Auf dieser Seite
Das Wichtigste
- Zeit- und Kontrollverkehr unterscheidenNormaler Client/Server-Zeitaustausch und Verwaltungsabfragen erfüllen unterschiedliche Aufgaben.
- Die tatsächliche Implementierung prüfenDas historische monlist-Verhalten beschreibt nicht jeden heutigen NTP-Server.
- Synchronisierung nach dem Filtern kontrollierenEine erreichbare Anwendung beweist nicht, dass ihre Zeitquellen weiterhin funktionieren.
Reflection verwendet eine gefälschte Quelladresse
Ein NTP-Reflektor antwortet an die Quelladresse einer Anfrage. Ist sie gefälscht, kann ein unbeteiligtes Ziel die Antworten erhalten. Amplification entsteht, wenn die Antwort größer als die auslösende Anfrage ist; das konkrete Muster hängt von Implementierung, Abfrage und Konfiguration ab.
Der historische monlist-Missbrauch betraf älteres ntpd-Verhalten. Er sollte nicht als überall aktivierte Funktion heutiger NTP-Installationen dargestellt werden. Identifizieren Sie Implementierung und unterstützte Version: ntpd, NTPsec und chronyd besitzen keine austauschbaren Konfigurationen.
Weg einer NTP-Reflection
- Gefälschte Anfrage
Die Quelladresse verweist auf das Opfer.
- Erreichbarer Zeitserver
Eine erlaubte Abfrage erzeugt eine Antwort.
- Eingang beim Opfer
Antworten verbrauchen Link- und Paketverarbeitungskapazität.
Zeitsynchronisierung und Kontrollabfragen sind verschieden
Beim üblichen Client/Server-Austausch ist NTP-Modus 3 eine Clientanfrage und Modus 4 eine Serverantwort. Modus 6 dient Kontrollnachrichten; Modus 7 ist eine private, implementierungsspezifische Kategorie älterer Werkzeuge. Ordnen Sie nicht jedes Paket von UDP-Quellport 123 derselben Funktion zu.
Ein Rechner ohne öffentlichen Zeitdienst kann eingehende Antworten seiner konfigurierten Zeitquellen benötigen. Eine Sperre sämtlicher UDP/123-Pakete kann daher die Synchronisierung unterbrechen und zugleich einen Verkehrsspitzenwert scheinbar beheben. Erfassen Sie erwartete Peers und normale Abläufe vor der Auswahl von Ausnahmen.
Den Vorfall mit Verkehrsrichtung erfassen
Engpass lokalisieren
Vergleichen Sie Provider-, Tunnel- und Serverzähler mit Verlusten und Dienstfehlern. Ein nachgelagerter Mitschnitt misst keine bereits vorher verworfenen Pakete. Bandbreitenlast und Paketverarbeitungsdruck sind getrennte Beobachtungen.
Paketkontext prüfen
Notieren Sie Quell- und Zielport, soweit dekodierbar den NTP-Modus, Zielrolle und Paketgrößen. Antworten kommen häufig von Quellport 123; ein Blick nur auf Zielport 123 kann Antworten an einen anderen lokalen Clientport übersehen.
Tatsächliche Anfragen des Hosts prüfen
Vergleichen Sie zugelassene Zeitpeers und jüngste Clientaktivität. Fehlende Anfragen in gesampelten oder einseitigen Beobachtungen sind kein abschließender Reflection-Nachweis. Der Pfad kann asymmetrisch sein; Flow-Datensätze enthalten nicht zwangsläufig den NTP-Modus.
Legitime Vorgänge messen
Prüfen Sie Anwendungstransaktionen und den Synchronisierungszustand des Zeitdienstes. Überwachen Sie Offset und Erreichbarkeit der Quellen über ein angemessenes Intervall; beim Ausbleiben erster Antworten zeigt die Systemuhr nicht unbedingt sofort einen Fehler.
Kontrollzugriff begrenzen, ohne den Zeitdienst abzuschalten
Betreiben Sie eine unterstützte Version und begrenzen Sie Verwaltungsabfragen auf die vorgesehenen Administratoren. Öffentlicher Zeitdienst und öffentliche Fernsteuerung sind unterschiedliche Anforderungen. Verwenden Sie Regeln für den tatsächlichen Daemon und prüfen Sie IPv4- sowie IPv6-Erreichbarkeit.
