DoS-Angriff und DDoS-Angriff im Vergleich

Ein Denial-of-Service-(DoS-)Angriff ist ein Cyberangriff, der darauf abzielt, die Verfügbarkeit eines Zielsystems zu beeinträchtigen. Ein Angreifer verwendet eine einzige Quelle, um ein Zielsystem mit Anfragen zu überfluten, wodurch das System (ein Service, Server oder Netzwerk) überlastet wird und es unfähig wird, Anfragen zu verarbeiten – was zu einem Denial-of-Service für legitime Nutzer führt. 

 Ein Distributed Denial of Service-(DDoS-)Angriff ist eine Art von DoS-Angriff. Dabei nutzen Angreifer mehrere kompromittierte Quellen, um einen volumetrischen Angriff auszuführen. Diese verteilten Quellen könnten ein Botnetz umfassen – ein Netzwerk von Computern, die mit bösartiger Software infiziert sind und als Gruppe gesteuert werden. 

Was ist der Unterschied zwischen einem DoS-Angriff und einem DDoS-Angriff? 

Ein DDoS-Angriff ist eine Art von DoS-Angriff. Ihr Hauptunterschied besteht darin, dass ein DoS-Angriff von einer einzigen Quelle/IP-Adresse ausgeht, während ein DDoS-Angriff, wie der Name schon sagt, verbreitet ist: Er geht von zahlreichen Quellen/IP-Adressen aus. 

Durch den Einsatz zahlreicher kompromittierter Geräte kann ein DDoS-Angriff verstärkt werden, wodurch es für das Ziel schwieriger wird, sich zu erholen und sich gegen den Angriff zu verteidigen. 

Welche verschiedenen Arten von DDoS-Angriffen gibt es? 

Sie können DDoS-Angriffe basierend auf dem gezielten Open Systems Interconnection-(OSI-)Layer gruppieren.  Am häufigsten erfolgen Angriffe auf dem Netzwerk-Layer (OSI-Layer 3), dem Transport-Layer (OSI-Layer 4) und dem Anwendungs-Layer (OSI-Layer 7). 

DDoS-Angriff auf Layer ¾

Layer ¾-DDoS-Angriffe treten auf der Infrastrukturschicht eines Zielsystems auf. Layer 3 ist die Netzwerkschicht, die dafür verantwortlich ist, welchen physischen Pfad die Daten durch das Netzwerk nehmen sollen. Layer 4 sorgt für die Datenübertragung zwischen den Hosts und gewährleistet die Datenintegrität und Vollständigkeit der Übertragung, die durch das Transport Control Protocol (TCP) durchgeführt wird.

DDoS-Angriffe auf Layer 3 + 4 werden durchgeführt, indem enorme Mengen an Traffic an das System gesendet werden, um die verfügbare Kapazität des Netzwerks zu überlasten. 

Häufige Angriffe auf den Ebenen 3 und 4 sind: UDP-Floods, SYN-Flood-Angriffe und Internet Control Message Protocol-(ICMP-)Angriffe. 

Layer-7-Angriffe

Layer-7-DDoS-Angriffe zielen auf die Anwendungs-Layer ab – obwohl sie nicht so häufig sind wie Layer-3/4-Angriffe, sind Layer-7-Angriffe ausgefeilter und benötigen daher mehr Ressourcen zur Minderung. 

Layer-7-DDoS-Angriffe zielen auf kritische Teile einer Anwendung ab, um deren Performance negativ zu beeinflussen. Ein häufiges Beispiel für einen Layer-7-DDoS-Angriff ist das Überfluten der Log-in-Seite einer App mit Anfragen oder das Angreifen einer exponierten API mit einer kostspieligen Suchanfrage. Die Behebung dieser Angriffe kann für ein Unternehmen sehr kostspielig sein. 

Welchen Vorteil hat ein DDoS-Angriff für Angreifer?

Die verteilte Natur eines DDoS-Angriffs hilft einem böswilligen Akteur, seine niederträchtigen Ziele zu erreichen, weshalb er eine beliebte Methode ist, um ein Zielsystem effektiv lahmzulegen:

Ein DDoS-Angriff ist oft deshalb so erfolgreich, weil: 

• Aufgrund seiner verteilten Natur kann es schwierig sein, einen DDoS-Angriff zu lokalisieren: Da die Bemühungen von verschiedenen Angriffssystemen ausgehen, kann es Zeit und Ressourcen kosten, bis Organisationen die Quelle eines Angriffs identifizieren und ihn stoppen.

• Mit mehr Angriffssystemen kann die Skalierung und die Wirkung eines Angriffs größer sein. 

• Sobald die Quelle(n) eines Angriffs identifiziert sind, kann es Zeit und Mühe kosten, diese Quelle(n) zu beseitigen, sodass der Angriff noch länger andauern kann. 

• Da sich die Angreifer hinter verschiedenen Angriffsquellen und -orten verbergen, kann es sehr schwierig sein, die für den Angriff verantwortlichen Parteien zu identifizieren, was es den Angreifern erleichtert, sich zu tarnen. 

Welche verschiedenen Kategorien von DoS-Angriffen gibt es?

