Was ist ein DDoS-Angriff?
Die Bedeutung eines "DDoS-Angriffs"
Ein DDoS-Angriff (Distributed Denial of Service ) ist eine Art von Cyberangriff, bei dem die Angreifer eine große Anzahl von mit dem Internet verbundenen Geräten einsetzen, um einen Server oder ein System anzugreifen. Dies geschieht mit der Absicht, das Zielsystem zu überlasten und so dessen ordnungsgemäßen Betrieb zu verhindern.
Bei einem DDoS-Angriff werden in der Regel die Bandbreite oder die Ressourcen eines Zielsystems mit überflüssigen Datenanforderungen überflutet, so dass der Betrieb des Systems zum Erliegen kommt. Diese Überlastung kann auftreten, wenn:
- Zu viele Personen versuchen gleichzeitig, auf eine Website zuzugreifen
- ein Computer sendet zu viele Anfragen an einen anderen Computer oder Server, der den Datenverkehr nicht bewältigen kann
- wenn ein Computer bösartige Datenpakete an einen anderen Computer oder Server sendet
DoS vs. DDoS-Angriffe
Der Hauptunterschied zwischen diesen beiden Angriffen besteht darin, dass es sich bei einem Denial of Service (DoS) um einen Angriff mit einem einzelnen Computer handelt, der zur Überflutung eines Servers verwendet wird. Im Gegensatz dazu handelt es sich bei der DDoS-Definition um einen verteilten Angriff, der von mehreren Standorten und Geräten ausgeht. Durch die Erhöhung der Anzahl der Quellcomputer wird die Anzahl der Anfragen vervielfacht, wodurch die Angriffskraft eskaliert.
Die Flut des eingehenden Datenverkehrs aus mehreren Quellen kann ein Netzwerk zum Zusammenbruch bringen. Da DDoS-Angriffe von mehreren Quellen ausgehen, sind sie oft am schwierigsten zu erkennen und abzustellen.
Wie man einen DDoS-Angriff erkennt
DDoS-Angriffe zielen in der Regel auf hochrangige Webserver ab, wie z. B. die von Banken, Telekommunikations- oder Kreditkartenunternehmen. Die Angriffe können als Rache, Erpressung oder Aktivismus-Techniken durchgeführt werden. Das Hauptziel eines DoS- oder DDoS-Angriffs ist es, legitime Benutzer eines Dienstes oder einer Ressource zu berauben.
Bei der Diagnose eines möglichen DoS-Angriffs gibt es mehrere Anzeichen, auf die Sie achten sollten:
- Ungewöhnlich langsame Netzwerkleistung
- Große Spitzen im Datenverkehr, die von einer einzelnen IP oder einem IP-Bereich ausgehen
- Eine Flut von Datenverkehr von Benutzern, die einen ähnlichen Technologie-Stack haben, z. B. Browser, Gerät, Standort
- Endpunkt-Anfragespitzen
- Unnatürliche Verkehrsmuster, die nicht der Tageszeit entsprechen
Obwohl dies nur einige Beispiele sind, decken sie einige der häufigsten Szenarien ab.
Welche Arten von DDoS-Angriffen sind üblich?
Die häufigste Art von DDoS-Angriffen besteht darin, einen Netzwerkserver mit Anfragen zu überschwemmen und ihn mit Datenverkehr zu überlasten, so dass er für legitime Benutzer nicht mehr verfügbar ist.
Es gibt zwei Haupttypen von DDoS-Angriffen:
Pufferüberlauf-Angriffe
Diese Art von DDoS-Angriff beansprucht den gesamten verfügbaren Festplattenspeicher, Speicher oder die CPU-Zeit. Dies führt oft zu trägem Verhalten, Systemabstürzen oder anderen für den Server schädlichen Verhaltensweisen, die zu einer Dienstverweigerung führen.
Angriffe fluten
Bei diesem DDoS-Angriff überflutet ein böswilliger Akteur einen Zielserver mit Paketen, die kleine Segmente einer größeren Nachricht sind. Dies führt letztendlich zu einem Denial-of-Service-Angriff. Diese Flood-Angriffe sind nur dann erfolgreich, wenn der böswillige Akteur über mehr Bandbreite verfügt als das Ziel.
Wo schlagen DDoS-Angriffe im OSI-Modell zu?
Wenn es um die Sicherung digitaler Ressourcen geht, ist es immer wichtig, einen mehrschichtigen Ansatz zu verfolgen. Der Schutz vor verteilten Denial-of-Service-Angriffen ist nicht anders. DDoS-Angriffe können auch über das OSI-Modell (Open Systems Interconnection) erfolgen, was die Notwendigkeit von Sicherheitsmaßnahmen auf jeder Ebene unterstreicht. Es gibt jedoch einige Ebenen des OSI-Modells, die häufig angegriffen werden.
Schicht 7: Angriffe auf die Anwendungsschicht
Angriffe auf der Anwendungsebene gehören zu den häufigsten, da sie im Vergleich zu anderen Ebenen am stärksten gefährdet sind - hier greifen Anwendungen auf die Netzwerkdienste zu.
HTTP-Überschwemmung
Einer der häufigsten verteilten Denial-of-Service-Angriffe auf Anwendungsebene ist eine HTTP-Flut. In seiner einfachsten Form ähnelt ein HTTP-Flood dem ständigen Aktualisieren einer Webseite auf mehreren Endpunkten zur gleichen Zeit. Diese Anfragen überfluten dann den Server und überfordern ihn, mit dem Ziel, die Anwendung zum Absturz zu bringen.
