Skip to content

Commit b091e32

Browse files
author
marci
committed
Add German and English articles on protection against man-in-the-middle attacks
- Created a new German article titled "Schutz vor Man-in-the-Middle-Angriffe erhalten" with comprehensive tips and tricks for protecting against man-in-the-middle attacks. - Created a new English article titled "Protect yourself against man-in-the-middle attacks" mirroring the content of the German article, providing guidance on security measures and recommended components.
1 parent 1b6ff81 commit b091e32

3 files changed

Lines changed: 283 additions & 0 deletions

File tree

‎assets/images/posts/it-security/Man-in-the-Middle-Angriffe-abwehren.jpg‎

34.4 KB
Loading

‎content/posts/security/Man-in-the-middle.de.md‎

Lines changed: 165 additions & 0 deletions
Original file line numberDiff line numberDiff line change
@@ -0,0 +1,165 @@
1+
---
2+
title: "Schutz vor Man-in-the-Middle-Angriffe erhalten"
3+
hero: /images/posts/it-security/Man-in-the-Middle-Angriffe-abwehren.jpg
4+
descripton: "Einfache Tipps und Tricks, wie du dich gegen Man in the middle-Attacken schützen kannst."
5+
menu:
6+
sidebar:
7+
name: Schutz vor Man in the Middle-Attacken
8+
identifier: schutz-man-in-the-middle
9+
parent: security
10+
date: 2021-01-27
11+
categories:
12+
- "Netzwerk"
13+
- "Security"
14+
- "Tutorials"
15+
tags:
16+
- "security"
17+
- "tutorials"
18+
---
19+
20+
## Schutz vor Man-in-the-Middle-Angriffe
21+
22+
In meinem letzten Beitrag - [Man in the Middle Angriffe verstehen](https://secure-bits.org/man-in-the-middle/) - habe ich euch erklärt, was es mit Man-in-the-Middle-Angriffe auf sich und was damit genau gemeint ist. Daher möchte ich euch in diesem Beitrag Tipps und Tricks mit an die Hand geben, die helfen sollen, euch vor solchen Angriffen zu schützen.
23+
24+
Zu den hier vorgestellten Schutzmaßnahmen ist anzumerken, dass diese Maßnahmen nicht komplett von euch im Einzelnen umzusetzen sind, da es hier natürlich auf die von euch genutzte Infrastruktur ankommt. Soll heißen, ob ihr zum Beispiel eine eigene Domäne eurer eigen nennen könnt beziehungsweise, welche Hardware-Komponenten ihr in eurem Netzwerk einsetzt.
25+
26+
Generell kann ich euch nur den Rat geben, dass ihr ein paar Euro in die Hand nimmt und euch so ein paar Komponenten zulegt, um euer Netzwerk nicht nur vor Man-in-the-Middle-Angriffe, sondern auch vor anderer Art von Bedrohungen zu schützen.
27+
28+
Eine Liste mit Komponenten, die ihr euch vielleicht anschaffen solltet, habe ich euch am Ende von diesem Artikel aufgelistet.
29+
30+
Auch wenn es sich bei manchen dieser Links um Affiliate-Links handelt, so dienen diese nicht dazu, mich mithilfe einer Provision durch von euch gekaufter Produkte zu bereichern (für euch ändert sich eh nichts am Verkaufspreis und ihr unterstützt damit diesen Blog), sondern spiegeln diese eine klare Empfehlung meinerseits, als einen zusätzlichen Schutz vor Attacken da.
31+
32+
**Ich empfehle nur das, was ich in gleicher oder aber in ähnlicher Form selbst nutze!**
33+
34+
## Schutz vor Man-in-the-Middle-Angriffe | Schutzmaßnahmen
35+
36+
![Schutz vor Man-in-the-Middle-Angriffe](/images/posts/it-security/Man-in-the-Middle-Angriffe-abwehren.jpg)
37+
38+
39+
### Schutz aktiver Netzwerk-Komponenten (Firewall, Switch, etc.)
40+
41+
#### Zugangskontrolle für Komponenten
42+
43+
- Austausch der Standard Benutzerdaten durch sichere Passwörter
44+
- Physischen Zugang zu Netzwerk-Komponenten erschweren (abschließbarer Raum oder Netzwerkschrank)
45+
- Mechanische Verriegelung von Ports
46+
47+
#### Schutz von Endpoints wie PC, Mobile Device, etc.
48+
49+
- Antivirus-Schutz
50+
- Einrichten einer Gerätesperre für Mobile-Devices
51+
- Richtig konfigurierte Firewall
52+
