So verhindern Sie DDoS-Angriffe: 7 bewährte Methoden

Ein DDoS-Angriff ermöglicht es einem Hacker, ein Netzwerk oder einen Server mit gefälschtem Datenverkehr zu überfluten. Zu viel Datenverkehr überlastet Ressourcen und unterbricht die Konnektivität, sodass das System keine echten Benutzeranfragen mehr verarbeiten kann. Dienste sind nicht mehr verfügbar und das Zielunternehmen leidet unter längeren Ausfallzeiten, Umsatzeinbußen und unzufriedenen Kunden.

Dieser Artikel erklärt, wie ein Unternehmen DDoS-Angriffe verhindern und potenziellen Hackern einen Schritt voraus sein kann. Die unten aufgeführten Vorgehensweisen tragen dazu bei, die Auswirkungen eines DDoS-Angriffs zu minimieren und eine schnelle Wiederherstellung nach einem Angriffsversuch sicherzustellen.

Was ist ein DDoS-Angriff?

Ein DDoS (Distributed Denial of Service) ist ein Cyberangriff, der darauf abzielt, ein Netzwerk, einen Dienst oder einen Server zum Absturz zu bringen, indem das System mit gefälschtem Datenverkehr überflutet wird. Der plötzliche Anstieg an Nachrichten, Verbindungsanfragen oder Paketen überlastet die Infrastruktur des Ziels und führt dazu, dass das System langsamer wird oder abstürzt.

Während einige Hacker DDoS-Angriffe nutzen, um ein Unternehmen zur Zahlung eines Lösegelds zu erpressen (ähnlich wie bei Ransomware), sind die häufigsten Motive hinter einem DDoS:

• Unterbrechen Sie Dienste oder Kommunikation.
• Füge Markenschaden zu.
• Verschaffen Sie sich einen Geschäftsvorteil, während die Website eines Mitbewerbers nicht verfügbar ist.
• Lenken Sie das Incident-Response-Team ab.

DDoS-Angriffe stellen eine Gefahr für Unternehmen jeder Größe dar, von Fortune-500-Unternehmen bis hin zu kleinen Online-Einzelhändlern. Statistisch gesehen zielen DDoS-Hacker am häufigsten auf Folgendes ab:

• Onlinehändler.
• IT-Dienstleister.
• Finanz- und Fintech-Unternehmen.
• Regierungsstellen.
• Online-Gaming- und Glücksspielunternehmen.

Angreifer nutzen typischerweise ein Botnetz, um einen DDoS-Angriff auszulösen. Ein Botnet ist ein verbundenes Netzwerk aus mit Malware infizierten Computern, Mobilgeräten und IoT-Geräten, die unter der Kontrolle des Angreifers stehen. Hacker verwenden diese „Zombie“-Geräte, um übermäßig viele Anfragen an die IP-Adresse einer Zielwebsite oder eines Servers zu senden.

Sobald das Botnetz genügend Anfragen sendet, werden Onlinedienste (E-Mails, Websites, Web-Apps usw.) langsamer oder fallen aus. Laut einem Radware-Bericht sind dies die durchschnittlichen Längen eines DDoS-Angriffs:

• Bei 33 % sind die Dienste eine Stunde lang nicht verfügbar.
• 60 % halten weniger als einen ganzen Tag.
• 15 % reichen für einen Monat.

Während ein DDoS-Angriff in der Regel nicht direkt zu einer Datenschutzverletzung oder -leckage führt, investiert das Opfer Zeit und Geld, um die Dienste wieder online zu stellen. Geschäftsverluste, verlassene Warenkörbe, frustrierte Benutzer und Reputationsschäden sind übliche Folgen, wenn DDoS-Angriffe nicht verhindert werden.

Arten von DDoS-Angriffen

Während alle DDoS-Angriffe darauf abzielen, ein System mit zu viel Aktivität zu überfordern, nutzen Hacker unterschiedliche Strategien, um einen verteilten Denial-of-Service auszulösen.

Die drei Hauptangriffsarten sind:

• Angriffe auf Anwendungsebene.
• Protokollangriffe.
• Volumetrische Angriffe.

Die drei Ansätze basieren auf unterschiedlichen Techniken, aber ein erfahrener Hacker kann alle drei Strategien anwenden, um ein einzelnes Ziel zu überwältigen.

Angriffe auf Anwendungsebene

Ein Angriff auf Anwendungsebene zielt auf eine bestimmte Anwendung ab und stört sie, nicht ein ganzes Netzwerk. Ein Hacker generiert eine große Anzahl von HTTP-Anfragen, die die Antwortfähigkeit des Zielservers erschöpfen.

