netzwerkpfade schnell manipulieren.

Das Deaktivieren der Verarbeitung unnötiger ICMP-Nachrichten und das Konfigurieren von Host-Firewalls zur Ablehnung von Umleitungen sind unerlässliche Gegenmaßnahmen.

17. DNS-Vergiftung

DNS-Poisoning (auch bekannt als DNS-Cache-Poisoning) manipuliert die Zuordnung von Domainnamen zu IP-Adressen und leitet Nutzer auf schädliche Webseiten um. Angreifer schleusen gefälschte DNS-Antworten in den Resolver-Cache des Zielsystems ein, um Phishing oder die Verbreitung von Schadsoftware zu ermöglichen. Erfolgreiches DNS-Poisoning kann den gesamten Internetverkehr einer Organisation gefährden.

Zu den Gegenmaßnahmen gehören DNSSEC (Domain Name System Security Extensions) zur kryptografischen Validierung, die Verwendung vertrauenswürdiger rekursiver Resolver und die Überwachung auf ungewöhnliche DNS-Antwortmuster.

18. Techniken des Gegners in der Mitte

Bei sogenannten Man-in-the-Middle-Angriffen (MitM) wird die Kommunikation zwischen Netzwerkendpunkten abgefangen oder manipuliert. Angreifer schalten sich zwischen Sender und Empfänger und können so unbemerkt Daten abhören, verändern oder Schadsoftware einschleusen. Gängige Methoden sind ARP-Spoofing, DNS-Hijacking und die Ausnutzung manipulierter WLAN-Zugangspunkte, oft in Kombination mit anderen, schichtspezifischen Angriffen, um dauerhafte Zugriffe zu erlangen und Daten zu stehlen.

Die Abwehr gegen AiTM-Angriffe erstreckt sich über mehrere Schichten, ist aber insbesondere auf der Netzwerkschicht von Bedeutung. Zu den Strategien gehören die Implementierung gegenseitiger Authentifizierung, eine starke Verschlüsselung des gesamten Netzwerkverkehrs und die Verwendung sicherer Protokolle (wie HTTPS, SSH und VPN-Tunneling).

Mehr dazu erfahren Sie in unserem ausführlichen Leitfaden zu OSI-Schicht 3 (in Kürze verfügbar).

Angriffe auf die Transportschicht (Schicht 4)

19. TCP-SYN-Flooding

TCP-SYN-Flooding ist ein Denial-of-Service-Angriff, der den Handshake-Prozess ausnutzt, der eine TCP-Verbindung initiiert. Angreifer senden eine große Anzahl von SYN-Anfragen, ohne den Handshake abzuschließen. Dadurch wird der Zielserver gezwungen, Ressourcen für halb geöffnete Verbindungen zu reservieren und schließlich die gesamte Konnektivität zu erschöpfen. Dies stört den legitimen Zugriff und kann öffentlich zugängliche Anwendungen oder Dienste lahmlegen.

Der Schutz vor SYN-Floods umfasst Ratenbegrenzung, SYN-Cookies und den Einsatz von Netzwerkgeräten mit TCP-Handshake-Überwachung.

20. DDoS-Muster

Verteilte Dienstverweigerungsangriffe (DDoS) erweitern diese Techniken, indem sie mehrere Systeme im Internet nutzen, um synchronisierte Angriffe zu starten, die Bandbreite, Rechenleistung oder Anwendungsressourcen ins Visier nehmen. Raffinierte Angreifer variieren die Art der Pakete und Verbindungsversuche, was die Erkennung erschwert.

Organisationen müssen mehrschichtige Verteidigungsmechanismen einsetzen, darunter Upstream-Filterung, cloudbasierte DDoS-Schutzdienste und fortschrittliche Anomalieerkennung, um modernen DDoS-Angriffsmustern entgegenzuwirken.

