Was ist ein DDoS-Angriff? Funktionsweise + Schutzstrategien

Ein Distributed-Denial-of-Service-Angriff (DDoS) ist ein illegaler Versuch, eine Website unerreichbar zu machen, indem der Server mit großen Mengen an gefälschtem Datenverkehr überlastet wird.

Der Ansturm böswilliger Verbindungsanfragen platziert legitime Besucher am Ende einer unablässiger werdenden Warteschlange, die das Laden der Website verhindert.

Zu den Zielen gehören nicht nur Webserver, ein DDoS-Angriff kann jeden mit dem Internet verbundenen Dienst wie Netzwerke, Datenbanken, mobile Geräte und sogar bestimmte Anwendungsfunktionen stören.

Wie funktioniert ein DDoS-Angriff?

Ein DDoS-Angriff beginnt mit der Kompromittierung einer Reihe von IoT-Geräten (Internet of Things). Jedes anvisierte IoT-Gerät wird mit Malware infiziert, so dass es ferngesteuert und dann mit anderen beteiligten Geräten verbunden werden kann, wodurch ein Botnet entsteht.

Es gibt keine Begrenzung für die Größe eines Botnets, sie können sich über den gesamten Globus erstrecken. Mit einem Botnet, das groß genug ist, häufen sich die bösartigen Traffic-Anfragen, und wenn sie alle auf ein einzelnes Ziel gerichtet sind, haben Server-RAM und CPU-Reserven keine Chance, die Traffic-Nachfrage zu bewältigen.

Was ist der Unterschied zwischen einem DoS-Angriff und einem DDoS-Angriff?

Bei einem DoS-Angriff werden bösartige Verbindungsanfragen nur von einem kompromittierten Gerät gesendet, während bei einem DDoS-Angriff bösartiger Datenverkehr von mehreren kompromittierten Geräten gesendet wird.

Arten von DDoS-Angriffen

Alle DDoS-Angriffe haben ein einziges Ziel: Online-Ressourcen so zu überlasten, dass sie nicht mehr reagieren.

Es gibt drei Hauptkategorien von DDoS-Angriffen:

1. Volumenbasierte DDoS-Angriffe

Volumenbasierter Angriff: direkte und überwältigende Menge an Datenverkehr auf Webressourcen. Das Ausmaß dieser Angriffe wird in Bits pro Sekunde (Bps) gemessen. Zu den volumenbasierten Angriffen gehören ICMP-Flood-Angriffe, UDP-Flood-Angriffe und andere gefälschte Paketangriffe.

Was ist ein ICMP-Flood-Angriff?

ICMP-Echoanforderungen (Internet Control Message Protocol) werden normalerweise an Netzwerkgeräte gesendet, um deren Integritätsstatus zu diagnostizieren. Jedes Zielgerät antwortet mit einer Echoantwort, die seinen aktuellen Zustand angibt. Ein ICMP-Flood-Angriff (auch bekannt als Ping-Flood-Angriff) sendet eine hohe Anzahl von Echo-Anfragen, was zu einer ebenso hohen Anzahl von Antwortpaketen führt, die das Zielgerät überlasten.

Damit ein ICMP-Flood-Angriff möglich ist, muss ein Angreifer die IP-Adresse des Ziels kennen. Es gibt drei Kategorien von ICMP-Angriffen, die durch die Methode des Abrufens von IP-Adressen identifiziert werden:

• Gezielte lokale Offenlegung - Diese Art von DDoS-Angriff erfordert die Kenntnis der IP-Adresse des Ziels. Ein Angriff sendet eine Flut von Datenverkehr an einen bestimmten Computer oder ein bestimmtes Gerät.
• Router offengelegt - Diese Art von DDoS-Angriff erfordert die Kenntnis der internen IP-Adresse eines lokalen Routers. Netzwerkanfragen werden dann an den Router gesendet, um die Netzwerkkommunikation zu unterbrechen.
• Blinder Ping - Beinhaltet eine Aufklärungskampagne, um die IP-Adresse eines Ziels zu ermitteln und einen DDoS-Angriff zu ermöglichen.

Was ist ein UDP-Flood-Angriff?

