Distributed Denial of Service

Was ist ein DDoS-Angriff?

25.05.2022
Von  und
Josh Fruhlinger ist freier Autor in Los Angeles.


Florian beschäftigt sich mit vielen Themen rund um Technologie und Management. Daneben betätigt er sich auch in sozialen Netzen.
Distributed-Denial-of-Service-Angriffe sind ein alter Hut – gehören aber nicht zum alten Eisen. Die DDoS-Gefahr ist größer denn je.
Distributed-Denial-of-Service-Angriffe gehören seit Jahrzehnten zum Angriffsarsenal krimineller Hacker. Das dürfte sich auch in Zukunft nicht ändern - im Gegenteil.
Distributed-Denial-of-Service-Angriffe gehören seit Jahrzehnten zum Angriffsarsenal krimineller Hacker. Das dürfte sich auch in Zukunft nicht ändern - im Gegenteil.
Foto: Profit Image - shutterstock.com

DDoS-Angriffe gehören seit mehr als zwanzig Jahren zum Handwerkszeug von Cyberkriminellen. Dennoch sind sie nicht totzukriegen - im Gegenteil, DDoS-Attacken häufen sich und werden zunehmend gefährlicher.

DDoS-Angriffe - Definition

Mit einem DDoS-Angriff versuchen Angreifer, die Bereitstellung eines Dienstes unmöglich zu machen. Das erreichen sie, indem der Zugriff auf praktisch alles vereitelt wird: Server, Geräte, Dienste, Netzwerke, Anwendungen (und sogar bestimmte Transaktionen innerhalb der Applikationen). Bei einem DoS-Angriff sendet ein System bösartige Daten oder Anfragen, ein DDoS-Angriff geht von mehreren Systemen aus.

Im Allgemeinen funktionieren diese Angriffe, indem sie ein System mit Datenanfragen überfluten. Das kann einen Webserver treffen, der unter der Anfragelast zusammenbricht oder eine Datenbank, die mit einer hohen Zahl von Requests konfrontiert wird. Das Ergebnis: Internet-Bandbreite, CPU- und RAM-Kapazität werden überlastet. Die Auswirkungen eines DDoS-Angriffs können von einer minimalen Serviceunterbrechung bis hin zum Ausfall von Websites, Applikationen oder ganzen Unternehmen reichen.

DDoS-Attacken - Funktionsweise & Techniken

Den Ausgangspunkt einer DDoS-Attacke bildet ein Botnet. Es besteht aus Hunderten oder Tausenden von Rechnern, die unter der Kontrolle von kriminellen Hackern stehen. Diese Rechner wurden über Phishing, Malvertising und andere Techniken mit Schadcode infiziert und in "Zombie"-Rechnern beziehungsweise Bots umfunktioniert. Dabei kann es sich um gewöhnliche Privatrechner und Büro-PCs handeln, aber auch um IoT-Geräte. Das berüchtigte Mirai-Botnet etwa bestand in Teilen aus einer ganzen Armee gehackter CCTV-Kameras.

Die Besitzer der Geräte wissen normalerweise nicht, dass sie kompromittiert wurden - ihre Rechner und Devices funktionieren in den meisten Fällen ganz normal weiter. Tatsächlich stehen die Geräte aber unter fremder Kontrolle und warten auf einen Remote-Befehl von einem Command-and-Control-Server, der als Kommandozentrale für den Angriff dient und oft selbst ein gehacktes Fremdsystem ist. Sobald der Distributed-Denial-of-Service-Angriff gestartet wurde, greifen die Bots zeitgleich auf ein bestimmtes Angriffsziel zu.

Einzeln wären die Anfragen und der Netzwerkverkehr, die jeder einzelne Bot an das Ziel sendet, harmlos. In Kombination überfordert die Anfragelast oft die Kapazität des Zielsystems. Da es sich bei den Bots in der Regel um gewöhnliche Computer handelt, die weit über das Internet verteilt sind, ist es schwierig bis unmöglich, ihren Datenverkehr zu blockieren - ohne damit gleichzeitig legitime Benutzer zu treffen.

Es gibt drei Hauptklassen von DDoS-Angriffen, die sich hauptsächlich durch die Art des Datenverkehrs unterscheiden, mit dem sie die Zielsysteme angreifen:

  1. Volumenbasierte Angriffe verwenden große Mengen an Fake-Traffic, um Webseiten oder Server zu überlasten. In diese Kategorie fallen ICMP-, UDP- und Spoofed-Packet-Flood-Angriffe. Die Größe eines volumenbasierten Angriffs wird in Bits pro Sekunde (bps) gemessen.

  2. DDoS-Angriffe auf Protokoll- oder Netzwerkebene senden eine große Zahl von Paketen an Netzwerkinfrastrukturen und Infrastruktur-Verwaltungstools. Zu diesen Protokollangriffen gehören unter anderem sogenannte SYN-Floods- und Smurf-DDoS-Angriffe. Ihr Umfang wird in Paketen pro Sekunde (PPS) gemessen.

  3. Angriffe auf Anwendungsebene werden mit Hilfe von böswilligen Requests erzeugt. Das Volumen dieser Angriffe wird in Requests pro Sekunde (RPS) gemessen.

Wichtige Techniken, die bei jeder Art von DDoS-Angriff eingesetzt werden, sind:

  • Spoofing: Ein Angreifer verändert oder manipuliert die Header-Informationen eines IP-Pakets. Da die tatsächliche Quelle des Pakets nicht mehr erkennbar ist, können auch Angriffe, die von ihr ausgehen, nicht abgewehrt werden.