21. Port-Scanning

Port-Scanning ist eine Aufklärungsmethode, bei der Angreifer Netzwerk-Hosts nach offenen oder angreifbaren Ports durchsuchen. Durch die Erfassung exponierter Dienste priorisieren Angreifer Ziele für die Ausnutzung von Sicherheitslücken oder liefern maßgeschneiderte Schadsoftware ein.

Bei defensiven Strategien liegt der Fokus auf der Minimierung der Angriffsfläche: Nur notwendige Ports sollten geöffnet bleiben, und Hosts müssen Endpoint-Firewalls und Intrusion-Prevention-Systeme implementieren, um die Scan-Sichtbarkeit einzuschränken und auf verdächtige Aktivitäten reagieren zu können.

22. Session Hijacking

Session Hijacking auf der Transportschicht bezeichnet das Stehlen oder Manipulieren von Sitzungstoken oder -parametern, um unbefugten Zugriff auf eine bestehende Verbindung zu erlangen. Angreifer können Sitzungskennungen abfangen, indem sie unverschlüsselten Datenverkehr abfangen oder Schwachstellen in Protokollimplementierungen ausnutzen. Sobald sie diese erlangt haben, können sie sich als legitimer Benutzer ausgeben oder die Sitzung unterbrechen.

Der Einsatz verschlüsselter Protokolle, die Randomisierung von Sitzungskennungen und das Zurücksetzen von Sitzungen bei Anomalieerkennung sind wirksame Abwehrmaßnahmen gegen solche Angriffe.

23. Pufferüberlauf in Transportprotokollen

Buffer-Overflow-Angriffe auf Transportprotokolle zielen auf die unzureichende Datenverarbeitung in Protokollhandlern oder Diensten dieser Schicht ab. Durch das Senden übergroßer oder fehlerhafter Pakete können Angreifer den Speicher überschreiben, Netzwerkdienste stören oder beliebigen Code auf dem Zielsystem ausführen. Ältere Protokollimplementierungen sind besonders gefährdet, wenn sie keine ordnungsgemäße Bereichsprüfung oder Eingabevalidierung aufweisen.

Die Aktualisierung und das Einspielen von Patches in die gesamte Software sind eine primäre Verteidigungslinie gegen diese Schwachstellen. Regelmäßige Code-Audits, Fuzzing von Protokollhandlern und die Verwendung speichersicherer Programmiersprachen erhöhen die Sicherheit von Netzwerkdiensten gegen Buffer-Overflow-Angriffe zusätzlich.

Mehr dazu erfahren Sie in unserem ausführlichen Leitfaden zu OSI-Schicht 4 (in Kürze verfügbar).

Angriffe auf die Sitzungsschicht (Schicht 5)

24. Session Hijacking

Session Hijacking auf der Sitzungsschicht bezeichnet die Übernahme einer legitimen Kommunikationssitzung zwischen zwei Endpunkten. Angreifer nutzen Schwachstellen in der Authentifizierung oder im Sitzungsmanagement aus, um Sitzungskennungen zu stehlen und sich so als Benutzer auszugeben oder laufende Kommunikationen zu stören. Zu den Techniken gehören das Abfangen von Sitzungs-Cookies, das Ausnutzen von Protokollschwächen oder das Vorhersagen von Kennungswerten.

Die Durchsetzung einer strengen Sitzungsvalidierung und die Implementierung sicherer Cookie-Attribute sind entscheidende Verteidigungsmaßnahmen.

25. Wiederholungsangriffe

Replay-Angriffe erfolgen, wenn Angreifer gültige Sitzungsnachrichten abfangen und erneut senden, um ein Ziel zu unautorisierten Aktionen zu verleiten. Dies ist besonders wirksam bei Protokollen, denen eine ordnungsgemäße Zeitstempelung oder Sequenzvalidierung der Nachrichten fehlt.

Zu den Gegenmaßnahmen gehören die Implementierung von Nonces (eindeutigen Nachrichtentoken), die Verwendung von Zeitstempeln und die Durchsetzung strikter Sitzungs-Timeouts und erneuter Authentifizierung bei sensiblen Operationen, um zu verhindern, dass Angreifer gültige Datenaustausche erfolgreich wiederholen können.