In den dokumentierten Zugriffskontrollen von ntpd 4.2.8 verweigert noquery ntpq/ntpdc-Abfragen, ohne den Zeitdienst zu sperren. nomodify allein lässt lesende Abfragen zu. Diese Erläuterungen beschreiben Optionen und sind keine vollständige Konfiguration zum Einfügen in eine andere Implementierung.
Prüfen Sie die wirksame Zugriffsliste und testen Sie von einem berechtigten Verwaltungshost sowie einem normalen Zeitclient. Erhalten Sie erforderliche Peers, Poolverhalten und Monitoring. Planen Sie Neustart oder Neuladen nach Ihrem Betriebsverfahren; schwächere Authentifizierung oder abgeschaltetes Monitoring sind keine passende Abkürzung.
Beim Opfer vor der erschöpften Ressource filtern
Füllt Reflection die Kundenübergabe, stellt ein Filter dahinter die verlorene Kapazität nicht wieder her. Stimmen Sie mit dem Upstream eine zielbezogene Regel für das bestätigte Muster ab. Bleibt Bandbreite frei und ist der Engpass lokal, kann eine geeignete lokale Regel Hostressourcen schützen.
Erhalten Sie erwartete Zeitantworten und unbeteiligten UDP-Verkehr. Eine Quellportregel untersucht nicht jedes Fragment und beweist keine unaufgeforderte Antwort. Prüfen Sie Match-Semantik, Ausnahmen, Rate-Limit-Verhalten und Regelrücknahme am Empfangsgerät.
Wird Verkehr über einen geschützten Pfad umgeleitet, prüfen Sie Routing und bereinigte Zustellung ebenso wie die Regel. Kapselung schafft keine zusätzliche Empfangskapazität. Benennen Sie einen Verantwortlichen für die temporäre Filterpolitik und die Rückkehr zum normalen Routing.
Beispiel: Gameserver mit NTP-Client
Ein Gameserver kann keinen öffentlichen Zeitdienst anbieten, während sein Betriebssystem mit entfernten Peers synchronisiert. Bei vermuteter Reflection kann eine pauschale UDP/123-Sperre unerwünschte und erforderliche Zeitantworten gemeinsam entfernen. Das ist ein beispielhafter Fehlerfall, kein gemessener Kundenvorfall.
Die Abnahme muss deshalb Spielerverbindungen, normalen Verkehr über den geschützten Pfad und erreichbare Zeitquellen umfassen. Erfassen Sie ausgewählten Peer, Synchronisierungsstatus und Offset nach dem Filtern und nach der Rücknahme der Notfallregel. Ein erfolgreicher Ping reicht weder für die Anwendung noch für die Uhr aus.
Fehler, die eine unvollständige Wiederherstellung verbergen
- Historische monlist-Verstärkung als Verhalten aller modernen Zeitdienste darstellen.
- Quell- und Zielport verwechseln oder jede Antwort dem lokalen Port 123 zuordnen.
- Die Konfigurationssyntax eines anderen Daemons ohne Versions- und Zugriffsprüfung verwenden.
- Wiederherstellung anhand einer kleineren Angriffskurve erklären, obwohl die Synchronisierung gestört bleibt.
- Eine breite Notfallregel nach dem Angriff behalten, ohne legitimen Verkehr erneut zu prüfen.
Fragen und Antworten
Kann Reflection einen Host ohne NTP-Angebot treffen?
Ja. Antworten können an seine gefälschte Adresse geschickt werden. Als Client kann dieser Host dennoch legitime NTP-Antworten benötigen.
Deaktiviert noquery die Zeitsynchronisierung?
In den genannten ntpd-4.2.8-Zugriffskontrollen begrenzt es Verwaltungsabfragen statt des Zeitdienstes. Andere Regeln und Implementierungen müssen separat geprüft werden.
Was belegt eine erfolgreiche Abwehr?
Weniger unerwünschte Last, wieder funktionierende legitime Transaktionen, akzeptable Verluste und funktionierende Zeitquellen auf dem tatsächlichen Zustellpfad. Ein einzelner Portzähler belegt nicht alle diese Punkte.