Cybersicherheitsspezialisten messen Angriffe auf App-Ebene in Anfragen pro Sekunde (RPS). Zu den häufigsten Zielen dieser Angriffe gehören:

• Web-Apps.
• Mit dem Internet verbundene Apps.
• Cloud-Services.

Der Versuch, DDoS-Angriffe dieser Art zu verhindern, ist eine Herausforderung, da Sicherheitsteams oft Schwierigkeiten haben, zwischen legitimen und böswilligen HTTP-Anfragen zu unterscheiden. Diese Angriffe verbrauchen weniger Ressourcen als andere DDoS-Strategien, und einige Hacker können sogar nur ein einziges Gerät verwenden, um einen Angriff auf Anwendungsebene zu orchestrieren.

Ein anderer gebräuchlicher Name für einen DDoS-Angriff auf App-Ebene ist ein Layer-7-Angriff.

Protokollangriffe

Protokoll-DDoS-Angriffe (oder Angriffe auf Netzwerkebene) nutzen Schwachstellen in den Protokollen oder Verfahren aus, die die Internetkommunikation regeln. Während ein DDoS-Angriff auf App-Ebene auf eine bestimmte App abzielt, besteht das Ziel eines Protokollangriffs darin, das gesamte Netzwerk zu verlangsamen.

Die beiden häufigsten Arten protokollbasierter DDoS-Angriffe sind:

• SYN-Floods: Dieser Angriff nutzt das TCP-Handshake-Verfahren aus. Ein Angreifer sendet TCP-Anfragen mit gefälschten IP-Adressen an das Ziel. Das Zielsystem antwortet und wartet auf die Bestätigung des Handshakes durch den Sender. Da der Angreifer niemals die Antwort sendet, um den Handshake abzuschließen, häufen sich die unvollständigen Prozesse und führen schließlich zum Absturz des Servers.
• Smurf-DDoS: Ein Hacker verwendet Malware, um ein Netzwerkpaket zu erstellen, das an eine falsche IP-Adresse angehängt ist (Spoofing). Das Paket enthält eine ICMP-Ping-Nachricht, die das Netzwerk auffordert, eine Antwort zurückzusenden. Der Hacker sendet die Antworten (Echos) erneut an die Netzwerk-IP-Adresse zurück und erzeugt so eine Endlosschleife, die schließlich das System zum Absturz bringt.

Cybersicherheitsexperten messen Protokollangriffe in Paketen pro Sekunde (PPS) oder Bits pro Sekunde (BPS). Der Hauptgrund dafür, dass Protokoll-DDoS so weit verbreitet ist, liegt darin, dass diese Angriffe schlecht konfigurierte Firewalls leicht umgehen können.

Volumetrische Angriffe

Ein volumenbasierter DDoS-Angriff verbraucht die verfügbare Bandbreite eines Ziels durch falsche Datenanfragen und führt zu einer Überlastung des Netzwerks. Der Datenverkehr des Angreifers blockiert den Zugriff legitimer Benutzer auf Dienste und verhindert so, dass der Datenverkehr ein- oder ausströmt.

Die häufigsten Arten volumetrischer DDoS-Angriffe sind:

• UDP-Floods: Diese Angriffe ermöglichen es einem Hacker, Ports auf dem Zielhost mit IP-Paketen zu überfluten, die das zustandslose UDP-Protokoll enthalten.
• DNS-Verstärkung (oder DNS-Reflexion): Dieser Angriff leitet große Mengen an DNS-Anfragen an die IP-Adresse des Ziels um.
• ICMP-Flut: Bei dieser Strategie werden falsche ICMP-Fehleranfragen verwendet, um die Bandbreite des Netzwerks zu überlasten.

Alle volumetrischen Angriffe basieren auf Botnets. Hacker nutzen Heerscharen von mit Malware infizierten Geräten, um Verkehrsspitzen zu verursachen und die gesamte verfügbare Bandbreite zu verbrauchen. Volumetrische Angriffe sind die häufigste Art von DDoS.

7 Best Practices zur Verhinderung von DDoS-Angriffen

Es gibt zwar keine Möglichkeit, einen Hacker daran zu hindern, einen DDoS-Angriff auszulösen, aber richtige Planung und proaktive Maßnahmen reduzieren das Risiko und die potenziellen Auswirkungen eines Angriffs.

Erstellen Sie einen DDoS-Reaktionsplan

Ihr Sicherheitsteam sollte einen Vorfallreaktionsplan entwickeln, der sicherstellt, dass die Mitarbeiter im Falle eines DDoS-Angriffs schnell und effektiv reagieren. Dieser Plan sollte Folgendes umfassen:

• Klare Schritt-für-Schritt-Anleitung zur Reaktion auf einen DDoS-Angriff.
• Wie man den Geschäftsbetrieb aufrechterhält.
• Ansprechpartner für Mitarbeiter und wichtige Stakeholder.
• Eskalationsprotokolle.
• Teamverantwortung.
• Eine Checkliste aller notwendigen Werkzeuge.
• Eine Liste geschäftskritischer Systeme.

