Denial of Service und DDoS

Ein Denial-of-Service-Angriff (DoS) versucht, ein System oder eine Netzwerkressource für legitime Benutzer nicht verfügbar zu machen, indem es bzw. sie mit Datenverkehr überlastet oder Schwachstellen ausgenutzt werden, die den Dienst zum Absturz bringen.

DoS geht von einer einzigen Quelle aus. DDoS (Distributed DoS) verwendet Tausende oder Millionen kompromittierter Geräte (Botnetze) oder Amplification, um Angriffsdatenverkehr zu erzeugen. DDoS lässt sich viel schwerer blockieren, da die Quellen weltweit verteilt sind.

Volumetrische Angriffe überfluten die Bandbreite des Ziels mit ungefiltertem Datenverkehr:

• UDP-Floods – gefälschte UDP-Pakete sättigen die Bandbreite
• ICMP-Floods – Ping-Pakete überlasten das Ziel
• DNS-Amplification – kleine DNS-Abfragen lösen große Antworten an das Opfer aus

Gemessen in Gbit/s – einige Angriffe überschreiten 1 Tbit/s.

Protokollangriffe nutzen Schwachstellen in Netzwerkprotokollen aus:

• SYN-Flood – sendet Tausende TCP-SYN-Pakete und erschöpft die Verbindungstabellen des Servers
• Ping of Death – sendet übergroße ICMP-Pakete, die anfällige Systeme zum Absturz bringen
• Smurf-Angriff – gefälschte ICMP-Pakete werden an den Netzwerk-Broadcast gesendet; alle Hosts antworten dem Opfer

Angriffe auf der Anwendungsschicht (Layer 7) zielen mit legitim aussehenden Anfragen auf bestimmte Anwendungsfunktionen:

• HTTP-Flood – sendet Millionen von GET-/POST-Anfragen
• Slowloris – sendet unvollständige HTTP-Header langsam und belegt dadurch alle Serververbindungen
• SSL-Erschöpfung – missbraucht die CPU-Kosten des TLS-Handshakes

Verstärkung nutzt Protokolle aus, die viel mehr Daten zurückgeben als angefordert:

• DNS-Amplification: 60-facher Verstärkungsfaktor
• NTP-Amplification: 556-facher Verstärkungsfaktor
• Memcached-Amplification: 51.000-facher Verstärkungsfaktor (2018: 1,7-Tbit/s-Angriff)

Angreifer fälschen die IP-Adresse des Opfers als Quelladresse – Reflektoren senden riesige Antworten an das Opfer.

Scrubbing-Center sind spezialisierte Infrastrukturen, die DDoS-Datenverkehr aufnehmen und filtern, bevor er das Ziel erreicht. Große Anbieter (Cloudflare, Akamai, AWS Shield) verfügen über eine Scrubbing-Kapazität von Hunderten Tbit/s.

Abwehrmaßnahmen auf Anwendungsebene:

• Ratenbegrenzung pro IP-Adresse/Benutzer
• CAPTCHA-Abfragen für verdächtige Datenverkehrsmuster
• Verbindungsdrosselung
• Blockieren nach IP-Reputation (bekannte Botnet-IP-Adressen)

Anycast verteilt Angriffsdatenverkehr auf mehrere globale Rechenzentren. Statt dass ein einziges Ziel den gesamten Datenverkehr aufnimmt, wird die Last verteilt. Cloudflare und andere CDNs verwenden Anycast, um massive volumetrische Angriffe zu bewältigen.

DDoS wird häufig als Instrument der Cyberkriegsführung eingesetzt. Bedeutende Vorfälle:

• 2007 Estland – Websites von Behörden und Banken wurden während einer politischen Krise außer Betrieb gesetzt
• 2022 Ukraine – Websites ukrainischer Behörden wurden während der russischen Invasion angegriffen
• Hacktivisten setzen DDoS für politische Aussagen ein

Organisationen können ihre Resilienz mit autorisierten Lasttest-Tools prüfen:

• siege – HTTP-Lasttests
• ab (Apache Bench) – einfaches HTTP-Benchmarking
• Kommerzielle Stresstestdienste (mit Genehmigung)

Testen Sie niemals Systeme, die Ihnen nicht gehören oder für die Sie keine schriftliche Genehmigung haben.

Welcher Angriffstyp sendet unvollständige HTTP-Header sehr langsam, um alle verfügbaren Serververbindungen zu belegen?

DoS-/DDoS-Angriffe verweigern den Dienst, indem sie Ziele mit Datenverkehr überlasten oder Schwachstellen in Protokollen ausnutzen. Zu den Angriffstypen gehören volumetrische Angriffe (UDP-/DNS-Floods), Protokollangriffe (SYN-Flood) und Angriffe auf der Anwendungsschicht (Slowloris, HTTP-Floods). Zu den Abwehrmaßnahmen gehören Scrubbing-Center, Anycast, Ratenbegrenzung und CAPTCHA. Verstärkungsangriffe vervielfachen die Angriffskraft, indem sie Reflektoren ausnutzen.