- Richtig konfigurierte managend-Switch
53+
- Patchmanagement für Endpoints und Server und aktive Netzwerk-Komponenten
54+
- Rechte-Freigaben so viel wie nötig und so wenig wie möglich
55+
- Keine Nutzung von Standard-Passwörter
56+
- Nur wirklich nötige Serverdienste und Dienste im Allgemeinen freigeben oder zur Verfügung stellen
57+
- Nicht genutzte USB-Ports schützen
58+
59+
### Schutz für passive Netzwerk-Komponenten
60+
61+
- Mechanische Verriegelung von Ports
62+
- Zugangskontrolle wo möglich
63+
64+
### Zusätzlich erweiterter Schutz vor Man-in-the-Middle-Attacken
65+
66+
#### Schutz vor Attacken auf Switches
67+
68+
- Austausch von unmanaged Switch gegen managend Switch
69+
- Unterteilung des Netzwerks in einzelne virtuelle Subnetworks (VLANs)
70+
- Einsatz von Dynamic-ARP-Inspection gegen MAC-Flooding und ARP-Poisoing
71+
- Bindung der Ports an spezifische MAC-Adressen
72+
- Abschalten nicht benötigter Switch-Ports
73+
74+
#### Absicherung von Endpoints
75+
76+
- Statische ARP-Eintrag für das Standard-Gateway setzen
77+
78+
#### Firewall-Konfiguration
79+
80+
- Blockieren von Protokoll ICMP-Typ 5 Redirect-Nachrichten
81+
- [DNSSEC einrichten](https://de.wikipedia.org/wiki/Domain_Name_System_Security_Extensions#:~:text=Die%20Domain%20Name%20System%20Security,und%20Integrit%C3%A4t%20der%20Daten%20erweitern.)
82+
83+
## Schutz vor Man-in-the-Middle-Angriffe | Allgemeine Netzwerk-Schutzmaßnahmen
84+
85+
- Absicherung des Netzwerkverkehrs durch verschlüsselte Verbindungen
86+
- Nutzung von Authentifizierung (Radius-Server, Active-Directory, etc.)
87+
- Zertifikatsfehler nicht einfach ignorieren und bedenkenlos akzeptieren
88+
89+
### Wichtig für interne Netzwerk-Domänen
90+
91+
- Nur öffentliche auflösbaren Top Level Domain-Namen für die interne Domänen nutzen, da sonst keine Zertifikate für interne Domänen ausgestellt werden können, die durch eine öffentliche Zertifizierungsstelle zertifiziert sind und diese somit immer beim Aufruf einer internen https-Domain einen Zertifikatsfehler anzeigen.
92+
93+
## Man-in-the-Middle-Angriffe - Meine Tipps für Sicherheits-Ergänzungen für euer Netzwerk
94+
95+
In dieser Liste (* Affiliate-Links - damit unterstützt ihr diesen Blog), habe ich euch mal eine Aufzählung von Komponenten aufgeführt, die ich selbst im Einsatz habe und somit auch für nützlich erachte.
96+
97+
Natürlich muss das jeder für sich selbst entscheiden und seinen eigenen Erfordernissen entsprechend anpassen! Damit möchte ich mitteilen, dass sicherlich nicht jeder 19" Zoll-Komponenten bei sich im Netzwerk einsetzt oder aber für manche Dinge nicht so viel Geld bereitstellen möchte.
98+
99+
### Tools für einen mechanischer Schutz von Netzwerk-Komponenten und Endgeräten
100+
101+
- [Mechanische Sicherung, um offene RJ45-Ports an Netzwerk-Komponenten vor unbefugtes Anstecken von Netzwerkkabel zu schützen.](https://amzn.to/4lzR1mG)
102+
- [Mechanische Sicherung, um offene USB-Ports vor unbefugte Nutzung zu schützen](https://amzn.to/4kGzVCp)
103+
104+
> **WICHTIG !!!**
105+
>
106+
> Ein absolutes Muss vor der Nutzung manipulierter USB-Sticks und modifizierter Ladekabel von mobilen Endgeräten zu schützen. Die Nutzung solcher Sticks und Kabel, ist der häufigste Angriffsweg, um Zugriff zu einem Netzwerk zu erhalten!!!
107+
108+
- [Für alle diejenigen, die 19"-Zoll-Komponenten in der Netzwerk-Infrastruktur nutzen oder aber auch so Komponenten abschließbar verstauen möchten und eine saubere aufgeräumte Lösung vorzieht.](https://amzn.to/3GWI4om)
109+
110+
> Persönlich habe ich diesen Netzwerkschrank mit 600mm Tiefe und 16HE im Einsatz und bin damit sehr zufrieden, da der Hersteller auch viel Zubehör hierfür anbietet.
111+
112+
### Schutz der aktiven Netzwerk-Komponenten
113+
114+
#### Managed Switch
115+