Sorgen Sie für ein hohes Maß an Netzwerksicherheit

Netzwerksicherheit ist von entscheidender Bedeutung, um jeden DDoS-Angriffsversuch zu stoppen. Da ein Angriff nur dann Wirkung zeigt, wenn ein Hacker genügend Zeit hat, Anfragen zu häufen, ist die Fähigkeit, einen DDoS-Angriff frühzeitig zu erkennen, für die Kontrolle des Explosionsradius von entscheidender Bedeutung.

Sie können sich auf die folgenden Arten der Netzwerksicherheit verlassen, um Ihr Unternehmen vor DDoS-Versuchen zu schützen:

• Firewalls und Intrusion-Detection-Systeme, die als Barrieren zum Scannen des Datenverkehrs zwischen Netzwerken fungieren.
• Antiviren- und Anti-Malware-Software, die Viren und Malware erkennt und entfernt.
• Endpunktsicherheit, die sicherstellt, dass Netzwerkendpunkte (Desktops, Laptops, mobile Geräte usw.) nicht zum Eintrittspunkt für böswillige Aktivitäten werden.
• Web-Sicherheitstools, die webbasierte Bedrohungen entfernen, ungewöhnlichen Datenverkehr blockieren und nach bekannten Angriffssignaturen suchen.
• Tools, die Spoofing verhindern, indem sie prüfen, ob der Datenverkehr eine Quelladresse hat, die mit den Ursprungsadressen übereinstimmt.
• Netzwerksegmentierung, die Systeme in Subnetze mit einzigartigen Sicherheitskontrollen und Protokollen unterteilt.

Der Schutz vor DDoS-Angriffen erfordert auch ein hohes Maß an Sicherheit der Netzwerkinfrastruktur. Durch die Absicherung von Netzwerkgeräten können Sie Ihre Hardware (Router, Load-Balancer, Domain Name Systems (DNS) usw.) auf Verkehrsspitzen vorbereiten.

Verfügen Sie über Serverredundanz

Wenn man sich auf mehrere verteilte Server verlässt, ist es für einen Hacker schwierig, alle Server gleichzeitig anzugreifen. Wenn ein Angreifer einen erfolgreichen DDoS-Angriff auf einem einzelnen Hosting-Gerät startet, bleiben andere Server davon unberührt und nehmen zusätzlichen Datenverkehr auf, bis das Zielsystem wieder online ist.

Sie sollten Server in Rechenzentren und Colocation-Einrichtungen in verschiedenen Regionen hosten, um sicherzustellen, dass es keine Netzwerkengpässe oder Single Points of Failure gibt. Sie können auch ein Content Delivery Network (CDN) verwenden. Da DDoS-Angriffe durch Überlastung eines Servers funktionieren, kann ein CDN die Last gleichmäßig auf mehrere verteilte Server verteilen.

Achten Sie auf die Warnschilder

Wenn Ihr Sicherheitsteam die Merkmale eines DDoS-Angriffs schnell erkennen kann, können Sie rechtzeitig Maßnahmen ergreifen und den Schaden begrenzen.

Häufige Anzeichen für ein DDoS sind:

• Schlechte Konnektivität.
• Langsame Leistung.
• Hohe Nachfrage nach einer einzelnen Seite oder einem einzelnen Endpunkt.
• Stürzt ab.
• Ungewöhnlicher Datenverkehr, der von einer einzelnen oder einer kleinen Gruppe von IP-Adressen kommt.
• Ein Anstieg des Datenverkehrs von Benutzern mit einem gemeinsamen Profil (Systemmodell, Geolokalisierung, Webbrowser-Version usw.).

Denken Sie daran, dass nicht alle DDoS-Angriffe mit hohem Datenverkehr einhergehen. Ein Angriff mit geringem Volumen und kurzer Dauer wird oft als Zufallsereignis unterschätzt. Diese Angriffe können jedoch ein Test oder eine Ablenkung für einen gefährlicheren Verstoß (z. B. Ransomware) sein. Daher ist die Erkennung eines Angriffs mit geringem Volumen genauso wichtig wie die Identifizierung eines vollständigen DDoS-Angriffs.

Erwägen Sie die Organisation eines Schulungsprogramms zum Sicherheitsbewusstsein, das das gesamte Personal über die Anzeichen eines DDoS-Angriffs aufklärt. Auf diese Weise müssen Sie nicht warten, bis ein Mitglied des Sicherheitsteams die Warnschilder bemerkt.

