DDoS-Angriff: Ein Leitfaden zu Distributed-Denial-of-Service-Angriffen

Ein Distributed-Denial-of-Service-Angriff (DDoS-Angriff) tritt auf, wenn mehrere Kompromittiersysteme sich abstimmen, um das Netzwerk, die Server oder die Anwendung eines Ziels mit bösartigem Datenverkehr zu überfluten, wodurch die Systemressourcen erschöpft werden und legitime Benutzer daran gehindert werden, auf Dienste zuzugreifen.

Wichtige Erkenntnisse:

• DDoS-Angriffe bedrohen die Verfügbarkeit von Diensten, indem sie Systeme mit bösartigem Datenverkehr überfluten. 
• Moderne Angriffe kombinieren mehrere Vektoren und nutzen das Internet der Dinge (IoT) Botnets. 
• Eine wirksame Verteidigung erfordert mehrschichtigen Schutz und schnelle Reaktionsfähigkeit.
• Präventionsstrategien müssen sich mit ständig neuen Bedrohungen weiterentwickeln.

Was ist ein DDoS-Angriff?

Stellen Sie sich vor, das Reservierungssystem eines Restaurants wird mit Tausenden von gefälschten Buchungen von verschiedenen Telefonnummern überschwemmt. Das Personal war mit falschen Anfragen so überlastet, dass legitime Kunden weder Tische reservieren noch Bestellungen aufgeben konnten. Ähnlich verhält es sich bei einem DDoS-Angriff: Cyberkriminelle nutzen Botnets – Netzwerke kompromittierter Geräte –, um eine große Menge gefälschter Anfragen zu senden, ein Zielsystem lahmzulegen und echten Benutzern den Zugriff darauf zu verwehren.

Die IoT-Bedrohung

Der bekannte Mirai Botnet-Angriff hat gezeigt, wie verwundbar IoT Gerät bei DDoS-Angriffen zu mächtigen Waffen werden kann. In diesem Fall wurden Hunderttausende von Geräten standardmäßig mit Anmeldedaten und einfachen Brute-Force-Angriffen kompromittiert. 

Anfälliges Gerät:

• Überwachungskameras und DVRs 
• Heimrouter und Modems 
• Smart-Home-Geräte (Thermostate, Türklingeln, Sprachassistenten) 
• NAS-Gerät (Network-Attached Storage) 
• Drucker und Druckserver 

Kritische Sicherheitslücken: 

• Standardmäßige oder hartcodierte Anmeldedaten 
• Fehlende automatische Sicherheitsupdates 
• Unsichere Netzwerkprotokolle 
• Schlechte Verschlüsselungsimplementierung

Es ist nicht immer einfach, einen laufenden DDoS-Angriff zu erkennen. Und wenn Hacker IT erst einmal gestartet haben, ist es schwierig, den Schaden zu beseitigen. Wenn Sie in Prävention investieren, können Sie Ihr Risiko senken.

DDoS-Angriffsmechanismen verstehen

Infizierte Geräte funktionieren oft weiterhin, sodass der Benutzer möglicherweise nie von dem Problem erfährt. Und das Aufräumen eines infizierten Geräts ist schwierig, insbesondere wenn Benutzer nie daran denken, Software zu aktualisieren oder Sicherheitspatches herunterzuladen.

Das Erkennen von Bots kann auch für Netzwerkadministratoren eine Herausforderung darstellen. Jeder hat eine separate IP-Adresse und sieht legitim aus. Wenn ein Problem auftritt, ist es schwer zu wissen, woher die IT stammt. 

Evolution des modernen DDoS-Angriffs

• Raffinesse des Angriffs
  • KI-gestützte Angriffe, die sich in Echtzeit an Abwehrmechanismen anpassen
  • Multi-Vektor-Angriffe, die Anwendungs-, Protokoll- und volumetrische Methoden kombinieren
  • Fortschrittliche Umgehungstechniken, die legitimes Benutzerverhalten nachahmen
  • Angriffe, die auf Zero-Day-Schwachstellen in Protokollen und Protokollen abzielen.
     