116+
- [TP-Link TL-SG2428P 24-Port Gigabit Managed PoE Switch mit 4 SFP-Slots](https://amzn.to/46hwXko)
117+
118+
Bei diesem Switch gibt es im Gegensatz zu Switches von z.B.Ubiquiti, super Konfigurations-Möglichkeiten, um sicherheitsrelevante Einstellung gegen die oben vorgestellten Angriffs-Szenarien zu konfigurieren.
119+
Weiterhin habt ihr auch die Möglichkeit, diesen Switch auch standalone zu betreiben und somit ohne SDN zu nutzen.
120+
121+
**Diesen Switch gibt es auch noch in einer günstigeren Variante ohne POE-Unterstützung.**
122+
123+
- [TP-Link TL-SG3428 24-Port Gigabit L2 Managed Netzwerk LAN Switch mit 4 SFP-Slots](https://amzn.to/3IxMiU1)
124+
125+
126+
#### Meine eingesetzten Access-Points
127+
128+
Sind nicht erforderlich!!! Sondern sollen nur einen Einblick geben, welche Netzwerk-Komponenten ich zur Zeit, nutze, da ich das des Öfteren gefragt werde.
129+
130+
- [TP-Link Access Point EAP683 UR](https://amzn.to/4f2uJYA)
131+
132+
Diese Access-Points habe ich in meinem ganzen Haus sowie im Außenbereich eingesetzt. Als Unifi-Controller läuft bei mir als virtuelle Maschine auf meinen Proxmox-Server.
133+
134+
Klasse finde ich bei diesen Access-Points, dass diese auch im Außenberiech verbaut werden können und so eine günstige Alternative, für die doch meist teureren AC anderer Hersteller sind, die vergleichbare Ausstattung anbieten.
135+
136+
Weiterhin ist der Support mit neuer und aktueller Firmware bisher wirklich super.
137+
138+
Bevor diese Access-Points den Weg zur mir gefunden haben, hatte ich Access-Points der Firma Sophos im Einsatz. Doch waren diese zu einem durch die proprietäre Nutzung (nur verwendbar mit Sophos Firewall-Produkten) ein Dorn im Auge und für meine Einsatzvorgaben (u.a. Einsatz im Außenbereich) einfach zu teuer.c
139+
140+
#### Eingesetzte Hardware-Firewall
141+
142+
Der Einsatz einer Hardware-Firewall ist für mich ein ganz klares "**ja muss sein**".
143+
144+
Für alle die Smart Home, KNX, HomeOffice einsetzen und den Sicherheitsaspekt wirklich ernst nehmen, führt an dieser Komponente kein Weg dran vorbei.
145+
146+
Auch ich sitze in einem "smarten Home", doch ist bei mir alles schön fein netzwerktechnisch getrennt und ich kann Dienste mit Heimweh zu ihrem Hersteller,8iiiiiiiiii ihre Verbindung kappen.
147+
148+
> In meiner beratenen beruflichen Tätigkeit unter anderem für größere Projekte in der Baubranche (Elektrotechnik), habe ich technische Elektro-Installationen mithilfe von KNX gesehen, die sich ungesichert und im gleichen Netzwerk wie die IT-Infrastruktur befunden haben und sich so jeder Angreifer Zugang zur Gebäudesteuerung hätte / hat verschaffen können.
149+
>
150+
151+
Persönlich nutze ich die unten verlinkte Hardware und als Firewall-Distro nutze ich scon seit Jahren **OPNsense**.
152+
153+
- [Protectli Vault V1610 – 6 Ports, Micro Appliance/Mini-PC – Intel N6005, 6X 2.5G NICs, 16 GB LPDDR RAM](https://amzn.to/3IPrirQ)
154+
155+
156+
157+
## Fazit zu Schutz vor Man in the Middle Angriffe
158+
159+
Wie ihr lesen konntet, gibt es eine Menge an Möglichkeiten, sich eine Schutz Man-in-the-Middle-Angriffe aufzubauen.
160+
161+
Mit diesen Tipps und Tricks seid ihr und euer Netzwerk schon gut und nicht nur vor Sniffing und Man-in-the-Middle-Attacken, sondern auch vor anderen Angriffen auf euer Netzwerk geschützt.
162+
163+
Diese Maßnahmenliste ist schon ziemlich ausführlich aber noch nicht das Ende der Fahnenstange, doch würde andere Maßnahmen schon weitreichende Kenntnisse im Bezug zur IT-Netzwerk / Sicherheit erfordern und ich daher bewusst darauf verzichtet habe, da diese Tipps in meinen Augen vollkommen für den Hausgebrauch sowie in den meisten Firmen ausreichend sind.
164+
165+
Wie immer, würde ich mich sehr über Feedback von euch freuen!

