SQL Slammer

Beschreibung

SQL Slammer (auch Sasser-Sammelwurm) verbreitete sich im Januar 2003 explosionsartig über eine Sicherheitslücke in Microsoft SQL Server 2000.
Er bestand fast nur aus einem Übertragungs-Exploit und brachte rund 75.000 Systeme in wenigen Minuten zum Erliegen, indem sie die Datenbankdienste mit Paketen fluteten.

Symptome

Starke Netzwerkauslastung durch massenhaften UDP-Paketversand.
Datenbanken antworten extrem langsam oder gar nicht.
Systeme können zusammen mit Übertragungslast teilweise komplett ausfallen.

Schadenspotenzial

Ausfälle von Diensten und ungeplanten Netzwerkausfällen bei Banken und Fluglinien.
Produktivitätseffekte und teilweise Datenverlust durch instabile Dienste.

Entfernung

SQL-Server-Dienst stoppen und Patch / SP installieren.
Netzwerk vom LAN trennen und Kill-Switch-Tools verwenden.
Dienste nach Patch wieder aktivieren.

Prävention

SQL-Server nicht ungeschützt am Internet betreiben (Port 1434 einschränken).
Patch- und Update-Prozesse für Datenbanksysteme sicherstellen.
Netzwerksegmentierung und IDS einsetzen.