Distributed-Denial-of-Service-Angriff (DDoS)

Funktionsweise von DDoS-Angriffen

Ein DDoS-Angriff beginnt mit einem Botnet. Ein Botnet ist ein Netzwerk von Computern, die mit bösartiger Software infiziert wurden, die für DDoS-Angriffe und andere schändliche Zwecke entwickelt wurde. Benutzer können durch Phishing-E-Mails, infizierte Websites und sogar soziale Netzwerke dazu verleitet werden, die infizierte Software herunterzuladen, indem sie bekannte Exploits in Software und Betriebssystemen ausnutzen.

Sobald diese Computer infiziert sind, kann das Botnet-"Wrangler" alle diese Computer ohne Wissen des Benutzers aus der Ferne von einer Anwendung aus steuern. Sobald das Botnet groß genug ist, kann das Netzwerk verwendet werden, um einen Angriff gegen jedes Ziel zu starten.

Sobald ein Botnet bereit ist, kann der Angreifer einen Startbefehl senden, der dazu führt, dass jeder Computer im Botnet eine Flut von Anfragen an das beabsichtigte Ziel sendet. Wenn der Angriff die Abwehrmaßnahmen überwindet, kann er die meisten Systeme schnell überlasten und zu Dienstausfällen und möglicherweise zum Absturz von Servern führen.

Viele Angreifer, die Botnets erstellt haben, bieten ihre Dienste zu einem Preis auf Online- und Darknet-Marktplätzen an, so dass potenziell jeder die Möglichkeit hat, einen DDoS-Angriff zu starten.

Arten von DDoS-Angriffen

DDoS-Angriffe gibt es in vielen Formen, je nachdem, was ein Angreifer zu tun versucht. Drei Hauptkategorien sind volumenbasierte Angriffe, Protokollangriffe und Angriffe auf Anwendungsebene.

Volume-basierter Angriff

Bei dieser Art von Angriff wird versucht, die gesamte verfügbare Bandbreite zwischen dem Ziel und dem Internet zu nutzen. Eine Möglichkeit, dies zu erreichen, ist die Amplifikation, bei der ein DNS-Server mit einer gefälschten IP-Adresse (der IP-Adresse des Ziels) überflutet wird, wodurch viel größere DNS-Antworten an das Ziel ausgelöst werden. SNMP- und NTP-Protokolle werden auch bei volumenbasierten Angriffen verwendet. Schließlich verstopfen die Antworten, die das Ziel erhält, das Netzwerk und blockieren den eingehenden Datenverkehr.

Protokoll-Angriff

Protokollangriffe unterbrechen einen Dienst, indem sie die Ressourcen von Netzwerkgeräten wie Load Balancern und Firewalls erschöpfen. Diese Angriffe zielen auf die Netzwerk- und Sicherungsschichten des Protokollstapels ab. Eine Art von Protokollangriff wird als SYN-Flood bezeichnet. Bei dieser Art von Angriff wird der TCP-Handshake verwendet, um ein Netzwerk zu überfluten. Das Botnet sendet dem Ziel eine große Menge an SYN-Paketen für die TCP-Erstverbindungsanforderung unter Verwendung gefälschter IP-Adressen. Die Ressourcen des Zielcomputers sind erschöpft und warten auf den letzten Schritt all dieser Anfragen, der nie stattfinden wird.

Angriff auf Anwendungsebene

Diese Art von DDoS-Angriff zielt auf Anwendungen ab, die in Ihrem Netzwerk ausgeführt werden, insbesondere auf Webanwendungen, die auf HTTP-Anfragen reagieren. HTTP-Anforderungen sind für einen Client einfach, können jedoch viele Ressourcen vom Server erfordern, um die Antwort zu generieren. Eine Anforderung kann die Ausführung von Code, mehrere Bildanforderungen und Datenbankabfragen umfassen. Ein Botnet, das einen Angriff auf Anwendungsebene verwendet, kann einen Server zum Absturz bringen, indem es einfach von jedem seiner Knoten gleichzeitig auf dieselbe Webseite zugreift.