26. Manipulation von Authentifizierungstoken

Authentifizierungstoken sind unerlässlich für die Verwaltung von Sitzungsidentitäten und Zugriffsrechten. Angreifer können Token fälschen, stehlen oder verändern, um ihre Berechtigungen zu erweitern oder Sicherheitskontrollen zu umgehen. Dies kann durch vorhersehbare Tokenwerte, Fehler bei der Signaturprüfung oder die unsichere Übertragung von Tokendaten über öffentliche Netzwerke verursacht werden.

Zum Schutz vor Token-Manipulation sollten Organisationen kryptografisch starke, zufällige Token verwenden, Integritätsprüfungen der Token implementieren und Richtlinien für den Token-Ablauf anwenden.

27. Ausnutzung der Sitzungspersistenz

Sitzungspersistenz (oder Sticky Sessions) stellt sicher, dass laufende Verbindungen eines Benutzers stets vom selben Backend-Server verarbeitet werden. Obwohl dies für die Zustandsverwaltung in verteilten Anwendungen unerlässlich ist, können unzureichende Mechanismen zur Sitzungspersistenz zu Vorhersagbarkeit und Ausnutzung führen. Angreifer können Load-Balancer-Algorithmen oder Sitzungskennungen analysieren, um Sitzungen auf kompromittierte Ressourcen zu erzwingen oder Sicherheitskontrollen zu umgehen.

Durch die zufällige Zuweisung von Sitzungen und die aktive Überwachung der Backend-Serverzuweisungen lassen sich diese Risiken mindern. Kurze Sitzungs-Timeouts, obligatorische Re-Authentifizierung bei sensiblen Aktionen und die aktive Sitzungsverfolgung über die gesamte Infrastruktur hinweg sind unerlässlich, um Sicherheitslücken zu schließen, die durch unzureichende oder missbräuchliche Sitzungspersistenz entstehen.

Mehr dazu erfahren Sie in unserem ausführlichen Leitfaden zur OSI-Schicht 5 (in Kürze verfügbar).

Angriffe auf die Präsentationsschicht (Schicht 6)

28. SSL/TLS-Abfangen

SSL/TLS-Abfangangriffe zielen darauf ab, die Vertraulichkeit verschlüsselter Verbindungen zu untergraben, indem Angreifer sich zwischen die Endpunkte schalten. Sie können gefälschte Zertifikate verwenden, vertrauenswürdige Zertifizierungsstellen kompromittieren oder Clientkonfigurationen manipulieren, um die Kommunikation zu entschlüsseln. Dadurch können sensible Daten und Sitzungsinformationen offengelegt werden.

Die Durchsetzung der Verwendung von fixierten, verifizierten Zertifikaten und die Überwachung von Anomalien in Zertifikatsketten sind notwendige Abwehrmaßnahmen gegen SSL/TLS-Abfangen.

29. Downgrade-Angriffe

Downgrade-Angriffe zwingen Nutzer und Dienste, ein schwächeres und weniger sicheres Verschlüsselungsprotokoll als ursprünglich vorgesehen auszuhandeln. Angreifer nutzen Kompatibilitätslücken oder Schwachstellen in der Protokollaushandlung aus, um die Verschlüsselung zu schwächen und das Abhören oder Manipulieren zu erleichtern.

Um Downgrade-Angriffe zu verhindern, bedarf es einer strikten Durchsetzung moderner Protokolle (wie TLS 1.2 und höher) auf Client- und Serverseite, der Abschaffung veralteter Verschlüsselungssammlungen und regelmäßiger Schwachstellenanalysen aller kryptografischen Endpunkte im Netzwerk.

