...
ntp kommuniziert mittels UDP und die UDP source IP kann leicht verändert werden auf die IP des anzugreifenden Zieles
- der monlist command liefert eine Liste mit den letzten 600 anfragenden Clients zurück
die Antwort kann bis zu 200 mal größer sein als die Anfrage (=Amplifizierung)
- der monlist command ist bis NTP server Version 4.2.7 per default aktiviert (ab Version 4.2.7 aber per default geschlssengeschlossen)
Der Zugehörige Angriff ist unter Amplified UDP reflection attack ausführlich beschrieben.
...
Für Teilnehmer, die keinen eigenen ntp (Timeserver) betreiben, bietet das ACOnet den ts1.aco.net und ts2.aco.net an.
Gegenmaßnahmen
...
Da es sich meist um eine Fehlkonfiguration handelt, haben sich folgende Schritte bewährt:
- Prüfen ob der NTP SERVER Dienst auf dem Gerät wirklich benötigt wird und diesen eventuell deaktivieren (der NTP CLIENT kann aktiviert bleiben).
- Aktualisieren des NTP Server auf die Version 4.2.7 oder höher. Bei diesen Versionen ist der monlist command per default abgeschaltet.
- Zugriff auf den NTP Server Dienst des Geräts auf das lokale Netz beschränken.
- Monlist command manuell in der Konfiguration abschalten.
...