Symptome eines DDoS-Angriffs

Ein Symptom für einen DDoS-Angriff ist eine Website oder ein Dienst, der offensichtlich und plötzlich langsam geworden ist oder nicht mehr reagiert, aber nicht jede langsame Website wird angegriffen. Datenverkehrsspitzen und legitime Serverprobleme können die gleiche Art von Nichtreaktion verursachen.

Um festzustellen, ob Sie einem DDoS-Angriff ausgesetzt sind, müssen Sie mit Traffic-Analysetools weiter untersuchen, um festzustellen, welche Art von Traffic Sie erhalten, woher er kommt und wohin er geht. Einige Anzeichen für einen DDoS-Angriff sind:

• Ungewöhnliche Mengen an Datenverkehr, die von einer einzelnen IP-Adresse oder einem Adressbereich stammen
• Gelegentliche Traffic-Spitzen, die zu ungewöhnlichen Tageszeiten, für eine begrenzte Zeit oder nach einem bestimmten Muster auftreten
• Eine plötzliche Flut von Traffic auf eine einzelne Webseite oder einen einzelnen Dienst
• Eine Flut von Datenverkehr von Benutzern, die über ein ähnliches Profil verfügen, z. B. Geolocation, Browserversion oder Gerätetyp

Verhindern von DDoS-Angriffen

Ein Netzwerk vor einem DDoS-Angriff zu schützen, ist nicht die einfachste Aufgabe. Es ist nicht wie Malware oder Viren, die Sie von den infizierten Systemen entfernen können. DDoS-Angriffe kommen von außerhalb eines Netzwerks und können wie normaler Datenverkehr erscheinen, bis Sie sich die Details ansehen. Es ist wichtig, schnell zu handeln, sobald ein DDoS-Angriff erkannt wird, da diese Art von Angriffen eine Website oder einen Dienst innerhalb von Minuten zum Erliegen bringen kann.

Sichern Sie Ihren Router

Ihr Router ist das Gateway in und aus Ihrem Netzwerk. Wenn die Bots in einem Botnet es nicht durch den Router schaffen, können sie keine Dienste auf dem Router beeinflussen. Es ist Ihre erste Verteidigungslinie und sollte so konfiguriert werden, dass der Datenverkehr nach Priorität gefiltert und alle bedrohlichen Daten oder Datenverkehr blockiert werden.

Sichere IoT-Geräte

Viele Menschen, die ihre Laptops und Telefone sichern, denken nicht zweimal darüber nach, das Standardpasswort auf ihren IoT-Geräten zu belassen. Viele IoT-Geräte laufen mit vollständigen Linux-Betriebssystemen, die mit Malware angegriffen werden können und wurden, die sie zu einem Bot in einem Botnet macht. Aus diesem Grund sind sie ein beliebtes Ziel. Wenn Sie Ihre IoT-Geräte mit einem sicheren Passwort sichern, verhindern Sie, dass sie zu einem weiteren Bot in einem Botnet werden.

Verwenden von maschinellem Lernen

Die Erkennung eines DDoS-Angriffs umfasst eine Analyse des Datenverkehrs. Es ist möglich, dies manuell zu tun, aber die Technologie des maschinellen Lernens kann bösartigen Datenverkehr schnell erkennen. Der Datenverkehr kann in Echtzeit auf bekannte DDoS-Muster und Anomalien analysiert werden, und jeder verdächtige Datenverkehr kann blockiert werden, bevor er die Möglichkeit hat, einen Dienst oder eine Website zu verlangsamen.

Conclusion

Ein Distributed-Denial-of-Service- oder DDoS-Angriff ist ein Versuch, den Zugriff auf eine Website oder einen Dienst zu blockieren, indem er mit Anfragen überflutet wird, um das System zu überlasten. Angreifer erreichen dies, indem sie eine Armee von Computern mit Malware infizieren, mit der sie jede beliebige Website oder jeden beliebigen Dienst ins Visier nehmen können. Die Fehlerbehebung und Verhinderung von DDoS-Angriffen ist nicht einfach und erfordert die Analyse des Datenverkehrs auf Anomalien, aber mit den richtigen Tools können DDoS-Angriffe marginalisiert oder verhindert werden.