• Änderungen an der Infrastruktur
  • Cloud-Dienst-Ausnutzung über legitime Plattformen
  • API-fokussierte Angriffe, die auf Microservice-Architekturen abzielen
  • Manipulation von Edge-Netzwerken durch CDN-Schwachstellen
  • Missbrauch serverloser Funktionen für verteilte Angriffe
     
• Botnet Entwicklung
  • IoT Geräteausbeutung in monumentalem Ausmaß
  • Mobilgerät durch bösartige App kompromittieren
  • In der Cloud gehostete Botnet-Infrastruktur
  • Automatisierte Botnet-Koordination mittels KI/ML
     
• Umgehung der Verteidigung
  • Generierung dynamischer Datenverkehrsmuster
  • Legitime Vermischung des Datenverkehrs, um eine Entdeckung zu vermeiden
  • Geografische Verteilung zur Umgehung regionaler Blöcke
  • Protokollmutation zur Umgehung der Signaturerkennung

Wie funktioniert ein DDoS-Angriff?

Jedes mit dem Internet verbundene System unterliegt Ressourcenbeschränkungen – von der Rechenleistung bis hin zu Arbeitsspeicher und Netzwerkkapazität. DDoS-Angriffe nutzen diese Grenzen aus, indem sie Systeme mit mehr Anfragen überfluten, als sie verarbeiten können.

Drei Haupttypen von DDoS-Angriffen (von OSI integrieren)

Moderne DDoS-Angriffe zielen auf verschiedene Integrationen des Netzwerk-Stacks ab:

1. Volumetrische Attacken (integrieren 3/4)

   • Überlastung der Netzwerkkapazität durch massives Verkehrsaufkommen
   • Beispiele: DNS-Amplifikation, NTP-Reflexion
   • Gemeinsame Indikatoren: Bandbreitensättigung, geografische Anomalien
      

2. Protokollangriffe (integrieren 4/5)

   • Schwachstellen im Netzwerkprotokoll ausnutzen
   • Beispiele: SYN-Floods, ICMP-Floods, SSL/TLS-Angriffe
   • Gemeinsame Indikatoren: Hohe Anzahl unvollständiger Verbindungen
      

3. Anwendung integrieren attacks (integrieren 7)

   • Target webbasiert Anwendung and services
   • Beispiele: HTTP-Floods, API-Missbrauch, Slowloris
   • Gemeinsame Indikatoren: Hohe Ressourcenauslastung auf bestimmten Endpunkten

Beispiele für bemerkenswerte DDoS-Angriffe nach Typ

Zu den benannten DDoS-Vektoren nach Kategorie gehören:

Anwendung integrieren Angriffe

• Slowloris: Ein Präzisionsangriff mit minimaler Bandbreite, der Verbindungen offen hält, indem er partielle HTTP-Anfragen sendet
• RUDY (R-U-Dead-Yet): Exploitiert Formularfelder, indem es Daten extrem langsam übermittelt und Verbindungen aktiv hält, bis die Serverressourcen erschöpft sind
• HTTP Slow Read: Hält viele Verbindungen aufrecht, indem Antworten sehr langsam gelesen werden, wodurch der Verbindungspool des Servers erschöpft wird

Protokoll-Angriffe

• SACK panic: Nutzt TCP Selective Conknowledgment (SACK) aus, um Kernel Panics in Linux-Systemen auszulösen
• TCP-Reset: Missbraucht TCP, indem es Spoofing-RST-Pakete sendet, um legitime Verbindungen zu beenden
• Ping of Death: Sendet fehlerhafte ICMP-Pakete, die Systeme zum Absturz bringen, wenn sie wieder zusammengesetzt werden
• Weihnachtsbaum-Angriff: Setzt alle Flags in TCP-Paketen und verbraucht dabei zusätzliche Rechenleistung für jedes Paket

