DDoS-Angriffe auf AWS verstehen

Ein Distributed-Denial-of-Service-Angriff (DDoS) überflutet ein Ziel gleichzeitig mit Datenverkehr aus vielen Quellen. Dabei soll dessen Kapazität erschöpft werden, sodass sich legitime Benutzer nicht mehr verbinden können. Da der Datenverkehr von Tausenden verteilten Hosts stammt, können Sie nicht einfach eine einzelne IP-Adresse blockieren. Sie müssen die Angriffswelle aufnehmen oder filtern.

Volumetrische Angriffe zielen darauf ab, die Netzwerkbandbreite durch schiere Datenmengen zu sättigen, gemessen in Gigabit oder Terabit pro Sekunde. Beispiele sind UDP-Floods sowie Reflection- oder Amplification-Angriffe, bei denen Datenverkehr über offene Server (DNS, NTP) umgeleitet wird, um seine Größe zu vervielfachen. Diese Angriffe operieren auf Layer 3.

Protokollangriffe (Layer 4) erschöpfen Ressourcen für den Verbindungsstatus und nicht die Bandbreite. Ein klassisches Beispiel ist der SYN-Flood: Dabei wird eine große Zahl unvollständiger TCP-Handshakes gesendet, die die Verbindungstabelle des Ziels füllen, bis keine neuen Sitzungen mehr aufgebaut werden können.

Angriffe auf der Anwendungsschicht (Layer 7) senden viele scheinbar gültige Anfragen, etwa eine Flut von HTTP-GET-Anfragen an eine aufwendige Seite, um CPU, Arbeitsspeicher oder Datenbankverbindungen zu erschöpfen. Sie benötigen deutlich weniger Bandbreite und ähneln echtem Datenverkehr, wodurch sie schwerer zu erkennen sind als volumetrische Angriffswellen.

AWS nimmt DDoS-Angriffe an seinem globalen Edge auf. Services wie CloudFront, Route 53 und Global Accelerator laufen über viele Edge-Standorte mit enormer Gesamtkapazität, sodass Angriffswellen abgeschwächt werden, bevor sie Ihren Origin erreichen. Eine Architektur am Edge ist bereits eine DDoS-Abwehrmaßnahme.

AWS Shield Standard ist für alle Kunden ohne zusätzliche Kosten aktiviert und schützt automatisch vor den häufigsten Angriffen auf Netzwerk- und Transportschicht. Sie müssen es nicht konfigurieren. Es schützt jede AWS-Ressource, insbesondere Ressourcen hinter Edge-Services, vor typischen Angriffswellen auf Layer 3 und 4.

Shield Standard konzentriert sich auf Netzwerk- und Transportschicht. Angriffswellen auf der Anwendungsschicht werden mit ratenbasierten Regeln von AWS WAF und Shield Advanced abgewehrt. Deshalb kombiniert die DDoS-Abwehr Shield für das Datenvolumen mit WAF für die Filterung auf Anfrageebene – eine Kombination, die in der Prüfung häufig vorkommt.

Neben Ausfallzeiten kann ein DDoS-Angriff die Kosten für automatische Skalierung und Bandbreite in die Höhe treiben, während Ihre Infrastruktur versucht, die Angriffswelle zu bedienen. Diese finanzielle Auswirkung, manchmal als wirtschaftliche Verweigerung der Nachhaltigkeit bezeichnet, ist ein Grund dafür, dass Shield Advanced Kostenschutzgutschriften für durch Angriffe ausgelöste Skalierung bietet.

Anzeichen eines DDoS-Angriffs sind plötzliche Datenverkehrsspitzen, erhöhte Latenz und stark steigende Fehlerraten. CloudWatch-Metriken zur Anzahl der Anfragen und die Shield-Konsole machen Anomalien sichtbar. Shield Advanced bietet zusätzlich eine nahezu in Echtzeit erfolgende Angriffserkennung und Benachrichtigungen, sodass Sie wissen, dass ein Angriff stattfindet, und nicht nur, dass die Anwendung langsam ist.

Die beste DDoS-Schutzstrategie wird von Anfang an in die Architektur integriert und nicht nachträglich ergänzt. Wenn Sie Workloads mit CloudFront und Route 53 voranstellen, automatische Skalierung verwenden und die exponierte Angriffsfläche minimieren, kann AWS Angriffswellen am Edge aufnehmen. Shield und WAF kümmern sich anschließend um den verbleibenden Datenverkehr. Resilienz entsteht durch das Zusammenspiel der Architektur mit diesen Services.

Als Nächstes vergleichen Sie Shield Standard und Shield Advanced, lernen die zusätzlichen Leistungen des DDoS Response Teams und des Kostenschutzes kennen und untersuchen, wie Sie eine resiliente Architektur entwerfen. Das Verständnis der hier vorgestellten Angriffstypen bildet die Grundlage für die richtige Abwehrmaßnahme auf jeder Ebene.

Ordnen Sie den Angriffstyp ein.

DDoS überflutet ein Ziel aus vielen Quellen. Volumetrische Angriffe (Layer 3) sättigen die Bandbreite durch UDP-Floods und Amplification; Protokollangriffe (Layer 4) wie SYN-Floods erschöpfen den Verbindungsstatus; Angriffe auf der Anwendungsschicht (Layer 7) senden gültig wirkende Anfragen, um Rechenkapazität zu binden. AWS-Edge-Services schwächen Angriffswellen ab, Shield Standard schützt automatisch Layer 3 und 4, und ratenbasierte WAF-Regeln bewältigen Layer 7.