Volumetrische Angriffe

Das übergeordnete Ziel volumetrischer Angriffe ist es, die Bandbreite und Ressourcen des Zielsystems durch einen Zustrom von Traffic zu überlasten. Wenn diese volumetrischen Angriffe über mehrere Angriffssysteme durchgeführt werden, handelt es sich um einen verteilten volumetrischen Angriff: einen volumetrischen DDoS-Angriff. 

Beispiele für volumetrische Angriffe sind SYN-Flood-Angriffe, ICMP-Flood-Angriffe, UDP-Flood-Angriffe, HTTP-Flood-Angriffe und DNS-Amplifikationsangriffe. 

Angriffe auf den Anwendungs-Layer

Das Ziel von Angriffen auf die Anwendungs-Layer ist es, gezielt bestimmte Elemente der Systeme eines Ziels anzugreifen: Dies können bestimmte Apps oder Services sein, die auf den Servern des Ziels laufen. Diese Angriffe instrumentalisieren Schwachstellen in den Zielsystemen und stützen sich auf die Unfähigkeit des Ziels, böswillige Aktivitäten schnell und wirksam abzuwehren.  Werden sie von mehreren Angriffssystemen durchgeführt, werden sie als DDoS-Angriff auf dem Anwendungs-Layer klassifiziert. 

Beispiele für Anwendungs-Layer-Angriffe sind Layer-7-DDoS-Angriffe, Protokollangriffe sowie HTTP/2-Continuation-Floods oder HTTP/S-verschlüsselte Floods. 

Wie können Sie sich gegen DoS- und DDoS-Angriffe schützen? 

Es gibt verschiedene Maßnahmen, die Sie ergreifen sollten, um sicherzustellen, dass Ihre Systeme und Anwendungen vor DoS- und DDoS-Angriffen geschützt sind. Hier können Sie einen detaillierteren Einblick in die Verteidigung gegen DDoS-Angriffe erhalten. 

Verschaffen Sie sich einen Überblick über Ihre Traffic-Muster.

Organisationen sollten ein „Traffic-Profil“ erstellen, das definiert, wie „normales“ und „gutes“ Traffic-Verhalten in ihrem Netzwerk aussieht. Sobald dieser „normale“ Zustand definiert ist, können Unternehmen Traffic-Regeln festlegen, um Traffic zuzulassen, der den Kriterien für „gut“ bzw. „normal“ entspricht, und ihn zu blockieren, wenn er außerhalb der erwarteten Traffic-Muster liegt. 

Das Rate Limiting von Fastly liefert eine gute Grundlage, sodass Sie anschließend erweiterte Erkennungsmethoden einsetzen können, um Traffic zu erhalten, der anhand einer Analyse weiterer Variablen validiert wurde.

Begrenzen Sie die Risikoexposition Ihrer Organisation

Eine einfache Möglichkeit, DDoS-Angriffe einzuschränken, besteht darin, die verfügbare Angriffsfläche zu verkleinern, wodurch es für Angreifer schwieriger wird, ein leichtes Ziel zu finden. Zu den Untersuchungsbereichen sollten die Einschränkung des Zugriffs auf Hosts, Ports und Protokolle sowie auf alle Anwendungen gehören, von denen Sie keine Kommunikation erwarten. Dies können Sie erreichen, indem Sie Ihre Infrastrukturressourcen hinter einem Proxy Content Delivery Network (CDN) platzieren: Mit dem CDN können Sie leicht einschränken, wo der Internet-Traffic innerhalb Ihrer Infrastruktur laufen kann.  Die Verwendung einer Firewall oder Access Control Lists (ACLs) kann helfen, den Traffic daran zu hindern, bestimmte Anwendungen zu erreichen. 

Verwenden Sie eine App-basierte Firewall

Eine Webanwendungs-Firewall (WAF) wie die von Fastly kann Sie einfach gegen OWASP Top-10-Angriffe schützen. Dadurch können Sie sich auf Ihr benutzerdefiniertes Verkehrsprofil (oben erwähnt) konzentrieren. Mit Ihrem Custom-Traffic-Profil können Sie sich gegen zusätzliche ungültige Anfragen schützen, die auf Ihre Systeme abzielen.  Eine WAF ist auch hilfreich zur Abwehr von Angriffen, da sie Ihnen ermöglicht, erfahrenen Support zu nutzen, um Ihren Traffic zu analysieren und maßgeschneiderten Schutz für Ihre Apps zu erstellen.

Skalierung durch Design

Zusätzlich zu den oben genannten Maßnahmen können Sie Ihre Bandbreitenkapazität und/oder Serverkapazität erhöhen, um Angriffe besser abzufangen und abzuschwächen – wodurch die Fähigkeit Ihres Systems, mit Anfragen überhäuft zu werden und dennoch betriebsbereit zu bleiben, im Wesentlichen erhöht wird.  Eine gängige Praxis ist das Loadbalancing. Dabei wird der eingehende Traffic kontinuierlich überwacht und auf die verfügbaren Ressourcen verteilt, um eine Überlastung einzelner Ressourcen zu vermeiden.

Eine DDoS-Lösung einführen

Tools wie der DDoS-Schutz von Fastly lassen sich schnell bereitstellen und bieten sofortigen Schutz vor DDoS-Angriffen auf Anwendungen. Dank der enormen Bandbreite und adaptiven Methoden unseres Netzwerks bieten Sie mit dem Fastly DDoS-Schutz ohne Konfiguration automatisch performante und unterbrechungsfreie Erlebnisse.