Ein UDP-Flood-Angriff nutzt die natürliche Antwortsequenz eines Servers auf UDP-Pakete (User Datagram Protocol) aus. Unter normalen Bedingungen ist die Antwort eines Servers auf UDP-Pakete an jedem Port ein zweistufiger Prozess:

1. Der Server überprüft, ob laufende Programme, die mit den angeforderten Datagrammen verknüpft sind, den angegebenen Port verwenden.
2. Wenn keine solchen Anwendungen gefunden werden, antwortet der Server mit einem ICMP-Paket (Destination Unreachable).

Während eines UDP-Flood-Angriffs wird ein Zielserver mit solchen Anfragen überflutet, was dazu führt, dass er überlastet ist und den Dienst für legitimen Datenverkehr verweigert.

So entschärfen Sie UDP-Flood-Angriffe

Die Standardmethode zur Abwehr von UDP-Flood-Angriffen besteht darin, die Antwortrate von ICMP-Paketen zu begrenzen. Diese Verteidigungsstrategie hat jedoch zwei große Nachteile:

1. Eine solche binäre Filtermethode lehnt wahrscheinlich auch legitime Paketanfragen ab.
2. Wenn der UDP-Flood-Angriff groß genug ist, werden die State-Table- und Server-Firewall überlastet. Dies führt zu einem katastrophalen Engpass von UDP-Paketen, die dem Zielserver vorgelagert sind.

Eine bessere Methode zur Abwehr von UDP-Flood-Angriffen besteht darin, Verteidigungsmechanismen vorgelagert und nicht auf physischer Ebene einzusetzen. Dadurch wird verhindert, dass man sich auf eine Bandbreite verlassen muss, die durch Pakete aus dem Cyberangriff erschöpft wird.

2. DDoS-Angriffe auf Protokoll- oder Netzwerkebene

DDoS-Angriffe auf Protokoll- oder Netzwerkebene leiten eine große Menge an Paketen an Management-Tools und Netzwerkinfrastrukturen. Das Volumen dieser Angriffe wird in Paketen pro Sekunde (PPS) gemessen. Zu diesen Arten von Angriffen gehören SYN-Floods und Smurf-DDoS-Angriffe.

Was ist ein SYN Flood Attack?

Unter normalen Betriebsbedingungen sendet ein Client eine SYN an einen Server, der dann mit einer SYN+ACK-Nachricht antwortet. Während der Server auf eine SYN+ACK-Antwort vom Client wartet, werden die Statusinformationen in einem TCP-Puffer gespeichert.

Während eines SYN-Flood-Angriffs wurde eine große Anzahl von SYN-Packern von gefälschten IP-Adressen an einen Server gesendet, die nie eine SYN-ACK-Antwort lieferten, wenn der Server sie anforderte. Das Ergebnis ist, dass der TCP-Puffer sein Limit erreicht, was dazu führt, dass alle offenen Portverbindungen überlastet werden, was wiederum dazu führt, dass der Server alle neuen TCP-Verbindungen ablehnt.

So entschärfen Sie SYN-Flood-Angriffe

Es gibt drei Methoden, um SYN-Flood-Angriffe abzuschwächen:

1. Überschreiben von Senior Half-Open TCP-Verbindungen

Um zu verhindern, dass sich Backlog-Anforderungen verstärken, sollte die älteste halboffene TCP-Verbindung immer dann wiederverwendet werden, wenn der Backlog gefüllt wurde. Dieser zyklische Verbindungsprozess wird SYN-Angriffe nur dann abwehren, wenn Verbindungen schneller hergestellt werden können, als der Backlog gefüllt ist.

Durch Erhöhen des Backlog-Limits kann der Server genügend Zeit gewinnen, um die älteste TCP-Verbindung zu recyceln, bevor die Backlog-Warteschlange erschöpft ist.

2. Erhöhen Sie das Backlog-Limit

Um den Grenzwert der Backlog-Warteschlange zu erhöhen, benötigt das Betriebssystem ausreichend Arbeitsspeicher, um die erhöhten Verarbeitungsanforderungen eines größeren Backlogs zu bewältigen. Andernfalls kann die Leistung beeinträchtigt werden.

Wenn die Speicherbandbreite ausreicht, erhöhen Sie die maximale Anzahl möglicher halboffener Verbindungen.

Wenn die Backlog-Warteschlange erhöht wird, sollte das System während eines SYN-Flood-Angriffs über einen längeren Zeitraum betrieben werden, sodass mehr Zeit bleibt, die gefälschte IP-Adresse, die den Angriff startet, zu identifizieren und zu blockieren.