30. Code-Injection

Code-Injection auf der Präsentationsschicht zielt auf Systeme ab, die Daten von Endbenutzern oder Partnersystemen unzureichend validieren oder analysieren. Angreifer können Schadcode in Nutzdaten einbetten, die später in nachgelagerten Diensten ausgeführt werden. Dies kann potenziell zur Ausführung von Schadcode aus der Ferne oder zur unbefugten Datenmanipulation führen. Typische Angriffsvektoren sind Dokumentenbetrachter, Datentransformationsprogramme oder Dateiparsing-Bibliotheken, die auf dieser Schicht arbeiten.

Eine gehärtete Eingabebereinigung und abgeschottete Verarbeitungsumgebungen helfen, sich gegen Code-Injection-Bedrohungen zu verteidigen.

31. Fehler bei der Datenserialisierung

Fehler bei der Datenserialisierung treten auf, wenn Anwendungen strukturierte Daten nicht korrekt serialisieren oder deserialisieren. Dies ermöglicht Angreifern, manipulierte Objekte einzuschleusen, die schädliches Verhalten auslösen oder Zugriffskontrollen umgehen. Serialisierungsschwachstellen sind besonders gefährlich in verteilten Architekturen oder Microservice-Architekturen, in denen die Kommunikation zwischen Diensten stark auf standardisierter Objektkodierung beruht.

Sichere Serialisierungsbibliotheken, Integritätsprüfungen und die Beschränkung zulässiger Datentypen sind unerlässlich, um Serialisierungsrisiken in der Präsentationsschicht zu begegnen.

32. Ausnutzung schwacher oder veralteter Verschlüsselungsstandards

Angreifer nutzen schwache oder veraltete Verschlüsselungsstandards aus, um Vertraulichkeitskontrollen zu umgehen, Klartextdaten zu extrahieren oder sichere Verbindungen zu manipulieren. Häufige Beispiele hierfür sind die Verwendung veralteter SSL-Protokolle, Export-Verschlüsselungsverfahren oder Algorithmen mit bekannten mathematischen Schwächen. Angreifer verwenden frei verfügbare Tools, um veraltete Verschlüsselungen zu knacken, Geheimnisse zu extrahieren oder sich während der Übertragung als Benutzer auszugeben.

Die Verwendung aktueller und geprüfter kryptografischer Algorithmen in allen Systemen ist grundlegend für die Infrastruktursicherheit. Automatisierte Schwachstellenscans sollten routinemäßig veraltete Verschlüsselungsverfahren oder Protokollversionen erkennen und Risiken zur sofortigen Behebung melden.

Mehr dazu erfahren Sie in unserem ausführlichen Leitfaden zur OSI-Schicht 6 (in Kürze verfügbar).

Angriffe auf der Anwendungsschicht (Schicht 7)

33. Cross-Site-Scripting (XSS)

Cross-Site-Scripting (XSS) ist eine weit verbreitete Sicherheitslücke, bei der Angreifer Schadcode in Webanwendungen einschleusen. Dieser Schadcode wird im Browser ahnungsloser Nutzer ausgeführt und ermöglicht es Angreifern, Cookies zu stehlen, Sitzungen zu übernehmen oder Webseiteninhalte zu verfälschen. XSS nutzt die unzureichende Überprüfung und Kodierung von Benutzereingaben aus.

Umfassende Code-Reviews, automatisierte Scans und die Implementierung von Web Application Firewalls sind entscheidend für die Minderung von XSS-Risiken.

34. SQL-Injection

SQL-Injection zielt auf Backend-Datenbanken ab, indem speziell präparierte SQL-Befehle über unsaubere Eingaben eingeschleust werden. Angreifer erlangen so unbefugten Zugriff auf Datenbankeinträge, können diese verändern oder löschen, was häufig zu erheblichen Datenpannen führt.

Sichere Codierungspraktiken, die Verwendung parametrisierter Abfragen und regelmäßige dynamische Tests von Anwendungsschnittstellen sind unerlässlich, um SQL-Injection-Schwachstellen zu verhindern und sensible Daten zu schützen.