Volumetrische Angriffe

• Memcached-Verstärkung: Nutzt falsch konfigurierte Memcached-Server aus, um eine Verstärkung von bis zu 51.000x zu erreichen
• DrDoS (Distributed Reflection DoS): Verwendet legitime Server als Verstärker, indem die IP-Adresse eines Opfers gefälscht wird
• NTP-Verstärkung: Nutzt Network Time Protocol-Server aus, um große Antworten auf kleine Anfragen zu generieren
• CLDAP-Reflexion: Missbraucht verbindungsloses LDAP, um einen Verstärkungsfaktor von etwa 56x zu erreichen

Fortgeschrittene/hybride Angriffe

• Flächenbombardement: Zielt gleichzeitig auf mehrere IP-Adressen im selben Netzwerkbereich ab
• Advanced Persistent DoS (APDoS): Kombiniert mehrere Angriffspunkte mit Persistenzmechanismen, um langfristigen Druck aufrechtzuerhalten
• Pulswelle: Wechselt zwischen lauten Angriffsstößen und Ruhephasen, um die Schadensbegrenzung zu umgehen
• Multi-Vektor: Kombiniert mehrere Angriffsarten gleichzeitig und wechselt oft die Vektoren, um der Verteidigung zu entgehen

DDoS-Angriffsreaktion und -Abwehr

Wenn Systeme angegriffen werden, ist Zeit von entscheidender Bedeutung. So können Unternehmen effektiv handeln:

Sofortige Maßnahmen

• Traffic-Analyse: Identifizieren Sie Angriffsmuster und messen Sie das Traffic-Volumen und -Typen
• Kommunikation: Benachrichtigen Sie interne IT Teams, Dienstanbieter und Stakeholder
• Maßnahmenplanung: Legen Sie klare Prioritäten fest und delegieren Sie Aufgaben an Teammitglieder

Aktive Minderungsstrategien

• Aktivieren Sie das Traffic-Scrubbing: Setzen Sie Drittanbieter oder interne Scrubbing-Tools ein, um bösartigen Traffic zu filtern
• Implementieren Sie Filterregeln: Richten Sie Firewall- und Intrusion Prevention-Systeme (IPS) ein, um identifizierte Angriffe zu blockieren.
• Skalieren von Ressourcen: Erweitern Sie die Serverkapazität mithilfe von Cloud-Ressourcen, um volumetrische Angriffe abzuwehren

Bewährte Techniken zur Risikominderung

• Blackhole-Filterung: Verwerfen Sie bösartigen Netzwerkverkehr auf Routing-Ebene, bevor die IT-Abteilung geschützte Systeme erreicht.
• Traffic-Scrubbing: Entfernen Sie bösartige Anfragen und bewahren Sie gleichzeitig legitimen Datenverkehr mit speziellen Tools oder Diensten auf.
• Lastverteilung: Verteilen Sie den Datenverkehr mithilfe von Inhalt Delivery Networks (CDNs) oder Load Balancer auf mehrere Server.
• Signaturanpassung: Echtzeit-Änderung der Erkennungsregeln mit Tools wie Snort oder Suricata, um mit dem sich ändernden Angriffsmuster Schritt zu halten
• ML für Verkehrsanalysen: Verwenden Sie Anomalieerkennungsmodelle, um neue Risiken zu identifizieren und die Abhängigkeit von statischen Regeln zu reduzieren
• Antwortautomatisierung: Integrieren Sie Automatisierungstools in die vorhandene Sicherheitsinfrastruktur

Schutz der Identitätsschicht

• Die Identity Infrastructure dient als wichtiges Gateway zu digitalen Ressourcen. Die Aufrechterhaltung der Verfügbarkeit des Authentifizierungsdienstes ist während eines DDoS-Angriffs unerlässlich. Wenn sich Benutzer nicht authentifizieren können, können sie nicht auf Systeme zugreifen, selbst wenn diese Systeme betriebsbereit sind. Durch den Schutz von Identitätsdiensten mit denselben robusten DDoS-Abwehrstrategien, die auch für die Netzwerkinfrastruktur eines Unternehmens verwendet werden, werden Angreifer daran gehindert, diesen Single Point of Ausfall auszunutzen.