Kontinuierliche Überwachung des Netzwerkverkehrs

Die Verwendung von kontinuierlicher Überwachung (CM) zur Analyse des Datenverkehrs in Echtzeit ist eine hervorragende Methode, um Spuren von DDoS-Aktivitäten zu erkennen. Die Vorteile von CM sind:

• Die Echtzeitüberwachung stellt sicher, dass Sie einen DDoS-Versuch erkennen, bevor der Angriff in vollem Gange ist.
• Das Team kann ein gutes Gespür für typische Netzwerkaktivitäten und Verkehrsmuster entwickeln. Sobald Sie wissen, wie der alltägliche Betrieb aussieht, kann das Team ungewöhnliche Aktivitäten leichter erkennen.
• Eine Überwachung rund um die Uhr gewährleistet die Erkennung von Anzeichen eines Angriffs, der außerhalb der Bürozeiten und am Wochenende erfolgt.

Abhängig von der Konfiguration kontaktiert das CM-Tool entweder Administratoren im Falle eines Problems oder folgt den Reaktionsanweisungen eines vordefinierten Skripts.

Beschränken Sie Network Broadcasting

Ein Hacker, der hinter einem DDoS-Angriff steckt, wird wahrscheinlich Anfragen an jedes Gerät in Ihrem Netzwerk senden, um die Wirkung zu verstärken. Ihr Sicherheitsteam kann dieser Taktik entgegenwirken, indem es die Netzwerkübertragung zwischen Geräten einschränkt.

Das Einschränken (oder, wo möglich, Deaktivieren) der Broadcast-Weiterleitung ist eine wirksame Möglichkeit, einen DDoS-Versuch mit großem Volumen zu unterbinden. Wenn möglich, können Sie auch erwägen, Ihre Mitarbeiter anzuweisen, die Dienste echo und chargen zu deaktivieren.

Nutzen Sie die Cloud, um DDoS-Angriffe zu verhindern

Während der Einsatz von Hardware und Software vor Ort zur Abwehr der DDoS-Bedrohung von entscheidender Bedeutung ist, unterliegt die cloudbasierte Abwehr nicht den gleichen Kapazitätsbeschränkungen. Cloudbasierter Schutz lässt sich problemlos skalieren und selbst große volumetrische DDoS-Angriffe bewältigen.

Sie haben die Möglichkeit, die DDoS-Prävention an einen Cloud-Anbieter auszulagern. Zu den wichtigsten Vorteilen der Zusammenarbeit mit einem Drittanbieter gehören:

• Cloud-Anbieter bieten umfassende Cybersicherheit mit erstklassigen Firewalls und Software zur Bedrohungsüberwachung.
• Die öffentliche Cloud verfügt über eine größere Bandbreite als jedes private Netzwerk.
• Rechenzentren bieten eine hohe Netzwerkredundanz mit Kopien von Daten, Systemen und Geräten.

Ein Unternehmen hat bei der Einrichtung eines cloudbasierten DDoS-Schutzes normalerweise zwei Möglichkeiten:

• On-Demand-Cloud-DDoS-Abwehr: Diese Dienste werden aktiviert, nachdem das interne Team oder der Anbieter eine Bedrohung erkennt. Wenn Sie einen DDoS-Angriff erleiden, leitet der Anbieter den gesamten Datenverkehr auf Cloud-Ressourcen um, um die Dienste online zu halten.
• Always-on-Cloud-DDoS-Schutz: Diese Dienste leiten den gesamten Datenverkehr über ein Cloud-Scrubbing-Center (auf Kosten geringerer Latenz). Diese Option eignet sich am besten für geschäftskritische Apps, die sich keine Ausfallzeiten leisten können.

Wenn Ihr internes Team über das erforderliche Know-how verfügt, müssen Sie sich für den cloudbasierten DDoS-Schutz möglicherweise nicht ausschließlich auf einen Cloud-Anbieter verlassen. Sie können eine Hybrid- oder Multi-Cloud-Umgebung einrichten und Ihren Datenverkehr so organisieren, dass die gleichen Effekte wie bei einem On-Demand- oder Always-on-DDoS-Schutz erzielt werden.

Übersehen Sie nicht die DDoS-Bedrohung

DDoS-Bedrohungen werden nicht nur gefährlicher, auch die Zahl der Angriffe nimmt zu. Experten gehen davon aus, dass die durchschnittliche Zahl der jährlichen DDoS-Versuche bis 2023 auf 15,4 Millionen ansteigen wird. Diese Zahl deutet darauf hin, dass fast jedes Unternehmen irgendwann mit einem DDoS-Angriff konfrontiert wird. Daher sollte die Vorbereitung auf diese Angriffsart ganz oben auf Ihrer Sicherheits-To-Do-Liste stehen.