35. Phishing

Phishing-Angriffe nutzen Social Engineering, um Nutzer zur Preisgabe sensibler Daten wie Benutzernamen, Passwörter oder Zahlungsdetails zu verleiten. Angreifer setzen gefälschte Websites, E-Mails oder Kommunikationskanäle ein, die legitimen Organisationen oder Diensten täuschend ähnlich sehen. Die Wirksamkeit von Phishing beruht auf psychologischer Manipulation und der Unwissenheit der Nutzer.

Regelmäßige Benutzerschulungen, E-Mail-Filterlösungen und Domain-Überwachung verringern die Anfälligkeit für Phishing-Kampagnen.

36. Diebstahl von Zugangsdaten

Der Diebstahl von Zugangsdaten umfasst neben Phishing auch Techniken wie Keylogging, Credential Stuffing und die Ausnutzung mangelhafter Passwortverwaltung. Kompromittierte Zugangsdaten werden häufig zur lateralen Bewegung in Netzwerken oder zum Weiterverkauf auf Darknet-Märkten verwendet.

Multifaktor-Authentifizierung, strenge Passwortrichtlinien, Credential-Vaults und die Überwachung auf Credential-Leaks sind notwendig, um die Auswirkungen von Credential-Diebstahl auf Anwendungsebene zu begrenzen.

37. API-Missbrauch

API-Missbrauch zielt auf schlecht gesicherte Anwendungsprogrammierschnittstellen ab, die Geschäftslogik oder sensible Daten offenlegen. Angreifer können die Authentifizierung umgehen, Endpunkte auflisten oder API-Anfragen manipulieren, um Daten zu verändern, den Betrieb zu stören oder Berechtigungen zu erweitern.

Zu den Sicherheitsvorkehrungen gehören strenge API-Gateway-Kontrollen, robuste Endpunktauthentifizierung und regelmäßige Schwachstellenanalysen öffentlicher und interner APIs. Nutzungsüberwachung und Ratenbegrenzung reduzieren das Risiko großflächiger automatisierter Angriffe zusätzlich.

38. Zero-Click-Exploits

Zero-Click-Exploits nutzen Schwachstellen in Anwendungen aus, die keine Benutzerinteraktion erfordern. Angreifer kompromittieren Systeme, indem sie gezielt präparierten Datenverkehr an anfällige Endpunkte senden, beispielsweise an Messaging-Apps oder Bildbearbeitungsbibliotheken. Diese Angriffe sind aufgrund ihrer Heimlichkeit und schnellen Verbreitung wertvoll.

Die Aktualisierung der Software, der Einsatz von Sandboxing für risikoreiche Funktionen und die zeitnahe Bereitstellung von Sicherheitspatches sind unerlässlich, um sich gegen Zero-Click-Bedrohungen zu verteidigen.

Mehr dazu erfahren Sie in unserem ausführlichen Leitfaden zur OSI-Schicht 7 (in Kürze verfügbar).

Bewährte Verfahren zur Abwehr von Angriffen auf die OSI-Schicht

Hier sind einige Möglichkeiten, wie sich Organisationen vor Angriffen auf verschiedenen OSI-Schichten schützen können.

1. Implementieren Sie eine strenge Zugriffskontrolle und ein effektives Identitätsmanagement.

Strenge Zugriffskontrolle und Identitätsmanagement sind grundlegende Elemente für die Absicherung jeder OSI-Schicht. Granulare Kontrollen beschränken den Netzwerk-, System- und Datenzugriff basierend auf Benutzerrollen, Gerätetyp und Kontextmetadaten. Zentralisierte Identitäts- und Zugriffsmanagement-Plattformen (IAM) setzen Richtlinien wie das Prinzip der minimalen Berechtigungen, Multi-Faktor-Authentifizierung und die bedarfsgerechte Bereitstellung von Zugriffen durch. Die regelmäßige Überprüfung von Berechtigungen und der umgehende Entzug unnötiger Zugriffe verstärken diese Sicherheitsmaßnahmen zusätzlich.