   

Best Practice zur DDoS-Angriffsprävention

Die Verhinderung eines DDoS-Angriffs erfordert einen mehrschichtigen Verteidigungsansatz.

Kernschutzmechanismen

• Ratenbegrenzung: Fortschrittliche Verkehrssteuerungssysteme, die die Anfragehäufigkeiten dynamisch an das Quellverhalten und historische Muster anpassen
  (z. B. API-Ratenkontrolle)
• webbasiert Anwendung Firewall (WAF): Intelligente Filterung des Anwendungs-integrierten Datenverkehrs mittels verhaltensbasierter Analyse
• Protokollvalidierung: Deep Packet Inspection, um legitime Verbindungsversuche und Protokollkonformität sicherzustellen

Erweiterte Abwehrmechanismen der Netzwerkarchitektur

1. Anycast-Netzwerkarchitektur
   • Verteilt den Verkehr auf mehrere globale Standorte
   • Von Natur aus resistent gegen volumetrische Angriffe
   • Bietet automatische Failover-Funktionen
      
2. BGP-Flowspec 
   • Ermöglicht die dynamische Routing-Richtlinienverteilung
   • Ermöglicht eine schnelle Reaktion auf Angriffsverkehr
   • Bietet granular Kontrolle des Datenverkehrs am Netzwerk-Edge
      
3. Hybrider Schutz
   • Kombiniert on-premise und Cloud-basierte Abwehrmaßnahmen 
   • Bietet umfassenden Schutz gegen Multi-Vektor-Angriffe 
   • Ermöglicht eine flexible Reaktion auf unterschiedliche Angriffstypen

Moderne Verteidigungsarchitektur

Zusätzlich zu den wichtigsten Abwehrmechanismen erfordert der DDoS-Schutz:
 

• Multi-integrierte Verkehrsanalyse: Gleichzeitige Überwachung über das gesamte Netzwerk hinweg integriert für umfassende Transparenz
• Scrubbing-Services von Cloud-Anbietern: Nutzen Sie verteilte Scrubbing-Zentren, um geografisch verteilte Angriffe abzuwehren
• Automatisierte Antwortsysteme: Integrieren Sie SIEM-Plattformen (Security Information and Event Management) für eine zentralisierte, automatisierte Schadensbegrenzung
• Machine Learning Mustererkennung: Mit adaptiven Algorithmen neue Bedrohungen erkennen und ihnen begegnen
• Erweiterte Techniken zur Geschwindigkeitsbegrenzung: Implementieren Sie adaptive Schwellenwerte, um bei Angriffsszenarien dynamisch zu reagieren

Branchenspezifischer DDoS-Schutz

Unterschiedliche Branchen erfordern spezifische Schutzstrategien, die auf ihren individuellen Schwachstellen und Anforderungen basieren.

Einhaltung gesetzlicher Vorschriften für den DDoS-Schutz

SEC-Anforderungen

• Major Incident-Reporting: Melden Sie signifikante DDoS-Angriffe, die den Betrieb oder die Dienste stören
• Dokumentation: Führen Sie Aufzeichnungen über DDoS-Abwehrkontrollen und Reaktionsverfahren
• Regelmäßige Updates: Halten Sie die Offenlegungsdokumentation auf dem neuesten Stand, wenn sich die Bedrohungslandschaft ändert

Überlegungen zur DSGVO

• Serviceverfügbarkeit: Schützen Sie sich vor Unterbrechungen des Datenzugriffs
• Technische Kontrollen: Implementieren Sie geeignete Maßnahmen zur DDoS-Prävention.
• Finanzielle Auswirkungen: Unternehmen drohen Strafen, wenn sie es versäumen, Serviceunterbrechungen zu verhindern

