DDoS-Schutz und Cybersecurity
DoS steht für Denial of Service, die Steigerungsform davon ist DDoS – das zusätzliche D steht für Distributed Denial of Service. Das ist eine häufig genutzte Angriffsart im Internet. Bei diesem Security-Vorfall werden unzählige Requests / Anfragen auf diesen Dienst (YouTube, GitHub, Twitter etc.) in kürzester Zeit gesendet. Dies führt letztendlich zu einer Überforderung und die entsprechende Seite ist dann für die Nutzer nicht mehr verfügbar. Das kann zu erheblichen finanziellen Schäden für den Betreiber des Internetdienstes bedeuten. Angreifer können die Betreiber auf Schutzgeld erpressen. Erfahren Sie hier mehr Details rund um das Thema und zum DDoS-Schutz.
DDoS-Angriff ohne entsprechenden DDoS-Schutz
DDoS-Angriffe haben eine immer größere Auswirkung. Sie überfordern Dienste mit immer größeren Datenmengen. Für einen guten DDoS-Schutz braucht es DDoS Protection Tools, um diese Datenmengen zu zerstreuen. Gleichzeitig werden auch immer mehr Angriffe verzeichnet, bei denen nur spezifische Bereiche von der IT-Infrastruktur attackiert und diese gestört werden. Diese Angriffe fallen weniger auf. Je kleiner die Anwendung oder der Service, umso weniger Datenmenge wird für den Angriff gebraucht. Zum anderen dienen DDoS-Angriffe nicht mehr nur dazu, den Dienst zu verweigern, sondern werden zunehmend als Deckmantel zur Tarnung anderer Cyberangriffe verwendet. Dazu gehören z.B. Datenverletzungen und Finanzbetrug. Organisationen sollten ein DDoS Monitoring Tool einsetzen, das alle potenziellen DDoS-Angriffe erkennt und blockiert, sobald sie auftreten. Damit erhalten sie einen umfassenden Überblick über ihre Netzwerke.
Botnetze spielen entscheidende Rolle
Bei DDoS-Angriffen werden in den meisten Fällen Botnets eingesetzt. Dabei werden von Angreifern im Vorfeld fremde Computer gekapert. Das erfolgt meist durch Malware wie Trojaner oder Würmer. Die fremden Rechner werden dann im Verbund zusammengenommen durch die C&C Server (Command & Control Server), der Angreifer ferngesteuert. Im Falle von DDoS werden die Bandbreiten der Opfersysteme ausgenutzt. Damit werden gleichlautende Anfragen auf die Server der Opfer gleichzeitig getätigt. Ein DDoS-Schutz verhindert solch einen Angriff.
Memcached-Server: Cyberangriffe sind auch ohne Botnetze möglich
Das Kapern von fremden Rechnern oder IoT-Geräten kann für die Angreifer mitunter sehr mühselig sein. Deswegen kommen bei manchen Angriffen auch keine Botnetze zum Einsatz, wie z.B. beim Angriff auf Github 2018. Hier wurde der Einsatz von Memcached-Servern ausgenutzt. Diese Database-Caching-Dienste erfüllen den Zweck, dass Netzwerke und Webseiten schneller sind. Der Zugriff aus dem Internet auf diese Server ist ohne Authentifikation möglich, man muss nur in den Besitz der IP-Adresse kommen. Dann senden die Angreifer kleine Anfragen an mehrere Memcached-Server gleichzeitig – etwa 10 pro Sekunde pro Server. Diese Memcached-Server sind dann darauf ausgelegt, eine viel größere Antwort hervorzurufen. Sie geben dann das 50-fache der angefragten Daten an das Opfersystem zurück. So lassen sich Datenanfragen von mehreren Terabytes pro Sekunde generieren – diese führen mit Leichtigkeit zum Kollaps eines Dienstes. Ein DDoS-Schutz verhindert effektiv auch diese Art des Cyberangriffs.
Ein DDoS-Schutz verhindert Angriffe via DNS-Reflection
Genauso kommen DDoS-Cyberangriffe via DNS-Reflection-Techniken zum Einsatz. Der Angreifer macht die DNS-Anfrage mithilfe der IP-Adresse des Opfers (IP-Spoofing) und ist damit erfolgreich. Der DNS-Server sendet die Anfrage an das Opfer. Hier kommt dann die Amplification, also die Verstärkung im nächsten Schritt zum Einsatz.
"UDP-Pakete mit DNS-Abfragen sind typischerweise relativ klein (< 100 Byte). Antwort-Pakete sind abhängig vom abgefragten Eintrag deutlich größer (< 500 Byte). Dies hat zu Folge, dass ein Angreifer bei geschickter Wahl der DNS-Anfrage mit vergleichsweise kleiner Bandbreite eine deutliche Erhöhung der Angriffslast auf der Opferseite erzielen kann, der Angriff wird somit verstärkt (Amplification)."
Bundesamt für Sicherheit in der Informationstechnik
DDoS-Schutz: DDoS Protection Tools
Unsere DDoS Protection Tools und Maßnahmen unterbinden DDoS-Angriffe.
Dazu gehören Web Application Firewalls (kurz: WAF), welche Onlinedienste auf dem Application-Layer schützen. Allgemein sorgen diese dafür, dass:
- Eingehende Verbindungen nur von Diensten zugelassen werden, die auch zugreifen dürfen. Dafür gibt es den Ansatz von Blacklists (Auflistung nicht-erlaubter Verbindungen) oder Whitelists (Auflistung erlaubter Verbindungen).
- Das Gleiche gilt dann für ausgehende Verbindungen – nur mit einer expliziten Erlaubnis sind diese möglich. Damit können Botnetze z.B. lahmgelegt werden, weil diese dann nicht mehr mit dem Command & Control-Server der Angreifer in Kontakt treten können.
Amplicification-Angriffe via Memcached-Servers:
- Exponierte Memcached-Server aus dem Internet entfernen und sicher hinter Firewalls in internen Netzwerken implementieren.
- Filter in WAFs, die Memcached-Verkehr blockieren, wenn eine verdächtige Menge an Anfragen entdeckt wird.
- Falls Netzbetreiber den verwendeten Angriffsbefehl feststellen können, dann kann der böswillige Datenverkehr schon im Keim erstickt werden, indem alle Memcached-Pakete dieser Länge blockiert werden.
Reflection-Angriffe über Network-Time-Protokoll:
- Hier hilft die Web Application Firewall und eine entsprechend bestehende Netzwerkinfrastruktur bestehend aus mehreren Rechenzentren.
- Auch wenn hier eine einzelne IP-Adresse das Angriffsziel ist, so kann mit einem entsprechenden Feature in der Firewall die Datenflut verteilt werden. Die eintreffende Last wird auf verschiedene Rechenzentren verteilt. So ist der angegriffene Dienst weiterhin verfügbar.