Identitätsföderation und Single Sign-On (SSO) reduzieren die Passwortmüdigkeit, erfordern aber eine sorgfältige Sicherheitskonfiguration. Der Einsatz robuster Authentifizierungsprotokolle (wie SAML oder OAuth), die Durchsetzung hoher Passwortkomplexität und die Pflege aktueller Anmeldeinformationsspeicher verringern die Angriffsmöglichkeiten auf allen Ebenen erheblich.

2. Daten im Ruhezustand und während der Übertragung verschlüsseln

Verschlüsselung ist nach wie vor ein zentraler Schutz gegen Datendiebstahl und Datenlecks durch Angriffe auf die OSI-Schicht. Die Verschlüsselung ruhender Daten verhindert unbefugten Zugriff auf gespeicherte Informationen, während die Verschlüsselung während der Übertragung Vertraulichkeit und Integrität der Daten beim Transfer durch Netzwerke gewährleistet. Vollständige Festplattenverschlüsselung, E-Mail-Verschlüsselung und starke SSL/TLS-Konfigurationen in den Transportschichten sind entscheidende Elemente einer umfassenden Verschlüsselungsstrategie.

Wirksame Verschlüsselungsrichtlinien erfordern ein robustes Schlüsselmanagement, einschließlich sicherer Schlüsselspeicherung, Rotationsverfahren und Zugriffskontrollen zum Schutz vor Insiderbedrohungen. Regelmäßige Audits sollten die Anwendung aktueller kryptografischer Standards, die Deaktivierung anfälliger Algorithmen und die Einhaltung regulatorischer Rahmenbedingungen zum Schutz sensibler Daten überprüfen.

3. Netzwerksegmentierung und Mikrosegmentierung

Netzwerksegmentierung unterteilt die Infrastruktur in separate Zonen oder Segmente, um die Ausbreitung von Angriffen einzuschränken und sensible Ressourcen zu isolieren. Durch die Zuweisung unterschiedlicher Sicherheitskontrollen und Überwachungsstufen zu jedem Segment schränken Unternehmen die laterale Bewegung ein und reduzieren die Angriffsfläche. Traditionelle Segmentierung nutzt VLANs, Firewalls und dedizierte Subnetze, um Grenzen zwischen Benutzergruppen, Servern und kritischen Assets zu ziehen.

Mikrosegmentierung wendet diese Prinzipien detailliert an, häufig auf Workload- oder Geräteebene, mithilfe von softwaredefinierten Netzwerken oder agentenbasierten Steuerungsmethoden. Sie ermöglicht eine dynamische, kontextbezogene Isolation und verhindert so den Zugriff von Angreifern selbst nach einer ersten Kompromittierung. Mikrosegmentierung erfordert kontinuierliche Überwachung und adaptive Richtliniendurchsetzung, um auf sich entwickelnde Bedrohungen zu reagieren und die Einhaltung der Segmentierungsregeln sicherzustellen.

4. Über die Prävention hinausgehen: KI-gestützte Bedrohungserkennung und Automatisierung nutzen

Herkömmliche, präventionsbasierte Abwehrmechanismen reichen gegen moderne, mehrstufige Angriffe, die Schwachstellen in mehreren OSI-Schichten ausnutzen, nicht mehr aus. KI-gestützte Bedrohungserkennungsplattformen analysieren Signale aller Schichten – von der physischen bis zur Anwendungsschicht –, um scheinbar unabhängige Ereignisse zu korrelieren. Beispielsweise könnte ein MAC-Spoofing-Ereignis (Schicht 2), gefolgt von einem anomalen API-Zugriff (Schicht 7), auf einen Adversary-in-the-Middle-Angriff hindeuten, der bei einer isolierten Auswertung der einzelnen Warnmeldungen unentdeckt bliebe.