Schichten 3 & 4: Protokollangriffe
Bei den Schichten 3 und 4 handelt es sich um gezielte DDoS-Angriffe zur Verwirrung und Blockierung von Daten auf einer Protokollschicht. Diese Angriffe sind darauf ausgelegt, die Datenübertragung zu stoppen und zu unterbrechen.
SYN-Flut
„SYN“ ist die Abkürzung für „Synchronisation“ im Netzwerkbereich – SYN-Flood-Angriffe nutzen den Handshake des Transmission Control Protocol (TCP) aus. Diese Kommunikationsabfolge, bei der zwei Computer eine Netzwerkverbindung herstellen, wird von Angreifern ausgenutzt, indem sie eine große Anzahl von TCP-SYN-Paketen („Initial Connection Request“) mit gefälschten Quell-IP-Adressen versenden.
Der Zielcomputer antwortet auf jede Verbindungsanfrage und wartet dann untätig auf den nächsten und letzten Schritt im Handshake. Dieser letzte Schritt findet jedoch nie statt, wodurch die Ressourcen des Zielrechners erschöpft werden.
Volumetrische Angriffe
Volumetrische Angriffe sind DDoS-Angriffe, die darauf abzielen, eine Überlastung zu erzeugen, indem sie die gesamte verfügbare Bandbreite zwischen dem Ziel und dem Internet im Allgemeinen ausschöpfen. Eine große Menge an Daten wird über eine Form der Verstärkung oder ein anderes Mittel zur Erzeugung einer enormen Menge an Datenverkehr (z. B. eine Anfrage von einem Botnet) an das Ziel gesendet.
DNS-Verstärkung
Stellen Sie sich vor, jemand ruft in einem Restaurant an und fragt: "Ich nehme alles, was auf Ihrer Speisekarte steht. Bitte rufen Sie mich zurück und wiederholen Sie dann meine gesamte Bestellung", wobei die Rückrufnummer dem Opfer gehört. So ähnlich funktioniert der als DNS-Amplifikation bekannte DDoS-Angriff: Mit sehr geringem Aufwand seitens des Angreifers wird eine lange Antwort generiert und an das Opfer gesendet.
Durch das Senden einer Anfrage an einen offenen DNS-Server mit einer gefälschten IP-Adresse - der IP-Adresse des Opfers - erhält die Ziel-IP-Adresse dann eine Antwort vom Server.
Hacker zum Mieten: DDoS-Dienste
Im Laufe der Jahre haben "As a Service"-Angriffsdienste im Dark Web zugenommen, und böswillige Akteure können nun Hacker anheuern, um einen DDoS-Angriff für sie auszuführen. Dafür sind nur minimale technische Kenntnisse erforderlich, abgesehen davon, wie man auf das Dark Web zugreift und wie man für diese Dienste bezahlt. Der Rest wird den Hackern/Bots überlassen, die die Angriffe durchführen.
Bereits im Juli 2020 berichtete das Wired Magazine, dass „DDoS-For-Hire“ eine neue Angriffswelle auslöst. Im Jahr 2021 wurde laut dem Kaspersky-Bericht zu DDoS-Angriffen im vierten Quartal 2021 eine Rekordzahl an DDoS-Angriffen verzeichnet .
Daher ist es für Managed Service Provider (MSPs) unerlässlich, DDoS-Abwehrmaßnahmen zu verstehen und einzusetzen, um ihre Kunden erfolgreich zu schützen.
Wie man DDoS-Angriffe verhindern kann
DDoS-Angriffe können für Unternehmen kostspielig sein - in Form von Umsatzeinbußen, Ausfallzeiten und Reputation.
Um nicht Opfer eines DoS- oder DDoS-Angriffs zu werden, müssen MSPs Maßnahmen zur DDoS-Prävention ergreifen, um ihre Kunden zu schützen. Hier sind ein paar technische Implementierungen, die Sie installieren können:
- Blackhole-Routing
- Ratenbegrenzung
- Web-Anwendungs-Firewall
- Verbreitung des Netzwerks
Bewährte Verfahren zur DDoS-Abwehr
- Melden Sie sich bei einem DDoS-Schutzdienst an, der abnormale Datenströme erkennt und den Datenverkehr von den Client-Netzwerken weg umleitet.
- Erstellen Sie einen Disaster-Recovery-Plan, um im Falle eines Angriffs eine angemessene Kommunikation, Schadensbegrenzung und Wiederherstellung von Daten zu gewährleisten.
- Sichern Sie alle Endpunktverbindungen
- Installieren Sie eine Firewall und beschränken Sie den Datenverkehr
- Bewerten Sie die Sicherheitseinstellungen Ihrer Kunden und befolgen Sie bewährte Sicherheitsverfahren
Die Verhinderung von Distributed-Denial-of-Service-Angriffen ist keine leichte Aufgabe - und die Häufigkeit von DDoS-Angriffen nimmt zu, da sie immer einfacher auszuführen sind. Durch Wachsamkeit und strenge Sicherheitspraktiken können MSP-Kunden verhindern, dass ihre Unternehmen Opfer dieser kostspieligen Cyberangriffe werden.