  • Reflection: Angreifer fälschen eine IP-Adresse so, dass sie vermeintlich vom Opfer stammt. Dieses Paket wird dann an ein drittes System gesendet, das dem Opfer "antwortet". Dadurch wird die Angriffsquelle zusätzlich verschleiert.

  • Amplification: Bestimmte Online-Services lassen sich dazu "verleiten", auf Pakete mit sehr großen oder mehreren Paketen zu antworten.

Alle drei Techniken können zu einem sogenannten Reflection/Amplification-DDoS-Angriff kombiniert werden, der immer häufiger vorkommt.

DDoS-Angriffe erkennen - 4 Anzeichen

DDoS-Angriffe können schwer zu diagnostizieren sein. Schließlich ähneln die Attacken - oberflächlich betrachtet - einer Flut von legitimen Nutzeranfragen. Es gibt jedoch Möglichkeiten, den künstlich erzeugten Traffic eines Distributed-Denial-of-Service-Angriffs von organischem Datenverkehr zu unterscheiden. Auf diese vier häufigen Anzeichen sollten Sie dabei achten:

  • Trotz Spoofing- und Distribution-Techniken gehen viele DDoS-Angriffe von einer begrenzten IP-Range, einem einzelnen Land oder einer Region aus - vielleicht von einer, die normalerweise nicht viel Traffic erzeugt.

  • Ein weiteres, auffälliges Anzeichen für eine DDoS-Attacke ist es, wenn der gesamte Datenverkehr von derselben Art von Client kommt, mit demselben Betriebssystem und Webbrowser. Organischer Traffic würde sich in diesem Punkt durch eine "natürliche Vielfalt" auszeichnen.

  • Datenverkehr der auf einen einzigen Server, Netzwerkanschluss oder eine Webseite einstürzt, statt sich gleichmäßig über Ihre Website zu verteilen, ist ein weiterer Anhaltspunkt für einen DDoS-Angriff.

  • Datenverkehr der in regelmäßigen, wiederkehrenden Wellen oder Mustern auftritt kann ebenfalls auf eine Distributed-Denial-of-Service-Attacke hindeuten.

DDoS-Attacken verhindern - Abwehrmaßnahmen

DDoS-Attacken einzudämmen ist schwierig, da sich legitimer Traffic, wie erwähnt, nicht so einfach von Fake-Traffic unterscheiden lässt. Natürlich ließe sich ein Distributed-Denial-of-Service-Angriff einfach stoppen, indem alle http-Anfragen blockiert werden (das kann in der Tat auch nötig sein, wenn es darum geht, Ihre Server vor dem Absturz zu bewahren). Allerdings werden dadurch auch alle User blockiert - womit die Angreifer ihr Ziel erreicht haben.

Wenn Sie jedoch den DDoS-Traffic, wie im vorigen Abschnitt beschrieben, identifizieren können, kann das dazu beitragen, den Angriff abzuschwächen und Ihre Dienste zumindest teilweise online zu halten. Wenn Sie beispielsweise wissen, dass der Angriffs-Traffic aus Osteuropa stammt, können Sie die entsprechenden IP-Adressen aus dieser Region blockieren. Eine gute Technik zur DDoS-Vorbeugung besteht darin, alle öffentlich zugänglichen Services, die nicht gebraucht werden, abzuschalten. Dienste, die für Angriffe auf der Anwendungsebene anfällig sein könnten, können abgeschaltet werden, ohne die Bereitstellung von Webseiten zu beeinträchtigen.

Im Allgemeinen besteht die beste Schutzmaßnahme gegen DDoS-Attacken darin, genügend Kapazitäten vorzuhalten, um auch mal große Mengen an eingehendem Datenverkehr zu bewältigen. Je nach Situation kann das bedeuten, Ihr eigenes Netzwerk aufzurüsten oder ein Content Delivery Network (CDN) zu nutzen. Ihr Network Service Provider verfügt möglicherweise über eigene Services, die Sie zu diesen Zwecken in Anspruch nehmen können.

Distributed Denial of Service - düstere Aussichten

Der Trend, für DDoS-Attacken gemietete Botnetze zu nutzen, wird sich aller Voraussicht nach fortsetzen. Ein weiterer Trend: Die Ausnutzung mehrerer Angriffsvektoren innerhalb einer Attacke, auch bekannt als Advanced Persistent Denial-of-Service - kurz APDoS. Diese Art des Angriffs kann sowohl die Anwendungsebene, als auch Datenbanken oder Server direkt treffen.

"Das geht weit über einfaches 'Flooding' hinaus", weiß Chuck Mackey, Managing Director of Partner Success bei Binary Defense. "Die Angreifer zielen dabei oft nicht nur auf ihr eigentliches Opfer ab, sondern auch auf die Organisationen, von denen sie abhängig sind, wie ISPs und Cloud-Anbieter. Es handelt sich um weitreichende Angriffe mit großer Wirkung, die gut koordiniert sind."

Das verändert auch die Auswirkungen von DDoS-Angriffen auf Unternehmen und erweitert deren Risikopotenzial: "Unternehmen sind nicht mehr nur mit DDoS-Angriffen auf die eigene Infrastruktur konfrontiert, sondern auch mit Attacken auf eine Vielzahl von Geschäftspartnern, Anbietern und Lieferanten", sagt Mike Overly, Anwalt für Cybersicherheit bei Foley & Lardner LLP. "Eines der ältesten Sprichwörter im Bereich der Sicherheit lautet, dass ein Unternehmen nur so sicher ist, wie sein schwächstes Glied. Heutzutage ist dieses schwächste Glied immer öfter ein Dritter."

Dieser Beitrag basiert auf einem Artikel unserer US-Schwesterpublikation CSO Online.