‎content/posts/security/Man-in-the-middle.en.md‎

Lines changed: 118 additions & 0 deletions
Original file line numberDiff line numberDiff line change
@@ -0,0 +1,118 @@
1+
---
2+
title: “Protect yourself against man-in-the-middle attacks”
3+
hero: /images/posts/it-security/Man-in-the-Middle-Angriffe-abwehren.jpg
4+
descripton: “Simple tips and tricks on how to protect yourself against man-in-the-middle attacks.”
5+
menu:
6+
sidebar:
7+
name: Protection against man-in-the-middle attacks
8+
identifier: schutz-man-in-the-middle
9+
parent: security
10+
date: 2021-01-27
11+
categories:
12+
- "Netzwerk"
13+
- "Security"
14+
- "Tutorials"
15+
tags:
16+
- "security"
17+
- "tutorials"
18+
---
19+
20+
## Protection against man-in-the-middle attacks
21+
In my last post - [Understanding Man-in-the-Middle Attacks](https://secure-bits.org/man-in-the-middle/) - I explained what Man-in-the-Middle attacks are and what exactly they mean. In this post, I would like to give you some tips and tricks to help you protect yourself against such attacks.
22+
23+
It should be noted that the protective measures presented here cannot be implemented in their entirety by you, as they naturally depend on the infrastructure you use. This means, for example, whether you have your own domain or which hardware components you use in your network.
24+
25+
In general, I can only advise you to invest a few dollars in a few components to protect your network not only from man-in-the-middle attacks, but also from other types of threats.
26+
I have listed some components that you may want to purchase at the end of this article.
27+
28+
Even though some of these links are affiliate links, they are not intended to enrich me with a commission from products you purchase (the sales price remains the same for you and you support this blog), but rather reflect a clear recommendation on my part as additional protection against attacks.
29+
30+
> **I only recommend what I use myself in the same or a similar form!**
31+
32+
## Protection against man-in-the-middle attacks | Protective measures
33+
![Protection against man-in-the-middle attacks](/images/posts/it-security/Man-in-the-Middle-Angriffe-abwehren.jpg)
34+
35+
### Protection of active network components (firewall, switch, etc.)
36+
#### Access control for components
37+
- Replace standard user data with secure passwords
38+
- Make physical access to network components more difficult (lockable room or network cabinet)
39+
- Mechanical locking of ports
40+
#### Protection of endpoints such as PCs, mobile devices, etc.
41+
- Antivirus protection
42+
- Set up device locks for mobile devices
43+
- Correctly configured firewall
44+
- Correctly configured managed switch
45+
- Patch management for endpoints, servers, and active network components
46+
- Grant access rights as much as necessary and as little as possible
47+
- No use of standard passwords
48+
- Only enable or provide server services and services in general that are really necessary
49+
- Protect unused USB ports
50+
### Protection for passive network components
51+
- Mechanical locking of ports
52+
- Access control where possible
53+
### Additional extended protection against man-in-the-middle attacks
54+
#### Protection against attacks on switches
55+
- Replace unmanaged switches with managed switches
56+
- Divide the network into individual virtual subnetworks (VLANs)
57+
- Use dynamic ARP inspection against MAC flooding and ARP poisoning
58+
- Bind ports to specific MAC addresses
59+
- Disable switch ports that are not needed
60+
#### Securing endpoints
61+
- Setting static ARP entries for the default gateway
62+
#### Firewall configuration
63+
- Blocking ICMP type 5 redirect messages
64+
- [Set up DNSSEC](https://de.wikipedia.org/wiki/Domain_Name_System_Security_Extensions#:~:text=Die%20Domain%20Name%20System%20Security,und%20Integrit%C3%A4t%20der%20Daten%20erweitern.)
65+
66+
## Protection against man-in-the-middle attacks | General network protection measures
67+
- Secure network traffic with encrypted connections
68+
- Use authentication (Radius server, Active Directory, etc.)
69+
- Do not simply ignore certificate errors and accept them without hesitation
70+
### Important for internal network domains
71+
- Only use publicly resolvable top-level domain names for internal domains, as otherwise no certificates can be issued for internal domains that are certified by a public certification authority and will therefore always display a certificate error when an internal https domain is called up.title: "Schutz vor Man-in-the-Middle-Angriffe erhalten"
72+
73+
---
74+
75+
## Man-in-the-middle attacks - My tips for security enhancements for your network
76+