Verhaltensanalysen, wie beispielsweise die Analyse des Benutzer- und Entitätsverhaltens (UEBA), ergänzen die Informationsgrundlage durch die Profilierung normaler Aktivitäten und die Kennzeichnung von Abweichungen, die auf eine Kompromittierung hindeuten könnten. Anstatt sich ausschließlich auf Signaturen oder regelbasierte Warnmeldungen zu verlassen, lernen KI-Modelle im Laufe der Zeit Muster und ermöglichen so die frühzeitige Erkennung von Insiderbedrohungen, Missbrauch von Zugangsdaten und lateralen Bewegungen, die herkömmliche Sicherheitsvorkehrungen umgehen. UEBA ist besonders nützlich, um den Missbrauch legitimer Zugangsdaten und schleichende Angriffe aufzudecken.

Automatisierung trägt zur Skalierung von Erkennung und Reaktion bei, indem sie Playbooks auslöst, die Bedrohungen ohne manuelles Eingreifen untersuchen, eindämmen und beheben. KI-Plattformen können Warnmeldungen mit Kontextdaten anreichern, Vorfälle risikobasiert priorisieren und sogar Workflows wie die Isolierung von Endpunkten oder die Deaktivierung kompromittierter Konten initiieren. Dies verkürzt nicht nur die mittlere Reaktionszeit (MTTR), sondern reduziert auch die Warnmeldungsmüdigkeit und ermöglicht es Sicherheitsteams, sich auf strategische Initiativen zu konzentrieren.

5. Statten Sie Ihr Team mit proaktiver Bedrohungsanalyse aus.

KI-gestützte Plattformen ermöglichen die proaktive Bedrohungsanalyse durch einheitliche Transparenz über alle OSI-Schichten hinweg, einschließlich physischer Zugriffsprotokolle, Netzwerktelemetrie, Endpunktereignisse und Anwendungsaktivitäten, in einer einzigen Such- und Analyseoberfläche. Analysten können zwischen verschiedenen Datenquellen wechseln, benutzerdefinierte Erkennungslogiken erstellen und historische Muster untersuchen, um schwer auffindbare Bedrohungen aufzudecken, die herkömmliche Abwehrmechanismen umgehen.

Dank fortschrittlicher Abfragefunktionen und vordefinierter Analysen können Sicherheitsteams proaktiv nach bekannten Angriffsindikatoren, ungewöhnlichen Zugriffspfaden oder anomaler Protokollnutzung in segmentierten Netzwerken suchen. KI-gestützte Suche reduziert die Abhängigkeit von manuellen Untersuchungen, beschleunigt Hypothesentests und hilft, die Ursachen aufzudecken, bevor Angreifer ihre Ziele erreichen.

OSI-Schicht-Angriffe mit Exabeam verhindern

Die Security Operations Platform von Exabeam, insbesondere Exabeam Nova, stärkt die Netzwerksicherheit, indem sie Bedrohungen erkennt und Gegenmaßnahmen auf allen sieben Schichten des OSI-Modells implementiert. Exabeam Nova, ein koordiniertes System von KI-Agenten, ist in die New-Scale Security Operations Platform integriert und unterstützt Workflows für Erkennung, Untersuchung und Reaktion. Es nutzt Verhaltensanalysen und Automatisierung, um anomale Aktivitäten auf jeder Schicht zu erkennen und Sicherheitsteams so eine schnelle und sichere Reaktion zu ermöglichen.

So kann Exabeam vor Angriffen auf die OSI-Schichten schützen:

• Physikalische Schicht (Schicht 1): Die direkte Verwaltung der physischen Sicherheit liegt zwar außerhalb des Aufgabenbereichs einer Softwareplattform, doch Exabeam Fähigkeit, durch die Erstellung von Verhaltensbaselines „Wahrnehmung“ zu betreiben, hilft dabei, subtile Abweichungen zu erkennen. Das bedeutet: Wenn eine physische Kompromittierung zu ungewöhnlichem Netzwerkverhalten führt, kann Exabeam dies melden. Die Überwachung physischer Zutrittskontrollsysteme und des Asset-Managements ist von entscheidender Bedeutung, und Exabeam würde alle daraus resultierenden Netzwerkanomalien korrelieren.
• Sicherungsschicht (Schicht 2): Die Exabeam-Plattform erkennt Bedrohungen wie MAC-Spoofing, ARP-Poisoning und VLAN-Hopping durch die Analyse von Netzwerkflussdaten und Systemprotokollen. Ihre „Perceive“-Funktion erstellt Referenzwerte für den normalen Betrieb der Sicherungsschicht 2 und identifiziert Abweichungen wie unerwartete MAC-Adressänderungen oder ungewöhnlichen ARP-Verkehr, die auf eine mögliche Kompromittierung hinweisen.
• Netzwerkschicht (Schicht 3): Exabeam hilft bei der Erkennung von IP-Spoofing, Routing-Angriffen und Denial-of-Service- (DoS) bzw. Distributed-Denial-of-Service- (DDoS) Angriffen. Durch die Analyse logischer Adressen, Routing-Tabellen-Aktualisierungen und Paketweiterleitungsereignisse kann Exabeam Nova Korrelationen verdächtiger Aktivitäten, wie z. B. ungewöhnlicher Routing-Aktualisierungen oder DDoS-Traffic-Spitzen, erkennen und so die potenziellen Auswirkungen eines Angriffs abschätzen.
• Transportschicht (Schicht 4): Die Plattform schützt vor SYN-Floods, Port-Scanning und Session Hijacking durch Überwachung von Verbindungsstatus, Segmentfluss und Portaktivität. Exabeams Verhaltensmodellierung erkennt komplexe Angriffe auf Schicht 4, die herkömmliche Schutzmechanismen umgehen, wie z. B. ungewöhnliche Verbindungsversuche oder Anomalien in der Portnutzung, und greift anschließend automatisch ein, um Beweise zu sammeln und zu priorisieren.
• Sitzungsschicht (Schicht 5): Exabeam unterstützt die Bekämpfung von Sitzungsübernahme, Sitzungsfixierung und unautorisierter Sitzungswiederaufnahme. Durch das Erfassen und Analysieren von Sitzungsaufbauprotokollen, Synchronisationspunkten und Dialogsteuerungsmechanismen kann die Plattform verdächtige Ereignisse wie ungewöhnliche Sitzungsübernahmeversuche oder Anomalien in Sitzungswiederherstellungsprozessen erkennen und interpretieren.
• Präsentationsschicht (Schicht 6): Exabeam trägt zur Sicherheit dieser Schicht bei, indem es Datentransformationsprotokolle, verschlüsselte Kommunikationsströme und Anwendungsnutzdaten analysiert. Es hilft, ungewöhnliche Änderungen der Verschlüsselungsmethode oder Schwachstellen in der Datenkodierung zu erkennen, indem es Baselines für typische Operationen der Schicht 6 festlegt und Abweichungen kennzeichnet.
• Anwendungsschicht (Schicht 7): Die Exabeam-Plattform ist hier besonders effektiv und schützt vor Injection-Angriffen, API-Missbrauch und Malware-Payloads. Durch die Überwachung von Anwendungsinteraktionen, Benutzeraktivitäten und Protokollaustausch liefert der „Advise“-Agent von Exabeam Nova täglich Einblicke in den Sicherheitsstatus, ordnet Erkennungen Frameworks wie MITRE ATT&CK zu und empfiehlt Verbesserungen. Gleichzeitig automatisiert der „Acting“-Agent die Beweissammlung und Fallerstellung für schädliche Aktionen auf Schicht 7.

Die Kernfunktionen von Exabeam Nova – Wahrnehmen, Schlussfolgern, Handeln und Beraten – werden über alle Ebenen hinweg angewendet, um Systeme kontinuierlich zu überwachen, subtile Abweichungen zu erkennen, Ereignisse in Bedrohungschronologien einzuordnen, Reaktionsmaßnahmen zu automatisieren und Erkenntnisse zur Verbesserung der Sicherheitslage zu liefern. Dieser integrierte, KI-gestützte Ansatz ermöglicht schnellere Untersuchungen, eine höhere Produktivität der Analysten und eine bessere Transparenz des Sicherheitsprogramms.