Denial-of-Service-Angriffe

Ein DoS-Angriff (Denial-of-Service) versucht, einen Dienst für legitime Benutzer nicht verfügbar zu machen, indem er ihn überlastet. Anders als Angriffe, bei denen Daten gestohlen werden, zielt ein DoS auf die Verfügbarkeit – die dritte Säule der CIA-Triade.

Indem der Angreifer einen Server oder ein Netzwerk mit mehr Datenverkehr oder Anfragen überflutet, als dieses verarbeiten kann, erschöpft er dessen Ressourcen, bis echte Benutzer nicht mehr durchkommen.

Ein gewöhnlicher DoS-Angriff kommt aus einer einzigen Quelle. Ein DDoS-Angriff (Distributed Denial-of-Service) kommt gleichzeitig aus vielen Quellen, oft aus Tausenden, und ist dadurch wesentlich schwerer zu stoppen.

Eine angreifende IP-Adresse zu blockieren ist einfach. Die eigentliche Herausforderung besteht darin, Datenverkehr von Zehntausenden verstreuten Adressen zu blockieren, von denen viele zu unschuldigen, gekaperten Geräten gehören. Das macht DDoS so gefährlich.

DDoS-Angriffe werden meist von einem Botnet ausgeführt: einem Netzwerk aus mit Schadsoftware infizierten Computern und IoT-Geräten, die der Angreifer aus der Ferne kontrolliert. Jedes infizierte Gerät, ein Bot oder Zombie, sendet auf Befehl Angriffsdatenverkehr.

Die Besitzer wissen häufig nicht, dass ihre Geräte beteiligt sind. Unsichere IoT-Geräte wie Kameras haben riesige Botnetze entstehen lassen, die ein enormes Angriffsvolumen erzeugen können.

Volumetrische Angriffe überfluten das Ziel einfach mit enormem Datenverkehr, um seine Internetbandbreite auszulasten. Wenn die Leitung mit wertlosem Datenverkehr gefüllt ist, kommt legitimer Datenverkehr nicht mehr durch.

Beispiele sind UDP-Floods und ICMP-(Ping-)Floods. Die Schutzmaßnahme besteht darin, ausreichend Kapazität oder ein Upstream-Scrubbing bereitzustellen, um die Flut abzufangen oder zu filtern, bevor sie Ihre Verbindung auslastet.

Protokollangriffe erschöpfen die Ressourcen von Servern oder Geräten, indem sie die Funktionsweise von Protokollen ausnutzen. Ein klassisches Beispiel ist der SYN-Flood: Der Angreifer startet viele TCP-Verbindungen, indem er SYN-Pakete sendet, schließt sie aber nie ab. Dadurch füllt sich die Verbindungstabelle des Servers.

Der Server wartet auf Handshakes, die nie abgeschlossen werden, bis er keine neuen Verbindungen mehr annehmen kann und der Dienst für echte Benutzer nicht mehr verfügbar ist.

Angriffe auf der Anwendungsschicht zielen auf die Software selbst und verwenden scheinbar legitime Anfragen, deren Verarbeitung aufwendig ist, etwa komplexe Suchen oder wiederholte Seitenaufrufe. Sie benötigen deutlich weniger Bandbreite und sind daher unauffälliger.

Da jede Anfrage normal aussieht, ist es schwierig, Angriffsdatenverkehr von echten Benutzern zu unterscheiden. Dadurch lassen sich diese Angriffe besonders schwer erkennen und filtern, ohne legitime Besucher zu beeinträchtigen.

Verstärkungsangriffe vervielfachen die Angriffskraft. Der Angreifer sendet kleine Anfragen mit einer gefälschten Quelladresse (der des Opfers) an Server, die mit deutlich größeren Antworten reagieren, etwa falsch konfigurierte DNS- oder NTP-Server.

Eine winzige Anfrage löst eine riesige Antwort aus, die an das Opfer gerichtet ist. So vervielfacht der Angreifer seinen Datenverkehr und verbirgt sich gleichzeitig hinter Spoofing.

Anzeichen für einen DoS-Angriff sind plötzliche Datenverkehrsspitzen, langsame oder nicht reagierende Dienste, ungewöhnlich hohe Ressourcenauslastung und eine Flut von Verbindungen aus vielen Adressen. Überwachung und Vergleichswerte helfen, den ungewöhnlichen Anstieg schnell zu erkennen.

Schnelle Erkennung ist wichtig: Je früher Sie einen Angriff von einer normalen Datenverkehrsspitze unterscheiden, desto früher kann die Eindämmung beginnen und desto stärker lässt sich der Ausfall begrenzen.

Die Schutzmaßnahmen greifen ineinander:

• Rate Limiting begrenzt die Anzahl der Anfragen pro Quelle.
• Firewalls und IPS filtern bekannte Angriffsmuster.
• Cloud-DDoS-Scrubbing-Dienste fangen große Datenverkehrsfluten bereits vorgelagert ab.
• CDNs (Content Delivery Networks) verteilen die Last auf viele Server.

Anti-Spoofing-Filter im Internet verringern außerdem Verstärkungsangriffe an ihrer Quelle.

DoS-Angriffe sind besonders schwierig, weil Angriffsdatenverkehr wie legitimer Datenverkehr aussehen und aus unzähligen Quellen kommen kann. Sie können nicht einfach alles blockieren, sonst machen Sie den Dienst selbst un verfügbar.

Der widerstandsfähigste Schutz kombiniert ausreichende Kapazität, vorgelagertes Scrubbing, gute Filterung und einen Notfallplan. Absolute Vermeidung ist nicht möglich – realistisch ist das Ziel, widerstandsfähig zu bleiben.

Ein DoS-Angriff beeinträchtigt die Verfügbarkeit, indem er ein Ziel überlastet. Ein DDoS-Angriff tut dies von vielen Quellen aus über ein Botnet. Zu den Arten gehören volumetrische, Protokoll- (etwa SYN-Floods), Anwendungsschicht- und Verstärkungsangriffe. Die Schutzmaßnahmen kombinieren Rate Limiting, Firewalls, CDNs und Cloud-Scrubbing sowie Anti-Spoofing, um Verstärkungsangriffe einzudämmen.

Testen Sie Ihr Wissen über DoS-Angriffe.

Ein DoS-Angriff überlastet einen Dienst und verhindert so seine Verfügbarkeit. Ein DDoS-Angriff nutzt dafür viele Quellen aus einem Botnet. Zu den Angriffstypen gehören volumetrische Floods, Protokollangriffe wie SYN-Floods, unauffällige Angriffe auf der Anwendungsschicht sowie Verstärkungsangriffe durch Spoofing. Die Schutzmaßnahmen kombinieren Rate Limiting, Firewalls, CDNs und Cloud-DDoS-Scrubbing.