DDoS-Angriff

Warum es wichtig ist

Distributed-Denial-of-Service-Angriffe stellen eine der zugänglichsten und störendsten Formen von Cyberangriffen dar. Durch das Überfluten von Zielen mit überwältigendem Datenverkehr können Angreifer Websites offline nehmen, den Geschäftsbetrieb stören und erhebliche finanzielle Schäden verursachen – oft ohne ausgefeilte technische Fähigkeiten.

Die finanziellen Auswirkungen von DDoS-Angriffen gehen über direkte Umsatzverluste hinaus. Organisationen erleiden Reputationsschäden, Kundenabwanderung und Kosten im Zusammenhang mit Mitigation und Wiederherstellung. Für Unternehmen, die von Online-Diensten abhängig sind, führen selbst kurze Ausfälle zu erheblichen Verlusten.

DDoS-Angriffe haben sich von einfachen Ärgernissen zu strategischen Waffen entwickelt. Nationalstaaten nutzen sie, um die Infrastruktur von Gegnern zu stören, Erpresser fordern Lösegeld, um laufende Angriffe zu stoppen, und Konkurrenten können sie für geschäftliche Vorteile einsetzen. Die DDoS-for-Hire-Industrie macht das Starten von Angriffen trivial einfach und kostengünstig.

Für Sicherheitsexperten ist das Verständnis von DDoS-Angriffen unerlässlich für das Design resilienter Architekturen und Incident-Response-Pläne.

Wie DDoS-Angriffe funktionieren

DDoS-Angriffe nutzen verteilte Angriffsquellen, um Datenverkehrsvolumen zu erzeugen, das die Zielkapazität überfordert:

Angriffsinfrastruktur

• Botnets: Netzwerke kompromittierter Geräte (Computer, IoT-Geräte, Server), die von Angreifern kontrolliert werden
• Amplification: Protokolle, die große Antworten auf kleine Anfragen generieren
• Reflection: Drittanbieterserver, die unwissentlich an Angriffen teilnehmen
• DDoS-for-Hire: Kriminelle Dienste, die Angriffe zu minimalen Kosten anbieten

Angriffsziele

1. Bandbreite erschöpfen: Netzwerkverbindungen sättigen
2. Server überlasten: CPU, Speicher oder Verbindungslimits verbrauchen
3. Anwendungslogik ausnutzen: Teure Operationen auslösen
4. Verteidiger ablenken: Andere böswillige Aktivitäten verdecken

Arten von DDoS-Angriffen

Volumetrische Angriffe

Überfluten das Ziel mit massiven Datenverkehrsvolumen, gemessen in Bits pro Sekunde (bps).

Häufige Techniken:

• UDP Flood: Sendet große Mengen von UDP-Paketen an zufällige Ports
• ICMP Flood: Überwältigt mit Ping-Anfragen
• DNS Amplification: Kleine Anfragen generieren große Antworten, die am Ziel reflektiert werden
• NTP Amplification: Nutzt den NTP-Monlist-Befehl für 556-fache Verstärkung

Protokollangriffe

Nutzen Schwächen in Netzwerkprotokollen aus, gemessen in Paketen pro Sekunde (pps).

Häufige Techniken:

• SYN Flood: Erschöpft Server-Ressourcen mit halb offenen Verbindungen
• Ping of Death: Fehlerhafte Ping-Pakete lassen Systeme abstürzen
• Smurf Attack: ICMP-Broadcast-Verstärkung
• Fragmentierte Paketangriffe: Nutzen Reassemblierungs-Schwachstellen aus

Application-Layer-Angriffe

Zielen auf spezifische Anwendungen ab, gemessen in Anfragen pro Sekunde (rps). Oft am schwierigsten zu erkennen, da der Datenverkehr legitim erscheint.

Häufige Techniken:

• HTTP Flood: Legitim aussehende Anfragen überlasten Webserver
• Slowloris: Hält Verbindungen mit unvollständigen Anfragen offen
• Low and Slow: Verbraucht Ressourcen mit minimalem Datenverkehr
• DNS Query Flood: Überwältigt die DNS-Infrastruktur

Erkennung und Indikatoren

Datenverkehrsindikatoren

• Plötzlicher Anstieg der Bandbreite oder Anfragen
• Datenverkehr aus ungewöhnlichen geografischen Regionen
• Hohes Volumen aus einzelnen IP-Bereichen
• Abnormale Protokollverteilung
• Anfragen, die auf bestimmte Endpunkte abzielen

Systemindikatoren

• Erhöhte Server-Antwortzeiten
• Verbindungs-Timeouts
• Dienstverfügbarkeit
• Ressourcenerschöpfung (CPU, Speicher, Verbindungen)

Mitigationsstrategien

Netzwerkebenen-Schutz

• Überbereitstellung: Bandbreitenkapazität über normalem Bedarf aufrechterhalten
• Anycast-Routing: Datenverkehr über mehrere Rechenzentren verteilen
• Black-Hole-Routing: Angriffsdatenverkehr zu Null-Ziel leiten (verliert auch legitimen Datenverkehr)
• Rate-Limiting: Anfragen pro Quell-IP begrenzen

DDoS-Schutzdienste

• Cloud-basiertes Scrubbing: Datenverkehr wird durch das Netzwerk des Anbieters zur Filterung geleitet
• Content Delivery Networks (CDNs): Absorbieren und verteilen Datenverkehr
• Web Application Firewalls (WAFs): Filtern Application-Layer-Angriffe
• Hybridlösungen: On-Premise-Erkennung mit cloudbasierter Mitigation

Anwendungsebenen-Verteidigung

• CAPTCHA-Challenges: Menschen von Bots unterscheiden
• Rate-Limiting pro Benutzer/Session: Anfragehäufigkeit begrenzen
• Caching: Server-Verarbeitung für wiederholte Anfragen reduzieren
• Load Balancing: Datenverkehr auf mehrere Server verteilen
• Geografische Filterung: Datenverkehr aus irrelevanten Regionen blockieren

Incident Response

Karriereverbindung

DDoS-Verteidigung umfasst Netzwerktechnik, Sicherheitsoperationen und Incident Response. Fachleute, die sowohl Angriffstechniken als auch Mitigationsstrategien verstehen, sind unerlässlich für die Aufrechterhaltung der Dienstverfügbarkeit in feindlichen Umgebungen.