3. TCP SYN Cookies erstellen

Ein TCP-SYN-Cookie schafft eine zusätzliche Ebene der Protokollsicherheit innerhalb von Load Balancern und DDoS-Engines. Diese Risikominderungsmethode beseitigt die Anforderung eines TCP-Puffers und die entsprechenden Speicherbeschränkungen. Die Statustabelle wird durch eine mathematische Funktion ersetzt, die die TCP-Sequenznummer berechnet, die mit jeder SYN-ACK-Antwort verknüpft ist.

Jedes empfangene ACK-Paket wird mit der erwarteten TCP-Sequenznummer verglichen, die von der mathematischen Funktion berechnet wird. Die Ausrichtung bestätigt die legitime Verbindungsanforderung, die dann wie gewohnt eingerichtet wird.

Bevor Sie SYN-Cookies auf einem Server implementieren, sollten Sie dessen Verarbeitungsmöglichkeiten überprüfen. Einige x86-Server sind nicht in der Lage, die Verarbeitungsanforderungen für die Berechnung von TCP-Sequenzberechnungen schnell genug zu erfüllen, um die Anforderungen an Spoofingverbindungen zu erfüllen.

4. Verwenden Sie eine Firewall

Eine Firewall kann SYN-Cookies und die Sorge um eine Überlastung der Serverressourcen ersetzen, wenn sie in der Lage ist, die Statustabelle zu überwachen und neue Verbindungen über einen bestimmten Grenzwert hinaus zu blockieren. Glücklicherweise sind die meisten modernen Server dazu in der Lage.

Intelligente Firewalls können einen SYN-Flood-Angriff erkennen, indem sie SYN-Pakete pro Sekunde überwachen und darauf reagieren, indem sie halboffene Verbindungen freigeben, um die Verfügbarkeit aufrechtzuerhalten. Eine leistungsfähige Firewall befindet sich auf e, die die Konnektivität zu legitimen Benutzern während eines Angriffs mit hohem Volumen aufrechterhält.

Minderwertige Firewalls verfügen jedoch über rudimentäre SYN-Angriffsfilter, die legitime TCP-Sitzungen während eines SYN-Flood-Angriffs ablehnen können.

Was ist ein Smurf-DDoS-Angriff?

Während eines Smurf-Angriffs wird ein unrechtmäßiger Ping vom Zielserver an vernetzte Computer gesendet, indem seine IP-Adresse gefälscht wird, wodurch jeder Empfänger gezwungen wird, mit einem Betriebsupdate zu antworten.

Da solche Pings nicht mit einem Handschlag verifiziert werden, können sie ohne Einschränkungen zusammengesetzt werden. Die Folge sind vernetzte Rechner, die eine DDoS-Attacke gegen den eigenen Server starten.

So entschärfen Sie Smurf-DDoS-Angriffe

Die Mehrzahl der Angriffsvektoren, die den Smurf-Angriff möglich gemacht haben, sind nun behoben. Einige Legacy-Systeme sind jedoch immer noch anfällig für diese selbstschädigende DDoS-Taktik.

Eine schnelle Lösung zur Risikominderung besteht darin, alle IP-Broadcasting-Adressen an jeder Firewall und jedem Netzwerkrouter zu deaktivieren. Diese Einstellung ist wahrscheinlich auf neuen Routern deaktiviert, aber auf älteren Routern ist sie wahrscheinlich aktiviert.

3. Angriffe auf Anwendungsebene

Während eines Anwendungsangriffs, eines späteren DDoS-Angriffs, der auch als Layer-7-Angriff (L7) bezeichnet wird, wird der obere Teil des späteren Bereichs des OSI-Modells ins Visier genommen. Hier treten Paketanforderungen mit hohem Datenverkehr auf - HTTP, GET und HTTP Post.

Warnzeichen für DDoS-Angriffe

Eine ungewöhnlich langsam ladende Website könnte ein Hinweis auf einen DDoS-Angriff sein. Wenn dies dann zu einer unzuverlässigen Server 503-Meldung führt, ist es wahrscheinlich, dass ein DDoS-Angriff stattfindet.

An dieser Stelle ist eine sofortige weitere Verifizierung von entscheidender Bedeutung. Dies kann erreicht werden, indem ein Protokoll aller aktiven Serveranforderungen über die Befehlsprotokollschnittstelle (CLI) generiert wird.

Während eines DDoS-Angriffs zeigt das Befehlsprotokoll mehrere Verbindungen zu einem einzelnen Serverport von derselben IP-Adresse an.