In this list (* affiliate links - this helps support this blog), I have compiled a list of components that I use myself and therefore consider useful.
77+
Of course, everyone has to decide for themselves an
78+
79+
d adapt to their own requirements! I would like to point out that not everyone uses 19" components in their network or wants to spend so much money on certain things.
80+
### Tools for mechanical protection of network components and end devices
81+
- [Mechanical protection to prevent unauthorized connection of network cables to open RJ45 ports on network components.](https://amzn.to/4lzR1mG)
82+
- [Mechanical security to protect open USB ports from unauthorized use](https://amzn.to/4kGzVCp)
83+
> **IMPORTANT!!!**
84+
>
85+
> An absolute must before using manipulated USB sticks and modified charging cables from mobile devices. The use of such sticks and cables is the most common way to gain access to a network!!!
86+
- [For anyone who uses 19" components in their network infrastructure or wants to store such components in a lockable manner and prefers a clean, tidy solution.](https://amzn.to/3GWI4om)
87+
> I personally use this network cabinet with a depth of 600 mm and 16U and am very satisfied with it, as the manufacturer also offers a wide range of accessories.
88+
### Protection of active network components
89+
#### Managed switch
90+
- [TP-Link TL-SG2428P 24-port Gigabit Managed PoE Switch with 4 SFP slots](https://amzn.to/46hwXko)
91+
Unlike switches from Ubiquiti, for example, this switch offers excellent configuration options for setting up security-related settings to protect against the attack scenarios described above.
92+
You also have the option of operating this switch standalone, i.e. without SDN.
93+
**This switch is also available in a cheaper version without POE support.**
94+
- [TP-Link TL-SG3428 24-port Gigabit L2 Managed Network LAN Switch with 4 SFP slots](https://amzn.to/3IxMiU1)
95+
96+
#### My access points
97+
Not required!!! These are just to give you an idea of which network components I am currently using, as I am often asked about this.
98+
- [TP-Link Access Point EAP683 UR](https://amzn.to/4f2uJYA)
99+
I have used these access points throughout my house and outdoors. I run Unifi Controller as a virtual machine on my Proxmox server.
100+
What I like about these access points is that they can also be installed outdoors, making them an inexpensive alternative to the usually more expensive ACs from other manufacturers that offer comparable features.
101+
Furthermore, the support with new and up-to-date firmware has been really great so far.
102+
Before these access points found their way to me, I was using access points from Sophos. However, their proprietary use (only usable with Sophos firewall products) was a thorn in my side and they were simply too expensive for my requirements (including outdoor use).
103+
#### Hardware firewall used
104+
For me, using a hardware firewall is a clear “**yes, it's a must**.”
105+
For anyone who uses smart home technology, KNX, or a home office and takes security seriously, there is no way around this component.
106+
I also live in a “smart home,” but everything is neatly separated in terms of network technology, and I can disconnect services that are homesick for their manufacturer,8iiiiiiiiii.
107+
> In my professional consulting work, including for larger projects in the construction industry (electrical engineering), I have seen technical electrical installations using KNX that were unsecured and located on the same network as the IT infrastructure, meaning that any attacker could have gained access to the building control system.
108+
>
109+
Personally, I use the hardware linked below and have been using **OPNsense** as my firewall distro for years.
110+
- [Protectli Vault V1610 – 6 ports, micro appliance/mini PC – Intel N6005, 6X 2.5G NICs, 16 GB LPDDR RAM](https://amzn.to/3IPrirQ)
111+
112+
---
113+
114+
## Conclusion on protection against man-in-the-middle attacks
115+
As you have read, there are many ways to protect yourself against man-in-the-middle attacks.
116+
With these tips and tricks, you and your network are well protected, not only against sniffing and man-in-the-middle attacks, but also against other attacks on your network.
117+
This list of measures is quite comprehensive, but it is not exhaustive. However, other measures would require extensive knowledge of IT networks and security, so I have deliberately omitted them, as I believe these tips are sufficient for home use and in most companies.
118+
As always, I would love to hear your feedback!

0 commit comments

Comments
 (0)