Schutz kritischer Infrastrukturen

• Branchenregeln: Verschiedene Branchen haben unterschiedliche Anforderungen an den DDoS-Schutz
• CISA-Compliance: US-Betreiber müssen spezifische Minderungsprotokolle befolgen
• EU-NIS2-Standard: Europäische Anbieter benötigen grundlegende Sicherheitsmaßnahmen

Grenzüberschreitende Datenanforderungen

• Standortbeschränkungen: DDoS-Abwehrstrategien müssen die Regeln für die Datenresidenz einhalten
• Lieferantenauswahl: Wählen Sie Scrubbing-Dienste mit konformen Rechenzentrumsstandorten
• Data Routing: Überwachen des Traffic-Routings während der DDoS-Abwehr

Aktuelle Trends und Zukunftsaussichten

DDoS-Angriffe entwickeln sich mit immer ausgefeilteren Techniken weiter:

• KI-gestützte Angriffe: Erweiterte Mustergenerierung und automatisierte Zielauswahl
• IoT security Sicherheitsabfrage: Ausnutzung von Schwachstellen in vernetzten Geräten zur Erstellung von Botnets
• Erweiterter Schutz: Implementierung von maschinellem Lernen, Verhaltensanalyse und prädiktiven DDoS-Abwehrstrategien, um neuen Bedrohungen entgegenzuwirken

Häufig gestellte Fragen zum DDoS-Angriff

F: Wie kann ich feststellen, ob ich einem DDoS-Angriff ausgesetzt bin?

Ein: Zu den grundlegenden Indikatoren für einen DDoS-Angriff gehören plötzliche Traffic-Spitzen, Service-Verlangsamungen und ungewöhnliche Muster im Serverprotokoll. Unternehmen sollten geografische Quellen, Anforderungsraten und Ressourcennutzung auf Frühwarnzeichen überwachen.

F: Was ist der Unterschied zwischen DoS und DDoS-Angriff?

A: Ein DoS-Angriff geht von einer Quelle aus, die versucht, ein Ziel mit Datenverkehr oder ressourcenintensiven Anfragen zu überfluten. Der Angriff erfolgt häufig von einem oder wenigen Computern aus, wobei ein Angreifer darauf abzielt, ein Ziel unzugänglich zu machen oder Benutzern den Zugriff auf Dienste oder Ressourcen zu verweigern. Ein DDoS-Angriff liegt im Allgemeinen vor, wenn viele Computer oder Geräte ein Botnetz kompromittieren und einen koordinierten Angriff starten. Indem Botnets angewiesen werden, ein Zielsystem gleichzeitig mit Datenverkehr oder Anfragen zu überfluten, ist es schwieriger, sich gegen verteilte Angriffe zu verteidigen.  

F: Was ist ein Angriff auf IoT Geräte?

A: Ein Angriff auf ein IoT-Gerät ist ein böswilliger Versuch, Schwachstellen in einem mit dem Internet verbundenen Gerät auszunutzen. Durch Ausnutzen von Schwachstellen in den Sicherheitsprotokollen oder der Firmware von Geräten können Angreifer alles – von Smart-Home-Geräten bis hin zu medizinischen Geräten und industriellen Steuerungssystemen – für sich beanspruchen, um sich unbefugten Zugriff zu verschaffen, vertrauliche Daten zu entwenden oder die Geräte als Teil eines größeren Cyberangriffs zu verwenden, beispielsweise als Botnet bei einem DDoS-Angriff.

F: Wie lange dauert ein DDoS-Angriff?

Ein. In der Regel dauert ein DDoS-Angriff weniger als 10 Minuten, aber ohne angemessenen Schutz kann der DDoS-Angriff von Minuten bis zu Tagen reichen.

Ergreifen Sie Maßnahmen zum Schutz vor DDoS-Angriffen mit Okta

Reduzieren Sie Ihre Angriffsfläche mit einer umfassenden identitätsbasierten Sicherheitsstrategie, die Traffic-Überwachung, automatisierte Bedrohungserkennung und skalierbare Abwehrfunktionen umfasst.

Mehr erfahren